Les changements organisationnels tels que les fusions, acquisitions et cessions (MAD) introduisent complexité et fragmentation dans les structures d'entreprise. Ces transformations impliquent souvent l'intégration et le départ d'un vaste réseau de fournisseurs tiers, sous-traitants, prestataires et autres parties, chacun présentant des risques potentiels inconnus susceptibles d'avoir un impact négatif sur les opérations commerciales.
La gestion des risques liés aux tiers (TPRM) constitue une source d'informations essentielle dans ces scénarios. Un programme TPRM robuste permet d'identifier et d'évaluer les risques associés aux tiers et met en œuvre des stratégies visant à atténuer ces risques pendant les processus de transition, protégeant ainsi les opérations commerciales de votre organisation. Dans cet article, nous allons nous pencher sur les connaissances et les outils nécessaires pour gérer les complexités liées aux risques tiers dans le cadre de fusions, acquisitions, cessions et autres transitions commerciales.
Le contexte est essentiel : planifiez différents scénarios de transition commerciale
Il est essentiel de comprendre le contexte d'une transition commerciale pour gérer correctement les risques liés aux tiers et mettre votre équipe sur la voie du succès. Cela permet aux équipes de se former et d'anticiper différents scénarios susceptibles de se produire. Cela fournit également des informations dans un contexte d'incertitude accrue, aidant les équipes à comprendre les impacts potentiels sur les processus opérationnels. La planification permet aux équipes de mettre en place un programme TPRM résilient sur le plan opérationnel pour les fusions, acquisitions, cessions et autres transitions. Les événements commerciaux courants qui déclenchent ce type de transition sont les suivants :
- Fusion : lorsque deux entreprises s'associent pour former une nouvelle entreprise. Les fusions peuvent également inclure les relations avec les fournisseurs et prestataires associés aux entités auparavant indépendantes.
- Acquisition : lorsqu'il y a un changement de propriétaire ou qu'une autre société, y compris ses fournisseurs tiers et ses chaînes d'approvisionnement associées, est rachetée.
- Cession : lorsqu'une entreprise vend ou scinde une partie de ses investissements commerciaux ou de ses participations dans une entité.
- Coentreprise: lorsque deux ou plusieurs entreprises s'associent dans le cadre d'une activité commerciale tout en conservant leur identité distincte.
- Nouvelle entreprise commerciale élargie :
Comprend les programmes pilotes ou les unités commerciales distinctes qui sont devenues des entreprises autonomes. - Fusions et acquisitions entre tiers et chaîne logistique étendue : les fournisseurs , les vendeurs et d'autres parties peuvent être soumis à des transitions commerciales ayant un effet en amont.
Recommandations pour un programme efficace de gestion des risques liés aux fusions, acquisitions et cessions (MAD)
Avant de vous lancer dans le processus TPRM adapté aux besoins de votre équipe, il convient de prendre en compte trois bonnes pratiques universelles. Ces recommandations constituent la base de la gestion et de l'atténuation des risques potentiels lors de tous types de transitions commerciales.
1. Établir des relations avec les principales parties prenantes
Pour gérer efficacement les transitions commerciales et anticiper les changements, il est important d'entretenir des relations solides avec les principales parties prenantes au sein de votre organisation. Instaurez un climat de confiance et de collaboration avec le conseil d'administration, la direction générale et les services clés tels que la sécurité informatique, le service juridique, les achats, la conformité, la confidentialité, les finances et les partenaires de la chaîne d'approvisionnement.
Le renforcement de ces relations avec les parties prenantes permet d'aligner vos stratégies de gestion des risques liés aux tiers sur des objectifs commerciaux plus larges et vous informe des changements organisationnels imminents. Cet alignement et cette sensibilisation facilitent la prise de décisions rapides et éclairées lorsque des changements surviennent, améliorant ainsi votre capacité à gérer efficacement les risques.
2. Adopter une vision globale des risques liés aux tiers
Une fois que vous avez déterminé le caractère critique des services tiers, évaluez les risques opérationnels plus larges que ces relations peuvent représenter pour votre organisation :
- Financier : Évaluez la santé financière du tiers en examinant les tendances en matière de revenus et de dépenses, les risques de solvabilité ou de faillite, les cotes de crédit et les niveaux de liquidité. Ces facteurs sont essentiels pour comprendre sa stabilité et sa fiabilité financières.
- Opérations : Évaluez leur résilience opérationnelle, leur gestion des ressources, leur taux de rotation du personnel, leur expérience en matière de fusions et de cessions, ainsi que la capacité de leur infrastructure. Cela permet d'évaluer leur capacité à respecter leurs obligations contractuelles dans des conditions changeantes.
