La plupart des programmes de gestion des risques liés aux tiers (TPRM) n’échouent pas à cause d’un mauvais outil ou d’une équipe négligente. Ils échouent en raison d’hypothèses que personne ne remet en question.
Nous le constatons sans cesse, tous secteurs confondus et auprès des équipes d’audit, de gestion des risques et de TPRM. Une simple hypothèse non vérifiée s’ancre dans les processus, et toute une catégorie de fournisseurs passe sous les radars. Voici celle que nous rencontrons le plus souvent.
Les fournisseurs qui ne rentrent pas dans les cases
De nombreux programmes de TPRM sont conçus pour des fournisseurs capables de fournir une documentation de sécurité formelle. Certifications ISO, rapports SOC 2, politiques, procédures… Le processus fonctionne bien pour eux, car il y a de la matière à auditer.
Pourtant, chaque entreprise collabore aussi avec des prestataires dits atypiques. Une agence unipersonnelle. Un consultant indépendant. Un petit fournisseur issu d’un secteur où les certifications n’ont tout simplement pas cours. Pensez à un cabinet de recrutement : personne ne s’attend à le voir arriver avec un rapport SOC 2.
Que fait-on alors avec ces prestataires ? Généralement, l’un de ces deux réflexes prévaut :
- « Impossible de les évaluer, ils n’ont aucune certification. »
- « Ils sont trop petits pour représenter un vrai risque. »
Résultat : on ne fait rien. Ou presque. On se contente d’une attestation de responsabilité civile, parfois d’une police d’assurance cyber. Et si l’on envoie un questionnaire, on prend leurs réponses pour argent comptant, sans jamais exiger la moindre preuve.
Petit prestataire, données critiques
Le problème est là : la taille d’un fournisseur ne dit absolument rien de la sensibilité des données qu’il manipule.
Imaginez que vous soyez une entreprise de biotechnologie et que vous fassiez appel à un chercheur indépendant. Cette personne travaille sur vos données de recherche les plus confidentielles. Où sont-elles stockées ? Sur son ordinateur portable. Sont-elles chiffrées ? Sauvegardées ? Partagées avec d’autres ? Vous n’en savez rien, faute de lui avoir demandé la moindre preuve.
Prenez l’exemple du cabinet de recrutement. S’il vous aide à recruter votre prochain DAF ou directeur général, il détient des informations parmi les plus stratégiques et confidentielles de votre entreprise. Une fuite chez lui n’a rien d’un incident mineur, même si la structure est modeste.
Ces prestataires ont eux aussi besoin d’une véritable due diligence. Pas d’une version allégée sous prétexte qu’ils sont difficiles à évaluer.
Pas seulement au départ, mais en continu
Et ce n’est pas un exercice ponctuel. En un an, l’activité d’un petit prestataire peut profondément évoluer. Il fait appel à un sous-traitant, change d’outils, subit une compromission ou commence à traiter un volume de données bien supérieur à celui prévu lors du référencement. Se limiter à un contrôle au référencement suivi d’un silence radio n’est rien d’autre qu’une fausse certitude de plus.
Comment nous traitons ce problème chez 3rdComply
C’est précisément pourquoi 3rdComply ne s’appuie pas uniquement sur la documentation. Nous croisons plusieurs sources pour dresser un état des lieux réaliste de chaque fournisseur :
- Les documents dont ils disposent réellement
- Les actualités publiques concernant l’entreprise
- La surveillance du dark web
- Une analyse technique du site web du fournisseur
Mais pour les prestataires qui ne disposent que de peu ou pas de documents, cela ne suffit pas. C’est pourquoi nous développons un bot d’audit basé sur l’IA, conçu pour évaluer ces profils à grande échelle, sans avoir à dépêcher un auditeur sur place pour observer leurs méthodes.
Ce bot fonctionne entièrement en ligne. Il collecte des informations auprès du fournisseur par la voix, la vidéo et la photo, en plus de l’analyse documentaire que nous réalisons déjà. Le prestataire peut ainsi montrer concrètement comment il travaille au quotidien au lieu de simplement cocher des cases.
L’objectif est simple : évaluer chaque tiers avec la même rigueur, ou presque, qu’il s’agisse d’un éditeur SaaS mondial ou d’une structure unipersonnelle.
Envie d’en savoir plus ?
Si vous gérez une longue liste de prestataires sans documentation de sécurité mature et que vous hésitez sur la marche à suivre, nous serions ravis d’échanger sur vos pratiques actuelles. Et si vous souhaitez tester notre solution, contactez-nous sur 3rdcomply.com