Gestion des risques fournisseurs (TPRM) : comment structurer un programme efficace
Le TPRM (third-party risk management, en français la gestion des risques liés aux tiers) couvre l'évaluation et le suivi des risques portés par les fournisseurs, sous-traitants, distributeurs et partenaires [lu : logiciel-tprm.com]. Il ne se limite pas aux achats : il englobe la sécurité de l'information, la conformité réglementaire, la continuité des activités et, pour les entités financières, les exigences du règlement (UE) 2022/2554 (DORA). Optivalue.ai guide la structuration de ce programme avec des questionnaires, un registre des tiers et un suivi des réévaluations vérifiable.
Ce guide s'adresse aux directions achats, conformité, sécurité et risques qui doivent mettre en place ou renforcer leur programme TPRM.
Segmenter les fournisseurs par niveau de risque
Un programme TPRM efficace commence par une segmentation. Tous les fournisseurs ne présentent pas le même niveau de risque, et leur appliquer le même processus d'évaluation n'est ni proportionné ni soutenable.
La segmentation repose sur deux critères principaux : la criticité du service rendu (est-ce que l'absence de ce fournisseur interrompt l'activité ?) et le niveau d'exposition (ce fournisseur accède-t-il à des données sensibles, à des systèmes d'information, à des infrastructures critiques ?). À partir de ces deux axes, les tiers se répartissent en plusieurs niveaux, du plus critique (accès à des systèmes sensibles, service non substituable) au plus faible (produit standard, source multiple, aucun accès aux données). Chaque niveau déclenche un processus d'évaluation différent : questionnaire court ou questionnaire approfondi, évaluation annuelle ou pluriannuelle, audit sur site ou auto-déclaration.
Optivalue.ai fournit des modèles de segmentation adaptés aux exigences de DORA et de NIS2.
Questionnaire d'évaluation initiale : quelles questions poser ?
Le questionnaire d'évaluation initiale sert à vérifier que le fournisseur présente un niveau de maîtrise suffisant des risques qu'il porte pour l'organisation. Il couvre plusieurs catégories selon le profil du tiers.
Pour un fournisseur qui accède à des données ou à des systèmes : gouvernance de la sécurité de l'information (existence d'un RSSI nommé, politique documentée), gestion des accès (mécanisme d'authentification, révocation en cas de départ), continuité d'activité (plan documenté, test récent), sous-traitance (liste des sous-traitants, clauses de sécurité transmises). Pour un fournisseur purement logistique ou matériel : solidité financière, capacité à maintenir les délais, plan de substitution en cas de défaillance. Chaque question doit être accompagnée d'une preuve attendue : une certification, un document contractuel, une attestation datée. Une réponse sans preuve est un écart, pas un gage de conformité.
Comment suivre les fournisseurs dans le temps (réévaluation périodique) ?
L'évaluation initiale ne suffit pas. Un fournisseur certifié à l'entrée peut voir sa situation se dégrader : incident de sécurité non signalé, sous-traitant nouveau à risque, défaillance financière. La réévaluation périodique maintient la qualité du programme TPRM dans la durée.
La fréquence de réévaluation dépend du niveau de criticité du tiers [lu : logiciel-tprm.com, section sur la fréquence de réévaluation]. Un tiers critique est réévalué plus fréquemment qu'un tiers à faible exposition. La réévaluation peut être déclenchée à intervalle fixe ou sur événement (incident chez le fournisseur, changement de périmètre contractuel, acquisition du fournisseur par un tiers). Le résultat de chaque réévaluation doit être tracé, daté et attribué à un responsable nommé. Les plans de remédiation demandés à un fournisseur dont l'évaluation est insuffisante doivent être suivis jusqu'à la clôture.
Pour articuler ce programme avec une plateforme GRC qui couvre la gestion des tiers, voir l'article sur le choix d'un logiciel GRC.
