Considérez les scénarios suivants : une cyberattaque met hors service un fournisseur clé, entravant la capacité de votre entreprise à produire des biens. Des licenciements chez un fournisseur informatique entraînent une diminution de la surveillance des contrôles de sécurité et de la protection des données. Une catastrophe naturelle ou un événement géopolitique perturbe votre chaîne d'approvisionnement, retardant la sortie d'un nouveau produit. Un tiers essentiel est cité à comparaître et condamné à une amende pour manquement éthique, ce qui entraîne des problèmes de réputation pour votre entreprise en raison de votre « culpabilité par association ».
Chacun des événements liés aux risques fournisseurs mentionnés ci-dessus peut entraîner des dépassements de coûts, compromettre les revenus et nuire à la confiance des clients. Si ces risques font l'objet d'un suivi, celui-ci est effectué de manière cloisonnée, ce qui oblige les organisations à adopter une attitude réactive lorsqu'une perturbation survient. Comment vos équipes chargées des achats et de la gestion des fournisseurs peuvent-elles anticiper les risques fournisseurs avant qu'ils n'aient un impact sur votre organisation ? Voici sept façons d'obtenir une visibilité et un contrôle proactifs des risques à chaque étape de la relation avec les fournisseurs.
1. Intégrer les évaluations des risques dans le processus de recherche et de sélection des fournisseurs
Compte tenu de la complexité de l'environnement commercial actuel, il est risqué de baser l'approvisionnement et la sélection des fournisseurs
uniquement sur leur adéquation technique. Il est désormais essentiel que les équipes chargées des achats et de l'approvisionnement vérifient également si le profil de risque d'un fournisseur potentiel est acceptable. Cela implique d'évaluer plusieurs dimensions du risque, notamment :
- Données démographiques : le fournisseur se trouve-t-il dans une région sujette aux catastrophes naturelles ou à l'instabilité géopolitique ?
- Écosystème des quatrièmes parties : sur quelles quatrièmes et Nèmes parties
le fournisseur s'appuie-t-il ? - Cybersécurité : Le fournisseur a-t-il été victime d'une violation et, si oui, quel type de données a été affecté ? Quelle a été sa réaction ?
- Activités commerciales et financières : Le fournisseur a-t-il récemment fait l'objet d'une fusion ou d'une acquisition ? Son historique financier ou de crédit soulève-t-il des inquiétudes ?
- Conformité : Le fournisseur a-t-il fait l'objet de signalements pour violation de la confidentialité des données, des normes environnementales, sociales et de gouvernance, de la législation anti-corruption ou des sanctions de l'OFAC ? A-t-il fait l'objet de sanctions ?
- Réputation : Le fournisseur a-t-il fait l'objet de critiques dans les médias ou d'autres moyens de communication publics ?
En recherchant dès le début des informations sur les risques, vous pouvez comparer les fournisseurs potentiels au-delà de leur adéquation technique et établir un niveau de risque de référence pour chaque fournisseur que vous sélectionnez.
2. Inclure des dispositions fondées sur les risques dans les contrats avec les fournisseurs
Veillez à reporter les conclusions de la diligence raisonnable issues des phases de sourcing et de sélection dans le cycle de vie du contrat. Intégrez des clauses clés relatives aux risques dans vos contrats fournisseurs et tirez parti d'une solution automatisée de gestion du cycle de vie des contrats pour :
- Rationalisez chaque étape du cycle de vie des contrats grâce aux fonctionnalités d'automatisation des flux de travail.
- Suivez les attributs clés tels que les dates, les valeurs, les rappels et les statuts.
- Simplifiez les processus d'approbation grâce à des rappels, des avis de retard et d'autres fonctionnalités de gestion des tâches.
- Assurez la visibilité grâce au suivi des discussions, à la gestion des documents et au contrôle des versions.
Les dispositions contractuelles doivent préciser les délais de notification des incidents et exiger un préavis en cas d'événements susceptibles d'avoir une incidence sur les relations avec les fournisseurs, afin que vous puissiez préparer des plans d'urgence adéquats.
