Dans l'assurance, le pilier de DORA le plus coûteux à traiter n'est pas le contrôle d'accès des salariés : c'est la gestion du risque lié aux prestataires tiers. Le règlement (UE) 2022/2554, applicable depuis janvier 2025, s'adresse aussi aux entreprises d'assurance et de réassurance et à leurs intermédiaires — or l'assurance délègue massivement. Courtiers, agents généraux, mandataires, gestionnaires délégués, experts et réparateurs partenaires manipulent chaque jour des données d'assurés et déclenchent des opérations financières depuis vos systèmes. Le risque tiers y est structurel, pas accidentel.
Cet article propose une lecture opérationnelle et ne constitue pas un avis juridique. Le rattachement de votre entité au règlement, comme le statut de vos délégataires, demande une analyse à confirmer avec vos conseils.
Une chaîne longue, un règlement direct
Deux caractéristiques du texte pèsent ici. D'abord, c'est un règlement : il s'applique sans transposition nationale, dans les mêmes termes pour un groupe présent dans plusieurs États membres — ce qui autorise une politique d'accès homogène sur l'ensemble des réseaux de distribution. La lecture d'ensemble du texte et la méthode de mise en conformité sont exposées dans notre page DORA et l'authentification.
Ensuite, la maîtrise des prestataires de services TIC ne s'arrête pas au contrat. Ce qui est questionné, c'est la réalité opérationnelle : qui accède, avec quel compte, et que peut-il déclencher. En gestion déléguée, la réponse dépend d'organisations que vous n'administrez pas. Le reste de cet article détaille les parcours où cette chaîne se rompt.
Le changement de RIB : le parcours le plus attaqué
C'est le point de fraude majeur du secteur : il transforme une compromission d'accès en détournement de fonds sans franchir aucune barrière comptable. Le nouveau RIB est enregistré, l'indemnisation part au bon montant, au bon moment, vers le mauvais compte.
Le problème tient à la multiplicité des canaux d'entrée : espace assuré, courriel au gestionnaire avec justificatif en pièce jointe, appel au service sinistres, saisie faite par un courtier dans son extranet. Chaque canal a son propre niveau de preuve, et l'attaquant choisit le plus faible. L'usurpation par téléphone est désormais outillée par la synthèse vocale, comme le détaille notre page sur la fraude vocale en assurance.
La parade n'est pas une authentification plus forte à la connexion : une session ouverte légitimement ne prouve rien sur l'intention de changer des coordonnées bancaires. Ce qui se démontre, c'est une validation attachée à l'opération, portant sur les coordonnées effectivement enregistrées, avec une trace conservée. C'est la logique de l'authentification transactionnelle.
Sinistres : l'urgence contre la preuve
Un assuré qui déclare un sinistre est souvent dans la situation exacte où ses moyens d'authentification habituels ne fonctionnent plus : téléphone volé, domicile inondé, matériel détruit. Le parcours de récupération de compte devient alors le vrai périmètre d'attaque — et il est presque toujours plus faible que le parcours nominal.
S'y ajoute la saisonnalité. Une tempête, un épisode de grêle ou une vague de gel produisent un pic de déclarations en quelques jours. Les renforts arrivent, souvent intérimaires ou externalisés, les habilitations sont ouvertes vite et largement, pour une durée qui devait être courte. La question à se poser avant la prochaine saison : combien de comptes ouverts lors du dernier pic sont encore actifs, et qui les porte ?
Réseaux de distribution et gestion déléguée
Courtiers, agents généraux et mandataires accèdent à vos extranets pour souscrire, modifier des contrats, parfois gérer des sinistres. Trois écarts reviennent dans les revues :
- Le compte de cabinet. Un identifiant partagé par plusieurs collaborateurs, pratique pour le cabinet, illisible pour vous : aucune traçabilité nominative n'est possible.
- Les mouvements de personnel invisibles. Un collaborateur quitte le courtier ; personne ne vous prévient. L'accès survit à la relation de travail.
