Publication pour consultation de la Ligne directrice sur la gestion du risque lié aux tiers par l’Autorité des marchés financiers

Le 9 octobre 2025, l’Autorité des marchés financiers (AMF) a publié pour consultation un projet intitulé Ligne directrice sur la gestion du risque lié aux tiers (Ligne directrice de l’AMF). Ce nouveau cadre vient actualiser la Ligne directrice sur la gestion des risques liés à l’impartition, publiée en 2009, en réponse à l’évolution des pratiques d’externalisation, notamment dans le domaine technologique.

La Ligne directrice de l’AMF s’adresse aux assureurs autorisés, aux coopératives de services financiers, aux sociétés de fiducie autorisées et aux institutions de dépôts autorisées encadrés par l’AMF. Pour leur part, les institutions financières de compétence fédérale, telles que les banques et les sociétés d’assurance régies par le Bureau du surintendant des institutions financières (BSIF), demeurent assujetties à la Ligne directrice B-10 – Impartition d’activités, de fonctions et de méthodes commerciales (Ligne directrice du BSIF). Il convient de noter que certaines entités pourraient être assujetties simultanément aux deux régimes.

L’objectif principal de la nouvelle Ligne directrice de l’AMF est de promouvoir une gestion saine et prudente du risque lié aux tiers, tout en renforçant la résilience opérationnelle des institutions financières. 

Inspirée des principes émanant d’organisations internationales telles que le Comité de Bâle sur le contrôle bancaire, l’Association internationale des contrôleurs d’assurance et le Conseil de stabilité financière, la Ligne directrice de l’AMF s’inscrit dans une démarche cohérente avec les autres lignes directrices émises par l’AMF.

Dans la présente actualité, nous proposons un aperçu des principaux éléments de la Ligne directrice de l’AMF ainsi qu’une analyse comparative avec les exigences prévues par la Ligne directrice du BSIF, afin de mieux cerner les convergences et les distinctions entre les deux régimes d’encadrement.

Portée et exigences de la Ligne directrice de l’AMF

La Ligne directrice de l’AMF couvre un large éventail d’ententes conclues avec des tiers, y compris notamment les ententes d’impartition, les mandats confiés à des experts-conseils indépendants, les ententes intragroupes, les ententes de distribution ainsi que diverses relations contractuelles avec des fournisseurs de produits et services, y compris ceux liés à la gestion des données. En revanche, les ententes avec les clients et les contrats d’emploi sont expressément exclus de son champ d’application.

Son application doit être adaptée aux caractéristiques propres à chaque institution financière, en tenant compte de leur taille, de la nature de leurs activités et de leur profil de risque. Les risques visés peuvent être généraux (tels que les risques financiers et opérationnels) ou spécifiques (tels que les risques liés à la concentration des tiers ou à leur recours à la sous-traitance).

L’AMF s’attend à ce que la haute direction définisse une stratégie claire et un appétit pour le risque lié aux tiers et qu’elle mette en œuvre un cadre de gestion couvrant l’ensemble du cycle de vie des ententes. Le conseil d’administration assume la responsabilité ultime de cette gestion et doit approuver la stratégie et l’appétit pour le risque.

Chaque institution financière est tenue d’évaluer la criticité de ses ententes avec des tiers et d’en analyser les risques selon des critères formalisés, tout au long de leur durée.

Cette évaluation doit notamment prendre en compte :

• l’importance financière ou stratégique de l’entente;
• la nature et la complexité du produit ou service;
• la criticité du processus visé;
• la tolérance de l’institution aux perturbations;
• la nature et la sensibilité des données ou informations partagées.

La criticité d’une entente et le niveau de risque associé à celle-ci doivent orienter les mesures de gestion mises en place pour répondre aux exigences de la Ligne directrice de l’AMF.

Par ailleurs, les ententes avec des tiers devraient notamment comporter certaines clauses essentielles relatives :

• au droit à l’audit;
• au droit d’évaluer les pratiques de gestion de risque du tiers;
• aux modalités de transmission de l’information et de fréquence de communication;
• aux processus de signalement d’événements pouvant compromettre l’exécution de l’entente.

L’AMF propose également des critères d’évaluation des tiers et recommande l’intégration de dispositions contractuelles spécifiques visant à atténuer les risques.

À noter que des considérations particulières s’appliquent en matière de continuité des activités et de traitement équitable des clients ainsi qu’en ce qui a trait aux fournisseurs de services infonuagiques. Enfin, chaque institution devrait maintenir un registre à jour de ses ententes avec des tiers.

Convergences et distinctions entre la Ligne directrice de l’AMF et la Ligne directrice du BSIF

La Ligne directrice de l’AMF et la Ligne directrice du BSIF présentent plusieurs exigences et principes d’application similaires, ce qui s’explique notamment par leur ancrage commun dans les orientations émises par des organismes internationaux.

Par exemple, la notion de criticité constitue un élément central dans les deux lignes directrices, servant à moduler l’intensité des mesures de gestion de risques selon l’importance stratégique ou opérationnelle de chaque entente.

En matière de services infonuagiques, les deux lignes directrices abordent les enjeux de transférabilité et d’interopérabilité, afin de garantir que les données hébergées puissent être migrées vers d’autres environnements technologiques de manière sécuritaire et efficace. Elles recommandent également d’envisager l’adoption d’une stratégie multinuages dans une optique de résilience accrue.

Enfin, les deux lignes directrices énoncent des dispositions contractuelles clés à intégrer dans les ententes avec des tiers, telles que le droit à l’audit, les mécanismes de signalement d’événements et les exigences de conformité. Une distinction notable demeure : la Ligne directrice de l’AMF intègre des attentes spécifiques en matière de traitement équitable des clients, dimension absente de la Ligne directrice du BSIF.

Prochaines étapes et consultation publique

Les institutions financières visées par la Ligne directrice de l’AMF devront notamment adapter leur cadre de gouvernance, réviser leurs ententes existantes avec des tiers et mettre en place un registre centralisé permettant de suivre et de documenter ces ententes de manière rigoureuse. Par ailleurs, les fournisseurs de services peuvent s’attendre à faire l’objet de diligence raisonnable renforcée de la part des institutions financières avec lesquelles ils collaborent, en particulier lorsque les ententes sont jugées critiques ou à risque élevé.

Les parties intéressées ont jusqu’au 19 décembre 2025 pour soumettre leurs commentaires à l’AMF dans le cadre de cette consultation publique.