Gestion du risque fournisseur
L'identification, l'évaluation et la réduction des risques liés à la dépendance envers des fournisseurs externes, de la faillite à la fuite de données.
En bref
- Les risques sont financiers, opérationnels, cyber, de conformité, de réputation et géographiques.
- L'effort doit suivre l'importance : examen approfondi pour les fournisseurs critiques, vérification légère pour les autres.
- C'est continu : un fournisseur sain à l'intégration peut changer.
La gestion du risque fournisseur, aussi appelée gestion des risques liés aux tiers, consiste à comprendre comment des fournisseurs pourraient nuire à l'entreprise et à agir pour réduire cette exposition. Comme les entreprises dépendent de plus en plus de fournisseurs externes, un problème chez l'un d'eux devient de plus en plus un problème pour ses clients.
Les types de risque fournisseur
- Financier : le fournisseur fait faillite ou ne peut plus financer ses activités.
- Opérationnel : retards, problèmes de qualité ou de capacité.
- Cybersécurité et vie privée : une brèche chez un fournisseur qui détient des données de l'entreprise ou a accès à ses systèmes.
- Conformité : le fournisseur enfreint des lois sur la vie privée, le travail, les sanctions ou la corruption.
- Concentration : trop de choses dépendent d'un seul fournisseur ou d'un seul lieu.
- Réputation : la conduite du fournisseur rejaillit sur l'entreprise.
Une approche pratique
- Classer les fournisseurs selon leur criticité et les données ou accès qu'ils détiennent.
- Évaluer les niveaux supérieurs : questionnaires, vérifications financières, rapports de sécurité comme SOC 2 ou certificats ISO 27001.
- Atténuer par des clauses contractuelles, des fournisseurs de rechange, la minimisation des données et la limitation des accès.
- Surveiller dans le temps, avec des révisions périodiques et des alertes financières ou médiatiques.
Les lois sur la vie privée ajoutent du poids à ce travail. Selon la Loi 25 du Québec, par exemple, une organisation qui communique des renseignements personnels à un prestataire de services doit s'assurer par contrat qu'ils sont adéquatement protégés.
Exemple chiffré
Classer 300 fournisseurs
Une entreprise classe ses 300 fournisseurs actifs. Dix-huit sont critiques parce qu'ils détiennent des données clients ou fournissent des composants clés : ils font l'objet d'une révision annuelle de sécurité et financière. Soixante sont importants et reçoivent un questionnaire tous les deux ans. Les autres ne font l'objet que d'une vérification de base à l'intégration. Le temps de l'équipe va là où est le risque.