Si les personnes qui vous permettent de rester en activité font faillite, que vous arrivera-t-il ?
C'est la question la plus importante à laquelle les responsables de la gestion des risques doivent répondre concernant leurs tiers et leurs partenaires de la chaîne d'approvisionnement, compte tenu de la crise actuelle liée à la pandémie de COVID-19. Et pourtant, seuls 10 % des dirigeants et des décideurs ont pleinement confiance dans leurs programmes de gestion des risques liés aux tiers, et seuls 50 % sont satisfaits de leurs solutions actuelles. Qu'est-ce que cela signifie ? Des programmes insuffisants et un manque de préparation pour faire face à l'inconnu.
En partenariat avec Shared Assessments, Prevalent a mené une enquête auprès de décideurs seniors en matière de risques en février 2020 afin d'étudier les tendances, les défis et les initiatives actuels en matière de risques liés aux tiers qui ont un impact sur les organisations aujourd'hui. L'objectif de cette étude était de dresser un état des lieux du marché en matière de risques liés aux tiers et de formuler des recommandations concrètes que les organisations peuvent mettre en œuvre pour développer et faire évoluer leurs programmes. Cet article résume les enseignements tirés de l'étude et les mesures que vous pouvez prendre pour mieux équiper votre programme de gestion des risques liés aux tiers en matière de résilience.
- Lisez le rapport complet comprenant 17 pages de statistiques d'enquête, d'analyses et de recommandations.
- Consultez notre infographie qui met en évidence les principales conclusions du rapport.
Principales conclusions de l'étude 2020 sur la gestion des risques liés aux tiers
Les résultats de l'étude suggèrent que :
L'absence de processus nuit à l'efficacité des programmes tiers.
La conformité (en particulier le respect des exigences en matière de protection des données telles que le RGPD) domine les moteurs du projet, mais les organisations manquent de ressources (budget) et de processus pour évaluer même leurs principaux fournisseurs, la plupart des évaluations prenant plus d'un mois à réaliser. Compte tenu de l'état de votre chaîne d'approvisionnement, pouvez-vous vous permettre un tel retard ?
La gestion des risques liés aux tiers est un travail d'équipe
Les équipes chargées de la conformité et de la cybersécurité ne sont pas les seules à devoir contribuer à un programme mature ; vous avez également besoin de collaborateurs capables d'évaluer et d'interpréter les risques commerciaux et financiers, en particulier dans le contexte actuel. Compte tenu des difficultés d'approvisionnement en ressources et du manque de confiance persistant dans les programmes, il sera difficile de fonctionner en vase clos.
Les conséquences sont importantes pour les organisations qui ne traitent pas correctement les tiers.
76 % des personnes interrogées ont déclaré avoir rencontré un ou plusieurs problèmes ayant eu un impact sur les performances des fournisseurs, 74 % ont signalé des problèmes opérationnels et 55 % ont signalé une violation de la conformité au cours des deux dernières années. Compte tenu de l'épuisement des ressources que représente en moyenne un programme TPRM, comment pourriez-vous vous en remettre ?
Peu d'organisations sont satisfaites de leurs outils actuels.
Lorsqu'on leur a demandé s'ils prévoyaient de mettre en œuvre une nouvelle solution de gestion des risques tiers ou d'améliorer/remplacer une solution existante au cours des 12 prochains mois, près de la moitié des personnes interrogées ont répondu « oui ». Lorsque la moitié du marché cherche à changer de solution, cela signifie forcément que les besoins ne sont pas satisfaits. Et cela n'a rien d'étonnant, étant donné que le taux de satisfaction des outils existants oscille autour de 50 % et que la moyenne pondérée de satisfaction pour les outils GRC plafonne à 3,4/5,0. Les fournisseurs de contenu d'évaluation standardisé vont à contre-courant de cette tendance : il est clair que les organisations s'appuient sur un contenu d'évaluation standardisé pour leur faciliter la tâche.
IRM – une solution ?
42 % des personnes interrogées indiquent qu'elles investiront dans l'IRM au cours de l'année à venir, mais elles s'inquiètent du manque de ressources/de personnel/d'expertise, de l'absence de connaissance en temps réel des changements et de l'absence d'intégration avec d'autres outils utilisés pour la gestion des fournisseurs ou la gestion des risques. La transformation numérique étant également un facteur déterminant, il est important pour les organisations de déterminer si un IRM polyvalent offre la flexibilité nécessaire pour répondre à leurs besoins, par rapport à une plateforme d'évaluation TPRM spécialement conçue à cet effet.
Le marché de la gestion des risques liés aux tiers se trouve à un tournant. Les utilisateurs n'évaluent pas suffisamment leurs principaux fournisseurs. Ils manquent de ressources et de budget pour financer correctement cette évaluation. La gestion des risques liés aux tiers est défaillante et les chaînes d'approvisionnement sont menacées.
