Banque, assurance, fintech : que peut-on externaliser hors de l'Union européenne ?

Pour une banque, un établissement de paiement, un assureur ou une fintech, la question de l'externalisation hors de l'Union européenne arrive vite sur la table, souvent posée en termes trop larges : « nos données ne peuvent pas quitter l'Europe ». Les textes sont plus précis. Ils distinguent les activités soumises à agrément, la vente d'assurance, les fonctions critiques ou importantes, et tout le reste. Pour la plupart des fonctions opérationnelles, l'externalisation hors UE reste possible, avec un cadre contractuel solide et, selon les cas, une information du superviseur.

Les quatre questions à se poser

L'arbre ci-dessous résume la logique des textes. Il se lit de haut en bas : à la première réponse positive, la fonction sort du champ de l'externalisation libre.

La frontière passe par l'agrément et la criticité

Les orientations de l'Autorité bancaire européenne (EBA) sur l'externalisation s'appliquent aux établissements de crédit, aux établissements de paiement et aux établissements de monnaie électronique ; l'ACPR attend aussi des sociétés de financement qu'elles les appliquent[1][2]. Elles posent deux questions avant toute autre.

• L'activité confiée requiert-elle un agrément ? Lorsque la fonction externalisée constitue elle-même une activité bancaire ou un service de paiement soumis à agrément, un prestataire d'un pays tiers n'est possible que s'il est agréé et supervisé dans son pays, et si un accord de coopération lie son autorité à celle de l'établissement[1]. Une prestation de relation client ou de back-office qui ne constitue pas en soi une opération de banque ou un service de paiement n'entre normalement pas dans ce cas.
• La fonction est-elle critique ou importante ? C'est le cas lorsqu'une défaillance nuirait gravement à la conformité de l'établissement, à ses performances financières ou à la continuité de ses activités. Les tâches opérationnelles de contrôle interne entrent en principe dans cette catégorie[1].

Une fonction critique ou importante peut être externalisée hors UE. Elle demande davantage : analyse préalable, clauses contractuelles minimales, droit d'audit et d'accès aux locaux pour l'établissement comme pour l'autorité, stratégie de sortie documentée[1]. En France, l'arrêté du 3 novembre 2014 relatif au contrôle interne impose de tenir un registre des externalisations, d'informer l'ACPR de la conclusion des contrats portant sur des prestations essentielles ou importantes et de lui adresser chaque année une extraction de ce registre[3].

La plupart des fonctions qu'un acteur financier confie à un prestataire BPO (répondre aux clients, qualifier des prospects, traiter des dossiers, collecter des pièces) ne sont pas des activités soumises à agrément. La question décisive porte alors sur les garanties apportées, quel que soit le pays.

Banque et paiement : ce que changent les orientations de 2026

L'EBA a publié le 18 septembre 2026 ses orientations finales sur la gestion du risque lié aux tiers pour les services non TIC (EBA/GL/2026/09). Elles remplaceront celles de 2019 à une date d'application qui reste à fixer[4]. Pour un projet d'externalisation, quatre points comptent :

• la définition de la fonction critique ou importante reprend celle du règlement DORA[4] ;
• un registre de tous les accords avec des tiers portant sur des services non TIC devient obligatoire, cohérent avec le registre de DORA[4] ;
• les conditions propres aux prestataires de pays tiers sont maintenues pour les activités soumises à agrément (agrément, supervision, accord de coopération), et les accords critiques avec ces prestataires appellent des garanties supplémentaires[4] ;
• les accords critiques existants devront être revus ; si la revue n'est pas achevée deux ans après la date d'application, l'établissement en informe son autorité. Les autres accords peuvent être revus à leur renouvellement[4].

Le recours à des prestataires hors UE progresse chez les grandes banques européennes. Selon la supervision bancaire de la BCE, la part des contrats critiques de services TIC confiés à des prestataires situés hors UE est passée de 22 % à 27 %, principalement vers le Royaume-Uni, les États-Unis et l'Inde[5].