3. Suivez de près les indicateurs clés de performance (KPI) et les indicateurs clés de risque (KRI)
Il peut être difficile de communiquer efficacement les risques liés aux fournisseurs et leur impact potentiel sur l'activité. La mesure et le suivi des indicateurs clés de performance (KPI) et des indicateurs clés de risque (KRI) sont essentiels au processus de gestion des risques fournisseurs, mais les feuilles de calcul peu maniables et les tableaux de bord trop détaillés peuvent empêcher les décideurs de « voir la forêt qui se cache derrière les arbres ».
Afin d'apporter plus de clarté sur les KPI et les KRI, Prevalent a créé un livre électronique et un tableau de bord qui :
- Clarifie la différence entre les KPI et les KRI.
- Identifie quatre catégories d'indicateurs fournisseurs à mesurer
- Hiérarchise 25 indicateurs clés de performance (KPI) et indicateurs clés de risque (KRI) recommandés pour les fournisseurs afin d'en rendre compte au conseil d'administration et à la direction.
4. Adoptez une approche cohérente en matière de hiérarchisation et de catégorisation des fournisseurs.
Tous les fournisseurs ne nécessitent pas le même niveau de contrôle. Il est donc utile de classer et de catégoriser les fournisseurs en fonction du risque afin de hiérarchiser et de définir la portée de vos initiatives continues d'évaluation et de surveillance des risques.
Pour une approche plus structurée, envisagez de regrouper vos fournisseurs en fonction de trois catégories de risque:
- Risque profilé : pour commencer, regroupez vos fournisseurs en fonction du risque profilé, c'est-à-dire le risque associé à l'industrie de chaque groupe, à son importance pour la performance de l'entreprise, à son emplacement et à d'autres facteurs de haut niveau. Pour ce faire, il suffit généralement de mener une enquête rapide auprès des responsables internes des fournisseurs.
- Risque inhérent : il s'agit du niveau de risque spécifique à chaque fournisseur avant la mise en place des contrôles requis par votre organisation. Utilisez des questionnaires destinés aux fournisseurs pour recueillir des informations sur leur niveau d'accès à vos opérations et à vos données, vos processus de sécurité internes, votre dépendance vis-à-vis de tiers et de parties N, vos obligations légales et réglementaires, ainsi que d'autres facteurs spécifiques à votre entreprise. Les risques qui en résultent doivent être évalués en fonction de leur probabilité et de leur impact sur l'activité.
- Risque résiduel : disposer d'une note de risque inhérent de référence vous permet ensuite de calculer le risque résiduel, c'est-à-dire le niveau de risque restant après l'application des contrôles. Vous serez en mesure de déterminer le risque résiduel après avoir travaillé en étroite collaboration avec chaque fournisseur pour remédier ou atténuer les problèmes identifiés au cours du processus d'évaluation.
Le classement et la catégorisation doivent être effectués de manière cohérente afin d'obtenir une image précise de votre exposition aux risques liés aux tiers, d'éclairer la diligence raisonnable et de garantir que les fournisseurs sont évalués en fonction des risques et des normes qui comptent le plus pour votre entreprise.
5. Consacrer les ressources adéquates à l'évaluation des risques liés aux fournisseurs
Une évaluation précise et complète des risques liés à vos fournisseurs nécessitera probablement la participation d'experts issus de plusieurs disciplines au sein de votre entreprise, notamment la gestion des fournisseurs, les achats, la sécurité informatique, la conformité et la confidentialité, sans oublier vos contacts chez les fournisseurs. Une plateforme SRM centralisée peut vous aider en fournissant des évaluations automatisées et pertinentes des risques liés aux fournisseurs, qui réduisent considérablement le travail manuel tout en ralliant les parties prenantes internes et externes autour d'un processus unique et cohérent.
Lorsqu'il s'agit de choisir des questionnaires d'évaluation des risques, vous devez tenir compte de deux facteurs principaux :
- Contenu. Standardisé ou personnalisé ? Les questionnaires standardisés facilitent la comparaison entre les fournisseurs. Le contenu personnalisé permet une évaluation plus précise.
