Comment élaborer des indicateurs de risque pour les tiers ?

À mesure que les organisations deviennent de plus en plus interconnectées, accorder à des tiers l'accès aux données et aux systèmes devient non seulement avantageux, mais nécessaire. Cela peut toutefois ouvrir la porte à des vulnérabilités et à des incidents liés à des tiers, tels que des violations de données et des attaques de la chaîne d'approvisionnement, pouvant avoir de graves conséquences. Les conseils d'administration et les chefs d'entreprise exigent donc une plus grande visibilité sur les vastes écosystèmes tiers de leurs organisations.

Pour atténuer l'impact de ces risques, il est essentiel de comprendre cet écosystème multiforme et ses composantes : les personnes impliquées, les processus et les technologies. La gestion des risques liés aux tiers (TPRM) peut vous aider à relever ces défis. Lorsqu'il est correctement mis en œuvre, un programme TPRM vous permet d'identifier et d'atténuer les risques avant qu'ils n'aient un impact négatif sur votre organisation.

Rapports TPRM : une tâche complexe

Si les rapports TPRM sont essentiels pour identifier et hiérarchiser les risques, leur élaboration peut s'avérer complexe, tant pour les équipes novices que pour les équipes expérimentées. Même déterminer par où commencer peut être une tâche compliquée. Par conséquent, de nombreuses équipes ont du mal à communiquer efficacement sur les risques liés aux tiers, et certaines continuent de s'appuyer sur des méthodes et des tableaux de bord obsolètes, trop techniques et complexes. Il n'est donc pas surprenant que le sujet des risques liés aux tiers suscite souvent une certaine confusion entre le conseil d'administration, la direction générale et les équipes fonctionnelles.

Il est donc essentiel d'identifier, de formuler et de mettre en œuvre les indicateurs TPRM appropriés pour votre organisation. Pour relever les défis liés à l'identification et à l'atténuation des risques liés aux tiers, il faut également une planification minutieuse et une compréhension approfondie de la corrélation entre les indicateurs et les objectifs commerciaux.

Pour répondre à ces préoccupations, cet article va :

• Expliquez ce que sont les indicateurs TPRM et pourquoi ils sont essentiels.

• Vous guider tout au long du processus d'élaboration et de mise en œuvre des indicateurs TPRM appropriés à différentes étapes du cycle de vie de la gestion des risques liés aux fournisseurs tiers.

• Partager les meilleures pratiques et les facteurs critiques à prendre en compte lors de la formulation des indicateurs TPRM

Les indicateurs TPRM et leur importance

Avant de décider quelles mesures mettre en place, nous devons examiner en détail ce que sont les mesures TPRM, leur importance et les types de catégories de mesures que vous devez connaître.

Les indicateurs TPRM sont des indicateurs qui aident une organisation à évaluer les progrès de sa stratégie et de son programme TPRM. Lorsqu'ils sont correctement mis en œuvre, ces indicateurs rassurent la direction, le conseil d'administration et les auditeurs de l'organisation sur le fait que les tiers avec lesquels ils travaillent présentent un niveau de risque acceptable. Si ces tiers sont associés à des risques inacceptables, le fait de disposer des bons indicateurs simplifiera les processus de remédiation et d'atténuation.

Il est donc important pour une organisation de disposer de mesures significatives comprenant un ensemble consolidé d'indicateurs de risque clés (KRI) et d'indicateurs de performance clés (KPI). Ceux-ci contribueront à réduire l'analyse de tableaux de bord de sécurité volumineux et complexes et permettront aux équipes de filtrer les données pertinentes dont elles ont besoin pour identifier et remédier aux risques.

L'identification, la formulation et le suivi des indicateurs TPRM appropriés sont des tâches cruciales pour les raisons suivantes :

Identification et évaluation des risques

Il est essentiel que les équipes soient en mesure de discerner et d'évaluer les différents niveaux de risque tout au long du cycle de vie des fournisseurs tiers. Des indicateurs uniques pour l'intégration, la gestion et le départ des fournisseurs permettront de mettre en évidence les risques pertinents auxquels les équipes doivent faire face de manière proactive à chaque étape.

