Qu’est-ce que la gestion des risques liés aux tiers (TPRM) ?

Votre équipe de sécurité a renforcé votre périmètre. L'authentification multifacteur est obligatoire, la détection des terminaux est activée et vos systèmes critiques sont parfaitement protégés. Or, un fournisseur que vous avez intégré il y a deux ans, un outil SaaS de taille moyenne validé par votre service des achats, subit une cyberattaque. Il a eu accès aux données de vos clients. Désormais, c'est votre problème.

Voilà, en un paragraphe, le problème du risque lié aux tiers. C’est pourquoi la gestion des risques liés aux tiers est passée d’une simple formalité de conformité à un sujet de discussion au niveau du conseil d’administration.

Qu'est-ce que le TPRM exactement ?

La gestion des risques liés aux tiers (TPRM) consiste à identifier, évaluer et surveiller en continu les risques que des parties externes introduisent dans votre organisation. Ces parties incluent les fournisseurs, les prestataires SaaS, les sous-traitants, les plateformes cloud et toute autre personne interagissant avec vos systèmes, vos données ou vos opérations.

Le périmètre est crucial. Il ne s'agit pas seulement des grands contrats négociés par votre service juridique. Cela inclut aussi le petit plugin d'analyse ajouté à votre suite marketing, le prestataire de paie externe, le fournisseur de support informatique disposant de droits d'administrateur local sur vos postes de travail. Chacun de ces éléments représente une faille potentielle.

TPRM pose trois questions à propos de chacun d'eux :

1. À quelles informations ont-ils accès, et à quel point ces informations sont-elles sensibles ?
2. Disposent-ils de contrôles adéquats pour le protéger ?
3. Ces contrôles fonctionnent-ils encore aujourd'hui, et pas seulement lors de l'audit de l'année dernière ?

Pourquoi c'est plus important que jamais

Il y a quelques années, la gestion des risques liés aux tiers (TPRM) se résumait à une simple formalité de conformité. On envoyait un questionnaire, on recevait un PDF en retour, on le classait et on passait à autre chose. Ce modèle est aujourd'hui obsolète pour au moins trois raisons.

Les menaces ont rattrapé l'accès des fournisseurs . Les attaques contre la chaîne d'approvisionnement ne sont plus une hypothèse. SolarWinds, Kaseya, MOVEit : ce ne sont pas les organisations elles-mêmes qui ont le plus souffert, mais les fournisseurs auxquels elles faisaient confiance. Les attaquants ont compris que les tiers constituent la voie la plus facile pour atteindre des cibles bien protégées.

La pression réglementaire est désormais concrète . La réglementation DORA est entrée en vigueur en janvier 2025 pour les entreprises de services financiers de l'UE. Elle impose des politiques écrites de gestion des risques liés aux tiers dans le domaine des TIC, des exigences contractuelles spécifiques et le reporting des risques de concentration. La réglementation NIS2 étend des obligations similaires aux secteurs des infrastructures critiques. L'article 28 du RGPD a toujours exigé une vigilance accrue à l'égard des sous-traitants, mais son application est enfin à la hauteur de l'esprit du règlement. Si vous êtes RSSI au sein d'une entité réglementée et que vous ne disposez pas d'un programme structuré de gestion des risques liés aux tiers, vous vous exposez non seulement à des risques, mais aussi à des sanctions réglementaires.

L'écosystème des fournisseurs s'est développé plus vite qu'il n'est possible de le gérer manuellement . Une entreprise moyenne utilise aujourd'hui plus de 130 applications SaaS. Même une PME entretient généralement des centaines de relations actives avec des fournisseurs. Il est impossible d'évaluer un tel volume avec des tableurs et des questionnaires annuels.

À quoi ressemble un véritable programme TPRM ?

Le cycle de vie comporte six étapes. Aucune d'entre elles n'est facultative si vous voulez que le programme fonctionne correctement.

