Pendant des années, la gestion des risques liés aux tiers (TPRM) a suivi un schéma bien rodé. Un fournisseur est référencé, remplit un questionnaire de sécurité, transmet quelques certifications et valide son évaluation des risques. Les résultats sont consignés, archivés, puis bien souvent oubliés jusqu’à la revue annuelle suivante.
Pourtant, les fournisseurs font constamment évoluer leur infrastructure, leurs logiciels, leurs équipes et leurs mesures de sécurité. De nouvelles vulnérabilités apparaissent chaque jour, les cybercriminels adaptent leurs techniques et les incidents surviennent sans prévenir. Un prestataire qui semblait parfaitement sécurisé il y a six mois peut présenter un tout autre niveau de risque aujourd’hui.
Cette réalité se reflète d’ailleurs dans les nouvelles réglementations de cybersécurité. Les organisations doivent désormais gérer les risques liés aux tiers comme un processus continu, et non plus comme une simple formalité de conformité ponctuelle.
Les réglementations imposent une gestion continue des risques
Plusieurs textes réglementaires majeurs rappellent désormais que la gestion des risques doit être continue, proportionnée et intégrée aux opérations quotidiennes.
Selon l’article 21, paragraphe 2, point d), de la directive (UE) 2022/2555 (NIS 2), les entités doivent mettre en œuvre des mesures de gestion des risques de cybersécurité portant sur :
« La sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs. »
Cette obligation va bien au-delà d’une simple évaluation lors du référencement. Elle exige des organisations qu’elles appréhendent et maîtrisent les risques liés aux fournisseurs tout au long du cycle de vie de la relation contractuelle.
Cette attente est encore plus explicite dans le règlement d’exécution (UE) 2024/2690 de la Commission, qui précise les exigences techniques applicables aux entités essentielles et importantes. Les organisations doivent notamment mettre en place des processus structurés pour la sélection des fournisseurs, les exigences contractuelles de sécurité, la supervision continue et la gouvernance de la chaîne d’approvisionnement.
De même, le règlement DORA impose aux entités financières de surveiller en continu les prestataires tiers de services TIC pendant toute la durée de leur contrat, plutôt que de se contenter des contrôles préalables réalisés lors de leur entrée en relation.
Même au-delà des frontières européennes, des référentiels tels que les directives du NSC au Japon, le MAS TRM à Singapour, le cadre CSC aux Émirats arabes unis ou la norme CPS 230 de l’APRA incitent les entreprises à réévaluer régulièrement les risques externes et à maintenir une surveillance étroite de leurs prestataires critiques. La tendance est unanime : le risque fournisseur est dynamique, et les organisations doivent le piloter en conséquence.
Pourquoi les évaluations annuelles des fournisseurs ne suffisent plus
Le problème est simple : une évaluation n’est qu’une photographie à un instant T, alors que les menaces évoluent constamment. Imaginez que vous évaluiez un fournisseur de cloud en janvier. En juin, ce prestataire a pu subir une fuite de données, revoir son architecture d’hébergement, perdre une certification clé, racheter une autre entreprise ou révéler plusieurs vulnérabilités critiques. Aucun de ces événements n’apparaîtra dans l’évaluation menée six mois plus tôt.
Par conséquent, les entreprises qui s’en remettent uniquement à des revues périodiques fondent leurs décisions sur des informations obsolètes. Cela crée quatre angles morts majeurs :
- L’évolution de la posture de sécurité. Des certifications expirent, des vulnérabilités apparaissent et les mesures de sécurité se transforment.
- De nouveaux cyberincidents. Un fournisseur peut être victime d’un ransomware ou déclarer une violation majeure quelques semaines après son évaluation.
- Les mutations opérationnelles. Les prestataires peuvent faire appel à de nouveaux sous-traitants, élargir leur offre ou modifier en profondeur leur socle technologique.
- Les exigences réglementaires. Prouver une surveillance continue devient tout aussi déterminant que de démontrer la due diligence initiale.
Plus l’intervalle entre deux évaluations s’allonge, plus le fossé entre le risque documenté et le risque réel se creuse.
La surveillance continue comble le déficit de visibilité
Mettre en place une surveillance continue ne consiste pas à envoyer un questionnaire de sécurité chaque semaine. Il s’agit plutôt de conserver une visibilité permanente sur les changements susceptibles d’influer sur le risque fournisseur. Les organisations gagnent ainsi à surveiller des signaux concrets tels que :
- Les incidents de sécurité rendus publics
- Les nouvelles vulnérabilités affectant l’infrastructure du fournisseur
- Les évolutions de certifications et de statut de conformité
- La veille sur les menaces et l’exposition sur le dark web
- Les notations de sécurité et la surface d’attaque externe
- Les réorganisations d’entreprise ou changements opérationnels majeurs
Les équipes sécurité et gestion des risques peuvent ainsi concentrer leurs efforts sur les changements significatifs, au lieu de répéter machinalement le même processus d’évaluation selon un calendrier rigide. Au lieu de se demander : « Ce fournisseur était-il sécurisé l’an dernier ? », elles peuvent répondre à une question bien plus stratégique : « Ce fournisseur respecte-t-il toujours notre niveau de risque acceptable aujourd’hui ? »
De l’évaluation périodique à l’assurance continue
La due diligence initiale reste indispensable pour évaluer le niveau de sécurité d’un prestataire avant de s’engager. Mais pour maintenir cette confiance dans la durée, une validation permanente s’impose tout au long du cycle de vie du fournisseur. Cette approche permet notamment de :
- Détecter les risques émergents plus tôt
- Prioriser les réévaluations en fonction des changements réels plutôt que du calendrier
- Produire des preuves d’audit plus solides
- Réduire la charge manuelle tout en élargissant la couverture
- S’aligner plus fidèlement sur les exigences réglementaires comme la directive NIS 2 et le règlement DORA
En d’autres termes, les organisations passent d’une évaluation ponctuelle à une démarche d’assurance continue.
Comment 3rdComply facilite la gestion continue des risques fournisseurs
Pour les organisations qui peinent à concrétiser cette surveillance continue à l’aide de tableurs et de processus manuels, 3rdComply propose une plateforme de TPRM dédiée, conçue pour simplifier l’ensemble du cycle de vie des risques fournisseurs. Loin de remplacer les outils d’achats ou les plateformes GRC en place, 3rdComply les complète en automatisant les évaluations de prestataires, en centralisant les éléments de preuve, en surveillant les fournisseurs en continu grâce aux sources ouvertes, aux déclarations de failles, aux actualités et au dark web, et en s’appuyant sur l’IA pour confronter les réponses des tiers à vos propres politiques et référentiels. Pour les équipes aux ressources internes limitées, des services managés sont également proposés afin de prendre en charge l’évaluation et le suivi pour leur compte. Résultat : un dispositif de TPRM plus évolutif, guidé par les preuves et surveillé en continu, parfaitement adapté aux nouvelles exigences réglementaires sans alourdir la charge opérationnelle.
Les réglementations actuelles envoient un signal clair : la gestion des risques liés aux tiers n’est plus un rendez-vous annuel, c’est une responsabilité permanente.
Les organisations capables de répondre à cette question avec assurance seront non seulement mieux armées face aux exigences de conformité, mais elles bâtiront également une chaîne d’approvisionnement plus résiliente et digne de confiance. Aux risques émergents répondent des solutions innovantes.