Dernière mise à jour : 6 août 2026

Gestion des risques liés aux tiers : tâches, processus et sources de données techniques

Les entreprises achètent des logiciels, des services cloud, des opérations informatiques, du conseil et de nombreuses autres prestations auprès d'organisations externes. Chacune de ces relations peut créer des dépendances, des droits d'accès et des flux de données. La gestion des risques liés aux tiers (Third-Party Risk Management) structure ces risques sur l'ensemble du cycle de vie d'une relation commerciale. Elle relie les achats, la sécurité de l'information, la protection des données, le service juridique, les départements métiers et la direction de l'entreprise en un processus traçable.

Les termes Gestion des risques liés aux tiers (TPRM) et Gestion du risque vendeur sont souvent utilisés dans la pratique pour des programmes similaires. La gestion des risques liés aux fournisseurs (Vendor Risk Management) se focalise souvent sur les fournisseurs. Le TPRM peut en outre inclure des prestataires de services, des partenaires commerciaux, des consultants et d'autres parties externes. Gestion des risques liés aux tiers dans le domaine des TIC désigne la partie liée aux technologies de l'information et de la communication. Ce qui est décisif, ce n'est pas l'étiquette, mais un champ d'application clairement défini.

L'essentiel en bref

• Un processus TPRM robuste commence par un inventaire tenu à jour et une classification de criticité basée sur les risques.
• La due diligence combine auto-déclarations, justificatifs, informations contractuelles, connaissances internes et vision technique externe.
• La profondeur des contrôles, l'approbation, les mesures contractuelles et le suivi dépendent du dommage potentiel et de la dépendance.
• Une note de sécurité ou une analyse externe complète l'évaluation organisationnelle, mais ne la remplace pas.
• L'offboarding fait partie du processus : les accès, les données, les sous-traitants, les justificatifs et les obligations restantes doivent faire l'objet d'une clôture contrôlée.

Ce que la gestion des risques liés aux tiers doit accomplir

Le TPRM crée un cadre de décision unifié pour les risques liés aux relations commerciales avec des parties externes. Le programme répond à cinq questions pratiques : Avec qui l'entreprise collabore-t-elle ? Quel service est fourni ? Quels systèmes, données ou processus commerciaux sont concernés ? Quels dommages peuvent résulter d'une panne, d'une attaque ou d'un manquement à une obligation ? Quel traitement est requis avant et pendant la collaboration ?

Le NIST Cybersecurity Framework 2.0 associe la gestion des risques liés à la chaîne d'approvisionnement en cybersécurité à la fonction „ Govern “ (Gouverner). La catégorie GV.SC exige entre autres des fournisseurs connus et priorisés selon leur criticité, des rôles convenus ainsi que des exigences dans les contrats. La norme NIST SP 800-161 Rev. 1 décrit à cet effet une approche à l'échelle de l'organisation et fondée sur les risques pour l'identification, l'évaluation, le traitement et la surveillance continue des cyberrisques dans la chaîne d'approvisionnement. Ces publications ne sont pas des lois allemandes, mais offrent une structure viable pour les programmes internes.

Le TPRM va bien au-delà d'un simple questionnaire de sécurité lors des achats. Il accompagne la sélection, l'intégration, l'exploitation, les modifications substantielles, les incidents, le renouvellement des contrats et la fin de relation. Les exigences réglementaires peuvent déclencher des contrôles supplémentaires. Pour les entités financières soumises au règlement DORA, la gestion du risque lié aux tiers TIC pertinent pour les services TIC externalisés. Les entreprises relevant du champ d'application de NIS2 devraient également Sécurité de votre chaîne d'approvisionnement intégrer dans la gestion des risques.

