Services informatiques pour les secteurs réglementés

Pourquoi la gouvernance doit être continue et non périodique

La réglementation dans les secteurs bancaire, des assurances et de la santé ne cesse d'évoluer, et les établissements doivent en permanence traduire les règles axées sur les résultats, les normes sectorielles et les exigences nationales en contrôles opérationnels et en preuves vérifiables. La gouvernance devient ainsi une discipline opérationnelle permanente plutôt qu'un simple exercice de mise en conformité ponctuel.

Deux évolutions concrétisent cette transition. Depuis le 17 janvier 2025, laloi européennesur la résilience opérationnelle numérique (DORA) impose aux entités financières concernées de renforcer la gestion des risques liés aux TIC, de tenir à jour des registres des accords avec des tiers, de tester leur résilience et de gérer le risque de concentration — et les premiers prestataires tiers critiques dans le domaine des TIC ont été officiellement désignés par les autorités européennes de surveillance en novembre 2025. Dans le secteur de la santé, ladirective NIS2 de l'UE étend les exigences en matière de gestion des risques de cybersécurité et de signalement des incidents à l'ensemble du secteur et inclut les prestataires de services gérés et de sécurité dans son champ d'application, tandis que les organisations britanniques ayant accès aux données des patients du NHS doivent justifier de leurs pratiques de sécurité à l'aide de la boîte à outils « NHS Data Security and Protection Toolkit ».

L'IA n'est plus non plus considérée comme un sujet distinct et émergent. Les obligations imposées aux fournisseurs de modèles d'IA à usage général en vertu de la loi européenne sur l'IA sont entrées en vigueur en 2025, etles obligations de transparence prévuesà l'article 50 pour les fournisseurs et les exploitants de certains systèmes d'IA interactifs et génératifs s'appliquent à compter du 2 août 2026 — ce qui signifie qu'elles sont déjà en vigueur depuis ce mois-ci.

Lorsqu’ils comparent la certification périodique de conformité à la démonstration continue de la conformité, les autorités de régulation des secteurs bancaire, de l’assurance et de la santé s’accordent toutes sur la même conclusion : c’est désormais un contrôle continu et démontrable qui permet de satisfaire à cette exigence.

Les quatre compétences qu'un partenaire technologique doit posséder

1. Une assurance intégrée dès la conception, fondée sur des contrôles dont l'efficacité est démontrée de manière indépendante, plutôt qu'une mise en conformité assurée a posteriori, après le déploiement.

2. Une infrastructure hybride résiliente et portable, avec une gestion explicite des risques liés aux fournisseurs et aux concentrations. La multi-cloud peut constituer un moyen d’atténuer ce risque lorsque l’analyse de rentabilité le justifie, mais elle ne constitue pas en soi une exigence réglementaire : le véritable enjeu réside dans une architecture conçue autour de la portabilité et d’un plan de sortie, et non dans une stratégie spécifique d’ cloud .

3.Une IA régulée intégrée aux processus existants de gestion des risques et d’audit — un inventaire des cas d’utilisation approuvés, la journalisation, la traçabilité et l’intervention humaine lorsque cela s’avère nécessaire, plutôt qu’une couche parallèle difficile à auditer.

4. Une intégration responsable des services à grande échelle, s'appuyant sur une expérience sectorielle suffisante pour coordonner plusieurs prestataires, plutôt que de se contenter de respecter un accord de niveau de service.

Quand la fragmentation des modèles de prestation engendre des risques

Prestataires de services de gestion (MSP) génériques — Ils appliquent un modèle opérationnel standardisé dans tous les secteurs d’activité ; les organisations soumises à une réglementation ont généralement besoin d’une intégration plus poussée avec les cadres de gestion des risques et de conformité, d’une conservation plus rigoureuse des preuves et d’une séparation des fonctions plus stricte que ce que ce modèle prévoit.

Fournisseurs d’ cloud s à très grande échelle — Une résilience et une rentabilité solides, mais l’architecture, la configuration, la gestion des identités et la conformité réglementaire restent des responsabilités partagées — et la directive DORA renforce désormais la surveillance en matière de concentration et de planification de sortie en particulier.

Solutions ponctuelles isolées — Chaque plateforme peut fonctionner efficacement de manière autonome, mais aucune entité n’assume la responsabilité de leur intégration ; le client se retrouve donc contraint de recouper les données relatives à l’identité, aux appareils, aux applications et à l’activité de l’IA lors d’un audit ou d’un incident.

Le problème n'est pas que l'un ou l'autre de ces outils manque de capacités, mais plutôt que leurs modèles opérationnels sont généralement optimisés pour la normalisation ou des fonctionnalités spécialisées, plutôt que pour une garantie réglementaire de bout en bout. Les organisations se retrouvent ainsi dotées d'une technologie performante, mais avec une responsabilité fragmentée.