Exigences réglementaires et de conformité

Avec environ 160 législations et cadres réglementaires différents à travers le monde, tels que ISO, CCPA, GDPR, PCI et NIST, chacun ayant ses propres exigences en matière de gestion des risques liés aux tiers, il est essentiel pour les organisations de régir de manière appropriée les tiers et de respecter les exigences de conformité.

Gestion des performances des fournisseurs

De nombreuses organisations ne disposent pas d'un moyen simple pour gérer les accords de niveau de service (SLA) avec leurs fournisseurs, ce qui augmente le risque d'introduction de risques dans l'écosystème. La mise en œuvre d'outils, de mesures et de programmes facilitant la surveillance continue des dispositions contractuelles vous permettra de garantir le respect des SLA.

Considérations financières

L'introduction d'indicateurs TPRM est également cruciale pour les processus de sélection des fournisseurs, de négociation des contrats et de résiliation des contrats d'une organisation. Ces indicateurs permettent aux équipes de planifier, surveiller, identifier et atténuer tout risque détecté.

Rapports au conseil d'administration et aux parties prenantes

Grâce à des indicateurs appropriés, les équipes peuvent régulièrement informer le conseil d'administration, la direction et les auditeurs de l'organisation, leur permettant ainsi de prendre des décisions éclairées concernant les risques potentiels qui pourraient survenir.

Amélioration continue du programme TPRM

Mesurer les bons indicateurs TPRM permet non seulement aux équipes d'identifier et d'atténuer les risques potentiels, mais aide également les différents services à coordonner les évaluations des risques liés aux tiers et à intégrer, gérer et désengager les fournisseurs tiers.

Développement de mesures TPRM

Après avoir examiné l'importance des indicateurs TPRM, penchons-nous sur le processus d'élaboration d'indicateurs TPRM efficaces à l'usage des équipes. La figure 1 ci-dessous illustre ce processus :

Figure 1 : Processus d'élaboration des indicateurs TPRM

Personnes : Nomination des dirigeants

Le PDG et le conseil d'administration de l'organisation chargent souvent le directeur de la gestion des risques (CRO) d'orchestrer et d'harmoniser le processus par l'intermédiaire d'un comité de gestion des risques d'entreprise (ERC), un groupe de travail composé de membres issus de différentes unités opérationnelles. Dans le cas des petites organisations qui ne disposent pas d'un CRO, l'ERC peut être composé du directeur de la sécurité informatique (CISO) ou du responsable informatique, du responsable des achats et du directeur financier (CFO). L'objectif est de faciliter la collaboration entre les services, quelle que soit la taille de l'entreprise.

Processus : définir qui et quoi mesurer

Étape 1 : Définir les objectifs de l'entreprise

Une fois l'ERC en place, les objectifs de l'entreprise en matière de TPRM sont alors déterminés. L'ERC commence par poser des questions stratégiques, notamment :

• Quels sont nos objectifs ? Que cherchons-nous à accomplir ?

• Avons-nous des indicateurs en tête ?

• Quelles réglementations s'appliquent à nous ?

• Pourquoi l'entreprise investit-elle dans ce programme ?

• Comment pouvons-nous démontrer la mise en œuvre réussie du TPRM à grande échelle ?

• Comment suivre l'évolution de la réduction des risques dans le cadre du programme au fil du temps ?

Après avoir répondu à ces questions, le comité d'évaluation des risques élabore les objectifs de l'entreprise en matière de TPRM, en utilisant éventuellement une solution proposée par un fournisseur de TPRM. Ceux-ci peuvent inclure :

• Protéger les données sensibles et la propriété intellectuelle de l'organisation et des clients

• Garantir la conformité légale et réglementaire des fournisseurs et prestataires

• Mise en œuvre de mesures visant à réduire les risques liés à la cybersécurité

• Mise en œuvre de mesures visant à atténuer les risques opérationnels et financiers

• Préserver la réputation de l'organisation

• Améliorer l'efficacité opérationnelle de l'organisation

• Assurer la résilience de l'entreprise grâce à un plan d'action clair et veiller à ce que les membres de l'équipe comprennent leurs rôles et responsabilités.

