Pendant des années, les professionnels de la gestion des risques liés aux tiers (TPRM), les consultants et même les régulateurs ont répété la même chose : pour réussir sa démarche TPRM, il faut appliquer une approche par les risques.
En pratique, la profondeur de l’évaluation des risques varie selon le fournisseur. Les prestataires à risque élevé font l’objet d’une analyse complète, les tiers à risque modéré d’un examen allégé, et ceux à faible risque du strict minimum.
Au-delà de la profondeur, cela influe bien sûr sur la fréquence. Le délai et la périodicité de réévaluation d’un fournisseur dépendent de sa catégorie de risque : une fois par an pour les tiers à risque élevé, tous les deux ans, voire plus, pour les profils moins risqués.
D’où vient cette logique
Ce principe historique s’explique par un constat simple : en gestion des risques liés aux tiers, les ressources sont très limitées.
Une grande entreprise peut compter plus de 1 000 fournisseurs, et une évaluation manuelle prend généralement entre 2 et 4 semaines. Aucune équipe ne peut accomplir ce travail pour chaque prestataire, chaque année. Il fallait donc prioriser, et l’approche par les risques s’est imposée comme la réponse naturelle.
Ce qui a changé en 2026
Mais aujourd’hui, en 2026, la quasi-totalité des services tiers utilisent l’IA d’une manière ou d’une autre. Ce qui signifie aussi que les changements chez vos prestataires s’opèrent à un rythme très soutenu.
Si vous vous en tenez à l’ancienne méthode et ne menez une réévaluation qu’une fois par an ou tous les deux ans, la situation a déjà considérablement évolué lorsque vous y revenez. Le risque a peut-être déjà dépassé la tolérance au risque de votre entreprise, sans même que vous le sachiez.
Autre problème : aujourd’hui, un fournisseur peut être classé à faible risque compte tenu de son usage initial et des données qu’il traite. Puis son périmètre d’intervention s’élargit et il devient hautement critique, sans que le responsable sécurité ou le RSSI n’en soit informé.
La réévaluation de ce fournisseur avec un périmètre d’analyse adapté n’interviendra qu’au cycle suivant, soit un ou deux ans plus tard. Voire jamais, puisque tout le monde continue de le considérer comme un prestataire sans risque.
L’IA est aussi la solution
Naturellement, la solution passe elle aussi par l’IA. L’IA peut réaliser une évaluation à une vitesse fulgurante : ce qui prenait autrefois des jours ou des semaines s’effectue désormais en moins d’une heure.
Et grâce à cette rapidité, les évaluations peuvent être répétées à une fréquence bien plus élevée que ce qu’un traitement manuel permettait.
Pourquoi nous pouvons abandonner ces anciens principes
Chez 3rdComply, nous sommes convaincus que l’IA, et la façon dont nous développons notre solution de gestion des risques liés aux tiers, permet d’abandonner ces principes d’un autre temps.
Pourquoi ? Parce que nous n’avons plus besoin de multiplier les niveaux d’approfondissement et d’étendue des évaluations selon qu’un fournisseur est à risque élevé, modéré ou faible. Chaque prestataire peut désormais bénéficier de la même évaluation exhaustive.
De plus, nous pouvons assurer la réévaluation et la surveillance bien plus souvent qu’une fois par an. Chaque jour, si vous le souhaitez.
Bien sûr, savoir quels fournisseurs sont les plus critiques reste essentiel, par exemple pour déterminer qui alerter en priorité en cas d’escalade ou chez qui prévoir un plan de réversibilité. Mais cette criticité n’a plus à dicter quels tiers sont évalués, ni à quel niveau de détail.
En somme, l’IA rend ces compromis définitivement caducs.
Ce que cela implique pour votre programme TPRM
Si votre programme TPRM repose toujours sur des catégories de risque et des revues annuelles, le moment est sans doute venu de vous demander s’il s’agit encore d’un choix guidé par le risque, ou d’un simple compromis lié à vos capacités d’autrefois.
C’est précisément pour cela que nous avons conçu 3rdComply. Nous serions curieux de connaître la vision de votre équipe sur le sujet. N’hésitez pas à engager l’échange !