Risque fournisseurs : une évaluation proportionnée

Tous les fournisseurs ne se valent pas

Traiter tous les fournisseurs de la même façon paraît le plus équitable, mais c’est le moins efficace. Si vous appliquez à tous les contrôles conçus pour les fournisseurs les plus critiques, le processus devient lent et coûteux ; si vous appliquez à tous des contrôles minimaux, les vrais risques passent inaperçus.

L’évaluation proportionnée part d’une idée simple : l’effort demandé à un fournisseur doit dépendre de son influence potentielle sur votre entreprise. Celui qui livre des consommables et celui qui traite les données de vos clients ne méritent ni le même questionnaire, ni la même fréquence de revue.

Être proportionné ne veut pas dire baisser la garde. Cela veut dire décider à l’avance où investir le temps de ceux qui contrôlent, et l’assumer explicitement, pour que la démarche reste cohérente d’un fournisseur à l’autre et puisse être justifiée lorsqu’on vous demande pourquoi un contrôle a été fait, ou non.

Les critères qui comptent

Quelques critères suffisent pour attribuer un niveau de risque, à condition qu’ils soient clairs et vérifiables. Les plus utiles portent sur l’accès à des données personnelles ou confidentielles, l’accès à vos systèmes d’information, l’impact opérationnel d’une interruption de service, la facilité à remplacer le fournisseur et le recours éventuel à des sous-traitants.

Chaque critère doit appeler une réponse fermée, oui, non ou une échelle à trois niveaux, et le score final doit être calculé de façon transparente. Une évaluation que personne ne sait expliquer ne résiste pas à un audit et ne convainc pas davantage ceux qui doivent l’appliquer.

Le niveau de risque s’attribue dès le début du référencement, car c’est de lui que dépendent les informations à demander ensuite.

Critères d’évaluation

• Accès aux données personnelles
• Accès aux systèmes
• Impact d’une interruption
• Remplaçabilité
• Recours à des sous-traitants

Du niveau de risque aux informations à demander

Une fois le niveau fixé, le dossier de référencement doit s’adapter en conséquence. Pour un fournisseur à faible risque, l’identité juridique, les contacts et les données bancaires et fiscales suffisent. Pour un risque moyen, on ajoute la documentation relative à la protection des données et des informations sur les services fournis.

Aux fournisseurs à risque élevé, on demande davantage : mesures de sécurité, certifications, plans de continuité, liste des sous-traitants et, si nécessaire, un accord de traitement des données. L’effort se concentre ainsi là où il apporte un bénéfice réel, et les petits fournisseurs ne sont pas découragés par des exigences disproportionnées.

Risque faible

• Identité juridique
• Contacts
• Données bancaires et fiscales

Risque élevé

• Mesures de sécurité
• Certifications
• Sous-traitants
• Accord de traitement des données

Regarder au-delà du premier rang

Beaucoup de risques ne viennent pas du fournisseur direct, mais de ceux qui travaillent pour lui. Un prestataire d’assistance informatique peut confier le support de nuit à une autre société, un éditeur de logiciels peut héberger les données chez un prestataire externe. Si cette chaîne est inconnue, même l’évaluation la plus soignée reste incomplète.

Il est donc utile de demander aux fournisseurs les plus critiques d’indiquer leurs sous-traitants significatifs, avec le service rendu et le pays où ils opèrent, et de signaler tout changement. Il ne s’agit pas de contrôler toute la chaîne d’approvisionnement, mais de savoir qui entre en contact avec les données et les processus de votre entreprise.

Là encore, la proportion s’applique : inutile de demander quoi que ce soit aux fournisseurs à faible risque, tandis qu’aux fournisseurs critiques, mieux vaut demander la liste lors du référencement et une confirmation à chaque revue périodique, en vérifiant que les sous-traitants déclarés respectent des exigences cohérentes avec celles imposées au fournisseur principal.

Une évaluation qui reste vivante

Le risque évolue. Un fournisseur marginal peut devenir central, un service peut s’étendre à de nouvelles données, une certification peut expirer. Une évaluation réalisée une fois et jamais revue perd vite son sens. Fixez une fréquence de revue liée au niveau de risque, plus rapprochée pour les fournisseurs critiques, et réévaluez chaque fois que le périmètre du service change.

Dans le CRM Innovaq, le dossier de référencement réunit dans la même fiche les onglets Risque, Confidentialité, Sécurité et Sous-traitants : l’évaluation reste liée aux données et aux documents qui la justifient, et les dates de revue deviennent des rappels attribués à un responsable.

L’effort demandé à un fournisseur doit dépendre de son influence potentielle sur votre entreprise.