La ligne directrice B-10 du BSIF expliquée à un fournisseur non financier

Prenez une PME québécoise qui vend un logiciel de gestion documentaire. Son premier client bancaire envoie un projet de contrat : une annexe de sécurité, un droit d'audit, un délai de notification d'incident, une clause sur les sous-traitants, un plan de sortie. Et un questionnaire de deux cents questions. La réaction de la direction tient en une phrase : « Nous ne sommes pas une banque, ces règles ne nous concernent pas. »

Notre position : « nous ne sommes pas une banque » ne vous soustrait pas à B-10. La ligne directrice ne vous vise pas directement, c'est vrai. Mais votre client, lui, doit la respecter, et il ne peut le faire qu'en l'écrivant dans votre contrat. C'est une lecture, pas une certitude juridique : votre conseiller reste la référence pour votre propre contrat.

Ce qu'est B-10, en quatre faits

• Ce qu'elle encadre. La ligne directrice B-10, « Gestion du risque lié aux tiers », du Bureau du surintendant des institutions financières (BSIF) s'applique aux institutions financières fédérales : banques, sociétés d'assurance et sociétés de fiducie sous réglementation fédérale. Publiée le 30 avril 2023, elle remplace l'ancienne B-10 sur l'impartition. Statut : confirmé par le BSIF.
• Depuis quand. Elle est en vigueur depuis le 1er mai 2024. Les ententes conclues avant cette date doivent être mises à jour au premier renouvellement ou à la première révision appropriée. Statut : confirmé par le BSIF. Autrement dit, chaque renouvellement de contrat avec une banque est l'occasion d'y ajouter B-10.
• Qui est un « tiers ». Presque tout le monde. B-10 définit l'entente avec un tiers comme tout type d'entente commerciale ou stratégique entre l'institution et une entité ou une personne, consultants indépendants compris, et précise que l'absence de contrat écrit n'implique pas l'absence d'entente avec un tiers. Seuls les clients de l'institution et les contrats de travail sont exclus. Statut : confirmé, texte de la ligne directrice.
• Qui reste responsable. L'institution conserve la responsabilité des activités, des fonctions et des services confiés à des tiers. Statut : confirmé. C'est la phrase qui explique tout le reste : comme la banque ne peut pas déléguer sa responsabilité, elle vous délègue des obligations.

Pourquoi ça vous arrive, à vous

B-10 est proportionnelle. Le BSIF attend que l'intensité des contrôles dépende du risque et de la criticité de chaque entente, la criticité désignant l'importance pour les activités, la stratégie, la situation financière ou la réputation de l'institution. Un fournisseur de fournitures de bureau recevra un formulaire. Un fournisseur qui héberge des données de clients ou qui soutient une activité critique recevra tout le reste.

Deux textes s'ajoutent souvent à B-10 dans le même dossier. La ligne directrice B-13 du BSIF, en vigueur depuis le 1er janvier 2024, encadre le risque technologique et cyber ; B-10 renvoie à elle pour évaluer la capacité d'un tiers à gérer ces risques. Et les assureurs, les caisses, les sociétés de fiducie et les autres institutions de dépôt autorisés au Québec relèvent de l'Autorité des marchés financiers, qui a publié en mars 2026 sa propre ligne directrice sur la gestion du risque lié aux tiers. Elle entre en vigueur le 1er avril 2027 ; les ententes conclues avant cette date s'ajustent à leur prochain renouvellement. Si votre client québécois renouvelle votre contrat dans les dix-huit prochains mois, attendez-vous à ces questions. Statut : confirmé par le BSIF pour B-13, par l'AMF pour sa ligne directrice. Les questions se ressemblent.

Ce qu'on va vous demander

Avant la signature : la diligence raisonnable. L'annexe 1 de B-10 donne des exemples de ce que l'institution examine. Parmi eux : votre expérience et votre capacité, votre solidité financière, la robustesse de votre programme de sécurité de l'information, votre capacité à gérer le risque technologique et cyber selon B-13, à maintenir vos services pendant une perturbation, à gérer vos propres sous-traitants, l'emplacement géographique de vos activités et de celles de vos sous-traitants, la facilité à vous remplacer et votre assurance. C'est l'origine du questionnaire.