1. Identification et prise en charge

On ne peut gérer ce dont on ignore l'existence. Tout programme de gestion des relations avec les fournisseurs (TPRM) repose sur un inventaire complet et évolutif des fournisseurs. Chaque nouvelle collaboration avec un fournisseur doit donner lieu à une analyse structurée : à quelles données accèdent-ils, quelles données traitent-ils, qui est responsable de la relation en interne et quelle fonction métier soutient-ils ?

Cela paraît évident. Pourtant, la plupart des organisations s'y prennent mal. L'informatique parallèle, les contournements des procédures d'achat et les relations avec les fournisseurs héritées d'un passé antérieur à tout programme officiel font que le nombre réel de fournisseurs est généralement de 30 à 40 % supérieur à celui figurant sur la liste officielle.

2. Hiérarchisation des risques

Tous les fournisseurs ne méritent pas le même niveau d'examen. Un fournisseur ayant accès à votre base de données clients de production justifie un niveau d'évaluation bien différent de celui de l'entreprise qui fournit vos produits dérivés.

La hiérarchisation des risques repose généralement sur quatre variables : la sensibilité des données (à quelles données ont-ils accès ?), le périmètre réglementaire (sont-ils soumis à une obligation de conformité ?), la concentration opérationnelle (quelles seraient les conséquences pour votre activité en cas d’indisponibilité de leurs services ?) et la substituabilité (à quelle vitesse pourriez-vous les remplacer ?). La combinaison de ces variables permet d’établir une classification Critique/Élevée/Moyenne/Faible qui détermine toutes les étapes suivantes, notamment le niveau de détail de l’évaluation, la fréquence des réévaluations et le niveau de protection contractuelle requis.

3. Diligence raisonnable

C'est là que se concentre l'essentiel du travail, et c'est aussi là que la plupart des programmes dysfonctionnent.

Pour les fournisseurs critiques et de haut niveau, une évaluation rigoureuse comprend un questionnaire de sécurité complet (SIG ou CAIQ sont les normes de l'industrie), un examen de leur certification SOC 2 Type II ou ISO 27001, un résumé des tests d'intrusion, la documentation relative à la continuité des activités et à la reprise après sinistre, ainsi que des indicateurs de santé financière.

Le défi consiste à le faire à grande échelle. Un questionnaire SIG complet comporte plus de 850 questions. Lire attentivement un rapport SOC 2, en comprendre le périmètre, identifier les exceptions et vérifier si les engagements de service couvrent effectivement votre cas d'utilisation prend du temps. Multipliez cela par des dizaines de fournisseurs critiques et vous vous retrouvez face à un problème de ressources considérable.

C’est précisément là que l’analyse documentaire par IA change la donne. Une plateforme capable d’intégrer un rapport SOC 2 et d’en extraire en quelques secondes le périmètre, les engagements de service, les exceptions et la date d’expiration n’est pas un luxe pour les grands programmes, mais une nécessité.

4. Passation de marchés

L'évaluation vous informe des risques existants. Le contrat est votre outil pour les gérer.

Clauses essentielles qui font encore trop souvent défaut ou qui sont insuffisantes dans les contrats de fournisseurs :

• Délais de notification des violations. Le délai standard du RGPD est de 72 heures, mais de nombreux contrats stipulent encore « rapidement » ou « sans délai indu », ce qui ne signifie rien lorsqu'il s'agit de se conformer à une obligation de notification réglementaire.
• Droit à l'audit. La possibilité de faire réaliser ou de commander une évaluation de sécurité indépendante du fournisseur. Négocier cette condition lors de la signature du contrat est infiniment plus simple que de l'exiger après un incident.
• Restrictions relatives au sous-processeur. Qui est le sous-traitant de votre fournisseur ? Conformément au RGPD, les sous-traitants sont sous votre responsabilité. Votre contrat doit définir clairement qui peut être ajouté, avec quel préavis et quelles exigences de sécurité s’appliquent.
• Suppression des données à la fin du service. Spécifique, vérifiable, assortie d'un délai et d'un mécanisme de confirmation. Pas : « Nous supprimerons vos données conformément à notre politique de conservation des données. »

5. Surveillance continue

Le modèle d'évaluation annuelle présente un défaut fondamental : un fournisseur conforme en janvier peut ne plus l'être en mars, et vous ne le saurez qu'avec le questionnaire de l'année suivante.