Quelle est la voie à suivre ? Lisez les recommandations ci-dessous.
Recommandations pour la gestion des risques liés aux tiers
Développer et mettre en place un programme de gestion des risques tiers adaptable et agile ne doit pas nécessairement être un processus complexe et chronophage. Voici cinq (5) recommandations pour vous aider à démarrer vos activités de gestion des risques fournisseurs :
N° 1 – Élaborer un processus programmatique
Un processus programmatique devrait aider votre équipe à progresser :
- Définissez qui sont vos fournisseurs et quels risques inhérents ils représentent pour votre entreprise.
- Évaluer la stratégie adéquate pour recueillir les informations pertinentes auprès des tiers appropriés.
- Analyser les résultats des évaluations et noter les niveaux de risque en fonction d'un large écosystème de données.
- Remédier aux risques soulevés par l'analyse des évaluations réalisées
- Rapport sur les exigences industrielles et réglementaires, et à l'intention du conseil d'administration
- Optimiser le programme afin de l'adapter à l'évolution constante des besoins et des niveaux de ressources.
Quels sont les résultats d'une méthodologie aussi standardisée et reproductible ? Téléchargez le rapport complet pour le découvrir.
N° 2 – Constituer une équipe interfonctionnelle
Compte tenu de la complexité, personne ne peut à lui seul comprendre tout cela. La collaboration interne et externe est donc essentielle non seulement pour identifier les risques, mais aussi pour les atténuer.
N° 3 – Soyez exhaustif sans être complexe
Il existe sur le marché des solutions qui proposent une bibliothèque de questions prédéfinies correspondant à un certain nombre de cadres réglementaires ou sectoriels. Cela vous évite de multiplier les efforts et d'avoir à jongler avec une multitude d'exigences si vous essayez d'évaluer chaque cadre individuellement. Il est également beaucoup plus facile de prouver la conformité lorsqu'une seule question couvre plusieurs exigences à la fois.
N° 4 – Restez agile grâce à des options d'évaluation et d'analyse
Ne vous limitez pas à une seule option rigide pour collecter et analyser les enquêtes de vos tiers. Il existe plusieurs façons d'évaluer tous vos fournisseurs de premier plan (et ainsi surmonter l'un des principaux défis cités dans cette enquête).
- Libre-service : collectez uniquement les informations essentielles pour alimenter votre logique de profilage et de hiérarchisation. Au minimum, centralisez la gestion de tous vos fournisseurs en un seul endroit afin de conserver une bonne visibilité.
- Service géré : confiez l'évaluation de vos principaux tiers à un spécialiste de l'identification et de l'analyse des risques, et libérez votre équipe afin qu'elle puisse se concentrer sur la gestion des risques résiduels à long terme.
- Service partagé : tirez parti d'un réseau de questionnaires remplis par les fournisseurs et de preuves à l'appui pour vos fournisseurs de niveau inférieur afin de pouvoir concentrer les efforts de votre équipe (et la quantité adéquate de ressources) sur les fournisseurs de niveau supérieur.
N° 5 – Complétez votre processus décisionnel avec des informations basées sur les risques
Prendre des décisions en vase clos avec un ensemble de données limité ne permettra pas à votre équipe d'être efficace dans la gestion des risques fournisseurs. Recherchez plutôt des solutions basées sur une plateforme ouverte et intégrées à plusieurs solutions commerciales et de gestion des risques. Une solution solide offrira :
- Un profil de risque complet qui informe le niveau d'évaluation, la fréquence d'évaluation et la mesure du SLA.
- Un modèle de risque quantifié et contextualisé incluant les cyber-risques et les risques commerciaux, ainsi que les calculs ISO et FAIR.
- Gestion des réponses avec workflow et automatisation activés pour garantir que les informations sur les fournisseurs sont transmises aux bonnes personnes au sein de votre équipe.
- Rapports sur les risques et hiérarchisation des priorités, y compris le contexte et les orientations pour la hiérarchisation des priorités
- Diffusion automatisée des rapports pour garantir la transparence auprès des tiers et au sein de votre organisation
Comment vous situez-vous ?
Les outils et solutions IRM existants ne suffisent pas pour relever les défis liés à la gestion des risques liés aux tiers. Seul un modèle complet offrant un processus programmatique vers la maturité, avec des options de gestion des coûts et de reporting pour la conformité, fournira une base solide permettant aux équipes de gestion des risques de s'adapter au fil du temps.
Comment votre programme de gestion des risques liés aux tiers se positionne-t-il par rapport aux répondants à notre enquête ? Téléchargez les résultats complets et consultez l'infographie pour comparer vos propres pratiques en matière de TPRM.
Pour en savoir plus sur la manière dont Prevalent peut vous aider à relever les défis liés à la gestion des risques liés aux tiers, demandez dès aujourd'hui une démonstration de notre plateforme.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
