Qu’est-ce que la gestion des risques fournisseurs (TPRM) ?

Les termes se recoupent. La gestion des risques fournisseurs au sens strict (VRM, vendor risk management) vise les fournisseurs auprès desquels vous achetez. Le TPRM est plus large : il couvre aussi les partenaires, les prestataires externalisés, les distributeurs et les sous-traitants de vos fournisseurs, parfois appelés quatrièmes parties. En pratique, la plupart des programmes commencent par les fournisseurs et élargissent le périmètre quand les régulateurs interrogent la chaîne d’approvisionnement.

• DORA : les entités financières gèrent le risque lié aux prestataires tiers de services TIC, tiennent un registre d’informations sur tous les contrats de services TIC (article 28) et y incluent des clauses définies (article 30).
• NIS2 : les entités essentielles et importantes doivent traiter la sécurité de la chaîne d’approvisionnement, y compris les pratiques de sécurité de leurs fournisseurs directs (article 21(2)(d)).
• RGPD : un responsable du traitement ne peut faire appel qu’à des sous-traitants qui présentent des garanties suffisantes, avec un contrat conforme à l’article 28.
• ISO/IEC 27001:2022 : les mesures 5.19 à 5.23 de l’annexe A couvrent la sécurité dans les relations fournisseurs, les accords, la chaîne d’approvisionnement TIC, la surveillance des services fournisseurs et les services cloud.

• Inventaire : listez chaque tiers, ce qu’il fait pour vous et les données et processus qu’il touche.
• Hiérarchisation : notez votre dépendance à chacun et sa pénétration dans vos systèmes, puis fixez la profondeur d’évaluation par niveau.
• Évaluation : envoyez un questionnaire, collectez des preuves comme des certificats et des rapports d’audit, et notez les réponses.
• Contrat : écrivez les clauses de sécurité, d’audit et de sortie que l’évaluation a rendues nécessaires.
• Surveillance : suivez les signaux de sécurité publics entre deux évaluations et réévaluez selon un calendrier ou quand quelque chose change.
• Sortie : gardez un plan pour remplacer les fournisseurs critiques.

Acuna GRC tient chaque fournisseur dans un registre unique avec ses contacts, ses contrats, une bibliothèque de preuves et sa chaîne de sous-traitance, niveau par niveau. Un modèle d’exposition, par défaut Dépendance et Pénétration, fixe la bande de chaque fournisseur. Vous envoyez des questionnaires un par un ou par campagne, le fournisseur répond dans un portail sans compte, et un évaluateur note l’évaluation de un à trois boucliers. Des scans quotidiens du domaine public du fournisseur ajoutent un grade de A à F. Voir le TPRM dans Acuna GRC.