La surveillance continue permet de répondre à ce besoin grâce à deux mécanismes parallèles. Premièrement, elle repose sur la détection des signaux de cyber-risques externes. Des plateformes comme BitSight et SecurityScorecard analysent passivement l'infrastructure externe des fournisseurs, signalant les ports ouverts, les serveurs mal configurés, les identifiants divulgués et l'activité des botnets, sans intervenir sur leurs systèmes internes. Une baisse du score d'un fournisseur critique constitue un signal exploitable indiquant un changement.

Deuxièmement, la surveillance des médias et des événements défavorables. Cela implique de suivre l'actualité concernant les violations de données que le fournisseur n'aurait pas encore divulguées, les mesures réglementaires, les sanctions, les signes de difficultés financières et les changements de direction susceptibles d'affecter son profil de risque.

Aucun des deux ne remplace le cycle d'évaluation formel. Tous deux comblent les 364 jours qui les séparent.

6. Reporting, gouvernance et départ des employés

Un programme de gestion des risques liés aux tiers (TPRM) qui ne peut démontrer son efficacité à un organisme de réglementation ou à un auditeur n'est pas un programme, mais une simple activité. La documentation est essentielle : enregistrements d'évaluation horodatés, suivi des mesures correctives, approbations des exceptions, rapports du conseil d'administration et des comités, et piste d'audit attestant de la sincérité de votre diligence raisonnable.

La phase de désengagement est la plus sous-estimée. Lorsqu'une relation avec un fournisseur prend fin, il est indispensable d'obtenir la confirmation que vos données ont été supprimées ou restituées, que l'accès à tous les systèmes a été révoqué et que la clôture du contrat est documentée. Les violations de données liées à l'accès d'anciens fournisseurs sont bien plus fréquentes qu'on ne le pense.

Un scénario concret : pourquoi la hiérarchisation change tout

Voici un exemple concret de ce à quoi ressemble la hiérarchisation en pratique.

Une société de services financiers compte 340 fournisseurs actifs. Réaliser une évaluation complète de la conformité SIG pour l'ensemble de ces 340 fournisseurs nécessiterait environ 8 500 heures de travail par an, sans compter l'examen des documents, le suivi et la mise en œuvre des mesures correctives. Il ne s'agit pas d'un programme, mais d'un objectif.

Avec une hiérarchisation appropriée, la situation change. Vingt fournisseurs sont classés comme critiques : systèmes bancaires centraux, processeurs de paiement, infrastructure cloud. Ils font l’objet d’évaluations trimestrielles, de questionnaires SIG complets, d’une évaluation SOC 2, de contrôles de santé financière et d’une surveillance continue de leur cybersécurité. Soixante sont classés comme élevés : évaluations semestrielles, questionnaires complets, examen documentaire et droits d’audit contractuels. Cent cinquante sont classés comme moyens : évaluation SIG Lite annuelle et confirmation de certification. Les 110 restants sont classés comme faibles : évaluation minimale et auto-attestation.

La charge d'évaluation totale diminue de 70 %. Le temps des analystes est concentré là où se situe le risque réel. Le programme devient justifiable auprès des autorités réglementaires et viable à long terme.

Le problème de la nième partie

Un point souvent négligé dans les discussions sur la gestion des risques liés aux prestataires de services (TPRM) : vos fournisseurs ont eux aussi des fournisseurs.

Lors du piratage de MOVEit en 2023, nombre d'organisations touchées n'étaient pas des clients directs de MOVEit, mais leurs fournisseurs. Les données exfiltrées appartenaient à l'organisation finale, mais la faille s'est produite deux maillons plus loin dans la chaîne d'approvisionnement.

