Cloud et conformité : l’AMF adopte les recommandations de l’ESMA sur la sous-traitance aux fournisseurs de services en nuage

Le recours au Cloud est devenu un incontournable de la transformation numérique des acteurs financiers, mais il s’accompagne d’exigences accrues en matière de conformité, de gestion des risques et de sécurité des données. Avec l’adoption par l’AMF des orientations actualisées de l’ESMA sur la sous-traitance aux fournisseurs de services en nuage, les dépositaires de FIA et d’OPCVM disposent désormais d’un cadre plus lisible pour encadrer leurs relations avec les prestataires cloud, en complément du règlement DORA.

L’essentiel en bref
Comment les nouvelles orientations de l’ESMA, appliquées par l’AMF, encadrent-elles la sous-traitance cloud des acteurs financiers non couverts par DORA ?

• À retenir : l’AMF applique les orientations mises à jour de l’ESMA, qui ciblent désormais certains dépositaires de FIA et d’OPCVM non déjà soumis à DORA, sans modifier le contenu des obligations existantes.
• Méthode utile : mettre en place une cartographie détaillée des prestations cloud critiques pour mieux piloter la conformité, les risques opérationnels et le contrôle réglementaire.
• Bonne pratique : ne jamais signer de contrat avec des fournisseurs de services en nuage sans clauses précises sur l’audit, la réversibilité des données et la continuité d’activité.
• Bonus : suivre l’évolution du cadre européen (DORA, réglementation financière sectorielle, encadrement du cloud et de l’IA) permet d’identifier de nouvelles opportunités liées aux infrastructures numériques, comme celles analysées dans les dossiers sur les opportunités d’investissement dans l’IA ou encore sur les géants technologiques et les investissements.

Cloud et réglementation financière : pourquoi l’AMF s’aligne sur les orientations de l’ESMA

La généralisation des services en nuage dans la finance a profondément remodelé la manière dont les établissements stockent, traitent et sécurisent leurs données. Face à cette mutation, les autorités européennes ont successivement renforcé la réglementation financière pour encadrer la sous-traitance et les risques opérationnels associés au Cloud.

L’ESMA a ainsi publié des orientations sur la sous-traitance à des fournisseurs de services en nuage, initialement en 2021, puis mises à jour au 30 septembre 2025. Ces orientations précisent des bonnes pratiques pour identifier, suivre et maîtriser les risques liés à l’externalisation informatique, en complément du règlement DORA, centré sur la résilience opérationnelle numérique.

L’AMF a annoncé se conformer à ces orientations actualisées. Le changement majeur ne porte pas sur le contenu des obligations, mais sur le périmètre : désormais, ces règles visent principalement certains dépositaires de FIA et d’OPCVM qui ne sont pas déjà couverts par DORA. L’enjeu est d’éviter les angles morts de la supervision tout en garantissant une cohérence de traitement entre acteurs.

• Renforcement du contrôle réglementaire sur les prestataires critiques de Cloud.
• Harmonisation européenne grâce à l’alignement AMF–ESMA.
• Complémentarité avec DORA pour couvrir les entités non incluses dans ce règlement.
• Stabilité des obligations : les exigences de fond ne sont pas modifiées, seules les frontières d’application évoluent.

Élément clé	Rôle de l’ESMA	Rôle de l’AMF	Impact pour les dépositaires
Orientations cloud	Définit les bonnes pratiques de sous-traitance	Annonce qu’elle s’y conforme et les applique en France	Obligation d’aligner les politiques internes sur ces standards
DORA	Cadre européen unique pour la résilience numérique	Supervise son application pour les entités concernées	Certains dépositaires restent hors champ, d’où l’utilité des orientations
Réglementation financière	Fixe les lignes directrices sectorielles	Adapte et applique ces règles au contexte français	Nécessité de suivre plusieurs textes simultanément
Conformité cloud	Encadre la gestion des risques opérationnels	Contrôle la bonne mise en œuvre sur le terrain	Renforcement des audits et du suivi des prestataires IT

Ce mouvement de convergence réglementaire installe clairement le Cloud au cœur de la supervision, et non plus en périphérie des systèmes d’information.

Sous-traitance cloud : une nouvelle donne pour les dépositaires de FIA et d’OPCVM

Pour rendre ces orientations plus concrètes, imaginons un dépositaire fictif, “EuroDépo”, qui assure la garde d’actifs de plusieurs fonds. Pour optimiser ses coûts et gagner en agilité, il externalise une partie de ses systèmes à des fournisseurs de services en nuage. Jusqu’ici, ses contrats se concentraient surtout sur la disponibilité technique et le prix.

