Qu’est-ce que la ligne directrice B-10 du BSIF?
Par Nick Jang, fondateur de MINERVA Studio ·
La réponse courte
La ligne directrice B-10 du BSIF, Gestion du risque lié aux tiers, énonce comment les institutions financières fédérales gèrent les risques de toute entente avec une partie externe, pas seulement l’impartition. Elle est en vigueur depuis le 1er mai 2024 et repose sur onze principes, de la responsabilité et de la diligence raisonnable aux contrats écrits, aux droits d’audit, à la surveillance, aux incidents et aux plans de sortie, appliqués en proportion du risque et de la criticité de chaque entente.
De l’impartition à tous les tiers
La version de 2009 portait sur l’impartition, c’est-à-dire confier une fonction à un fournisseur. La refonte de 2023 va beaucoup plus loin : elle couvre toute entente avec un tiers, que le BSIF définit comme toute entente d’affaires ou stratégique avec une partie externe, par contrat ou autrement. Les consultants comptent, tout comme les courtiers, les fournisseurs infonuagiques, les réseaux de paiement et les services fournis par les sociétés affiliées.
Le point de départ est net : l’institution demeure responsable du risque, quoi qu’elle confie à un fournisseur.
Les onze principes
| Principe | Ce qu’il demande |
|---|---|
| 1. Responsabilité | L’institution répond de tout le risque lié aux tiers. |
| 2. Cadre | Un cadre couvre toute la vie d’une entente, de l’approvisionnement à la sortie. |
| 3. Risque et criticité | Chaque entente est évaluée avant et pendant la relation. |
| 4. Diligence raisonnable | Proportionnée au risque et à la criticité, avant le contrat et en continu. |
| 5. Sous-traitance | Les risques des propres fournisseurs du fournisseur sont gérés. |
| 6. Ententes écrites | Droits et responsabilités par écrit, revus par un conseiller juridique. |
| 7. Données et dossiers | Confidentialité, intégrité et disponibilité protégées. |
| 8. Information et audit | L’institution et le BSIF ont accès à l’information et un droit d’audit. |
| 9. Continuité des activités | Les opérations se poursuivent malgré une perturbation. |
| 10. Surveillance | Les ententes sont surveillées pour confirmer que le fournisseur respecte ses obligations. |
| 11. Incidents | Les incidents sont repérés, signalés et corrigés selon des processus documentés. |
Risque, criticité, et ce qui en dépend
B-10 est proportionnée. Chaque entente reçoit une évaluation du risque (ce qui peut mal tourner, et à quel point) et de la criticité (combien une perturbation nuirait aux opérations critiques). Un contrat de traiteur et un fournisseur de système bancaire central sont tous deux des tiers; un seul a besoin d’un plan de sortie détaillé.
Plus le risque et la criticité augmentent, plus le travail s’alourdit : diligence plus poussée, ensemble complet de clauses contractuelles, surveillance plus étroite, plans d’urgence testés, stratégies de sortie documentées, et attention à la concentration chez un seul fournisseur ou un seul nuage.
Comment B-10 s’applique aux fournisseurs d’IA
Le texte de B-10 ne vise pas l’IA en particulier, et il n’en a pas besoin : un fournisseur d’IA est un tiers comme un autre. Ce qui complique les choses, c’est que le produit peut changer sous le contrat. Un fournisseur peut réentraîner ou remplacer le modèle derrière son produit, une mise à jour peut ajouter de l’IA à un outil qui n’en avait pas, et les données de clients peuvent aboutir chez le propre fournisseur de modèle du fournisseur, qui est un sous-traitant.
Le BSIF ferme la boucle par deux autres voies : la ligne directrice E-23 demande d’inventorier, de coter et d’examiner séparément les modèles des fournisseurs, et son bulletin de juillet 2026 sur l’IA demande d’étendre la gestion du risque lié aux tiers à l’usage que font les fournisseurs de l’IA. Notre guide du risque lié aux fournisseurs d’IA va plus loin.
MINERVA tient le dossier B-10 : chaque fournisseur selon son risque et sa criticité, les modèles et les agents qui en dépendent, et les dates de réévaluation dues.
Questions connexes
Quand la ligne directrice B-10 est-elle entrée en vigueur?
Le 1er mai 2024. Le BSIF a publié la version définitive en avril 2023.
Qu’est-ce que la nouvelle B-10 a remplacé?
La ligne directrice de 2009 sur l’impartition d’activités, de fonctions et de méthodes. La nouvelle version couvre toute entente avec un tiers, pas seulement l’impartition.
B-10 s’applique-t-elle aux fournisseurs infonuagiques?
Oui. Les fournisseurs de technologies et d’infonuagique sont des tiers, et la ligne directrice prévoit des contrôles propres à l’infonuagique et à la portabilité.
B-10 s’applique-t-elle aux ententes intragroupes?
Oui. Les services de sociétés affiliées sont des ententes avec des tiers au sens de B-10, même si le travail peut refléter le risque plus faible d’un groupe bien gouverné.
Sources
- BSIF — Répertoire des consignes (ligne directrice B-10, Gestion du risque lié aux tiers)
- OSFI — Guideline B-10, Third-Party Risk Management
Les nouvelles réponses sont publiées sur la page LinkedIn de MINERVA. Suivez-nous, ou envoyez la question à laquelle vous aimeriez une réponse à minerva@minerva.studio.
Une explication en langage clair, pas un avis juridique. Le texte du régulateur fait foi; lisez-le, et obtenez un avis sur la façon dont il s’applique à votre institution.