• Mettre en œuvre un programme de gestion des risques liés aux tiers (TPRM) qui favorise la prise de décisions éclairées

Catégories de mesures TPRM : aperçu général

Avant de définir des objectifs spécifiques pour chaque département, il est important de bien comprendre les différentes catégories d'indicateurs TPRM
qui peuvent être envisagées.

À ce stade, il est également essentiel de comprendre la différence entre les KPI et les KRI, car les deux sont tout aussi importants pour les indicateurs TPRM.

• Les indicateurs clés de performance (KPI) mesurent l'efficacité des processus et des fonctions organisationnels.

• 
  des indicateurs clés de risque (KRI) mesurent le niveau de risque auquel l'organisation est confrontée et l'efficacité avec laquelle il est géré.

Dans le cadre d'une stratégie solide de gestion des risques liés aux tiers, votre organisation doit se concentrer sur quatre domaines principaux d'évaluation. Chaque domaine comprend des indicateurs clés de performance (KPI) et des indicateurs clés de risque (KRI) qui fournissent des informations précieuses sur votre relation avec vos fournisseurs.

• Indicateurs de risque

Ces indicateurs permettent d'évaluer les risques associés à certains fournisseurs. Ils fournissent des informations sur les menaces potentielles, les stratégies d'atténuation correspondantes et le respect par le fournisseur des contrôles primaires et rémunérateurs.

• Indicateurs de menace

Ces indicateurs sont constitués de données accessibles au public relatives aux aspects cybernétiques, opérationnels, financiers et réputationnels. Ils permettent d'étudier la corrélation entre les données sur les risques liés aux fournisseurs et les menaces observables de l'extérieur.

• Indicateurs de conformité

Ces indicateurs révèlent dans quelle mesure les pratiques des fournisseurs sont conformes à l'environnement de contrôle interne de votre organisation. Ils mesurent également le respect des exigences et des cadres réglementaires, ce qui est essentiel pour maintenir les normes légales et industrielles.

• Indicateurs de couverture

Ces indicateurs sont conçus pour garantir que votre organisation ait une compréhension complète de l'empreinte mondiale de ses fournisseurs. Ils permettent d'identifier les tiers, quatrièmes et Nèmes parties de votre chaîne d'approvisionnement et de vérifier s'ils ont été classés de manière appropriée dans votre programme.

Les deux premières catégories, « Indicateurs de risque » et « Indicateurs de menace », comprennent principalement des indicateurs KPI et KRI liés aux facteurs de risque et aux influences externes. Les deux dernières catégories, « Indicateurs de conformité » et « Indicateurs de couverture », sont davantage axées sur l'évaluation et l'alignement internes des programmes. Ensemble, ces quatre catégories offrent une approche complète et équilibrée de la gestion des risques liés aux tiers.

Maintenant que nous comprenons les différentes catégories d'indicateurs TPRM, nous pouvons passer à l'établissement d'objectifs au niveau départemental.

Étape 2 : Fixer les objectifs du département

Au cours de cette phase, le PDG pourrait rencontrer les chefs de service et les inviter à participer à l'ERC. Dans les petites organisations, le PDG pourrait rencontrer le RSSI ou le responsable informatique, le responsable des achats et le directeur financier. Les chefs de service définissent ensuite les objectifs départementaux en matière de TPRM en s'appuyant sur les recommandations de l'ERC.

Voici quelques-unes des questions qu'ils pourraient se poser :

• Quelles interactions avec des tiers sont impliquées dans les opérations de notre département ?

• À quelles données et systèmes sensibles de notre département des tiers peuvent-ils accéder ?

• Quelles réglementations régissent notre département (par exemple, le RGPD) ?

Une fois cette étape terminée, des équipes départementales sont formées, dirigées par les chefs de département. Ces équipes auront plusieurs responsabilités qui sont mises en évidence dans les étapes suivantes.