Avec les orientations actualisées appliquées par l’AMF, EuroDépo doit désormais aller beaucoup plus loin. La conformité ne se limite plus à cocher des cases de sécurité des données, elle implique une vision globale des risques opérationnels : dépendance à un même prestataire, localisation des centres de données, réversibilité en cas de changement de fournisseur, ou encore modalités d’audit.

• Cartographier les fonctions externalisées pour distinguer les services critiques des services de support.
• Évaluer l’impact d’une panne prolongée d’un cloud provider sur les valorisations de fonds.
• Intégrer les risques de concentration lorsque plusieurs entités du groupe recourent aux mêmes prestataires.
• Coordonner la gestion des risques IT avec les autres obligations prudentielles imposées par la réglementation financière.

Type de dépositaires concernés	Couverture par DORA	Application des orientations ESMA	Exemple de services cloud concernés
Dépositaires d’OPCVM	Pas systématiquement couverts	Oui, si non déjà sous DORA	Outils de suivi de positions, reporting réglementaire
Dépositaires de FIA	Variable selon la structure et l’activité	Oui, pour ceux hors périmètre DORA	Plateformes de conservation, gestion des registres
Autres entités financières	Généralement sous DORA	Orientations moins centrales	Infrastructure de trading, risk management

Ce cadre transforme la relation avec les fournisseurs de services en nuage en une véritable relation de partenariat critique, placée sous l’angle du risque et de la conformité, plutôt que de la simple prestation technique.

Évaluer les risques cloud : une démarche structurée pour la conformité

Le premier pilier mis en avant par l’ESMA et repris par l’AMF concerne l’évaluation des risques avant, pendant et après la sous-traitance. Cette analyse ne peut plus se limiter à un audit initial, elle doit devenir un processus continu, intégré aux dispositifs de contrôle interne.

Pour EuroDépo et les autres acteurs, cela signifie qu’un projet de migration vers le Cloud doit être abordé comme un projet de transformation critique, impliquant les équipes métiers, la conformité, la sécurité IT et parfois même la direction des investissements. Cette approche rejoint les pratiques de plus en plus observées chez les investisseurs institutionnels, qui intègrent la dimension technologique dans leurs analyses, comme on le voit dans les projets de centres de données étudiés à travers des articles sur le développement d’infrastructures data ou encore sur les stratégies numériques du Japon présentées dans l’impulsion numérique japonaise.

• Identifier les données sensibles et les fonctions critiques exposées au Cloud.
• Évaluer le niveau de maturité cybersécurité du fournisseur et ses certifications.
• Analyser le risque pays et la localisation juridique des serveurs.
• Prévoir des scénarios de panne majeure, cyberattaque ou rupture contractuelle.

Étape	Objectif	Questions clés	Outils possibles
Analyse préalable	Décider si le service est externalisable	Le service est-il critique ? Peut-on l’interrompre ?	Cartographie des processus, matrices de criticité
Due diligence fournisseur	Évaluer la solidité du prestataire	Quelles certifications ? Quel historique d’incident ?	Questionnaires détaillés, benchmarks sectoriels
Évaluation continue	Surveiller les risques opérationnels dans la durée	Les SLA sont-ils respectés ? Les incidents sont-ils maîtrisés ?	Tableaux de bord, reporting régulier, comités de suivi
Réversibilité	Préparer un plan de sortie maîtrisé	Combien de temps pour migrer ? Quels coûts ?	Plans de continuité, tests de migration

Une évaluation des risques bien structurée devient ainsi la colonne vertébrale de la conformité cloud, condition préalable à toute sous-traitance responsable.

Sécurité des données et risques opérationnels : des enjeux indissociables

Dans les orientations de l’ESMA, la sécurité des données occupe une place centrale, étroitement liée aux risques opérationnels. Perte d’intégrité des données, indisponibilité des systèmes, accès non autorisés ou fuite d’informations sensibles sont autant de scénarios qui peuvent rapidement se transformer en incident majeur pour un dépositaire.

