D'après mon expérience dans la mise en place de programmes de gestion des risques fournisseurs dans plusieurs entreprises, il existe cinq catégories de « pièges » auxquels les équipes de gestion des risques doivent prêter attention. Ces pièges vont de l'absence d'informations de contact simples sur les fournisseurs à la non-présentation des bons indicateurs de risque au conseil d'administration. Chacun d'entre eux peut entraîner des retards dans l'intégration, des risques non détectés et des manquements à la conformité s'il n'est pas traité immédiatement.
Pour vous aider à éviter certains des écueils que j'ai moi-même rencontrés, j'ai dressé une liste de questions à poser et de points à examiner.
1. Ne pas connaître votre univers de fournisseurs
Si vous ne savez pas qui sont vos fournisseurs, comment pouvez-vous les évaluer ?
- Votre liste de fournisseurs est-elle complète ? Connaissez-vous vos fournisseurs et leur nombre total ?
- Y a-t-il plusieurs services qui intègrent les fournisseurs? (Par exemple, les autorisations de 5 000 dollars permettent à n'importe qui d'acheter un service.)
- Avez-vous les coordonnées de tous les fournisseurs ?
- Qui est le contact commercial ?
- Qui assume le risque dans la relation avec le fournisseur ?
- Comprenez-vous l'engagement avec le fournisseur (par exemple, quels services il fournit) ?
- Pouvez-vous « suivre les données » du service jusqu'à la Nème partie ?
- Votre processus actuel donne-t-il l'impression que la gestion des risques liés aux fournisseurs est un obstacle plutôt qu'un catalyseur ?
- Les décisions relatives à la sélection, à l'intégration et au renouvellement sont-elles prises à partir de données de profilage, de risque inhérent et de risque résiduel?
2. Lacunes du programme
Sans contrôles indispensables en place, sur quoi vous basez-vous pour évaluer?
- Quels critères sont utilisés pour prendre les décisions relatives à la classification ? Les dépenses, l'engagement, la tolérance au risque ?
- Quels critères sont utilisés pour prendre les décisions en matière de diligence raisonnable ? En fonction des données traitées par le fournisseur (par exemple, sensibles, confidentielles, exclusives) ou en fonction de la catégorie de services fournis ?
- Comment identifiez-vous et examinez-vous les contrôles qui sont importants pour votre entreprise ?
- Avez-vous mis en place un comité directeur pour vous aider à prendre des décisions ?
- Qui sont les propriétaires du contrôle ?
- Quel est le niveau de compétence du personnel interne ? Existe-t-il un manuel pour les aider à gérer les processus et les incidents ?
3. Exigences complexes en matière de diligence raisonnable
Vos évaluations sont-elles difficiles et coûteuses ?
- Quel processus de gestion des demandes/requêtes avez-vous mis en place ? Par e-mail ? Comment les caractéristiques importantes des fournisseurs sont-elles enregistrées ?
- Dans quelle mesure le processus de demande des fournisseurs est-il transparent ?
- Combien de questionnaires différents sont utilisés pour évaluer les fournisseurs ? Est-il possible de les regrouper ?
- Comment gérez-vous la surcharge d'informations ? Existe-t-il un processus permettant d'associer les réponses à un questionnaire à une validation externe (par exemple, des scores de menace ou des alertes) ?
- La diligence raisonnable est-elle utilisée dans les processus d'approvisionnement ou de sélection des fournisseurs ?
4. Évaluation et traitement des risques peu clairs
Comment harmonisez-vous les résultats des questionnaires et les informations sur les menaces provenant des fournisseurs?
- L'impact et la probabilité sont-ils pris en compte dans le calcul des scores de risque ?
- Des seuils sont-ils en place pour identifier les risques qui nécessitent une attention particulière ? (Sinon, tous les risques sont examinés et nécessitent une réponse de la part du fournisseur, ce qui entraîne des retards et du gaspillage.)
- Les recommandations et les délais en matière de correction des risques sont-ils clairs pour toutes les parties (évaluateurs, fournisseurs, etc.) ?
- Comment les risques sont-ils suivis jusqu'à leur résolution ?
- Y a-t-il des propriétaires d'entreprise identifiés pour les risques ?
- Existe-t-il un processus ou un flux de travail d'exception/de disposition ?
- Existe-t-il un moyen de mesurer l'efficacité de la réduction des risques au fil du temps ? (Par exemple, existe-t-il des indicateurs de risque ou des jalons ?)
5. Absence d'indicateurs KPI et KRI ou de rapports
Si cela ne peut être signalé, comment changer la culture ?
- L'organisation fonctionne-t-elle en silos ? Si oui, comment le reporting des risques comble-t-il le fossé ?
- Quels indicateurs clés de performance (KPI) sont en place pour mesurer l'efficacité du programme TPRM ou des fournisseurs ?
- Les objectifs en matière de niveau de service sont-ils communiqués, compris et atteints ?
- Des indicateurs clés de risque (KRI) sont-ils en place pour mesurer la réduction des risques en temps réel et suivre leur évolution dans le temps ?
- Comment les risques sont-ils suivis et signalés ?
- Les rapports sont-ils créés manuellement ? Si oui, qu'est-ce qui pourrait manquer ?
- Quels indicateurs et quel statut de risque sont présentés au conseil d'administration ? Sont-ils utilisés pour étayer des décisions fondées sur des données ?
Ces pièges et ces questions ne sont certes pas exhaustifs, mais ils représentent les obstacles les plus courants auxquels se heurtent de nombreux programmes de gestion des risques fournisseurs à mesure qu'ils font évoluer leurs processus.
Téléchargez notre livre blanc intitulé « Navigating the Vendor Risk Lifecycle: Keys to Success at Every Stage » (Gérer le cycle de vie des risques liés aux fournisseurs : les clés du succès à chaque étape) pour découvrir d'autres bonnes pratiques, ou demandez une démonstration afin de discuter des exigences de votre programme avec nos experts.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
