Choisir un logiciel de gestion du risque tiers en Europe

En bref.
La gestion du risque lié aux tiers recouvre deux chaînes de travail que les comparatifs mélangent : obtenir une réponse de chacun de vos fournisseurs, puis juger ce qu’ils ont renvoyé. Un logiciel excellent sur la seconde peut vous laisser avec 30 % de panel couvert, et un outil excellent sur la première peut vous rendre des réponses invérifiables. Voici comment séparer les deux, et ce que nous nous refusons à écrire sur les éditeurs concurrents.

Deux chaînes de travail, pas une

La première chaîne est la collecte. Vous avez un questionnaire et une liste de tiers ; il faut envoyer, attendre, relancer les silencieux, conserver les retours et savoir à tout moment où en est chacun. C’est un travail de campagne, et son indicateur est le taux de réponse.

La seconde est l’évaluation. Les réponses sont arrivées ; il faut les lire, les confronter aux pièces jointes, repérer les écarts, décider quoi faire des tiers défaillants et pouvoir justifier la décision six mois plus tard. Son indicateur est la traçabilité.

Les deux sont rarement couvertes avec la même profondeur par un même produit, et c’est la première chose à éclaircir devant une démonstration de logiciels de gestion des risques tiers. Demandez lequel des deux travaux l’éditeur a construit en premier : la réponse se voit dans l’interface.

Côté collecte, Optivalue Reach envoie les questionnaires depuis votre propre adresse, relance automatiquement jusqu’à la date limite et affiche un statut par tiers. Les chiffres que nous publions : 64 % de taux de réponse moyen, moins d’une heure pour lancer une première campagne, pas de mot de passe à créer pour le tiers puisqu’il se connecte avec son compte Microsoft ou Google, et un historique horodaté prêt pour l’audit.

Pourquoi vous ne trouverez pas de classement ici

Nous publions des comparaisons éditeur par éditeur sur un seul marché, celui de la réponse aux appels d’offres et aux questionnaires, et elles reposent sur des relevés datés des pages publiques de chaque éditeur. Nous n’avons pas conduit ce travail sur les éditeurs spécialisés du marché TPRM.

En conséquence, nous n’écrirons pas ici qu’un tel héberge où, ni que tel autre ne propose pas telle fonction. Une affirmation sans relevé n’est pas défendable si l’éditeur la conteste, et un article qui se permet cela sur des tiers dit exactement ce qu’il se permettra sur vous.

Ce que nous pouvons faire, et qui vous sera plus utile qu’un classement : donner la grille, c’est-à-dire les questions auxquelles chaque candidat doit répondre par écrit. Vous obtiendrez ainsi un comparatif fondé sur leurs propres déclarations, datées, ce qui est exactement la méthode que nous appliquons à nous-mêmes.

Nos règles de comparaison sont publiques : aucune cellule inventée, les limites de notre propre colonne à la même taille de police que le reste, aucune ligne prix sur un tiers, et correction sous cinq jours ouvrés en cas d’erreur signalée.

La grille : sept questions à poser par écrit

Où sont hébergées les réponses de vos fournisseurs, dans quel pays, et le mode de déploiement sur site est-il disponible ? Ces données contiennent souvent plus d’informations sensibles sur vos tiers qu’ils n’en publient ailleurs.

Que porte une réponse évaluée : la pièce justificative est-elle attachée, versionnée, horodatée, et sait-on qui l’a validée chez vous ? C’est ce qui transforme une collecte en dossier opposable.

Dans quelles langues le questionnaire est-il envoyé et compris ? Un panel européen comporte des fournisseurs qui ne répondront pas en anglais, et la traduction approximative d’une question de conformité produit une réponse hors sujet. Nous traitons 109 langues avec le vocabulaire réglementaire local.

Comment le tiers accède-t-il au questionnaire ? Chaque compte à créer coûte des points de taux de réponse. Que se passe-t-il quand un texte applicable change : la grille est-elle ajustée et les réponses concernées signalées ? Et enfin : que récupérez-vous le jour où vous partez, dans quel format, et sous quel délai ?

Le piège du panel partiel

La plupart des dispositifs d’évaluation des risques fournisseurs couvrent les tiers les plus gros, parce que ce sont ceux que l’on a le temps de traiter. Le reste du panel est un angle mort, et la taille d’un fournisseur ne dit rien du risque qu’il porte : un prestataire de dix personnes qui accède à vos données de production pèse plus lourd qu’un grand compte qui livre des fournitures.

Un logiciel ne corrige cet angle mort que s’il supprime le coût marginal d’un tiers supplémentaire. C’est la seule question qui compte sur ce point : qu’est-ce qu’ajouter cinquante fournisseurs à la campagne vous coûte en heures ? Si la réponse est « cinquante envois à préparer », l’outil n’a pas résolu le problème.

Le même raisonnement vaut pour la facturation. Un modèle qui compte à l’utilisateur ou au tiers interrogé vous pousse à réduire le périmètre pour tenir le budget, ce qui est l’inverse du but. Chez nous, le nombre d’utilisateurs n’entre pas dans le calcul de la licence et les tiers invités à remplir un questionnaire une fois par an n’ajoutent rien.

Nous avons consacré un article entier à ce passage d’une couverture partielle à une couverture complète du panel, avec les étapes concrètes.

Le point que les acheteurs découvrent trop tard

Vous êtes des deux côtés de la chaîne. Vous évaluez vos fournisseurs, et vos clients vous évaluent avec les mêmes grilles. Les deux flux mobilisent les mêmes personnes, souvent la même documentation, et sont pourtant gérés par deux outils différents et deux équipes qui ne se parlent pas.

La conséquence pratique est mesurable : la réponse que votre équipe sécurité donne à un client sur la rotation des clés de chiffrement doit être la même que celle que vous attendez de vos propres prestataires. Quand les deux chaînes vivent dans deux référentiels, elles divergent, et c’est l’auditeur qui le découvre.

C’est la raison pour laquelle nous traitons la collecte auprès des tiers et la réponse aux questionnaires reçus depuis le même référentiel documentaire. Le choix d’un outil de surveillance des risques en Europe gagne à être posé dans ces termes : combien de référentiels de preuve votre organisation entretiendra-t-elle à la fin ?

Si la réponse est « deux ou plus », chiffrez le coût de l’entretien avant de signer. C’est ce poste, et non le prix de la licence, qui fait la différence sur trois ans.

Quelle est la différence entre collecte et évaluation des tiers ?
La collecte consiste à obtenir une réponse de chaque tiers : envoi, relance, suivi, conservation. L’évaluation consiste à juger ce qui est revenu et à pouvoir justifier la décision plus tard. Un outil peut être excellent sur l’un et faible sur l’autre.

Pourquoi ne publiez-vous pas de classement des éditeurs TPRM ?
Parce que nous n’avons pas conduit de relevé daté sur leurs pages publiques, comme nous l’avons fait pour les quatre éditeurs du marché de la réponse aux appels d’offres. Sans relevé, toute affirmation sur un tiers est invérifiable, donc indéfendable.

Comment améliorer le taux de réponse de mes fournisseurs ?
Trois leviers reviennent : supprimer la création de compte, envoyer depuis une adresse que le tiers reconnaît, et automatiser les relances jusqu’à la date limite. Avec ce dispositif, nous mesurons un taux de réponse moyen de 64 %.