Le processus TPRM de l'inventaire à l'offboarding

Au début se trouve un répertoire central des tiers. Il devrait contenir les partenaires contractuels, la prestation fournie, le propriétaire interne, la durée, les sous-traitants, les types de données, les voies d'accès et les processus concernés. Les systèmes d'achat, les archives de contrats, les données financières et les systèmes d'identité fournissent des indications à cet effet. Aucun système unique ne contient nécessairement toutes les informations requises. C'est pourquoi l'inventaire a besoin d'un service responsable et d'occasions de mise à jour définies.

La criticité détermine ensuite la profondeur du contrôle. Les critères sont par exemple l'importance du service soutenu, l'accès aux systèmes de production, le traitement de données sensibles, l'interchangeabilité, les risques de concentration et les impacts potentiels d'une panne. Une petite agence sans accès au système nécessite généralement un contrôle différent de celui d'un fournisseur cloud sur lequel tourne un processus central. La classification doit être effectuée avant la sélection et réexaminée en cas de modifications importantes.

Un modèle de type stage-gate empêche qu'un fournisseur de services critique ne soit déployé en production avant la fin de l'évaluation prévue. Des exceptions restent possibles, mais elles requièrent un responsable du risque désigné, une justification, des mesures compensatoires et une date d'expiration.

Le traitement des risques fait suite à l'évaluation. Les risques évitables peuvent être réduits en modifiant la portée des prestations ou en changeant de fournisseur. Des mesures techniques et organisationnelles réduisent la probabilité d'occurrence ou l'impact. Les assurances et les dispositions contractuelles peuvent transférer certaines conséquences financières, mais n'éliminent pas la dépendance opérationnelle. Seul le rôle habilité à cet effet est autorisé à accepter un risque résiduel restant. La décision, la période d'acceptation et les critères d'acceptation doivent être consignés dans la documentation. Si une mesure est convenue, elle nécessite un responsable, un délai et une preuve de sa mise en œuvre. Ces règles empêchent que des points ouverts ne subsistent sans pilotage après l'acquisition.

Combiner la due diligence et les sources de données techniques

La due diligence examine les informations disponibles concernant un tiers et ses prestations qui sont pertinentes pour la décision. Le guide de démarrage rapide SP 1326 du NIST mentionne, entre autres, l'origine et le contrôle, la résilience, les pratiques cyber de base et les niveaux de la chaîne d'approvisionnement comme domaines d'investigation pour les fournisseurs de TIC. Il n'en découle pas pour les entreprises un formulaire standard rigide. Les questions doivent être adaptées à la prestation, à la criticité et à la situation réelle d'accès.

Les auto-évaluations expliquent les processus, les contrôles internes, la planification de la reprise d'activité et les responsabilités. Les certificats et les rapports d'audit fournissent des preuves pour un domaine d'application et une période définis. Les contrats indiquent les prestations promises, les canaux de notification, les droits d'audit et les règles de résiliation. Les données internes documentent les incidents, la qualité de service et les mesures en suspens. Les sources publiques peuvent mettre en évidence les interconnexions d'entreprises, les avis de sécurité ou les modifications techniques.

Une analyse technique externe examine la surface d'attaque visible depuis Internet. Elle peut révéler des systèmes accessibles, des logiciels utilisés, des indices de configuration et des changements. Un Note de sécurité condense des observations sélectionnées en indicateurs compréhensibles. Cependant, cette perspective externe ne prouve ni l'ensemble des contrôles internes ni l'efficacité de chaque processus. Elle n'identifie pas non plus nécessairement la version vulnérable spécifique d'un logiciel. Inversement, un questionnaire peut passer à côté d'expositions techniques que le fournisseur lui-même ignore.

Une évaluation solide synthétise les sources et indique la portée, l'actualité et le niveau de preuve. Les contradictions déclenchent une clarification. Si, par exemple, une entrée de sous-domaine manque dans le questionnaire alors qu'elle peut être techniquement attribuée au fournisseur, l'auditeur doit confirmer l'attribution et discuter de la constatation avec la tierce partie. Les évaluations automatiques ne doivent pas simuler de décision de validation finale.