Étape 3 : Identifier les tiers

Les équipes départementales commencent par identifier les tiers tels que les fournisseurs, les prestataires, les sous-traitants, les partenaires logistiques, les fournisseurs de services cloud ou autres. À ce stade, les équipes peuvent collaborer avec les services achats, comptabilité fournisseurs ou d'autres équipes internes qui tiennent à jour une liste de fournisseurs et prestataires afin de centraliser ces tiers pour une meilleure gouvernance.

Étape 4 : Identifier les risques à mesurer

Une fois les tiers identifiés, les équipes déterminent les risques potentiels associés à chacun d'entre eux. Ces risques peuvent inclure des violations de données, des problèmes de réputation, des amendes réglementaires, des problèmes de solvabilité financière et des perturbations de la chaîne d'approvisionnement.

[Encadré] :

Recommandation : Votre organisation pourrait être confrontée à plusieurs risques liés aux fournisseurs dont vous n'aviez pas conscience auparavant. Découvrez ces différents types de risques et comment les atténuer en lisant l'article de blog : Principaux risques liés aux fournisseurs et comment y remédier

Étape 5 : Identifier les indicateurs de performance

Après avoir identifié les tiers et les risques potentiels, les équipes créent et établissent des indicateurs de performance afin d'assurer un suivi régulier.

La section suivante donne un aperçu de ce qui définit un bon indicateur pour la gestion des risques liés aux tiers (TPRM).

• Disponibilité/qualité des données : cela garantit que les données sont disponibles pour la création de rapports et que les équipes peuvent accéder à un référentiel centralisé contenant des profils de risque complets des fournisseurs.

• Normalisation/cohérence : L'harmonisation des processus et des points de vue entre les unités opérationnelles concernant les risques potentiels liés aux fournisseurs peut rationaliser les opérations.

• Intégration des données entre plusieurs systèmes : cela fait référence à la consolidation et à l'intégration des plateformes afin d'offrir une vue unifiée des risques liés aux fournisseurs dans l'ensemble de l'organisation.

• Simplicité d'analyse :
  L'automatisation des processus programmatiques peut aider à gérer le volume important de données à analyser.

• Interprétation et contextualisation : cela implique de comprendre le public et le contexte afin de fournir des informations claires, concises et pertinentes.

• Formatage des rapports et communication : la capacité à synthétiser, communiquer et présenter les données dans un format convivial est essentielle.

• Rapidité et fréquence : la capacité à surveiller en permanence les fournisseurs et à comprendre l'évolution des risques en temps réel est primordiale dans tout programme TPRM efficace.

À ce stade, les équipes peuvent également solliciter l'aide et les recommandations de votre fournisseur TPRM. Les fournisseurs expérimentés proposent généralement des bibliothèques contenant du contenu pertinent, des guides pratiques et d'autres informations pour aider à identifier les risques pertinents, suivre les indicateurs de performance, élaborer des stratégies de reporting et répondre à d'autres préoccupations.

[Encadré] :

Suivez ces conseils pour éviter les pièges courants lors de la mise en place des indicateurs TPRM : Évitez les situations de « conception par comité » : chaque groupe de travail responsable de la TPRM peut avoir une vision unique des indicateurs pertinents. [CB2] Efforcez-vous d'adopter une approche intégrée plutôt que fragmentée. Soyez attentif aux besoins spécifiques de votre organisation : alignez les indicateurs sur les objectifs de votre programme TPRM afin de vous assurer qu'ils sont pertinents et significatifs. Évitez la surcharge d'informations : assurez-vous que toutes les équipes s'accordent sur les données spécifiques à mesurer et sur la manière dont elles doivent être utilisées. Toutes les données ne sont pas pertinentes ou utiles. Ne partez pas du principe que les indicateurs sont faciles à identifier et à suivre : ce processus nécessite de la diligence et un examen minutieux des contrats afin de s'assurer que toutes les données pertinentes sont prises en compte. Faciliter la collaboration interfonctionnelle : impliquer les équipes de différents services dans l'examen des indicateurs afin de garantir une perspective globale. Évitez de trop vous concentrer sur les performances et pas assez sur les risques : accorder trop d'importance aux indicateurs clés de performance (KPI) et pas assez aux indicateurs clés de risque (KRI) peut conduire à des conclusions biaisées. Évitez de vous fier uniquement à un seul indicateur : un seul indicateur ne reflète pas entièrement l'ensemble du programme ; il est essentiel de prendre en compte plusieurs mesures. Reconnaissez qu'il n'existe pas de solution universelle : différents indicateurs s'appliqueront différemment à diverses situations, évitez donc de supposer qu'ils sont uniformes. N'hésitez pas à demander des données à vos fournisseurs dès le début du processus : un accès précoce aux données facilite la prise de décisions éclairées. Ne considérez pas la TPRM comme une initiative ponctuelle : il s'agit d'un processus continu et dynamique.