DORA : à examiner dès que le prestataire fournit des outils

Le règlement DORA s'applique depuis le 17 janvier 2025. Sa définition des services TIC est volontairement large, et les autorités européennes y rattachent la téléphonie sur IP et les plateformes de communication en nuage[6][7]. Une prestation réalisée par des conseillers dans les outils et systèmes de l'établissement relève en principe du régime des services non TIC. Si le prestataire fournit lui-même la téléphonie numérique, l'hébergement ou un logiciel, cette composante est un service TIC au sens de DORA : il revient alors à l'établissement d'évaluer si elle est significative et déclenche le régime DORA[4][6].

Le secret bancaire n'interdit pas l'externalisation

Le Code monétaire et financier autorise les établissements de crédit et les sociétés de financement à communiquer des informations couvertes par le secret professionnel aux tiers auxquels ils confient des fonctions opérationnelles importantes, lorsque ces informations sont nécessaires à la prestation ; les destinataires sont tenus de les garder confidentielles[8]. Une disposition équivalente existe pour les établissements de paiement. Sur le plateau, cela se traduit par des engagements individuels de confidentialité et des mesures techniques de prévention des fuites.

Assurance : la vente reste en Europe, le reste peut partir

La directive Solvabilité II autorise l'externalisation de fonctions ou d'activités critiques ou importantes à quatre conditions : ne pas compromettre gravement la qualité de la gouvernance, ne pas accroître indûment le risque opérationnel, ne pas compromettre le contrôle de l'autorité, ne pas nuire à la continuité et à la qualité du service aux assurés. L'assureur reste pleinement responsable[9]. L'accord écrit doit garantir à l'autorité un accès effectif aux informations et la possibilité d'inspecter les locaux du prestataire[10].

En France, les assureurs, mutuelles et institutions de prévoyance notifient leur projet à l'ACPR au plus tard six semaines avant son entrée en vigueur ; ce délai peut exceptionnellement être ramené à quatre semaines avec l'accord de l'ACPR[11]. La pratique est courante : en 2023, 96 % des organismes interrogés par l'ACPR externalisaient au moins une fonction critique ou importante[12]. Ni la directive ni l'instruction n'imposent que le prestataire soit situé dans l'Union, et la directive envisage expressément la sous-traitance à des prestataires de pays tiers[13].

Présenter ou vendre un contrat depuis un centre d'appels hors EEE : non

La distribution d'assurance obéit à une autre logique. L'ACPR a rappelé le 15 septembre 2025, dans une communication mise à jour le 25 septembre 2026, qu'une société établie hors de l'Espace économique européen qui exploite un centre d'appels n'est pas autorisée à distribuer des contrats d'assurance couvrant des risques situés en France. Seuls le peuvent les intermédiaires établis en France et immatriculés à l'ORIAS, ou ceux établis dans un autre État de l'EEE sous le régime du passeport européen[14].

La frontière passe par le rôle des agents. La simple fourniture d'informations sur des prospects, sans autre démarche pour aider à conclure un contrat, ne constitue pas de la distribution d'assurance[15]. Qualifier un fichier ou prendre un rendez-vous pour un conseiller de l'assureur ou du courtier reste donc possible depuis l'étranger ; présenter, proposer ou vendre un contrat ne l'est pas. Côté banque, présenter ou proposer une opération de banque relève de l'intermédiation en opérations de banque, et le démarchage bancaire et financier est réservé à des acteurs habilités et à leurs mandataires[16].

Démarchage : le consentement préalable s'applique depuis le 11 août 2026

Depuis le 11 août 2026, démarcher un consommateur par téléphone suppose son consentement préalable, valable un an au plus, dont le professionnel conserve la preuve au moins trois ans. Les appels liés à un contrat en cours restent possibles, et l'amende peut atteindre 375 000 € pour une personne morale. Ces règles valent dans tous les secteurs, y compris lorsque les appels sont passés de l'étranger[17]. Elles visent les consommateurs : la prospection entre professionnels reste hors de ce régime. En assurance, le code des assurances ajoute ses propres règles pour la vente par téléphone, notamment l'enregistrement des appels et l'impossibilité de signer pendant l'appel[18].

