En n'ayant rien à préparer — c'est la seule stratégie qui fonctionne. Un contrôle se réussit si les documents demandés existent déjà, à jour et cohérents entre eux : registres, contrats, politiques, comptes rendus de tests. La préparation utile consiste à vérifier cette cohérence à froid, à répéter l'exercice avec les personnes qui répondront, et à mobiliser son prestataire IT comme co-répondant technique — pas à produire dans l'urgence des documents datés de la semaine du contrôle.
Quel que soit le régulateur — mission de contrôle de l'AMF ou de l'ACPR pour une entité financière, contrôle CNIL sur les données personnelles — la mécanique est la même : une demande documentaire d'abord, des entretiens ensuite, parfois des vérifications sur les systèmes. La liste documentaire type : registres (traitements RGPD, registre d'information DORA), politiques de sécurité, contrats des prestataires TIC, cartographie des systèmes, comptes rendus de tests de continuité et de restauration, historique des incidents et de leurs notifications, preuves de sensibilisation des équipes.
Le contrôleur ne cherche pas la perfection : il cherche la cohérence et la sincérité. Un dispositif modeste, réellement appliqué et honnêtement documenté, se défend bien mieux qu'une politique ambitieuse que la réalité contredit. L'écart classique qui coûte cher : une politique de sauvegarde qui promet des tests trimestriels, et aucun compte rendu à produire.
1. L'inventaire croisé, à froid. Rassembler le dossier complet et le lire comme le lira le contrôleur : les dates sont-elles récentes ? Les documents se contredisent-ils (la cartographie mentionne un serveur que le registre ignore, le contrat prestataire date d'avant DORA alors que la politique s'en réclame) ? Chaque incohérence détectée à froid est une question évitée à chaud.
2. La répétition générale. Identifier qui répondra sur quoi — dirigeant sur la gouvernance, responsable conformité sur les registres, prestataire sur la technique — et dérouler une session de questions types : « montrez-moi votre dernier test de restauration », « qui a accès aux systèmes de production », « que s'est-il passé lors de votre dernier incident ». Une réponse hésitante en répétition se corrige ; en contrôle, elle s'inscrit au rapport.
3. Le prestataire au premier rang. Sur les questions techniques, le contrôleur veut des réponses précises, pas des « je demanderai à notre informaticien ». Le prestataire doit être prévenu, disponible pendant la mission, et capable de produire séance tenante les preuves de son périmètre : journaux, configurations, rapports de supervision. Un prestataire qui découvre le contrôle le jour J est un signal négatif en soi — le régulateur y lit une externalisation non maîtrisée.
La plupart des contrôles se concluent par des observations et demandes d'actions correctives avec échéances. Deux règles : ne s'engager que sur des actions réalisables dans les délais annoncés — un engagement non tenu pèse plus lourd que l'observation initiale — et transformer l'exercice en plan d'amélioration suivi en comité, plutôt qu'en dossier refermé. Les régulateurs reviennent, et ils relisent leurs propres lettres de suite avant de le faire.
Cela varie selon le régulateur et le type de mission — de quelques semaines pour une mission annoncée à aucun délai pour un contrôle inopiné, que certains régulateurs peuvent mener. C'est précisément pourquoi la seule préparation robuste est le dossier permanent, tenu à jour en continu.
Le contrôle vise l'entité régulée, mais les contrats doivent prévoir des droits d'audit et d'accès au bénéfice du client et du régulateur — exigence explicite de DORA. Le contrôleur peut donc demander les preuves côté prestataire, via vous. Un prestataire incapable de les produire vous met en défaut.
Pour une première mise à niveau, un audit à blanc externe a de la valeur. Pour l'entretien courant, un dispositif bien tenu — avec un prestataire IT qui alimente les preuves en continu — suffit généralement, et coûte bien moins cher qu'une préparation dans l'urgence.
DIGICAB tient pour ses clients régulés le dossier permanent que les contrôleurs demandent : registres, preuves de tests, journaux, contrats conformes. 30 minutes avec un ingénieur, sans démarchage ni engagement, pour évaluer votre état de préparation.
Prendre rendez-vous