DORA transforme la preuve en vente

Le premier signal DORA n’arrive pas toujours sous la forme d’un audit. Il apparaît dans une annexe contractuelle de quarante pages, un questionnaire de sécurité impossible à finir ou une vente bloquée parce que personne ne sait lister les sous-traitants utilisés pour rendre le service. Depuis le 17 janvier 2025, les acteurs financiers européens doivent mieux gouverner leurs risques numériques et leurs prestataires. Le fournisseur technologique n’est pas automatiquement supervisé comme une banque, mais il devient une pièce de la preuve que son client doit conserver. Cette lecture se place de son côté: quelles demandes sont légitimes, quelles pièces préparer, comment réduire le délai d’une revue et quand cette préparation peut devenir un avantage d’acquisition. Nous suivrons une opportunité commerciale depuis la qualification jusqu’au renouvellement, sans transformer DORA en faux label de conformité. L’enjeu est simple: rendre les réponses vérifiables avant que le processus d’achat ne révèle, trop tard, les zones inconnues.

DORA demande aux prestataires numériques de permettre à leurs clients financiers de gouverner le risque lié aux services TIC: description du service, localisation, sécurité, incidents, accès, audit, continuité, résiliation et sous-traitance. L’intensité des exigences dépend notamment du rôle du service dans une fonction critique ou importante.

Le règlement s’applique directement aux entités financières visées et organise aussi la surveillance européenne de certains prestataires TIC désignés critiques. Les autorités européennes de supervision ont publié une première liste de prestataires critiques en novembre 2025. Cette désignation particulière ne doit pas être confondue avec le fait, beaucoup plus courant, d’être fournisseur d’une banque, d’un assureur ou d’un autre acteur réglementé.

Pour la majorité des prestataires, la contrainte se manifeste par le contrat et la diligence du client. Une même solution peut recevoir des demandes différentes selon l’usage: outil périphérique dans une équipe ou service soutenant une fonction dont l’interruption affecterait fortement l’activité.

Une vente peut se bloquer avant le prix lorsque l’acheteur ne peut pas établir le service rendu, les données traitées, les lieux d’hébergement, les sous-traitants, les engagements d’incident ou les possibilités d’audit. Le problème n’est alors pas l’absence d’un document marketing, mais l’impossibilité de vérifier le risque.

Les informations sont souvent dispersées: architecture chez le responsable technique, délais de notification dans un contrat, sauvegardes dans une procédure, liste des sous-traitants dans un tableur, preuves de test dans un outil interne. Chaque réponse manuelle rallonge le cycle et crée un risque de contradiction.

Le fournisseur doit distinguer trois états: preuve disponible et à jour; réponse possible mais à consolider; engagement impossible ou non souhaité. Dire « à confirmer » avec un propriétaire et une date est plus crédible qu’une case cochée sans élément probant.

Une preuve commerciale n’est utile que si elle correspond au service, au contrat et à la réalité opérationnelle.

Les preuves prioritaires décrivent le service, les responsabilités, les actifs et données, les lieux de traitement, la sécurité, la continuité, les incidents, les tests, les sous-traitants et les conditions de sortie. Elles doivent être datées, attribuées et cohérentes avec la version effectivement vendue au client.

Une salle de preuves légère vaut mieux qu’un portail rempli de documents obsolètes. Elle contient un résumé de service, une architecture compréhensible, les politiques applicables, des résultats de tests partageables, un processus d’incident, une fiche de continuité, la chaîne de sous-traitance et les engagements contractuels standard.

Les documents sensibles ne sont pas envoyés sans contrôle. Le prestataire prévoit plusieurs niveaux: réponse publique, document sous accord de confidentialité, consultation encadrée et preuve réservée à un audit autorisé. La sécurité de la vente fait partie de la sécurité du service.

La sous-traitance se traite en reliant chaque sous-traitant au service qu’il soutient, à sa localisation, aux données concernées et au risque d’un changement. Une liste de logos ne suffit pas; le client doit comprendre la dépendance, les contrôles exercés et la procédure de notification.

Le prestataire cartographie au moins le cloud, l’hébergement, les services de support, les outils de surveillance et les composants externalisés qui contribuent au service. Il distingue un fournisseur essentiel à la production d’un outil interne sans effet direct. Cette hiérarchie facilite une conversation proportionnée.

Les engagements de notification de changement doivent être compatibles avec la chaîne réelle. Promettre un délai plus court que celui accordé par un fournisseur amont crée une clause invérifiable. La négociation doit donc remonter jusqu’aux contrats critiques et identifier les écarts acceptés.

Le premier service livrable en moins de trente jours est une revue de préparation commerciale DORA: cartographie du service, inventaire des preuves, analyse d’un questionnaire ou contrat type, registre des écarts et plan d’arbitrage. Il réduit la friction de vente sans délivrer un certificat de conformité.

