GRC – abréviation de Governance, Risk, and Compliance (gouvernance, risque et conformité) – désigne l'alignement des processus, des technologies et des personnes au sein d'une organisation sur un cadre reproductible pour la prise de décision basée sur les risques. Mais qu'implique le GRC, et tient-il compte des risques présentés par les tiers ? Étant donné que plus de 60 % des violations de données impliquent un tiers d'une manière ou d'une autre, comment les organisations peuvent-elles développer une stratégie de gestion des risques simplifiée et holistique qui englobe non seulement les facteurs de risque internes, mais aussi ceux introduits par les parties externes avec lesquelles elles font affaire ? Ce blog abordera ces questions et fournira un résumé des capacités à rechercher lorsque vous élaborez votre stratégie GRC à l'aide d'un cadre standard commun à l'industrie : l'OCEG.
En quoi consiste la GRC ?
La GRC commence par définir les objectifs commerciaux et organiser les processus commerciaux et la supervision organisationnelle afin de garantir que l'entreprise atteigne ces objectifs. C'est le « G » : la gouvernance. Vient ensuite le « R » : l'application des principes de gestion des risques pour défendre ces objectifs, par exemple en mettant en place des processus de gestion des risques informatiques qui fournissent un cadre permettant de visualiser les cyberrisques potentiels susceptibles d'avoir un impact sur l'entreprise et de prendre des mesures pour y remédier. Enfin, il s'agit de garantir la conformité (le « C ») avec les cadres réglementaires et industriels mis en place pour s'assurer que les facteurs « G » et « R » de votre organisation sont alignés sur des pratiques éprouvées et acceptées.
Quel est le lien entre les risques liés aux tiers et la GRC ?
Bien qu'il s'agisse intrinsèquement d'un exercice interne, les pratiques fondamentales de GRC peuvent être étendues pour inclure les relations commerciales externes/avec des tiers de l'organisation. S'appuyant sur bon nombre des mêmes principes, la gestion des risques liés aux tiers (ou TPRM ) est un sous-ensemble de la GRC tourné vers l'extérieur, dans la mesure où elle permet d'identifier et de gérer les risques informatiques dans la chaîne d'approvisionnement (par exemple, les fournisseurs, les partenaires, etc.), c'est-à-dire votre entreprise étendue, afin de garantir un niveau acceptable de risque lié aux partenaires et de mesurer le respect des obligations de conformité par les fournisseurs. L'entreprise étendue est un sujet de préoccupation dans l'environnement moderne, externalisé et flexible – une simple extension de l'activité qui soutient les activités génératrices de revenus.
Plus précisément, TPRM automatise la collecte et l'analyse des preuves fournies par les fournisseurs dans le cadre de questionnaires ; identifie et hiérarchise les risques liés aux fournisseurs ; formule des recommandations pour remédier aux risques, accompagnées de conseils concrets et spécifiques ; surveille en permanence les risques cybernétiques et commerciaux grâce à des analyses externes, à la veille économique et à des tests de pénétration ; et établit des rapports par régime de conformité ou cadre sectoriel.
Sur le plan conceptuel, la GRC et la TPRM sont similaires dans leurs approches et leurs résultats, la TPRM bénéficiant de la GRC dans la mesure où une stratégie GRC holistique contribue à rendre la TPRM plus proactive et moins réactive. De plus, la TPRM prend également en compte les deuxième et quatrième parties dans l'entreprise étendue.
Vous élaborez un programme GRC ? Tenez compte de ce cadre pour vous assurer que la gestion des risques liés aux tiers (TPRM) est prise en compte dès le départ.
Si vous souhaitez structurer votre programme GRC ou mettre en place un programme plus formel, et que vous voulez vous assurer que les risques liés aux tiers sont pris en compte dès le départ, nous vous recommandons le livre rouge OCEG (Open Compliance and Ethics Group), un cadre commun très apprécié dans le secteur pour la GRC. Nous avons répertorié les meilleures pratiques en matière de TPRM dans ce modèle dans le tableau ci-dessous.