Les autorités attendent donc des acteurs qu’ils dépassent la simple conformité RGPD pour adopter une vision globale : sécurité technique, gouvernance, formation des équipes et gestion des incidents. Cet angle complet rejoint les grandes tendances observées dans le secteur, où les projets combinant cloud, IA et infrastructure de données se multiplient, à l’image des initiatives étudiées dans les analyses sur les stratégies d’IA en Arabie saoudite ou les investissements numériques autour de Microsoft.

• Définir des politiques d’accès strictes (principe du moindre privilège).
• Chiffrer les données sensibles, en transit et au repos.
• Mettre en place des journaux d’audit détaillés et régulièrement revus.
• Organiser des exercices de gestion de crise simulant un incident cloud majeur.

Risque	Conséquence potentielle	Mesures de mitigation	Responsable principal
Fuite de données	Atteinte à la réputation, sanctions réglementaires	Chiffrement, segmentation des accès, audits réguliers	RSSI / DPO
Indisponibilité prolongée	Blocage des valorisations et des transactions	Plans de continuité, redondance géographique	IT & métiers
Altération de données	Reporting erroné, décisions faussées	Contrôles d’intégrité, sauvegardes fréquentes	IT & contrôle interne
Non-conformité contractuelle	Sanctions de l’AMF, litiges avec le fournisseur	Clauses précises, revue juridique, suivi des SLA	Direction juridique / conformité

Au final, maîtriser la sécurité des données dans le Cloud revient à traiter le prestataire comme une extension critique de son propre système d’information, pas comme un simple “boîte noire” technique.

Gouvernance et supervision des fournisseurs de services en nuage

Les orientations de l’ESMA insistent sur les dispositifs de gouvernance, d’organisation et de contrôle à mettre en place pour encadrer la sous-traitance. L’AMF attend des dépositaires qu’ils disposent d’une vision consolidée de leurs prestataires cloud et d’un dispositif clair de supervision.

Dans la pratique, cela passe par la création de comités de suivi, l’implication de la direction générale et une articulation fine entre les fonctions risques, conformité, IT et métiers. Ce type de gouvernance se retrouve d’ailleurs dans de nombreuses stratégies d’innovation financière, par exemple dans les projets de plateformes d’investissement comme ceux décrits dans l’analyse sur la plateforme d’investissement de SimCorp, où l’architecture cloud et la gestion des fournisseurs sont au cœur du modèle.

• Désigner un responsable interne du suivi des prestataires de Cloud.
• Mettre en place un registre centralisé de toutes les relations de sous-traitance.
• Organiser des revues régulières de performance et de risques avec les fournisseurs.
• Prévoir des mécanismes de sortie ordonnée en cas de défaillance du prestataire.

Composant de gouvernance	Objectif	Bonnes pratiques	Résultat attendu
Politique d’externalisation	Fixer le cadre global	Documenter critères, rôles et niveaux d’autorisation	Décisions cohérentes et traçables
Comité Cloud	Assurer le pilotage transverse	Réunir métiers, IT, risques, conformité	Vision partagée des enjeux et arbitrages éclairés
Registre des sous-traitants	Disposer d’un inventaire complet	Mettre à jour contrats, services, localisation	Reporting fiable aux autorités et à la direction
Plan de sortie	Préparer une réversibilité maîtrisée	Scénarios testés, délais et coûts estimés	Continuité des activités en cas de changement

Une gouvernance bien structurée permet ainsi de transformer la conformité cloud en véritable levier de maîtrise et de décision stratégique, plutôt qu’en simple contrainte réglementaire.

Contrats de sous-traitance et clauses clés à intégrer

Les orientations de l’ESMA détaillent aussi les éléments contractuels qui doivent figurer dans les accords d’externalisation de services en nuage. Pour les dépositaires, le contrat n’est plus un simple document juridique standard, mais un outil central de maîtrise des risques.

Les clauses portant sur l’audit, l’accès aux données, la coopération avec les autorités de contrôle et la réversibilité sont particulièrement sensibles. Elles permettent de s’assurer que, même en situation de crise ou de litige, l’établissement conserve ses marges de manœuvre. Cette exigence contractuelle se retrouve d’ailleurs dans de nombreux partenariats technologiques entre acteurs financiers et géants du numérique, comme on le voit dans les analyses dédiées à des valeurs comme Apple ou Alibaba, dont les services cloud jouent un rôle croissant.

• Clauses d’audit et d’accès aux informations pour le superviseur.
• Conditions de réversibilité claires : format des données, délais, coûts.
• Engagements de sécurité et de niveau de service (SLA) mesurables.
• Modalités de notification d’incidents et de coopération en cas de crise.