Rôles et RACI dans la gestion des risques liés aux tiers

Le TPRM échoue souvent non pas par manque de données, mais en raison d'une responsabilité peu claire. Le métier connaît l'utilité, la dépendance et les impacts opérationnels. Les achats pilotent la sélection et les accords commerciaux. La sécurité de l'information évalue les cyberrisques et les justificatifs techniques. La protection des données et le service juridique vérifient leurs exigences respectives. L'équipe Vendor ou TPRM gère la méthodologie, la plateforme, les délais et le reporting. La direction générale tranche pour les risques situés au-delà des seuils définis.

Une matrice RACI distingue l'exécution, la responsabilité (accountability), la consultation et l'information. Un seul rôle devrait être responsable (accountable) par décision. Pour la criticité, le métier peut fournir les indications, tandis que le propriétaire du processus du modèle TPRM est responsable de la validation méthodologique. En cas de risque technique élevé, la sécurité de l'information réalise l'analyse ; le propriétaire du risque compétent décide du traitement ou de l'acceptation.

La tierce partie a également besoin de points de contact désignés pour la sécurité, les incidents et les questions contractuelles. Le NIST CSF 2.0 recommande d'établir et de coordonner des rôles pour les fournisseurs, les clients et les partenaires, tant en interne qu'en externe. En pratique, les voies d'escalade, les délais de réaction et les obligations d'information doivent figurer dans le contrat ou dans une annexe contraignante. Un modèle de terminologie commun évite que le terme „ critique “ n'ait des significations différentes selon les achats, l'informatique et la gestion des risques.

La matrice RACI ne doit pas refléter chaque question individuelle. Elle doit rendre visibles les transferts : qui ouvre l'audit ? Qui est autorisé à demander des documents ? Qui évalue les exceptions ? Qui suit les mesures ? Qui bloque un accès de production lors de l'offboarding ? Peu de droits de décision clairs sont plus utiles en exploitation qu'un très grand tableau des responsabilités.

Mesures contractuelles, suivi et escalade

Les résultats de la due diligence sont intégrés dans des mesures contractuelles adaptées aux risques. Les sujets potentiels sont les contrôles minimaux, les délais de notification des incidents de sécurité, la participation aux enquêtes, la gestion des sous-traitants, les justificatifs, les droits d'audit, la restitution des données et l'assistance à la sortie. La fonction juridique compétente doit décider quelles clauses sont nécessaires et juridiquement adaptées pour le contrat concret.

Après l'intégration, le risque évolue. De nouveaux domaines, services cloud, certificats, composants logiciels ou erreurs de configuration peuvent modifier la visibilité externe. Par ailleurs, des attestations expirent, des interlocuteurs changent, des prestations sont étendues ou des sous-traitants sont ajoutés. La surveillance associe par conséquent des signaux techniques à des événements organisationnels. Le rythme dépend de la criticité et de la dynamique : un prestataire TIC critique exige des contrôles plus stricts qu'un tiers n'ayant pas accès à des informations sensibles.

Pour les indications techniques, le processus doit définir des seuils et des escalades. Un nouveau constat est d'abord attribué et sa pertinence est vérifiée. S'ensuivent la validation, la demande de clarification auprès de la tierce partie, le délai d'intervention et, le cas échéant, l'escalade au propriétaire du risque. Le Approche de gestion des risques tiers de LocateRisk prend en charge la surveillance externe continue et le classement basé sur les KPI. Il ne remplace ni l'examen des contrats, ni l'audit interne, ni l'évaluation juridique.

Des indicateurs de pilotage adaptés mesurent séparément le processus et le risque. Les indicateurs de processus sont par exemple la proportion d'évaluations achevées dans les délais, les mesures en retard ou les tiers sans propriétaire. Les indicateurs de risque montrent les constats élevés ouverts, les concentrations ou les tendances par groupe de fournisseurs. Une valeur moyenne à elle seule peut masquer certaines dépendances critiques.

