Vendor management reçoit une demande : senior Java pour l'équipe de la plateforme de paiement, facturation en T&M, démarrage dans deux semaines. Le contrat-cadre avec le fournisseur datant de quelques ans contient un NDA, une clause RGPD et la cession des droits d'auteur. Les achats demandent le tarif. L'équipe des risques liés aux tiers (third-party risk) demande autre chose : s'agit-il d'un « service TIC » au sens du règlement DORA, soutient-il une fonction critique ou importante, qui fournit réellement le travail – l'employé du fournisseur ou un prestataire B2B – et le contrat contient-il les dispositions de l'article 30 ? Si les réponses ne figurent pas dans les documents, le démarrage est reporté ou le fournisseur est écarté.
Le règlement (UE) 2022/2554 du Parlement européen et du Conseil sur la résilience opérationnelle numérique du secteur financier (DORA) s'applique à partir du 17 janvier 2025 (article 64). Les obligations du chapitre V – gestion du risque lié aux tiers fournisseurs de services TIC – pèsent sur l'entité financière. La banque ou l'entreprise d'assurance demeure pleinement responsable de la conformité, y compris lorsqu'elle recourt à des services externalisés (article 28, paragraphe 1, point a). En pratique, ces obligations sont toutefois répercutées sur le fournisseur par le biais du contrat et de la diligence raisonnable (due diligence). Ci-dessous, nous analysons ce que cela change concrètement en matière de placement de personnel (body leasing).
Le body leasing est-il un service TIC ?
L'article 3, point 21, définit les services TIC comme des services numériques et de données fournis par l'intermédiaire de systèmes TIC à des utilisateurs internes ou externes de manière continue (à l'exclusion des services téléphoniques analogiques traditionnels). Dans une réponse publiée dans la base Q&A de l'EIOPA (DORA030-2999), la Commission européenne souligne que cette définition est délibérément large et qu'il appartient à l'entité financière elle-même d'évaluer si un service spécifique constitue un service TIC.
Une indication pratique est fournie par la liste fermée des types de services figurant à l'annexe III du règlement d'exécution (UE) 2024/2956 de la Commission (modèles de registres d'informations). Celle-ci comprend notamment : S01 – gestion de projets TIC, S02 – développement TIC (analyse commerciale, conception et développement de logiciels, tests), S04 – gestion de la sécurité TIC et S15 – conseil en TIC. Un spécialiste qui écrit, teste ou maintient de manière continue des logiciels dans les systèmes d'une banque relève de ces catégories. Le mode de facturation – horaire ou forfaitaire – n'exclut pas le contrat du chapitre V.
⚡ Deux tests indépendants : service TIC et fonction critique ou essentielle
Test 1 – service TIC (article 3, point 21) détermine si le contrat est inclus dans le registre des informations et doit contenir les dispositions minimales de l'article 30, paragraphe 2. Test 2 – fonction critique ou essentielle (article 3, point 22 : fonction dont la perturbation perturberait gravement la performance financière, la solidité ou la continuité des services de l'entité financière, ou sa conformité aux conditions et obligations de son agrément) détermine si des exigences renforcées s'appliquent : stratégie de sortie (article 28, paragraphe 8), évaluation du risque de concentration (article 29) et clauses supplémentaires de l'article 30, paragraphe 3. Les deux tests sont menés par la banque, et non par le fournisseur.
Un même profil – par exemple un développeur backend senior – peut être soumis à deux régimes différents. Pour un système de traitement des paiements, il soutiendra généralement une fonction critique ou essentielle, tandis que pour un outil RH interne, ce ne sera souvent pas le cas. Le taux horaire peut être similaire (nous avons rassemblé des fourchettes indicatives dans l'aperçu des tarifs du body leasing IT en 2026), mais le pack contractuel, la portée de la due diligence et l'inscription au registre ne le sont plus.
La chaîne : contractuel B2B → fournisseur → banque
L'article 3, point 18, définit le risque lié aux prestataires tiers de services TIC comme le risque lié aux services fournis par des prestataires tiers « ou par leurs sous-traitants ». Dans le body leasing polonais, le spécialiste n'est souvent pas un employé du fournisseur, mais un contractuel B2B. Pour la banque, il s'agit d'un maillon supplémentaire de la chaîne qui doit être visible.