Type de clause	Finalité	Point de vigilance	Impact sur la conformité
Audit et inspection	Permettre le contrôle du prestataire	Limiter les restrictions excessives du fournisseur	Facilite les vérifications de l’AMF et du contrôle interne
Localisation des données	Gérer le risque juridique et réglementaire	Veiller aux transferts hors UE et à la conformité RGPD	Réduit les risques de conflits de lois
Réversibilité	Préparer la sortie sans rupture	Anticiper les coûts et la durée de migration	Préserve la continuité d’activité
Notification d’incidents	Assurer une remontée rapide des informations	Éviter des délais de notification trop longs	Améliore la gestion des risques opérationnels

En renforçant ces clauses, les acteurs financiers transforment le contrat en garde-fou essentiel pour la gestion de leurs risques cloud.

Reporting, notifications à l’AMF et bonnes pratiques opérationnelles

Dernier pan majeur des orientations de l’ESMA adoptées par l’AMF : les informations à notifier aux autorités compétentes. Les dépositaires doivent être en mesure de communiquer une vision claire de leurs relations de sous-traitance, en particulier lorsque celles-ci touchent des fonctions critiques.

Cette transparence est au cœur du contrôle réglementaire moderne, qui s’appuie de plus en plus sur des données structurées, des tableaux de bord et des rapports détaillés. Elle rejoint également les évolutions plus larges des marchés, où les flux d’investissement suivent de près la montée en puissance des infrastructures numériques, comme illustré dans les analyses sur les meilleurs placements financiers intégrant la dimension technologique ou encore sur la connectivité globale et ses enjeux d’investissement.

• Maintenir un inventaire à jour des accords d’externalisation cloud.
• Identifier clairement les services critiques et les prestataires majeurs.
• Documenter les évaluations de risques et les plans de remédiation associés.
• Prévoir des processus internes pour répondre rapidement aux demandes de l’AMF.

Type d’information	Contenu attendu	Fréquence	Bénéfice pour l’acteur
Registre des sous-traitances cloud	Liste des prestataires, services, criticité	Mise à jour continue	Vision claire du paysage de dépendances
Rapport de risques	Analyse des risques et mesures associées	Périodique (ex. annuel) ou ad hoc	Meilleure anticipation des incidents
Notifications d’incidents	Description, impact, remédiation	En cas d’événement significatif	Dialogue plus fluide avec le superviseur
Plan de sortie cloud	Stratégie de réversibilité et de migration	Revu régulièrement	Capacité à réagir en cas de crise ou de rupture

Avec ce dispositif, la conformité cloud ne se limite plus à des politiques internes, mais devient un langage commun entre les acteurs et les autorités, ancré dans des pratiques de reporting structurées.

