TMA pour sites d’assurance : périmètre, contrats, coûts et conformité DORA

En bref  ■

La TMA (Tierce Maintenance Applicative) désigne le contrat par lequel un assureur, une mutuelle ou une institution de prévoyance confie à un prestataire externe la maintenance de son site web, de ses parcours de souscription et de ses espaces clients. Elle couvre trois types d’interventions : la maintenance corrective (correction des bugs et incidents), la maintenance préventive/sécurité (mises à jour de sécurité, PHP, CMS, plugins), et la maintenance évolutive (évolutions fonctionnelles et contenu).

Ce qui distingue la TMA d’un site assurance d’une TMA générique : les obligations réglementaires cumulées (DORA depuis janvier 2025, RGAA accessibilité 2025, RGPD), la criticité des parcours transactionnels (souscription, déclaration de sinistre, télétransmission), et la dépendance à des plugins et APIs métiers spécifiques au secteur (simulateurs, signature électronique, connecteurs SI de gestion).

Budget indicatif : de 800 à 5 000 €/mois selon la complexité du site et le périmètre contractualisé. Un contrat de TMA mal cadré coûte toujours plus cher qu’un contrat bien structuré — en heures hors-forfait et en risques non couverts.

Après la livraison d’un site ou d’un parcours de souscription, une question se pose quasi systématiquement en comité de direction : « maintenant qu’il est en ligne, qui s’en occupe et à quel coût ? » La TMA est la réponse à cette question — mais c’est une réponse qui doit être cadrée avec précision, car un contrat de TMA flou est une source garantie de litiges, de surcoûts et de risques non couverts.

Ce guide s’adresse aux directeurs digital, DSI et responsables marketing des compagnies d’assurance, mutuelles et IP qui veulent comprendre ce qu’un contrat de TMA doit couvrir, comment le chiffrer correctement, et ce que DORA change concrètement à leurs obligations de maintenance depuis janvier 2025.

Les trois types de maintenance : ce que recouvre vraiment une TMA ■

La grande confusion autour des contrats de TMA vient du fait que « maintenance » recouvre des réalités très différentes selon les prestataires. Un contrat qui ne définit pas explicitement les trois types de maintenance laisse la porte ouverte à des désaccords coûteux.

Point contractuel critique : beaucoup de prestataires incluent la maintenance corrective et préventive dans leur forfait, mais facturent la maintenance évolutive en régie (tarif horaire hors forfait). Si cette distinction n’est pas explicite dans le contrat, tout ajout de contenu ou évolution fonctionnelle peut se retrouver hors forfait et générer des surcoûts non anticipés. Exigez une liste exhaustive de ce qui entre dans chaque catégorie. Francis Mahut – Fondateur d’Eficiens

Le périmètre spécifique d’une TMA pour un site assurance ■

Un site d’assurance n’est pas un site vitrine classique. Sa TMA doit couvrir des composantes que l’on ne retrouve pas dans la maintenance d’un site e-commerce ou d’un site institutionnel générique.

Les composantes techniques spécifiques à surveiller

Le cas particulier de WordPress dans l’assurance

La majorité des sites d’assureurs et de mutuelles de taille intermédiaire tournent sous WordPress. Ce CMS est parfaitement adapté à leurs besoins — à condition qu’il soit correctement maintenu. C’est précisément là que réside le principal risque opérationnel.

WordPress, avec ses milliers de plugins disponibles, est la cible n°1 des attaques automatisées sur le web. Selon les données Wordfence, plus de 90 % des sites WordPress hackés l’ont été à cause d’un plugin ou d’un thème non mis à jour. Pour un assureur dont le site traite des données de santé ou des données financières d’adhérents, une compromission n’est pas seulement un problème technique — c’est un incident RGPD à notifier à la CNIL dans les 72 heures, et potentiellement un incident DORA à notifier à l’ACPR.

DORA et la TMA : ce que le règlement impose concrètement ■

Depuis le 17 janvier 2025, DORA (Digital Operational Resilience Act) s’applique aux assureurs et mutuelles soumis à Solvabilité II. Son impact sur la TMA est direct et souvent mal compris.

Le prestataire TMA est un fournisseur TIC au sens de DORA

DORA classe les prestataires de services TIC dans deux catégories : les fournisseurs critiques (soumis à supervision directe de l’EIOPA/ACPR) et les fournisseurs non critiques (soumis à obligations contractuelles renforcées). Un prestataire de TMA qui intervient sur des applications supportant l’activité principale de l’assureur — parcours de souscription (à faire valider par votre juriste), espace client, portail sinistres — entre typiquement dans cette seconde catégorie. Cela impose à l’assureur de :

• Inscrire le prestataire TMA dans son registre des fournisseurs TIC avec une évaluation de criticité documentée.
• Contractualiser des SLAs précis couvrant les délais d’intervention selon la gravité des incidents (voir grille P1/P2/P3 ci-dessous).
• Prévoir une clause d’audit permettant à l’assureur (ou à son superviseur) de vérifier les pratiques de sécurité du prestataire.
• Disposer d’une clause de réversibilité garantissant la restitution de tout le code source, des configurations et de la documentation technique en cas de fin de contrat.
• Exiger du prestataire un plan de continuité documenté et testé — notamment pour les interventions critiques nocturnes ou en période de pic (renouvellements ANI, campagnes d’affiliation).

Recommandation Eficiens : si votre contrat de TMA actuel ne comporte pas d’annexe « Exigences DORA », considérez qu’il n’est pas conforme. Cette annexe doit couvrir a minima : classification de criticité du prestataire, SLAs par niveau de gravité, droit d’audit, clause de réversibilité avec inventaire technique, et plan de continuité d’activité du prestataire. Lire notre article sur l’impact de DORA sur les sites web assurance.