Pour les services à l'appui de fonctions critiques ou essentielles, l'article 29, paragraphe 2, impose à la banque de mettre en balance les avantages et les risques liés à la sous-traitance ultérieure – en particulier lorsque le sous-traitant est établi dans un pays tiers – et d'évaluer si des chaînes longues ou complexes n'entravent pas le suivi de la fonction et la supervision exercée par l'autorité compétente. Les éléments de cette évaluation sont précisés par le règlement délégué (UE) 2025/532 de la Commission (RTS sur la sous-traitance, applicable à compter du 22 juillet 2025). Par ailleurs, l'article 30, paragraphe 2, point b, exige que le contrat indique les régions ou pays où les services doivent être fournis et où les données doivent être traitées, ainsi que l'obligation d'informer préalablement la banque de tout changement envisagé. Un spécialiste qui commence à travailler à distance depuis un autre pays constitue précisément un tel changement.
Avant la signature du contrat : articles 28 et 29
L'article 28, paragraphe 4, exige qu'avant la conclusion du contrat, l'établissement financier : (a) évalue si le service soutient une fonction essentielle ou importante, (b) vérifie si les conditions de surveillance pour la conclusion du contrat sont remplies, (c) identifie et évalue les risques pertinents, y compris le risque de concentration, (d) réalise une due diligence sur le prestataire et s'assure qu'il est adéquat, et (e) identifie les conflits d'intérêts.
L'article 28, paragraphe 5, n'autorise des contrats qu'avec des prestataires qui appliquent des normes de sécurité de l'information appropriées et, dans le cas des fonctions essentielles ou importantes, en tenant dûment compte des normes les plus récentes et de la plus haute qualité. Le règlement ne mentionne pas explicitement ISO/IEC 27001 ou SOC 2. Les preuves attendues sont définies par l'établissement financier dans sa propre politique, dont le contenu pour les services soutenant des fonctions essentielles ou importantes est précisé par le règlement délégué (UE) 2024/1773 de la Commission du 13 mars 2024 (RTS relatifs à l'article 28, paragraphe 10).
L'article 29, paragraphe 1, ajoute l'évaluation du risque de concentration : si le prestataire est facilement remplaçable et si l'établissement financier ne cumule pas de nombreux contrats pour des services soutenant des fonctions essentielles ou importantes auprès d'un même prestataire ou de prestataires étroitement liés. En matière de body leasing, c'est une question très concrète : combien de rôles critiques ce même fournisseur occupe-t-il et que se passera-t-il s'il disparaît du marché.
Registre des informations (article 28, paragraphe 3)
L'établissement financier tient et met à jour un registre des informations concernant tous les arrangements contractuels relatifs aux services TIC - et pas seulement critiques -, en distinguant les contrats soutenant des fonctions essentielles ou importantes des autres. Au moins une fois par an, il rend compte à l'autorité, entre autres, du nombre de nouveaux arrangements, des catégories de prestataires et des types de contrats, et met le registre complet à disposition sur demande. Il informe l'autorité à l'avance d'un arrangement envisagé concernant une fonction essentielle ou importante.
Les modèles de registre sont définis par le règlement d'exécution (UE) 2024/2956 de la Commission du 29 novembre 2024. En Pologne, la KNF (Polish Financial Supervision Authority) a indiqué le LEI comme identifiant requis pour l'entité tenant le registre, et les registres ont été transmis via le formulaire SPR-PF-18 (la deuxième étape en mai 2025 a concerné, entre autres, les entités qui n'avaient pas soumis le registre d'ici le 28 avril 2025, ainsi que les registres rejetés lors de la vérification du côté de l'EBA). Selon la liste des obligations de reporting de la KNF, l'arrangement contractuel envisagé pour des services soutenant des fonctions essentielles ou importantes doit être notifié au moyen du formulaire SPR-PF-19 dans les 14 jours précédant la conclusion du contrat.
Pour le prestataire, il en découle deux choses. Le questionnaire de l'établissement financier demandera les données du registre : l'identifiant de l'entreprise, le type de service de la liste S01–S19, les lieux de fourniture et de traitement des données, ainsi que les sous-traitants de la chaîne. Et pour les rôles critiques, un « démarrage dès lundi » est irréaliste si les formalités ne débutent pas en même temps que le recrutement.