|
Modèle de capacités OCEG GRC |
Pratiques |
Meilleures pratiques en matière de capacités TPRM |
|---|---|---|
| L – Apprendre : Examiner et analyser le contexte, la culture et les parties prenantes afin de déterminer ce que l'organisation doit savoir pour établir et soutenir ses objectifs et ses stratégies. | ||
|
Contexte externe : Comprendre le contexte commercial externe dans lequel l'organisation évolue. |
|
|
|
Contexte interne : Comprendre le contexte commercial interne dans lequel l'organisation évolue. |
|
|
|
Culture : Comprendre la culture existante, notamment la manière dont les dirigeants façonnent la culture, le climat organisationnel et les mentalités individuelles en matière de gouvernance, d'assurance et de gestion de la performance, des risques et de la conformité. |
|
Interface flexible et facile à utiliser pour garantir que tous les niveaux de l'organisation tirent profit de la solution |
|
Parties prenantes : interagir avec les parties prenantes afin de comprendre leurs attentes, leurs exigences et leurs perspectives qui ont une incidence sur l'organisation. |
|
|
| A – Aligner : Aligner les objectifs, les stratégies, les critères décisionnels, les mesures et les contrôles en matière de performance, de risque et de conformité avec le contexte, la culture et les exigences des parties prenantes. | ||
|
Orientation : Fournir une orientation en établissant clairement la mission, la vision et les valeurs, les objectifs généraux, ainsi que des directives sur la manière dont les décisions seront prises. |
|
|
|
Objectifs : Définir un ensemble équilibré d'objectifs mesurables qui soient cohérents avec les critères décisionnels et adaptés au cadre de référence établi. |
|
|
|
Identification : Identifier les forces susceptibles d'avoir des effets souhaitables (opportunités) ou indésirables (menaces) sur la réalisation des objectifs, ainsi que celles qui peuvent contraindre l'organisation à se comporter d'une manière particulière (exigences). |
|
|
|
Évaluation : analyser l'approche actuelle et prévue pour traiter les opportunités, les menaces et les exigences à l'aide de critères décisionnels et de méthodes quantitatives et qualitatives. |
|
|
|
Conception : Élaborer des plans stratégiques et tactiques pour atteindre les objectifs, tout en tenant compte des incertitudes et en agissant avec intégrité, conformément aux critères décisionnels. |
|
|
| P – Exécuter : Traiter les menaces, les opportunités et les exigences en encourageant les comportements et les événements souhaités, et en empêchant ceux qui ne le sont pas, grâce à la mise en œuvre de mesures et de contrôles proactifs, préventifs et réactifs. | ||
|
Contrôles : mettre en place un ensemble de mesures et de contrôles en matière de gestion, de processus, de capital humain, de technologie, d'information et d'actions physiques qui répondent aux besoins en matière de gouvernance, de gestion et d'assurance. |
|
|
|
Politiques : mettre en œuvre des politiques et des procédures associées pour répondre aux opportunités, aux menaces et aux exigences, et définir des attentes claires en matière de conduite pour l'autorité dirigeante, la direction, le personnel et l'entreprise élargie. |
|
Les services de conseil et d'évaluation contribuent à définir et à affiner les politiques TPRM. |
|
Communication : Fournir et recevoir des informations pertinentes, fiables et opportunes aux publics concernés, conformément aux mandats ou selon les besoins pour exercer ses responsabilités et influencer efficacement les attitudes. |
|
Rapports spécifiques aux parties prenantes – internes et externes – présentant les risques inhérents, résiduels et réels tout au long du cycle de vie de la gestion des fournisseurs afin de prendre des mesures en fonction des risques identifiés ou traités. |
|
Formation : former les instances dirigeantes, les cadres, les employés et l'ensemble des collaborateurs de l'entreprise aux comportements attendus, et renforcer les compétences et la motivation nécessaires pour aider l'organisation à saisir les opportunités, à faire face aux menaces et à répondre aux exigences. |
|
Grâce aux services de conseil, utilisez l'habilitation adaptative et les indicateurs clés de performance et de risque pour améliorer les talents, les outils et les techniques. |
|
Mesures incitatives : mettre en place des mesures incitatives qui encouragent les comportements souhaités et récompensent ceux qui contribuent à des résultats positifs afin de renforcer les comportements souhaités. |
|
Services consultatifs pour définir le programme, aider à former les parties prenantes internes et favoriser l'adoption |
|
Notification : Fournir plusieurs moyens de signaler les progrès accomplis dans la réalisation des objectifs, ainsi que la survenue réelle ou potentielle de comportements, de conditions et d'événements indésirables ou souhaitables. |
|
|
|
Enquête : analyser périodiquement les données et recueillir des informations sur les progrès accomplis dans la réalisation des objectifs, ainsi que sur l'existence de comportements, de conditions et d'événements indésirables. |
|
|
|
Réponse : Concevoir et, si nécessaire, mettre en œuvre des mesures en réponse à des comportements, des situations, des événements ou des faiblesses identifiés ou présumés indésirables. |
|
|
| R – Révision : mener des activités visant à surveiller et à améliorer la conception et l'efficacité opérationnelle de toutes les mesures et contrôles, y compris leur alignement continu sur les objectifs et les stratégies. | ||
|
Surveillance : Surveiller et évaluer périodiquement les performances de la capacité afin de s'assurer qu'elle est conçue et exploitée de manière à être efficace, efficiente et réactive au changement. |
|
|
|
Assurance : Fournir à la direction, à l'autorité dirigeante et aux autres parties prenantes l'assurance que la capacité est fiable, efficace, efficiente et réactive. |
|
|
|
Amélioration : examiner les informations issues des évaluations périodiques, des mesures et contrôles préventifs et correctifs, du suivi et de l'assurance, afin d'identifier les possibilités d'amélioration des capacités. |
|
|
Si votre stratégie GRC ne tient pas compte de ces meilleures pratiques en matière de TPRM, agissez dès maintenant. Téléchargez notre guide des meilleures pratiques, Naviguer dans le cycle de vie des risques liés aux fournisseurs : les clés du succès à chaque étape, pour un aperçu complet des capacités requises pour prendre en compte les risques liés aux tiers dans votre programme GRC.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