Horsboarding et amélioration continue

La cessation d'une relation commerciale ne réduit les risques que si les liens opérationnels sont effectivement supprimés. L'offboarding comprend les comptes, les clés API, les accès VPN, les certificats, les copies de données, les appareils, les transferts et les entrées dans les systèmes de support ou de surveillance. Le département spécialisé confirme la fin de la prestation. L'informatique et la gestion des identités révoquent les accès. La protection des données et le service juridique examinent la conservation, la suppression et les obligations continues. Les achats documentent la fin du contrat et les créances en suspens.

Pour les prestations critiques, un plan de sortie doit déjà exister avant la conclusion du contrat. Il prend en compte l'exportation des données, la transmission à un successeur, les dépendances techniques et une phase de transition contrôlée. Cela facilite également la réaction lorsqu'un risque n'est pas traité dans le délai convenu.

Suite à des incidents, des exceptions majeures et des retards récurrents, une brève analyse des causes est réalisée. Elle examine si les critères, les sources de données, les contrats ou les responsabilités doivent être adaptés. Tout aussi important est le nettoyage régulier de l'inventaire. Les doublons, les contrats expirés et les tiers sans propriétaire interne faussent les indicateurs et mobilisent inutilement des capacités de contrôle.

Un processus évolutif standardise les catégories de risques, les exigences en matière de preuves et les circuits de décision, sans traiter tous les fournisseurs de la même manière. L'automatisation peut collecter des données, surveiller les délais et signaler les changements. La décision liée aux risques reste traçable et incombe aux rôles compétents. Ainsi, le TPRM devient un processus de pilotage qui facilite les achats et traite les risques de manière transparente.

Questions fréquentes

---

Qu'est-ce que la gestion des risques liés aux tiers ?

La gestion des risques liés aux tiers (Third-Party Risk Management) est l'approche structurée de la gestion des risques découlant des relations avec les fournisseurs, les prestataires de services et d'autres parties externes. Elle comprend l'inventaire, l'évaluation de la criticité, la diligence raisonnable (due diligence), le traitement des risques, la surveillance et la fin de contrat (offboarding).

---

Est-ce que le TPRM et la gestion des risques liés aux tiers sont identiques ?

Les termes sont souvent utilisés de manière similaire. La gestion des risques liés aux fournisseurs se concentre généralement sur les fournisseurs. Le TPRM peut en outre inclure d'autres parties externes telles que des consultants, des partenaires de distribution ou des exploitants de processus communs. Le champ d'application concret doit être défini en interne.

---

Quelles sources de données doivent être incluses dans une évaluation des fournisseurs ?

Une combinaison de données de base, d'auto-évaluations, de certificats et de rapports d'inspection, d'informations contractuelles, d'expériences internes, d'incidents ainsi que d'observations techniques externes convient. Chaque source a une portée limitée et doit être documentée avec sa date et des preuves.

---

Est-ce qu'une notation de sécurité remplace la due diligence ?

Non. Une cote de sécurité fournit une vue externe et évolutive de signaux techniques sélectionnés. Elle ne peut pas évaluer de manière exhaustive les processus internes, les modèles d'accès, les risques contractuels ou l'efficacité de l'ensemble des contrôles.

---

Quand une tierce partie devrait-elle être réévaluée ?

Outre une réunion planifiée basée sur les risques, des déclencheurs concrets conviennent : des modifications substantielles des prestations, de nouvelles données ou de nouveaux accès, un incident de sécurité, de nouveaux sous-traitants, des changements techniques notables ou un renouvellement de contrat à venir.

Vous souhaitez surveiller systématiquement la posture de sécurité externe de vos tiers et l'intégrer dans votre processus TPRM existant ? En savoir plus sur Gestion des risques liés aux tiers avec LocateRisk.