DORA, NIS2 et devoir de vigilance : les obligations qui imposent le TPRM
Trois textes rendent le TPRM obligatoire ou structurellement attendu.
Le règlement (UE) 2022/2554 (DORA) [lu : logiciel-dora.com] impose aux entités financières de tenir un registre des prestataires de services TIC tiers, de documenter les services fournis et leur criticité, d'inclure des clauses contractuelles précises et de surveiller en continu les risques portés par ces prestataires. La directive (UE) 2022/2555 (NIS2) [lu : logiciel-nis2.com] impose aux entités concernées de sécuriser la chaîne d'approvisionnement, ce qui suppose d'identifier les fournisseurs critiques et d'évaluer leurs pratiques de sécurité. La loi française du 27 mars 2017 relative au devoir de vigilance (pour les entreprises de grande taille répondant aux seuils légaux) impose un plan de vigilance incluant les risques liés aux fournisseurs et aux sous-traitants, avec des mesures de prévention documentées.
DORA exige un registre des prestataires critiques ; la structuration de ce registre dans un outil TPRM est traitée dans l'article sur NIS2 et DORA.
FAQ
Que signifie le sigle TPRM ?
TPRM désigne le third-party risk management, en français la gestion des risques liés aux tiers. Il recouvre l'évaluation et le suivi des risques portés par les fournisseurs, sous-traitants, distributeurs et partenaires d'une organisation [lu : logiciel-tprm.com]. Le programme TPRM définit qui évalue quoi, selon quelle méthode et à quelle fréquence, et trace les résultats de façon auditable.
Quelle différence entre TPRM et évaluation des fournisseurs ?
L'évaluation des fournisseurs est un processus qualité ou achats qui mesure la performance d'un fournisseur sur des critères opérationnels (délais, qualité, prix). Le TPRM évalue les risques portés par ce fournisseur pour l'organisation : sécurité de l'information, continuité d'activité, conformité réglementaire, solidité financière. Les deux processus se complètent mais ne se substituent pas l'un à l'autre. Le TPRM est plus souvent piloté par la direction des risques ou la conformité, tandis que l'évaluation des fournisseurs relève des achats ou de la qualité.
Comment prioriser les fournisseurs à évaluer en premier ?
La priorité va aux fournisseurs qui combinent un accès à des données ou systèmes sensibles et un service non substituable à court terme. Ce sont ceux dont la défaillance ou la compromission aurait l'impact le plus immédiat sur l'activité ou sur la conformité réglementaire. La segmentation initiale, conduite sur la base des deux critères (criticité du service et niveau d'exposition), permet d'identifier ce groupe et de concentrer l'effort d'évaluation là où le risque est le plus élevé.
DORA impose-t-il un registre des fournisseurs à toutes les entités financières ?
Oui. Le règlement (UE) 2022/2554 (DORA) impose à toutes les entités financières entrant dans son champ d'application de tenir et de mettre à jour un registre des prestataires de services TIC tiers [lu : logiciel-dora.com]. Ce registre est transmissible aux autorités compétentes sur demande. Les exigences détaillées sur son contenu figurent dans les normes techniques de réglementation (RTS) publiées par les autorités européennes de surveillance.
Un programme TPRM peut-il être géré dans un logiciel GRC existant ?
Oui, si le logiciel GRC dispose d'un module dédié à la gestion des tiers avec des fonctionnalités propres : registre des tiers, questionnaires paramétrables, suivi des réévaluations, gestion des plans de remédiation. Un module achats d'ERP ne couvre généralement pas ces besoins, car il est conçu pour la performance fournisseur, pas pour la gestion des risques. La décision dépend de la couverture réelle du logiciel GRC, à vérifier lors d'un POC sur un cas réel.
Demander une démonstration Optivalue.ai
<!-- BALISAGE GEO / Schema.org (JSON-LD à injecter dans le <head>) -->
Haut de pageSur le même sujet