{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »u00c0 qui su2019appliquent les orientations ESMA sur la sous-traitance cloud adoptu00e9es par lu2019AMF ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les orientations mises u00e0 jour de lu2019ESMA, auxquelles lu2019AMF a indiquu00e9 se conformer, visent principalement certains du00e9positaires de FIA et du2019OPCVM qui ne sont pas du00e9ju00e0 couverts par le ru00e8glement DORA. Les entitu00e9s du00e9ju00e0 soumises u00e0 DORA continuent de se ru00e9fu00e9rer en prioritu00e9 u00e0 ce ru00e8glement pour la gestion de leurs risques numu00e9riques, tandis que les orientations complu00e8tent le dispositif pour u00e9viter tout vide ru00e9glementaire. »}},{« @type »: »Question », »name »: »Les obligations de fond ont-elles changu00e9 avec cette mise u00e0 jour ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. La mise u00e0 jour publiu00e9e au 30 septembre 2025 ne modifie pas les obligations de fond du00e9taillu00e9es dans les orientations initiales de 2021. Ce qui u00e9volue, cu2019est surtout le pu00e9rimu00e8tre du2019application : les orientations su2019adressent du00e9sormais aux du00e9positaires de FIA et du2019OPCVM non couverts par DORA, mais les exigences en matiu00e8re de gestion des risques, de gouvernance, de contrats et de notifications restent identiques. »}},{« @type »: »Question », »name »: »Quelles sont les principales attentes en matiu00e8re de gestion des risques cloud ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les autoritu00e9s attendent une analyse structuru00e9e des risques avant toute sous-traitance, une due diligence approfondie des fournisseurs, un suivi continu de la performance et des incidents, ainsi que des plans de continuitu00e9 et de ru00e9versibilitu00e9 clairs. Les du00e9positaires doivent cartographier leurs services cloud, identifier les fonctions critiques et intu00e9grer la su00e9curitu00e9 des donnu00e9es et les risques opu00e9rationnels dans leur dispositif global de contru00f4le interne. »}},{« @type »: »Question », »name »: »Comment les contrats avec les fournisseurs de services en nuage doivent-ils u00e9voluer ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les contrats doivent inclure des clauses du00e9taillu00e9es sur lu2019audit, lu2019accu00e8s aux systu00e8mes, la localisation et la protection des donnu00e9es, les niveaux de service, la notification du2019incidents et la ru00e9versibilitu00e9. Lu2019objectif est de garantir que lu2019u00e9tablissement, comme le superviseur, puisse exercer un contru00f4le effectif sur le prestataire, mu00eame en cas de crise, et de pru00e9server la continuitu00e9 des activitu00e9s et la conformitu00e9 ru00e9glementaire. »}},{« @type »: »Question », »name »: »Pourquoi ces orientations sont-elles importantes pour les investisseurs et u00e9pargnants ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »En imposant un encadrement plus strict de la sous-traitance cloud, les orientations de lu2019ESMA et leur adoption par lu2019AMF renforcent la ru00e9silience opu00e9rationnelle des acteurs qui gardent et administrent les actifs. Cela limite le risque de perturbations majeures liu00e9es u00e0 des incidents cloud, protu00e8ge mieux les donnu00e9es des investisseurs et contribue u00e0 la stabilitu00e9 globale des marchu00e9s, au moment ou00f9 de nombreux placements intu00e8grent une forte composante numu00e9rique. »}}]}

À qui s’appliquent les orientations ESMA sur la sous-traitance cloud adoptées par l’AMF ?

Les orientations mises à jour de l’ESMA, auxquelles l’AMF a indiqué se conformer, visent principalement certains dépositaires de FIA et d’OPCVM qui ne sont pas déjà couverts par le règlement DORA. Les entités déjà soumises à DORA continuent de se référer en priorité à ce règlement pour la gestion de leurs risques numériques, tandis que les orientations complètent le dispositif pour éviter tout vide réglementaire.

Les obligations de fond ont-elles changé avec cette mise à jour ?

Non. La mise à jour publiée au 30 septembre 2025 ne modifie pas les obligations de fond détaillées dans les orientations initiales de 2021. Ce qui évolue, c’est surtout le périmètre d’application : les orientations s’adressent désormais aux dépositaires de FIA et d’OPCVM non couverts par DORA, mais les exigences en matière de gestion des risques, de gouvernance, de contrats et de notifications restent identiques.

Quelles sont les principales attentes en matière de gestion des risques cloud ?

Les autorités attendent une analyse structurée des risques avant toute sous-traitance, une due diligence approfondie des fournisseurs, un suivi continu de la performance et des incidents, ainsi que des plans de continuité et de réversibilité clairs. Les dépositaires doivent cartographier leurs services cloud, identifier les fonctions critiques et intégrer la sécurité des données et les risques opérationnels dans leur dispositif global de contrôle interne.

Comment les contrats avec les fournisseurs de services en nuage doivent-ils évoluer ?

Les contrats doivent inclure des clauses détaillées sur l’audit, l’accès aux systèmes, la localisation et la protection des données, les niveaux de service, la notification d’incidents et la réversibilité. L’objectif est de garantir que l’établissement, comme le superviseur, puisse exercer un contrôle effectif sur le prestataire, même en cas de crise, et de préserver la continuité des activités et la conformité réglementaire.

Pourquoi ces orientations sont-elles importantes pour les investisseurs et épargnants ?

En imposant un encadrement plus strict de la sous-traitance cloud, les orientations de l’ESMA et leur adoption par l’AMF renforcent la résilience opérationnelle des acteurs qui gardent et administrent les actifs. Cela limite le risque de perturbations majeures liées à des incidents cloud, protège mieux les données des investisseurs et contribue à la stabilité globale des marchés, au moment où de nombreux placements intègrent une forte composante numérique.

Disclaimer : Les informations fournies sont à titre informatif uniquement et ne constituent pas des conseils en investissement personnalisés. Investir comporte des risques, y compris la perte totale de capital. Avant de prendre toute décision, faites vos propres recherches ou consultez un professionnel agréé. Source : AMF