Étape 6 : Harmoniser les indicateurs tout au long du cycle de vie de la gestion des risques liés aux fournisseurs

Au cours de cette étape, l'ERC collabore avec les chefs de service et met en place des groupes de travail afin d'harmoniser tous les risques identifiés et les indicateurs de performance. Les groupes s'efforcent ensuite de normaliser et de synchroniser les indicateurs à chaque étape du cycle de vie de la gestion des risques liés aux fournisseurs tiers.

Le tableau suivant met en évidence certaines mesures qui doivent être prises en compte à chaque étape, ainsi que le service généralement concerné :

Étape du cycle de vie des risques liés aux tiers	Sélectionner les indicateurs TPRM	Pertinent pour ces équipes interfonctionnelles
1. Approvisionnement et sélection	Nombre de fournisseurs de niveau 1 qui n'ont pas renvoyé leur auto-attestation Cote de crédit ou autre score financier Cote de réputation ou couverture médiatique négative provenant de sources d'information externes	Marchés publics Sécurité informatique
2. Accueil et intégration	Nombre de fournisseurs utilisés sans profil détaillé ni informations sur le service ou le produit utilisé Nombre de fournisseurs qui présentent un risque élevé continu après une intégration réussie Délai moyen d'intégration (MTTO) – temps écoulé entre l'engagement et la fin de l'évaluation initiale des risques liés à la diligence raisonnable pour un nouveau fournisseur.	Marchés publics Gestion des risques
3. Évaluer le risque inhérent	Pourcentage de fournisseurs ayant terminé, réussi ou échoué à une évaluation initiale des risques inhérents à leur intégration Risque inhérent à chaque catégorie de domaine de sécurité (par exemple, contrôle d'accès, gestion des actifs, sécurité physique, etc.) au sein de la chaîne d'approvisionnement Nombre de fournisseurs recevant des paiements qui n'ont pas encore été intégrés	Sécurité informatique Gestion des risques Finances
4. Évaluer et corriger	Délai moyen pour réaliser les évaluations des fournisseurs Risque résiduel (après application des contrôles) provenant de chaque catégorie de domaine de sécurité (par exemple, contrôle d'accès, gestion des actifs, sécurité physique, etc.) au sein de la chaîne d'approvisionnement. Qualité des déclarations de conformité des fournisseurs par niveau (1, 2, 3, 4)	Sécurité informatique Audit interne et conformité
5. Surveiller et valider	Différence en pourcentage entre l'auto-attestation du fournisseur et les menaces basées sur des sources de renseignement Précision de la source d'informations sur les menaces, mesurée par le nombre de faux positifs/nombre d'alertes (exprimé en %) Nombre de fournisseurs de niveau (1, 2, 3, 4) présentant des indicateurs actifs de menace « élevée »	Sécurité informatique Gestion des risques
6. Gérer les performances continues	Nombre d'incidents de sécurité de priorité 1 générés par la chaîne d'approvisionnement au cours du dernier trimestre Nombre de fournisseurs au sein de la chaîne d'approvisionnement présentant un score de risque élevé Couverture en % de la chaîne d'approvisionnement à l'échelle mondiale	Sécurité informatique Marchés publics Gestion des risques
7. Résiliation et départ	Nombre de fournisseurs à tous les niveaux présentant des lacunes importantes en matière de renseignements sur les menaces ou de contrôle qui ne font pas l'objet d'une gestion efficace. Nombre de fournisseurs classés comme relevant du champ d'application d'un programme de conformité (par exemple, SOX, PCI, RGPD) Nombre de fournisseurs hors niveau 1 soumis à des obligations de conformité	Sécurité informatique Gestion des risques Marchés publics Audit interne et conformité