Ce durcissement répond à une forte hausse des plaintes : les signalements pour démarchage téléphonique déposés sur SignalConso ont été multipliés par quatre entre 2023 et 2025[19].

Fintech et LCB-FT : le KYC s'externalise, les décisions restent en interne

Aujourd'hui déjà, un établissement assujetti peut confier la collecte et la vérification des pièces à un prestataire qui agit en son nom et pour son compte. Il reste responsable de ses obligations de vigilance, encadre la prestation par contrat et garantit l'accès de l'ACPR aux informations ; les déclarations de soupçon, elles, ne s'externalisent pas[20].

Le règlement européen AMLR, applicable à partir du 10 juillet 2027, encadre explicitement cette sous-traitance : information du superviseur avant le démarrage, accord écrit, contrôles réguliers, responsabilité pleine de l'établissement[21]. Il fixe aussi ce qui ne se délègue pas : l'évaluation des risques de l'entité, l'approbation des procédures internes, l'attribution du profil de risque d'un client, la décision d'entrer en relation, la déclaration de soupçon à la cellule de renseignement financier et l'approbation des critères de détection[21].

Il interdit enfin de confier ces tâches à un prestataire établi dans un pays tiers à haut risque, sauf au sein d'un groupe et sous conditions[21]. La liste européenne en vigueur depuis le 29 janvier 2026 compte notamment la Côte d'Ivoire et le Cameroun ; ni Madagascar ni le Maroc n'y figurent[22]. La liste du GAFI de juin 2026 fait le même constat pour ces quatre pays, en relevant que la Côte d'Ivoire a pour l'essentiel achevé son plan d'action[23]. Ces listes sont révisées plusieurs fois par an : c'est un critère à vérifier à la date du choix du prestataire.

Le calendrier à retenir

La grille fonction par fonction

Ce que le prestataire doit pouvoir fournir

Quelle que soit la destination, un dossier d'externalisation solide dans un secteur régulé repose sur les mêmes pièces :

• un contrat écrit comportant les clauses minimales : description de la prestation, niveaux de service, confidentialité, conditions de sous-traitance, résiliation ;
• des droits d'audit et d'accès, pour l'établissement comme pour l'autorité de contrôle, y compris sur place[1][10] ;
• une stratégie de sortie documentée pour les fonctions critiques ou importantes[1] ;
• les garanties de transfert de données hors UE : clauses contractuelles types et accord de traitement ;
• un plan de continuité testé et des mesures de sécurité vérifiables sur les postes et le plateau.

Les deux derniers points sont détaillés dans notre analyse Madagascar ou Maroc : comment choisir sa destination pour externaliser en français ? et sur notre page consacrée au plateau d'Antananarivo.

Trois questions à vous poser avant de lancer le projet

1. La fonction relève-t-elle d'un agrément, ou est-elle critique ou importante ? La réponse fixe le niveau d'exigence : cadre contractuel standard, information du superviseur, ou maintien dans l'Union.
2. Qui décide, qui vend, et qui exécute ? Le prestataire peut collecter, vérifier, qualifier et préparer. La vente d'assurance et les décisions d'entrée en relation, de profil de risque et de déclaration restent chez vous ou chez un intermédiaire établi dans l'EEE.
3. Votre contrat permet-il à votre autorité de contrôle d'auditer le prestataire ? Sans cette clause, l'externalisation d'une fonction critique ou importante ne sera pas conforme, quel que soit le pays.

Questions fréquentes

Cet article présente l'état des textes au 16 octobre 2026. Il ne constitue pas un avis juridique : chaque projet d'externalisation dans un secteur régulé doit être validé avec votre direction de la conformité.