Le client remet un contrat représentatif, deux questionnaires récents, la liste de ses principaux sous-traitants et les procédures existantes. Le prestataire de conseil organise les demandes par thème, élimine les contradictions et attribue chaque manque. Le livrable comprend une version partageable et un registre privé des décisions.

Cette mission peut être achetée rapidement par un éditeur, une société cloud, un intégrateur ou un fournisseur de services managés qui vise les acteurs financiers. Elle reste conditionnée à la disponibilité de la direction technique, juridique et sécurité. Sans arbitre, la revue produit des questions, pas des engagements.

Les clauses d’audit, d’incident et de sortie doivent traduire une capacité réelle: périmètre d’accès, protection des autres clients, délai de notification, coopération, restitution des données et assistance à la transition. Chaque engagement est confronté aux opérations avant d’être accepté par les ventes.

Le droit d’audit n’implique pas un accès sans limite à l’infrastructure. Le contrat peut organiser les preuves standard, les rapports existants, une consultation et, en dernier recours, un audit encadré. Le processus d’incident précise ce qui déclenche l’information, qui valide le message et comment les mises à jour sont fournies.

La sortie mérite la même attention que l’entrée: formats de restitution, délais, suppression, assistance et dépendances. Un plan de réversibilité crédible rassure davantage qu’une promesse absolue d’indisponibilité nulle.

La préparation commerciale est efficace lorsque le délai de réponse diminue, que les réponses réutilisables augmentent, que les écarts critiques sont arbitrés avant la signature et que moins d’opportunités stagnent en revue de risque. Aucun indicateur ne doit inciter à cacher un risque pour accélérer la vente.

Le point de départ est mesuré sur les dossiers récents: jours passés en diligence, nombre de contributeurs, questions sans propriétaire, reprises et motifs de perte. Après la préparation, on compare les mêmes variables. La qualité compte autant que la vitesse: une réponse rapide mais contradictoire peut dégrader le renouvellement.

L’acquisition doit viser les prestataires qui vendent déjà, ou veulent vendre, à des entités financières et rencontrent une friction documentée dans la diligence. Le message part d’un moment commercial concret — questionnaire, clause, renouvellement — puis propose une revue bornée, jamais une conformité universelle.

La recherche web capte les questions techniques. Les contenus expliquent une pièce à la fois. Le courriel et le téléphone s’appuient sur des signaux publics: verticales servies, appels d’offres, recrutements sécurité, offre destinée à la finance. Les partenaires juridiques, cyber et assurance apportent la spécialité nécessaire.

Le responsable commercial doit reconnaître sa situation en quelques lignes: « vos réponses sont dispersées et retardent la revue ». Le directeur technique doit comprendre que l’offre protège son temps. Le responsable sécurité doit voir que les preuves ne seront pas simplifiées jusqu’à devenir fausses.

Le premier payeur est le prestataire numérique qui veut réduire une friction de vente ou de renouvellement. Une récurrence devient légitime si preuves, sous-traitants, contrats et tests évoluent; elle peut couvrir la maintenance du registre et les revues périodiques, mais ne doit pas être forcée.

Le parcours économique peut comporter quatre achats: diagnostic, remédiation, préparation d’une opportunité critique et maintenance. Le prix dépend de la complexité, du nombre de services et de la maturité documentaire. Le revenu récurrent dépend du rythme de changement et du nombre de clients financiers.

L’agence d’acquisition ne délivre pas elle-même une opinion juridique ou une certification de sécurité. Elle identifie les comptes, construit la proposition, teste les canaux et coordonne la preuve avec le partenaire capable de livrer. Cette séparation protège la promesse et améliore la qualification.

Il faut lancer si des ventes réelles butent sur des preuves répétitives et si l’équipe sait livrer la revue; temporiser si les arbitrages internes manquent; abandonner si l’offre promet un label DORA, masque des écarts critiques ou vise des entreprises sans exposition financière identifiable.

Un pilote porte sur un segment et une friction: éditeurs SaaS vendant aux assureurs, hébergeurs visant les banques ou intégrateurs engagés dans des renouvellements. Après quelques entretiens, les motifs de non-achat sont comparés. L’absence de sponsor technique ou la faiblesse du panier peut imposer un pivot vers une autre cible.

La décision immédiate est de sélectionner une verticale, relire deux ventes gagnées et deux ventes bloquées, puis vérifier si une même friction DORA apparaît. Si une revue bornée peut être achetée et livrée, le marché mérite un pilote; sinon, il faut resserrer l’offre.

DORA ne crée pas à lui seul une demande solvable. Il rend toutefois visible une faiblesse coûteuse: l’écart entre ce qu’un prestataire affirme et ce qu’il peut démontrer lorsque son client financier décide. Nous pouvons analyser cette fenêtre et construire une stratégie sur mesure qui respecte vos compétences, votre cycle de vente et vos contraintes de preuve.