Tiers · 4 min de lecture
Segmentation, questionnaires ciblés, scoring et surveillance continue : une méthode pratique pour vraiment connaître les fournisseurs et partenaires dont dépend votre entreprise.
Toute entreprise dépend de fournisseurs, de consultants, de distributeurs et de partenaires technologiques. Beaucoup d’entre eux accèdent à des données, des systèmes ou des processus critiques, et leurs difficultés deviennent vite les vôtres : un incident informatique, une rupture d’approvisionnement, un comportement répréhensible qui fait la une avec le nom de votre entreprise à côté.
Les réglementations récentes le reconnaissent explicitement. NIS2 impose de gérer la sécurité de la chaîne d’approvisionnement, le RGPD exige de choisir des sous-traitants offrant des garanties suffisantes, et les règles en matière d’anticorruption et de durabilité étendent la vigilance aux partenaires commerciaux. La due diligence des tiers n’est plus un contrôle facultatif des achats, mais un processus qui mobilise la conformité, l’IT, le juridique et la direction.
L’erreur la plus répandue consiste à traiter tous les fournisseurs de la même façon, en envoyant le même long questionnaire à celui qui livre les fournitures de bureau comme à celui qui gère vos serveurs. Résultat : un effort considérable, des réponses remplies à la hâte et aucune vigilance supplémentaire là où elle serait vraiment utile.
Mieux vaut partir d’une classification fondée sur quelques critères : accès à des données personnelles ou aux systèmes de l’entreprise, importance du service pour la continuité d’activité, pays où opère le fournisseur, valeur et durée de la relation, possibilité de le remplacer rapidement. Quelques questions posées lors du référencement suffisent à placer chaque tiers dans un niveau de risque.
À chaque niveau correspond une profondeur d’analyse différente. Pour les fournisseurs à faible risque, une vérification documentaire de base peut suffire ; les fournisseurs critiques exigent un questionnaire complet, des preuves vérifiées et, dans certains cas, un audit sur site.
Un bon questionnaire de due diligence est court et adapté au niveau de risque. Les thèmes habituels sont l’identité de la société et de ses bénéficiaires effectifs, la sécurité de l’information et la protection des données, les certifications, la continuité d’activité, l’éthique et l’anticorruption, la durabilité et le recours à des sous-traitants. Chaque question doit avoir un but précis : si la réponse ne change rien à la décision, la question peut disparaître.
Les réponses doivent ensuite être vérifiées. Une certification déclarée s’accompagne du certificat et de sa date d’échéance, une politique de sécurité du document approuvé, une déclaration sur les bénéficiaires effectifs d’un extrait de registre à jour. Des sources externes, comme les listes de sanctions et les registres publics, complètent le tableau sans rien demander de plus au fournisseur.
Il est également utile de décider à l’avance qui évalue quoi. Les réponses sur la cybersécurité relèvent de l’IT, celles sur la protection des données du référent RGPD, celles sur l’éthique et l’anticorruption de la fonction conformité. Un workflow qui attribue chaque section au bon expert évite que le questionnaire reste bloqué sur le bureau d’une seule personne.
Le questionnaire essentiel
Réponses et vérifications alimentent un score de risque calculé selon des critères transparents et identiques pour tous. Le score ne décide pas seul : il rend comparables des fournisseurs différents et fait ressortir les points faibles à examiner.
Les décisions possibles ne se limitent pas à deux. Outre l’approbation ou le refus, il est possible d’approuver sous conditions : clauses contractuelles spécifiques, plan d’amélioration assorti d’échéances, restrictions d’accès aux données, réévaluation anticipée. Chaque décision doit être motivée et enregistrée, avec le nom de la personne qui l’a prise.
Les conditions issues de la due diligence doivent se retrouver dans le contrat. Une exigence de sécurité absente de l’accord est difficile à faire valoir précisément au moment où l’on en a besoin.
La due diligence ne s’arrête pas à l’entrée en relation. Les certifications expirent, l’actionnariat évolue, un fournisseur peut subir un incident ou se retrouver sur une liste de sanctions. Des réévaluations périodiques à une fréquence proportionnée au risque, des alertes sur les échéances documentaires et la possibilité de rouvrir une évaluation lorsqu’un événement important survient maintiennent une vision à jour.
Le module Third Party Due Diligence de Regulate couvre l’ensemble du cycle : classification initiale, questionnaires différenciés par niveau, collecte des preuves, scoring des risques et surveillance continue avec alertes. Relié aux fiches fournisseurs du CRM, il réunit dans une seule vue données, documents, évaluations et contrats, et permet de démontrer à tout moment comment l’entreprise maîtrise les risques venus de l’extérieur.
Continuer la lecture
L’automatisation intelligente transforme en profondeur la manière dont les entreprises gèrent leurs processus au quotidien. Des stratégies pour numériser les tâches répétitives, gagner en précision et libérer des ressources.
Comment les chatbots intelligents et l’apprentissage interactif rendent la gestion des politiques plus accessible, plus engageante et mesurable.
Innovaq est une entreprise en phase de lancement.