- Méthode. Devriez-vous le faire vous-même ou faire appel à un fournisseur de services gérés spécialisé ? De nombreuses organisations choisissent de consacrer leurs ressources à la gestion des risques, laissant la collecte des données fournisseurs à des spécialistes externes.
Quel que soit le contenu ou la méthode de collecte que vous utilisez, veillez à disposer d'une stratégie de remédiation pour agir sur les résultats de l'évaluation. Il est inutile de mener des évaluations des risques si vous n'êtes pas disposé (ou capable) d'aller jusqu'au bout.
6. Surveiller en permanence les risques liés aux fournisseurs
À tout moment, des entreprises peuvent faire faillite, de nouveaux produits peuvent être lancés ou des fusions et acquisitions peuvent avoir lieu. Les évaluations basées sur des questionnaires sont essentielles pour recueillir des données auprès des fournisseurs à des moments précis, mais de nouveaux risques apparaîtront inévitablement entre les évaluations périodiques.
Vous pouvez combler les lacunes entre les évaluations, maintenir à jour et précis les scores de risque, et savoir quand une enquête plus approfondie est nécessaire en tirant parti d'une solution de surveillance continue des risques pour analyser les sources publiques et privées d'informations sur les fournisseurs afin de :
- Expositions cybernétiques, telles que les violations de données, les fuites d'identifiants et les données d'entreprise sur le Dark Web
- Actualités économiques, telles que les opérations de fusion-acquisition et les mises à jour opérationnelles
- Mises à jour financières, telles que les documents publics, les rapports annuels et les comptes de résultats
- Problèmes liés à la réputation, tels que les médias défavorables et les dirigeants figurant sur les listes des personnes politiquement exposées (PPE)
- Violations de conformité, sanctions, entreprises publiques et autres conflits d'intérêts
S'il existe une bonne pratique dans cet article qui aidera les équipes chargées des achats et des fournisseurs à devenir plus proactives, c'est bien celle-ci. Non seulement vous devez exploiter les données de surveillance continue pour valider et mettre à jour les résultats des évaluations, mais vous devez également rechercher une solution SRM qui intègre des capacités de surveillance et d'évaluation pour une efficacité et une visibilité maximales.
7. N'oubliez pas le risque lié au départ des employés
Le risque que représente un fournisseur pour votre entreprise ne disparaît pas simplement à la fin ou à la résiliation du contrat. Un fournisseur détenant des données sensibles doit restituer et/ou détruire ces données en toute sécurité ; les obligations d'assistance peuvent survivre à un contrat d'achat ; et les organisations doivent s'assurer que tout accès des fournisseurs aux systèmes internes est supprimé.
Les éléments clés à prendre en compte dans votre stratégie de désengagement des fournisseurs doivent inclure :
- Évaluations centralisées des contrats afin de garantir le respect des engagements finaux
- Processus de départ visant à obtenir l'accord de toutes les parties prenantes internes avant la validation finale.
- Rapports visant à valider la conformité
Bien que cela puisse sembler évident, une étude menée par Prevalent a révélé que 43 % des entreprises n'évaluent pas activement les risques liés aux fournisseurs lors du départ d'un employé.
Télécharger le guide des meilleures pratiques
Pour évaluer votre processus actuel de gestion des risques fournisseurs par rapport aux meilleures pratiques, téléchargez Sept étapes pour un programme de gestion des risques fournisseurs plus proactif. Ce guide examine :
- Les caractéristiques d'un programme mature et proactif de gestion des risques fournisseurs (SRM)
- Comment gérer les différents risques à chaque étape de la relation avec les fournisseurs
- Principales fonctionnalités à rechercher dans une solution qui traite plusieurs types de risques liés aux fournisseurs
- Cas d'utilisation réels pour les entreprises qui ont relevé avec succès leurs défis en matière de SRM
- Conseils et astuces pour obtenir l'adhésion de l'ensemble de l'entreprise
Contactez-nous dès aujourd'hui pour planifier une démonstration au cours de laquelle nous vous montrerons comment faire passer votre programme SRM d'un mode réactif à un mode proactif.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