Les obligations de traçabilité des interventions

DORA impose de documenter et de conserver l’historique des incidents TIC significatifs, y compris ceux résolus en maintenance corrective. Chaque intervention de votre prestataire TMA doit donc générer un ticket daté et signé, avec description du problème, cause racine identifiée, action corrective, et durée d’indisponibilité. Ces données alimentent le registre des incidents TIC et sont potentiellement demandées par l’ACPR lors d’une inspection.

Un prestataire TMA qui ne dispose pas d’un outil de ticketing traçable et d’une politique d’archivage des interventions n’est pas compatible avec vos obligations DORA.

La grille SLA : ce que votre contrat doit garantir ■

Un contrat de TMA sans SLA explicites est un contrat sans engagement. Les SLAs (Service Level Agreements) définissent les délais maximum d’intervention et de résolution selon la gravité de l’incident. Pour un site assurance, voici la grille de référence.

Vigilance : les SLAs ne s’appliquent qu’aux incidents déclarés par le bon canal (email de ticketing ou portail dédié). Un appel téléphonique à votre chef de projet ne démarre pas l’horloge du SLA. Assurez-vous que le contrat précise les canaux de déclaration valides et les horaires d’astreinte pour les incidents P1.

RGAA et accessibilité numérique : la nouvelle obligation dans la TMA ■

Depuis juin 2025, la directive européenne sur l’accessibilité (European Accessibility Act, EAA) est entrée en vigueur. Les sites web et applications mobiles des assureurs et mutuelles proposant des services au public en ligne doivent répondre aux critères WCAG 2.1 AA, tels qu’implémentés dans le RGAA en France.

Cette obligation a une implication directe sur la TMA : chaque déploiement de nouvelle fonctionnalité, chaque mise à jour de contenu susceptible de modifier le DOM, doit faire l’objet d’un test de non-régression accessibilité. Un composant déployé en toute hâte pour corriger un bug peut casser la navigation clavier ou la compatibilité lecteur d’écran d’un module existant.

Votre contrat de TMA doit donc préciser si les tests d’accessibilité sont inclus dans la recette des évolutions, ou s’ils constituent une prestation supplémentaire. Sans cette précision, la conformité RGAA de votre site peut se dégrader à chaque déploiement sans que personne ne le détecte avant un audit externe — ou une mise en demeure.

TMA internalisée vs agence spécialisée : le vrai comparatif ■

Certains assureurs choisissent d’internaliser tout ou partie de leur maintenance. Ce choix a des implications souvent sous-estimées sur le coût total et la couverture réelle des risques.

Le coût réel d’une équipe interne : un développeur WordPress senior en CDI coûte entre 45 000 et 65 000 € de salaire brut, soit 70 000 à 95 000 € de coût employeur total. Pour ce budget, vous disposez d’une seule personne, non disponible la nuit, qui prend des congés, peut tomber malade, et finira probablement par quitter l’entreprise. Pour le même budget annualisé, une agence spécialisée mobilise une équipe pluridisciplinaire avec une plage de compétences que vous ne pourrez jamais constituer à ce coût en interne.

Budget : ce qu’il faut prévoir pour une TMA site assurance ■

Fourchettes indicatives hors hébergement et hors interventions ponctuelles hors-forfait. Ces budgets s’entendent TTC pour une prestation en France.

Ce qu’un bon contrat de TMA doit contenir ■

Un contrat de TMA se juge au moment où un incident survient — pas lors de sa signature. Voici les clauses indispensables, à vérifier systématiquement avant de signer.

🔴 Périmètre exhaustif des interventions couvertes

Liste précise des URLs, des composantes techniques (CMS, plugins nommément listés, APIs) et des types d’interventions inclus. Tout ce qui n’est pas listé est hors forfait.

🔴 Grille SLA avec délais d’intervention par niveau de priorité

P1 à P4 définis avec des délais de prise en charge et de résolution opposables. Précision des horaires couverts (9h-18h heures ouvrées vs 24h/24 pour les P1).

🔴 Clause de réversibilité (exigée par DORA)

En cas de fin de contrat, le prestataire restitue sous 30 jours : code source complet, accès aux environnements (staging, production), fichiers de configuration, documentation technique et fonctionnelle.

🔴 Traçabilité des interventions (exigée par DORA)

Chaque intervention génère un ticket horodaté dans un outil partagé, avec cause racine, action corrective et durée d’indisponibilité. Rapport mensuel transmis automatiquement.

🟡 Politique de test avant déploiement

Définition des tests requis avant toute mise en production : tests fonctionnels, tests de non-régression, tests d’accessibilité RGAA, tests de charge pour les évolutions impactant les performances.

🟡 Gestion des pics saisonniers

Pour les assureurs : précision du dispositif renforcé en période de renouvellement ANI (octobre-décembre) et en cas de campagnes d’affiliation générant des pics de trafic inhabituels.

🟡 Clause d’audit DORA

Droit pour l’assureur de demander un audit des pratiques de sécurité du prestataire, ou d’exiger la fourniture d’un rapport tiers (ISO 27001, SOC 2) à intervalles réguliers.

🟢 Rapport mensuel de performance

Tableau de bord mensuel incluant : nombre d’incidents par priorité, temps de résolution moyen, taux de disponibilité mesuré, mises à jour réalisées, alertes de sécurité traitées.

Eficiens réalise la TMA de dizaines de sites assurance, mutuelles, IP ou courtiers. Consultez-nous. Julia Benchetrit – Responsable New Biz Eficiens

Si vous nous contactiez pour échanger sur vos enjeux de TMA et de maintenance  ? ■

Tous les détails sur notre page contact ou en visio ci-dessous

Ils nous font confiance ■