Stratégie de sortie (article 28, paragraphe 8)
Pour les services TIC soutenant des fonctions essentielles ou importantes, l'établissement financier doit disposer de stratégies de sortie tenant compte, entre autres, de la défaillance d'un prestataire, d'une détérioration de la qualité des services, d'une perturbation des activités et de la résiliation du contrat dans les cas visés à l'article 28, paragraphe 7. La sortie doit être possible sans perturbation des activités, sans limitation de la conformité aux exigences réglementaires et sans préjudice de la continuité et de la qualité des services fournis aux clients. Les plans de sortie doivent être complets, documentés, testés de manière adéquate et réexaminés périodiquement.
En matière de body leasing, le risque de sortie revêt une forme très concrète : le départ d'un senior clé, la maladie, la résiliation d'un contrat B2B. L'établissement financier s'attend donc à un plan de remplacement (dans quel délai et de quelle manière un successeur apparaîtra-t-il), une période de chevauchement (shadowing) et une documentation qui reste du côté de l'établissement financier - dans le dépôt, le wiki et les tickets, et non sur l'ordinateur portable du spécialiste. L'article 28, paragraphe 8, va cependant plus loin qu'un simple remplacement de personne : l'établissement financier doit être en mesure de mettre fin à l'ensemble de la coopération avec le prestataire et de reprendre les travaux de manière autonome ou de les confier à une autre entité.
Article 30 : ce que le contrat doit contenir
L'Article 30(1) exige une répartition claire et écrite des droits et des obligations. Le contrat complet, y compris les accords sur le niveau de service, doit constituer un document unique, sous forme papier ou sur un autre support durable et téléchargeable. Le paragraphe 2 énumère les éléments minimaux de tout contrat de services TIC, et le paragraphe 3 les éléments supplémentaires pour les services soutenant des fonctions critiques ou importantes.
| Élément | Paragraphe 2 – tout contrat de services TIC | Paragraphe 3 – en plus pour une fonction critique ou importante |
|---|---|---|
| Description des services | Description complète des fonctions et des services ; information indiquant si la sous-traitance d'un service soutenant une fonction critique ou importante est autorisée et à quelles conditions (point a) | – |
| Emplacements | Régions ou pays où les services sont fournis et où les données sont traitées, y compris le stockage ; notification préalable de tout changement (point b) | – |
| Protection des données | Disponibilité, authenticité, intégrité et confidentialité des données, y compris des données à caractère personnel (point c) | – |
| Accès aux données et restitution | Accès, récupération et restitution des données dans un format facilement accessible en cas d'insolvabilité, de restructuration ou de cessation d'activité du prestataire, ou en cas de résiliation du contrat (point d) | – |
| Niveaux de service | Descriptions des niveaux de service assorties de leurs mises à jour (point e) | Descriptions complètes assorties d'objectifs quantitatifs et qualitatifs précis ; mesures correctives sans retard injustifié (point a) |
| Incidents | Assistance en cas d'incident lié au service, sans frais supplémentaires ou à un coût déterminé à l'avance (point f) | Délais de préavis et obligations d'information du prestataire, notamment en ce qui concerne les événements susceptibles d'affecter de manière significative la fourniture des services (point b) |
| Autorités | Pleine coopération avec les autorités compétentes et les autorités de résolution (point g) | – |
| Résiliation | Droits de résiliation et délais de préavis minimaux (point h) | – |
| Formations | Conditions de participation du prestataire aux programmes de sensibilisation et aux formations de la banque (point i, Article 13(6)) | – |
| Continuité des activités | – | Mise en œuvre et test de plans de continuité des activités et de mesures de sécurité des TIC (point c) |
| TLPT | – | Participation et pleine coopération aux tests de pénétrabilité fondés sur la menace (point d, Articles 26–27) |
| Audit | – | Droits d'accès, d'inspection et d'audit illimités pour la banque, pour un tiers désigné et pour l'autorité (point e) |
| Sortie | – | Stratégies de sortie assorties d'une période de transition obligatoire pendant laquelle le prestataire continue de fournir les services (point f) |
Deux aspects sont faciles à négliger. Le droit d'audit prévu à l'Article 30(3)(e) doit être effectif : il ne peut être restreint par aucun autre contrat ni par une politique interne du prestataire. L'obligation d'assistance en cas d'incident (Article 30(2)(f)) s'applique quant à elle à tout contrat de services TIC, et pas seulement aux contrats critiques. La manière de transposer ces exigences dans un contrat-cadre et un SOW sans perdre le contrôle sur la propriété intellectuelle et les coûts est abordée dans nos articles sur la négociation de contrats avec des sociétés de développement de logiciels et sur le body leasing transparent.