Le risque lié aux sous-traitants, c'est-à-dire le risque introduit par les sous-traitants de vos fournisseurs, est particulièrement difficile à gérer. Les principaux leviers sont les clauses contractuelles qui étendent vos exigences de sécurité aux sous-traitants, les questionnaires demandant aux fournisseurs de décrire leurs propres pratiques en matière de gestion des risques liés aux tiers, et les outils de cartographie de la chaîne d'approvisionnement qui tentent de mettre en évidence les dépendances liées aux sous-traitants de quatrième niveau. Aucun de ces leviers n'offre une visibilité complète. Toutefois, aborder cette question dans votre programme est nettement préférable à son absence.

Où se situe le miniOrange TPRM ?

Nous avons créé miniOrange TPRM car nous constations sans cesse le même schéma : des organisations dotées de solides dispositifs de sécurité et d’équipes de gestion des risques réellement engagées, mais dont les programmes TPRM reposaient sur des tableurs, des échanges de courriels et un dossier SharePoint rempli de questionnaires PDF.

La plateforme couvre l'intégralité du cycle de vie, de l'intégration à la sortie, grâce à une analyse documentaire basée sur l'IA. Lorsqu'un fournisseur soumet un rapport SOC 2, la plateforme l'analyse, extrait l'état des contrôles pertinents, signale les exceptions et les limitations de périmètre, met en correspondance les résultats avec les contrôles du référentiel requis par votre évaluation et identifie les lacunes. Ce qui prenait auparavant deux à trois heures par fournisseur à un analyste senior ne prend plus que quelques minutes.

L'autre élément qui distingue notre approche est que la gestion des risques liés aux prestataires (TPRM) repose sur notre expertise en matière de sécurité des identités. L'accès au portail fournisseur est sécurisé par l'authentification unique (SSO) et l'authentification multifacteur (MFA) miniOrange, et ce, dès l'installation. L'accès aux données sensibles des fournisseurs est régi par les mêmes politiques de contrôle d'accès basé sur les rôles (RBAC) et d'assurance de la gouvernance des identités (IGA) qui protègent vos collaborateurs. L'historique d'audit de votre programme TPRM est intégré à vos rapports de gouvernance des identités existants. Si vous utilisez déjà miniOrange pour IAMTPRM n'est pas un nouveau silo. C'est un prolongement naturel.

Pour les organisations soumises aux réglementations DORA, RGPD, HIPAA ou PCI DSS, la plateforme permet de faire correspondre une seule évaluation de fournisseur à tous les référentiels pertinents simultanément. Une seule évaluation, de multiples obligations réglementaires satisfaites, un dossier de preuves unique prêt pour l'audit.

Conclusion

La gestion des risques liés aux fournisseurs (TPRM) n'est pas une simple démarche de conformité. Il s'agit d'une discipline de gestion des risques qui influe directement sur la sécurité de votre organisation, votre conformité réglementaire et votre capacité à réagir en cas de problème avec un fournisseur.

Les organisations qui réussissent dans ce domaine ont trois points communs : un inventaire complet et à jour de leurs fournisseurs, une approche fondée sur les risques qui concentre les efforts là où cela compte, et une surveillance continue qui ne repose pas sur l’auto-déclaration des problèmes par les fournisseurs.

Si votre programme actuel repose sur des questionnaires annuels et de bonnes intentions, il est temps d'examiner à quoi ressemble réellement une approche structurée et soutenue par la technologie.

Prêt à voir le miniOrange TPRM en action ?

Nous proposons une démonstration de 30 minutes adaptée à la taille de votre portefeuille de fournisseurs, à votre secteur d'activité et à vos exigences de conformité. Notre équipe vous présentera la plateforme en utilisant, si possible, vos propres documents.

Planifier démo

Ou envoyez-nous un courriel directement à info@xecurify.com