Conformité au manuel d'examen des TI de la FFIEC

Gestion des tiers

"L'établissement d'une relation bien définie avec les fournisseurs de services technologiques (FST) est essentiel à la résilience des entreprises. Le programme de gestion des tiers d'une institution financière doit être axé sur les risques et fournir une surveillance et des contrôles proportionnels au niveau de risque présenté par l'accord d'externalisation. Pour assurer la résilience de l'entreprise, le programme devrait inclure les activités externalisées qui sont essentielles aux opérations continues de l'institution financière."

Gestion des tiers - Diligence raisonnable

"Dans le cadre de sa diligence raisonnable, une institution financière devrait évaluer l'efficacité du programme de continuité des activités d'un FST, en mettant particulièrement l'accent sur les capacités de récupération et la capacité. En outre, une institution devrait comprendre le processus de diligence raisonnable que le FST utilise pour ses sous-traitants et ses fournisseurs de services. En outre, l'institution financière devrait examiner le programme de PCA du FST et son alignement avec le propre programme de l'institution financière, y compris une évaluation de la stratégie de test du PCA du FST et des résultats pour s'assurer qu'ils répondent aux exigences de l'institution financière et favorisent la résilience."

Gestion des tiers - Contrats

" Droit d'audit : Les accords doivent prévoir le droit pour l'institution financière ou ses représentants d'auditer le FST et/ou d'avoir accès aux rapports d'audit. Une institution financière devrait examiner les rapports d'audit disponibles portant sur les capacités de résilience des FST et leurs interdépendances (par exemple, les sous-traitants), les tests du PCA et les efforts de remédiation, et évaluer l'impact, le cas échéant, sur le PCA de l'institution financière. "

Gestion des tiers - Surveillance continue

" Une surveillance continue efficace aide l'institution financière à assurer la résilience des services technologiques externalisés. L'institution financière devrait effectuer des évaluations périodiques approfondies de l'environnement de contrôle du FST, y compris du PCA, par l'examen des activités de test du plan de continuité des activités du fournisseur de services, des évaluations indépendantes et/ou de tiers pour évaluer l'impact potentiel sur la résilience des activités de l'institution financière. L'institution financière devrait s'assurer que les résultats de ces examens sont documentés et rapportés par le FST au comité de surveillance de la gestion approprié ou au conseil d'administration et utilisés pour déterminer les changements nécessaires au PCA de l'institution financière et, si cela est justifié, au contrat du fournisseur de services."

Cyber Résilience

"Les menacesCyber continueront de mettre à l'épreuve la préparation à la continuité des activités. Les institutions financières et les FST doivent rester conscients des menaces et scénarios émergents de cyber et considérer leur impact potentiel sur la résilience opérationnelle. Comme l'impact de chaque type d'événement cyber variera, la préparation est la clé pour prévenir ou atténuer les effets d'un tel événement. "

II.C.20 Supervision des fournisseurs de services tiers

" La direction doit vérifier que les prestataires de services tiers mettent en œuvre et maintiennent des contrôles suffisants pour atténuer les risques de manière appropriée. Les contrats de l'institution devraient faire ce qui suit :

Inclure des normes minimales de contrôle et d'information
Prévoir le droit d'exiger des modifications des normes en fonction de l'évolution des environnements externes et internes
Spécifier que l'institution ou un auditeur indépendant a accès au prestataire de services pour effectuer des évaluations de la performance du prestataire de services par rapport aux normes de sécurité de l'information."