Incidents liés aux TIC : qui déclare quoi (articles 17 à 19)
Le processus de gestion des incidents (article 17), leur classification (article 18) et la notification des incidents graves liés aux TIC à l'autorité compétente (article 19) relèvent des obligations de l'entité financière. L'article 19, paragraphe 4, prévoit trois étapes : la notification initiale, le rapport intermédiaire et le rapport final. La banque peut sous-traiter le reporting à un tiers, mais elle en conserve l'entière responsabilité (article 19, paragraphe 5). En Pologne, les incidents graves liés aux TIC sont notifiés via le système de la KNF (Polish Financial Supervision Authority) accessible à l'adresse csirt.knf.gov.pl.
L'entreprise de mise à disposition de personnel (body leasing) ne déclare donc pas l'incident à la KNF au nom de la banque. Sa mission consiste à informer immédiatement la banque lorsqu'un spécialiste détecte un incident lié au service ou y contribue, à fournir les faits nécessaires à la classification et à apporter l'assistance visée à l'article 30, paragraphe 2, point f). Le contrat et le parcours d'intégration (onboarding) du spécialiste doivent définir une procédure précise : qui informer, par quel canal et dans quel délai. Pour les rôles strictement liés à la sécurité, voir aussi body leasing specjalistów cybersecurity.
Check-list de due diligence du fournisseur de spécialistes IT
La liste ci-dessous structure les questions qu'il est utile de poser au fournisseur avant de signer le contrat. Il s'agit d'un ensemble de contrôle opérationnel et non d'un substitut à la politique de la banque.
| Élément à vérifier | Ce qu'il faut attendre du fournisseur | Fondement |
|---|---|---|
| S'agit-il d'un service TIC et de quel type | Description du rôle, des systèmes et du mode de travail ; affectation au type S01–S19 | Article 3, point 21 ; ITS 2024/2956, annexe III |
| Le service soutient-il une fonction critique ou importante | La banque procède à la classification ; le fournisseur déclare être prêt à accepter les clauses du paragraphe 3 | Article 28(4)(a) ; article 3, point 22 |
| Chaîne de sous-traitance | Forme de collaboration avec le spécialiste (contrat de travail ou B2B), entité, pays ; règles de sous-traitance ultérieure | Article 29(2) ; article 30(2)(a) ; RTS 2025/532 |
| Emplacements | Pays de travail et de traitement des données ; procédure de notification des modifications | Article 30(2)(b) |
| Sécurité de l'information | Politique de sécurité, NDA, règles d'accès ; travail exclusivement sur des environnements approuvés par la banque | Article 28(5) ; article 30(2)(c) |
| Données pour le registre | Identifiant de l'entreprise (ex. LEI), données d'immatriculation, position dans la chaîne | Article 28(3) ; ITS 2024/2956 |
| Incidents | Procédure de notification ; coût de l'assistance inclus ou fixé à l'avance | Article 30(2)(f) ; articles 17 à 19 |
| Formations | Consentement à la participation des spécialistes aux programmes de sensibilisation de la banque | Article 13(6) ; article 30(2)(i) |
| Remplacement et transfert de connaissances | Plan de remplacement, période de chevauchement, documentation du côté de la banque | Article 28(8) |
| Audit, TLPT, sortie | Disponibilité pour l'audit et les tests ; prestation de services pendant la période de transition | Article 28(6) ; article 30(3)(d) à (f) |
Body leasing, team leasing, outsourcing : où DORA place ses accents
DORA concerne chacun de ces modèles. Ils diffèrent par la personne responsable du résultat du travail, la manière dont se manifeste la concentration et ce que signifie concrètement la sortie. Les détails de ces modèles sont décrits sur les pages modèles de coopération et location d'équipes IT.