[Encadré] :

Recommandation : Pour en savoir plus sur la manière d'identifier les bons indicateurs TPRM, lisez l'eBook « Les 25 KPI et KRI les plus importants pour la gestion des risques liés aux tiers » et téléchargez la fiche d'évaluation.

La solution TPRM la plus répandue

Que vous lanciez un nouveau programme TPRM ou souhaitiez optimiser vos initiatives existantes en matière de mesures TPRM, Prevalent peut vous fournir les solutions, les services et l'assistance dont vous avez besoin.

La plateforme Prevalent Third-Party Risk Management est une solution SaaS qui permet à l'ensemble de votre organisation de collaborer pour identifier, comprendre et réduire les risques liés aux fournisseurs. Grâce à la plateforme Prevalent, vous pouvez :

• Construire une base de données centralisée des profils de risque des fournisseurs et prestataires, y compris la cartographie des relations avec^{les quatrièmes} et^{n-ièmes parties}.

• Automatisez le processus d'évaluation des risques liés aux tiers grâce à une bibliothèque contenant plus de 200 questionnaires standardisés.

• Surveiller en permanence les risques nouveaux et émergents liés à la cybersécurité, aux finances, aux opérations et à la réputation.

• Gérez et suivez le processus de remédiation grâce à des fonctionnalités automatisées de workflow et de playbook.

• Partager des rapports contextuels sur les indicateurs clés avec les parties prenantes dans toute l'organisation.

Ceci est soutenu par notre équipe de services professionnels (PS) expérimentée, qui peut vous aider à rationaliser davantage le processus en :

• Aider à identifier les indicateurs KPI et KRI pertinents tout au long du cycle de vie des fournisseurs

• Établir des seuils d'attente et déclencher des alertes en temps opportun

• Vous accompagner tout au long du processus de remédiation et suivre les procédures de résolution

• Fournir l'accès à une bibliothèque complète de contenus TPRM, notamment en matière de rapports personnalisés, de programmes TPRM et de critères de performance associés.

• Travailler avec vous pour élaborer des rapports personnalisés adaptés aux différents intervenants

• Fournir à vos équipes le soutien et la documentation indispensables, basés sur divers workflows de statuts personnalisés.

Pour commencer à mesurer les indicateurs clés, téléchargez l'eBook et la fiche d'évaluation intitulés « Les 25 indicateurs clés de performance (KPI) et indicateurs clés de risque (KRI) les plus importants pour la gestion des risques liés aux tiers ». Ensuite, planifiez une démonstration pour découvrir comment Prevalent peut vous aider à automatiser et à accélérer votre programme de mesure des indicateurs TPRM.

À propos de Prevalent

Prevalent facilite la gestion des risques liés aux tiers (TPRM). Les entreprises utilisent nos logiciels et services pour éliminer les risques liés à la sécurité et à la conformité qui découlent de leur collaboration avec des fournisseurs et prestataires tout au long du cycle de vie des tiers. Nos clients bénéficient d'une approche hybride et flexible de la TPRM, qui leur permet non seulement d'obtenir des solutions adaptées à leurs besoins, mais aussi de réaliser un retour sur investissement rapide. Quel que soit leur point de départ, nous aidons nos clients à éliminer les difficultés, à prendre des décisions éclairées et à adapter et faire évoluer leurs programmes TPRM au fil du temps.

Pour en savoir plus, rendez-vous sur www.prevalent.net.

[CB1]Nous avons utilisé une expression similaire ci-dessus, mais dans un contexte différent. Je l'ai supprimée ici, car elle n'est pas vraiment nécessaire.

[CB2]Cette ligne pouvait être considérée comme contradictoire avec la ligne suivante, je l'ai donc supprimée.

---

Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.