Dans le contrat : les clauses. L'annexe 2 liste les dispositions attendues pour les ententes à risque élevé ou critiques : nature et portée de l'entente, rôles et responsabilités, recours aux sous-traitants, propriété et accès, sécurité des dossiers et des données, avis à l'institution, conformité réglementaire, continuité des activités et reprise, défaut et résiliation, assurance.

Pendant la relation : les avis. B-10 attend que l'entente prévoie que le tiers signale les événements en temps opportun. Elle ne fixe pas de nombre d'heures ; le contrat le fera. Et il sera court, parce que l'institution doit elle-même aviser le BSIF par écrit dans les 24 heures, ou plus tôt si possible, d'un incident technologique ou cyber à signaler, y compris lorsqu'il s'agit d'une incidence sur un tiers qui touche l'institution. Statut : confirmé, préavis du BSIF sur le signalement des incidents. Votre délai devient une fraction de ces 24 heures.

Les trois clauses qui surprennent

1. Le droit d'audit du BSIF. L'entente doit donner à l'institution et au BSIF le droit d'évaluer vos pratiques de gestion des risques liés au service fourni. Prévoyez qui reçoit l'auditeur et quels documents vous lui montrez.
2. Vos sous-traitants. B-10 définit le sous-traitant comme une entité de votre chaîne d'approvisionnement, et l'institution doit gérer le risque qui en découle. Votre hébergeur, votre outil de soutien, votre prestataire de sauvegarde : on vous demandera la liste, l'emplacement des données et le droit d'être prévenu d'un changement. Nous en parlions dans notre article sur le risque de concentration.
3. La sortie. Défaut, résiliation, préavis, restitution des données : la banque doit savoir comment elle vous quitterait, en temps normal comme en crise.

Comment s'y préparer : une page

Le questionnaire changera d'un client à l'autre. Les réponses, elles, sont toujours les mêmes. Rassemblez-les sur une page, avant qu'on vous les demande :

1. Ce que vous fournissez et ce que vous touchez : le service, les données des clients que vous traitez, les accès que vous détenez chez eux.
2. Vos sous-traitants : qui, pour quoi, où sont les données.
3. Vos contrôles, avec une preuve chacun : authentification multifacteur, sauvegardes testées, correctifs, gestion des accès, sensibilisation. Une politique sans preuve vaut une case cochée, pas plus.
4. Votre engagement de notification : un délai en heures, un contact joignable en tout temps, ce que contient le premier avis.
5. Votre continuité : délai de reprise visé, date du dernier test, procédure de restitution des données en fin de contrat.
6. Votre assurance : couverture cyber et responsabilité professionnelle, avec leurs montants.

Ce n'est pas une certification, mais elle vous permet de répondre au questionnaire en jours plutôt qu'en semaines, et de négocier les clauses au lieu de les subir.

Ce que vous devriez avoir dans une semaine

La fiche d'une page, remplie, avec une personne responsable de la tenir à jour. La liste de vos sous-traitants et de l'emplacement de vos données. Un délai de notification que vous pouvez réellement tenir, validé par l'équipe qui serait réveillée à 3 h du matin. Et, pour votre prochain renouvellement bancaire, la liste des clauses B-10 que vous acceptez telles quelles et de celles que vous voulez discuter.

Pour voir ce qu'un acheteur demande, notre questionnaire de sécurité fournisseur gratuit génère les questions qu'un client poserait, sous-traitants et notification d'incident compris. Et notre page sur la preuve de cybersécurité montre comment répondre une fois pour tous vos clients. Le vocabulaire est dans notre fiche sur la gestion du risque tiers.

Et vous ?

Avez-vous déjà reçu une annexe de sécurité d'une banque, d'un assureur ou d'une caisse ? Quelle clause vous a le plus surpris : le droit d'audit, le délai de notification ou la liste des sous-traitants ? Dites-nous en commentaire.

Côté plateforme, Forta Fournisseurs tient la fiche de chaque tiers et Forta Conformité relie vos preuves aux exigences de vos clients.

Sources : BSIF, ligne directrice B-10, gestion du risque lié aux tiers (30 avril 2023) · BSIF, résumé des commentaires reçus et date d'entrée en vigueur de B-10 · BSIF, ligne directrice B-13, gestion du risque lié aux technologies et du cyberrisque · BSIF, préavis sur le signalement des incidents liés à la technologie et à la cybersécurité · Autorité des marchés financiers, ligne directrice sur la gestion du risque lié aux tiers (mars 2026, page en anglais)