| Modèle | Qui dirige le travail | Risque de concentration (Article 29) | Contrat (Article 30) | Sortie en pratique |
|---|---|---|---|---|
| Body leasing / T&M | La banque ; le prestataire est responsable de la personne, de la chaîne et du remplacement | Augmente lorsqu'un seul prestataire pourvoit de nombreux rôles critiques | Toujours le paragraphe 2 ; paragraphe 3 lorsque le rôle soutient une fonction critique ou importante | Remplacement d'une personne ou reprise du rôle par la banque |
| Team leasing | Le prestataire organise la composition et le rythme du travail ; la banque fixe les objectifs | Plus élevé – de nombreux rôles chez un seul prestataire (Article 29, paragraphe 1, point b)) | Paragraphe 2 ; pour une fonction critique, paragraphe 3 (SLA, audit, TLPT, période de transition) | Transfert de toute l'équipe et des connaissances |
| Outsourcing / managed service | Le prestataire est responsable du résultat ou de la maintenance du service | Élevé en cas de faible substituabilité et de sous-traitants dans des pays tiers | Paragraphes 2 et généralement 3 | Migration du service et des données vers un autre prestataire ou en interne |
Anti-modèles
- « C'est juste de la location de personnel, DORA ne concerne que le cloud. » La définition de l'article 3, point 21, et les types S01 à S19 couvrent le développement de logiciels, les tests, la sécurité et le conseil en matière TIC. La facturation au temps passé (T&M) n'y change rien.
- La chaîne B2B cachée. L'agence signe un contrat-cadre, mais le projet est réalisé par le prestataire d'un autre intermédiaire. La banque ignore qui fournit le service et ne peut donc ni évaluer correctement la sous-traitance (article 29, paragraphe 2) ni remplir correctement le registre.
- Absence de plan de relève. La connaissance du pipeline de déploiement n'existe que dans la tête d'un seul senior. Pour les fonctions critiques, l'article 28, paragraphe 8, ainsi que l'article 30, paragraphe 3, points c et f, exigent des plans d'urgence et une période de transition ; la déclaration « nous ferons de notre mieux » ne les remplacera pas.
- Audit uniquement sur le papier. La clause d'audit figure dans l'annexe, mais la politique interne du fournisseur ne prévoit pas l'accès pour un auditeur. L'article 30, paragraphe 3, point e, exige que l'exercice de ces droits ne soit pas restreint par d'autres dispositions.
Comment travaille Commoditech
Commoditech fournit des spécialistes informatiques depuis 2012 dans le cadre de modèles de mise à disposition de personnel (body leasing) et de contractualisation. Nous ne classifions pas la fonction à la place de la banque et ne tenons pas son registre d'information — ce sont les obligations de l'entité financière. Notre rôle est d'être un prestataire qui peut être évalué de manière fiable, inscrit au registre et audité :
- Marge transparente – le client sait quelle part du tarif revient au spécialiste et quelle part revient au prestataire (comment fonctionne le body leasing transparent).
- Transfert de 100 % des droits patrimoniaux d'auteur sur le code généré au client.
- Spécialistes vérifiés – vérification technique avant la présentation du profil.
- Chaîne de sous-traitance transparente – information sur la forme de collaboration et le pays de travail du spécialiste, ainsi que la disposition à inclure une clause interdisant la sous-traitance ultérieure sans l'accord de la banque.
- Disponibilité pour les clauses de l'article 30 – paragraphe 2 dans chaque contrat, paragraphe 3 là où la banque qualifie le service de fonction critique ou importante.
- Plan de remplacement et de transfert de connaissances inscrit dans le contrat et non déclaré verbalement.
- Collaboration lors des audits et tests menés par la banque, par une entité désignée par elle ou par une autorité de surveillance.
Nous ne déclarons pas de certifications que nous n'avons pas. Si la politique de la banque exige du prestataire une certification spécifique, nous en parlons ouvertement dès l'étape de qualification. Si vous préparez une demande de spécialistes pour un environnement relevant de DORA, écrivez-nous – nous commencerons par la liste des données nécessaires pour votre registre et votre due diligence.
🛠️ De la pratique : à quoi ressemble une discussion sur DORA lors d'une commande de spécialiste
Scénario typique, sans noms ni chiffres. Le département des achats transmet une demande de développeur backend senior pour un système que la banque classe comme soutenant une fonction critique ou importante. Parallèlement, l'équipe chargée du risque lié aux tiers (third-party risk) envoie un questionnaire : type de services TIC, lieux de prestation et de traitement des données, liste des sous-traitants, procédure de signalement des incidents, droits d'audit, période de transition en cas de sortie, participation aux formations sur la sécurité.
