Cela ne devrait pas arriver, et pourtant la tendance est bien là. De plus en plus d’entreprises imposent des SLA ou des délais cibles à leurs fonctions de contrôle pour boucler l’évaluation des risques avant de référencer un nouveau fournisseur.
La raison est facile à comprendre : chacun souhaite que son nouvel outil tiers soit opérationnel au plus vite. Et vu du côté des métiers, le processus d’évaluation des risques donne l’impression de s’éterniser.
Pourquoi imposer des délais aux fonctions de contrôle est contre-productif
Nous comprenons cette frustration. Mais fixer une échéance stricte aux équipes de sécurité, de gestion des risques, juridiques ou de protection des données est contre-productif et peut vite se retourner contre vous.
Dès que vous imposez une date limite à un processus, les équipes s’organisent avant tout pour respecter le calendrier. L’objectif glisse insidieusement de « bien évaluer ce fournisseur » à « clôturer cette évaluation avant l’expiration du SLA ». Les réponses sont survolées au lieu d’être remises en question. Les demandes de clarification passent à la trappe. L’évaluation est formellement terminée, mais le véritable travail de contrôle ne l’est pas.
C’est ainsi qu’un processus bâclé finit par valider un fournisseur qui aurait dû être signalé. Et l’entreprise conserve ce risque bien après que le tableau de bord des SLA est passé au vert.
Rapidité face à la due diligence
Pour autant, personne ne souhaite ralentir l’activité. Un bon prestataire externe apporte un réel gain de productivité et transforme le travail des équipes. Attendre plusieurs semaines une validation a également un coût bien réel.
La réponse ne consiste donc pas à dire « aucun délai, jamais ». L’enjeu est de trouver le juste équilibre entre un référencement rapide des nouveaux services et une due diligence des fournisseurs qui ait un sens véritable.
L’IA exécute, l’humain pilote
Avec 3rdComply, nous prenons en charge la partie la plus chronophage de la gestion des risques liés aux tiers (TPRM) pour les équipes de sécurité et de protection des données. Dès lors que le fournisseur transmet les informations requises, l’IA finalise l’évaluation en moins d’une heure.
Nous recommandons toutefois fortement que le responsable des risques, le RSSI ou l’acheteur passe en revue les réponses de l’IA. Ce sont eux qui connaissent les besoins réels de l’entreprise. Ils appliquent ses politiques, ses procédures, ses normes et ses exigences au quotidien. L’arbitrage final leur appartient.
3rdComply n’est pas conçu pour trancher à la place de l’humain. Nous laissons délibérément cette décision aux experts. Même dans le cadre de notre service managé, où nous examinons les résultats de l’IA pour le compte de nos clients, un regard humain pilote systématiquement le processus.
C’est notre principe fondateur : l’IA fait le travail, l’humain pilote. L’humain reste maître du processus, de la qualité et de la décision.
Ce que cela donne en pratique
Nous ne pouvons pas parler au nom de toutes les équipes de contrôle. Mais pour les fonctions sécurité et conformité qui utilisent 3rdComply au quotidien, les évaluations sont menées de bout en bout en moins de 6 heures.
La phase confiée à l’IA prend environ une heure. Le reste relève de l’expertise humaine : relire, arbitrer, échanger avec le fournisseur ou les métiers. Au total, le processus reste sous la barre des 6 heures, sans la moindre concession sur la qualité.
Aller vite, sans bâcler
Imposer un SLA à vos fonctions de contrôle peut sembler parfait sur le papier et très séduisant pour gagner en rapidité. Cela ne doit simplement pas se faire au détriment de la rigueur.
Avec 3rdComply, nous aidons les équipes à maintenir cette exigence tout en tenant leurs délais, que la pression provienne de la direction générale ou du processus achats.
Si cette situation vous est familière, échangeons ensemble. 3rdcomply.com #NoMoreBlindSpot