La gestion des risques tiers est traditionnellement axée sur la gestion des achats, des contrats et des relations, ainsi que sur l'évaluation trimestrielle du processus opérationnel. Mais alors que les organisations ont de plus en plus recours à des fournisseurs pour atteindre leurs objectifs vitaux et se tailler un avantage concurrentiel, ces mesures ne suffisent plus.

On ne compte plus les failles de sécurité, les amendes pour infraction aux réglementations et les pertes financières découlant d'incidents impliquant des tiers. Et bien que les fournisseurs soient techniquement fautifs, ce sont les organisations qui endossent la responsabilité finale. La responsabilité ne pouvant être externalisée, il est nécessaire que les programmes de gestion des risques tiers gèrent ce niveau élevé de risque.

Voici quelques conseils pratiques pour intégrer des processus étendus de gestion des risques tiers à vos fonctions actuelles d'approvisionnement et d'achat, afin de superviser l'ensemble du cycle de vie des fournisseurs et de faire évoluer votre programme pour relever ces nouveaux défis.

Comprendre vos risques de tiers

Votre organisation conclut des contrats avec plusieurs milliers de tiers, tels que fournisseurs, fabricants, prestataires de service, partenaires commerciaux, affiliés, courtiers, distributeurs, revendeurs et agents. Même si vous avez un processus en place pour intégrer les fournisseurs et vérifier la conformité, la multitude de variables à prendre en compte est telle qu'il est facile de passer à côté de risques susceptibles de devenir de vrais problèmes.

Il existe plusieurs catégories de risques de tiers, parmi lesquels :

• Conformité : vos fournisseurs respectent-ils toutes les exigences réglementaires auxquelles votre organisation est soumise, par exemple en matière de stockage de données ?
• Cybersécurité : quel est le niveau d'exigence des protocoles de cybersécurité de vos fournisseurs, et sont-ils susceptibles de vous exposer à une fuite de données ?
• Réputation : vos fournisseurs sont-ils en conformité avec les lois et réglementations, perdent-ils des données client pour négligence, ou font-ils des déclarations sujettes à controverse ?
• Finance : vos fournisseurs risquent-ils de faire faillite ou de devenir insolvables ?

Prenons un exemple dans le domaine de la cybersécurité, où il est possible de se trouver face à un risque inconnu. Les prestataires informatiques ne représentent qu'une petite partie de votre écosystème tiers. Pourtant, les organisations comptent en moyenne 182 fournisseurs connectés chaque semaine à leur système, et 58 % d'entre elles estiment avoir subi une faille liée directement à ces derniers. Les organisations manquent souvent de visibilité sur leurs risques informatiques : 57 % d'entre elles ne savent pas si leurs mesures de protection suffisent pour empêcher une fuite de données, et seulement 34 % ont réalisé un inventaire complet de tous les tiers qui ont accès à leurs données.

Il est clair que pour prévenir tout risque superflu, votre organisation doit élaborer une approche systématique pour gérer les contrôles et évaluer les niveaux de risque en temps réel.

Comment optimiser votre gestion des risques tiers

Les bonnes pratiques ci-après peuvent vous être utiles pour surveiller et gérer vos risques tiers :

• Faites l'inventaire de l'ensemble de vos risques tiers, y compris les critères de géographie, de technologies ou encore de risque de crédit. Lorsque vous cartographiez et évaluez vos facteurs de risque tiers, il convient d'attribuer un ordre de priorité à chaque risque en fonction de la probabilité de survenue et de son impact potentiel sur vos opérations. Vous pouvez également classer les fournisseurs par niveau de risque, par exemple le type d'accès à vos données dont ils ont besoin, et calibrer en conséquence votre surveillance du risque.
• Planifiez l'atténuation du risque. Une fois que vous avez cartographié vos risques, élaborez des indicateurs de risque clé (KRI) qui serviront de seuils de déclenchement des actions d'atténuation. Identifiez les parties prenantes de votre organisation qui seront chargées de rédiger ces plans d'atténuation et le cas échéant, de les mettre en œuvre.
• Standardisez et automatisez vos processus de recrutement et de résiliation des fournisseurs. Lorsque vous recrutez ou que mettez fin à un contrat fournisseur, définissez une liste stricte de contrôles à effectuer après chaque étape du processus. Cela peut inclure la vérification des contrats correspondants, des protocoles de cybersécurité, du plan de réponse aux incidents, du plan de continuité des activités ou encore du profil de crédit. Dans la mesure du possible, ces contrôles doivent être automatisés pour vous permettre de recevoir des notifications en cas de problème.
• Veillez à ce que tous les membres de l'équipe de gestion des risques aient accès aux mêmes données. Utilisez une plateforme centralisée et intégrée qui donne accès à l'ensemble de vos données de tiers et vous permet de visualiser en temps réel l'analyse des risques pour l'ensemble de l'organisation. Avec une plateforme collaborative, vous avez l'assurance que chaque membre de l'équipe dispose d'une visibilité complète et mesure les risques à partir des mêmes métriques.
• Utilisez du contenu pré-existant pour automatiser vos flux de travail. Votre solution doit inclure du contenu pré-existant pour les cas d'utilisation courants dans votre secteur d'activité, et que vous pouvez utiliser pour automatiser les flux de travail qui définissent et gèrent vos contrôles.
• Utilisez des outils d'analyse pour tester les scénarios et évaluer les niveaux de risque en temps réel. Votre solution doit comprendre différents tableaux de bord des outils d'analyse pour vous aider à évaluer les différents scénarios et à intégrer les flux de données en temps réel afin d'être à jour dans votre gestion des évaluations de risques. Elle doit également vous permettre de créer des rapports intuitifs à partager avec votre équipe de direction pour lui permettre de prendre des décisions de meilleure qualité et plus rapidement.

Avec une solution de premier ordre de gestion intégrée des risques vous permettant d'élaborer et de mettre en œuvre des protocoles stricts autour de votre gestion des risques tiers, vous pourrez plus facilement classer et identifier les fournisseurs à surveiller de plus près. Vous pourrez également accéder à des données en temps réel pour vous aider à identifier les problèmes sur-le-champ. Et vous aurez accès à des flux de travail rationalisés qui automatiseront la plupart de vos initiatives de conformité.

Vos fournisseurs tiers sont souvent votre maillon faible, mais en analysant soigneusement tous vos risques et en améliorant la visibilité pour identifier plus rapidement les problèmes et les tendances, vous serez en mesure de resserrer les contrôles et d'améliorer la sécurité de bout en bout de votre organisation.