La réponse « nous travaillons en T&M, le reste est comme dans le contrat-cadre » met généralement fin à la discussion avant même que la vérification des candidats ne commence. Le prestataire qui présente immédiatement la chaîne (par exemple, un contractant B2B de Pologne, sans sous-traitance ultérieure), le lieu de travail, les clauses prêtes de l'article 30, paragraphe 3, et le plan de remplacement dans le SOW, passe à l'évaluation proprement dite des compétences. DORA ne remplace pas l'entretien technique – elle met en place le filtre sans lequel cet entretien ne commence pas.
FAQ
Est-ce que chaque contrat de placement de personnel informatique (body leasing) avec une banque constitue un service TIC au sens de DORA ?
L'évaluation incombe à l'entité financière, et la définition de l'article 3, point 21, est délibérément large. L'annexe III du règlement d'exécution ITS 2024/2956 englobe notamment le développement TIC (S02), la sécurité TIC (S04) et le conseil en TIC (S15), de sorte que le travail d'un spécialiste dans les systèmes bancaires de manière continue relève généralement de cette définition.
Quand un contrat T&M pour une seule personne nécessite-t-il les clauses de l'article 30, paragraphe 3 ?
Lorsque le service soutient une fonction essentielle ou importante (article 3, point 22). Le nombre de personnes importe peu : le paragraphe 2 s'applique à tout contrat de services TIC, et le paragraphe 3 s'ajoute dès que la banque qualifie la fonction d'essentielle ou d'importante.
Un prestataire B2B du fournisseur est-il un sous-traitant dont la banque doit avoir connaissance ?
S'il fournit effectivement le service, oui. L'article 3, point 18, couvre les risques liés aux sous-traitants du fournisseur, et pour les fonctions essentielles ou importantes, l'article 29, paragraphe 2, l'article 30, paragraphe 2, point a, ainsi que le RTS 2025/532 exigent l'évaluation et la régulation de la sous-traitance.
Qui notifie un incident lié aux TIC majeur à la KNF (Polish Financial Supervision Authority – Autorité de surveillance financière polonaise) : la banque ou l'entreprise de placement de personnel ?
L'entité financière (article 19), via le système de la KNF accessible sur csirt.knf.gov.pl. Le fournisseur avise la banque et l'assiste dans la gestion de l'incident (article 30, paragraphe 2, point f). La banque peut déléguer le reporting à un tiers, mais la responsabilité lui incombe (article 19, paragraphe 5).
Un fournisseur de spécialistes doit-il détenir la certification ISO 27001 pour collaborer avec une banque ?
DORA n'exige pas de certificat spécifique. L'article 28, paragraphe 5, fait référence à des normes de sécurité de l'information appropriées, et les attentes détaillées sont définies par la politique de la banque – celle-ci peut exiger un certificat, un audit ou d'autres justificatifs. L'absence totale de règles de sécurité documentées et d'aptitude à l'audit exclut en pratique le fournisseur.
Sources
- Règlement (UE) 2022/2554 du Parlement européen et du Conseil (DORA) – EUR-Lex
- Règlement d'exécution (UE) 2024/2956 de la Commission (modèles de registre d'informations, annexe III – types de services TIC) – EUR-Lex
- Règlement délégué (UE) 2024/1773 de la Commission (RTS – politique en matière de contrats concernant les services TIC soutenant des fonctions critiques ou importantes) – EUR-Lex
- Règlement délégué (UE) 2025/532 de la Commission (RTS – sous-traitance de services TIC soutenant des fonctions critiques ou importantes) – EUR-Lex ; EBA
- KNF (Autorité polonaise de surveillance financière) – DORA ; registre d'informations et LEI ; deuxième phase de transmission des registres (SPR-PF-18) ; tableau des obligations de reporting ; systèmes DORA et notification d'incidents
- EIOPA – Q&A DORA030-2999 (définition des services TIC) ; DORA
- EBA – DORA
- ESMA – DORA
Cet article revêt un caractère purement informatif et ne constitue pas un conseil juridique. La classification du service TIC et de la fonction critique ou importante, le contenu du contrat ainsi que l'inscription au registre dépendent des circonstances spécifiques et de la politique de l'entité financière. Seuls font foi le texte du règlement, les actes d'exécution et la position de l'autorité de surveillance (en Pologne : la KNF).