Comment Getronics répond à ces quatre exigences

La sécurité intégrée dès la conception.Les capacités de Getronicsen matière de services réglementés s'appuient sur les contrôles ISO 27001, ISO 22301, SOC 2 Type II et ISAE 3402 Type II, ainsi que sur la norme ISO 27701, la conformité PCI DSS et un niveau de maturité des processus CMMI de niveau 3 — adaptés à chaque mission plutôt que considérés comme une garantie générale. Concrètement : uneplateforme certifiée de traitement des paiementspour une banque brésilienne, prenant désormais en charge 45 millions de cartes actives, déployée en 15 jours et classée parmi les meilleurs prestataires ; uneopération d'assurance qualité pour une banque chilienne, dont le volume est passé de 1 500 à 6 000 heures de certification par mois, totalisant plus de 120 000 heures réparties sur 195 projets.

Une infrastructure résiliente et portable. Getronics gèredes environnements «cloud », sur site, en périphérie et multi-cloud , sans faire de la multi-cloud une fin en soi : l’architecture est conçue en fonction de la criticité des services, de la capacité de reprise et de la planification de sortie. Un groupe européen d’assurance et de services financiers, dont le chiffre d’affaires s’élève à 10 milliards d’euros, exploite depuis 2010, en collaboration avec Getronics, des infrastructures Azure et AWS en parallèle, dans le respect des exigences de la BaFin et avec des contrôles audités.

Une IA encadrée, sous la responsabilité humaine. L’IA générative, l’analyse prédictive et l’automatisation coexistent avec la responsabilité humaine au sein des opérations de service de Getronics. Une plateforme en libre-service alimentée par l’IA, mise en place pour les assurés d’un assureur européen, a permis de réduire le coût de service de 57 %. Pour un prestataire de soins de santé regroupant 160 cabinets médicaux, un centre de contact alimenté par l'IA a traité plus de 70 % des appels entrants, réduit le coût de service de 75 % et fait passer le taux de conversion des rendez-vous de moins de 40 % à plus de 80 %.

Une intégration de services responsable à grande échelle. Des entreprises dans plus de 180 pays font confiance à Getronics pour gérer leurs services d’ environnement de travail numérique . Nous avons d’ailleurs été désignés pour la cinquième fois comme « acteur de niche » dans leMagic Quadrant™ 2025 de Gartner® consacré aux services externalisés d’ Digital Workplace (ODWS), une distinction qui, selon nous, reflète la cohérence de notre offre mondiale. Cette constance s’appuie sur plus de 35 ans d’expérience dans des environnements réglementés et à haut risque, assurée par 22 centres de prestation et un service d’assistance disponible 24 h/24 et 7 j/7, prenant en charge 22 langues.

« Ce que je constate le plus souvent dans la pratique, c’est que les technologies fonctionnent parfaitement bien prises isolément, mais que personne n’assume la responsabilité de leur intégration », explique Stephen Homer, responsable du portefeuille « Digital Workplace » chez Getronics. « La valeur d’un intégrateur responsable ne réside pas dans la réduction du nombre de fournisseurs, mais dans le fait de disposer d’une équipe unique qui assure la coordination de la visibilité des dépendances, de la prise en charge des incidents et de la planification de sortie pour l’ensemble des fournisseurs, afin que rien ne passe entre les mailles du filet entre les différentes plateformes. »

Le modèle vers lequel il faut tendre

Répondre à ces exigences ne signifie pas remplacer la dépendance vis-à-vis d’un hyperscaler par une dépendance vis-à-vis d’un seul MSP. Un modèle plus durable repose sur un intégrateur de services responsable, capable de coordonner plusieurs fournisseurs, de garantir la transparence de la sous-traitance, de prendre en charge des architectures portables et des plans de sortie documentés, et d’assurer la maîtrise opérationnelle de bout en bout. Que la priorité soit de moderniser une plateforme bancaire, d’étendre un écosystème d’assurance ou de soutenir un réseau de santé multisite, l’exigence reste la même : les services technologiques doivent rester résilients, gouvernés et capables de démontrer l’efficacité des contrôles dont dépend l’organisation.

Foire aux questions

1. Qu'est-ce que la DORA et à qui s'applique-t-elle ?
   La loi sur la résilience opérationnelle numérique (DORA) est un règlement de l'Union européenne qui impose aux entités financières concernées de renforcer la gestion des risques liés aux technologies de l'information et de la communication (TIC), de tenir des registres des accords conclus avec des tiers, de tester leur résilience et de gérer le risque de concentration. Elle s'applique depuis le 17 janvier 2025.
    
2. La directive NIS2 s'applique-t-elle aux prestataires de services gérés ?
   Oui. La directive NIS2 étend les exigences en matière de gestion des risques liés à la cybersécurité et de signalement des incidents à l'ensemble des secteurs, y compris celui de la santé, et inclut explicitement les prestataires de services gérés et de sécurité dans son champ d'application.
    
3. En quoi un intégrateur de services responsable se distingue-t-il d’un MSP classique ?
   Plutôt que d’appliquer un modèle opérationnel unique à tous ses clients, un intégrateur de services responsable coordonne plusieurs fournisseurs au sein d’une même structure de gouvernance, garantit la transparence de la sous-traitance et assume l’entière responsabilité de la gestion des incidents et de la planification de sortie, alors que chaque fournisseur n’est responsable que de sa propre partie.