- La sous-délégation. Le délégataire confie une partie de la gestion à un tiers, qui utilise ses accès. La chaîne réelle est plus longue que la chaîne contractuelle.
C'est exactement ce que le pilier « risque lié aux prestataires tiers de services TIC » vous demande de pouvoir décrire, avec des preuves d'ouverture, de revue et de fermeture.
Experts, réparateurs et données de santé
Les experts et réparateurs partenaires accèdent ponctuellement, depuis le terrain, souvent depuis un mobile personnel, pour déposer photos, devis et rapports. Le besoin est légitime ; le mode d'accès l'est rarement autant, entre liens de partage sans expiration et comptes créés pour un dossier puis jamais fermés.
En prévoyance, la sensibilité change de nature. Les éléments médicaux relèvent d'une catégorie particulière au sens du RGPD : le cloisonnement entre gestionnaires administratifs, médecins-conseils et prestataires de gestion doit être démontrable, et la traçabilité des consultations doit tenir dans le temps. DORA et le RGPD demandent ici la même chose sous deux angles : savoir qui a vu quoi, et pouvoir le prouver.
| Maillon de la chaîne | Ce qu'il peut déclencher | Ce qui doit rester prouvable des mois plus tard |
|---|---|---|
| Assuré via l'espace en ligne | Changement de RIB, déclaration, résiliation | L'intention portée sur l'opération affichée, pas l'ouverture de session |
| Gestionnaire interne ou délégué | Validation d'indemnisation, avenant | L'identité nominative de l'opérateur, y compris en période de pic |
| Courtier, agent, mandataire | Souscription, gestion de sinistre | Le rattachement de l'action à une personne physique du cabinet |
| Expert ou réparateur partenaire | Dépôt de pièces, chiffrage, clôture | La durée de vie de l'accès et sa fermeture effective |
| Prestataire de gestion externalisée | Traitement de masse sur les dossiers | Le périmètre accordé et la sous-délégation réelle |
| Intervenant en prévoyance | Consultation d'éléments médicaux | Le cloisonnement appliqué et la trace des consultations |
Priorités pour les prochains mois
- Reprendre le changement de coordonnées bancaires sur tous ses canaux, pas seulement l'espace en ligne, et y attacher une preuve d'intention liée à l'opération.
- Auditer la récupération de compte dans le scénario de l'assuré sinistré, sans son téléphone.
- Reconstituer la chaîne réelle derrière chaque délégataire : comptes nominatifs, sous-délégation, procédure de sortie.
- Purger les accès de la dernière saison haute et prévoir des ouvertures à durée limitée pour la prochaine.
- Documenter le cloisonnement des données de prévoyance et la traçabilité associée.
Un déploiement en overlay d'une MFA existante permet de traiter ces parcours par ordre de risque, en commençant par le changement de RIB.
FAQ
Nos délégataires de gestion entrent-ils dans le champ du risque tiers ?
Dès lors qu'ils accèdent à vos systèmes ou traitent vos données pour votre compte, leur maîtrise fait partie de votre dossier. Leur qualification exacte, notamment le caractère critique de certains d'entre eux, doit être établie avec vos conseils.
Comment authentifier un assuré qui a perdu ses moyens d'accès après un sinistre ?
En prévoyant à l'avance une méthode de secours indépendante du terminal habituel et aussi exigeante que le parcours nominal. Un enrôlement effectué à froid, avant tout incident, évite de transformer l'urgence en porte d'entrée.
Un compte partagé par un cabinet de courtage est-il acceptable ?
Il rend impossible la traçabilité nominative que le règlement suppose, et il survit aux départs de collaborateurs. Le passage à des comptes individuels rattachés au cabinet est l'un des chantiers les plus rentables du secteur.
Comment gérer les pics saisonniers sans multiplier les accès permanents ?
En fondant les habilitations de renfort sur une durée explicite, avec expiration automatique et revue après le pic. La preuve attendue n'est pas l'absence de comptes temporaires, mais la démonstration qu'ils se ferment.
Aller plus loin : pilier : authentification cognitive · transposition au secteur bancaire