- Géopolitique/Concentration : examinez comment le tiers gère les risques liés aux questions géopolitiques, aux catastrophes naturelles et aux défis spécifiques à certains endroits, tels que les risques liés à la délocalisation et à la concentration. Il est essentiel de comprendre ces aspects pour planifier l'atténuation des risques dans divers environnements.
- Cybersécurité et confidentialité des données : déterminez l'efficacité de leurs mesures de cybersécurité. Sont-ils suffisamment protégés contre les cyberattaques, les violations de données, les pertes de données et les ransomwares ? Évaluez leurs pratiques en matière de gestion des menaces et des vulnérabilités, ainsi que leur niveau de préparation face aux nouveaux risques cybernétiques.
- Environnement, social et gouvernance (ESG) :
Analysez la manière dont les tiers gèrent leurs obligations ESG. Leurs politiques environnementales sont-elles solides ? Respectent-ils des normes sociales et de gouvernance qui correspondent aux valeurs de votre entreprise ? - Conformité et sanctions: assurez-vous que le tiers respecte les lois et réglementations applicables susceptibles d'avoir une incidence sur votre activité. Le non-respect de ces lois et réglementations pourrait exposer votre organisation à des risques juridiques et réglementaires.
- Réputation : Évaluer la perception du public et du secteur à l'égard du tiers, y compris toute couverture médiatique négative.
3. Construire un inventaire étendu de la chaîne d'approvisionnement
Une fois que vous avez une vue d'ensemble de vos risques opérationnels, évaluez minutieusement l'état de l'ensemble de votre chaîne d'approvisionnement. Il est essentiel d'identifier à l'avance tous les fournisseurs et leurs dépendances. Cette approche proactive permet de repérer les risques potentiels et facilite une gestion plus efficace des futures transitions commerciales.
Cataloguez systématiquement ces fournisseurs et évaluez leurs rôles, leurs dépendances et leurs vulnérabilités potentielles. Cela permet de créer une chaîne d'approvisionnement plus résiliente, capable de s'adapter à de nouveaux scénarios commerciaux, garantissant ainsi que votre chaîne d'approvisionnement soutient vos objectifs stratégiques plutôt que de les entraver.
Gestion des risques liés aux tiers lors des fusions-acquisitions
Une fois les bases solides établies, explorons quelques bonnes pratiques en matière de TPRM pour les fusions et acquisitions. Dans ce scénario, il est essentiel de mettre en place un processus d'intégration et d'évaluation solide. Les étapes clés sont les suivantes :
- Évaluer les besoins liés aux tiers : déterminez si votre entreprise a besoin d'un autre tiers pour fournir un produit ou un service similaire. Consultez les inventaires de la chaîne d'approvisionnement de votre entreprise et de l'entité acquise. Comparez ces inventaires et soyez prêt à évaluer, supprimer les services qui se chevauchent et résilier les contrats en conséquence.
- Examen des contrats : examinez les contrats conclus par la société acquise avec des tiers afin de vous assurer que leurs exigences en matière d'audit correspondent à celles de la société acquéreuse. Vérifiez que le tiers respecte ses niveaux de service contractuels et ses indicateurs clés de performance (KPI).
- Réalisez une évaluation des risques inhérents: lorsque vous sélectionnez un nouveau tiers associé à une entité acquise en vue de son intégration, identifiez les risques de base qu'il représente pour votre organisation. Utilisez ces informations pour orienter le processus de diligence raisonnable, en vous appuyant sur les critères de criticité mentionnés dans la section précédente.
- Validation de l'évaluation des risques: déterminez si le tiers dispose d'une évaluation des risques ou d'une certification indépendante, telle qu'une déclaration SOC 2 ou ISO (SOA), réalisée au cours des 12 derniers mois et qu'il peut partager avec votre organisation.
- Diligence raisonnable en cas d'évaluations insuffisantes: effectuez une diligence raisonnable supplémentaire si l'évaluation des risques du tiers ne répond pas aux normes de votre organisation. Cela doit inclure une évaluation détaillée des risques liés aux tiers, basée sur un cadre normalisé tel que NIST ou ISO.
- Surveillance continue: Utilisez des outils et des processus de surveillance continue pour valider les réponses à l'évaluation des risques et identifier les nouveaux risques qui pourraient apparaître après les évaluations initiales.
- Examiner les extensions des unités commerciales : évaluer toute extension des relations existantes avec des tiers afin d'identifier les risques supplémentaires pour votre organisation.
Activités supplémentaires de diligence raisonnable à envisager lors d'acquisitions :
- Relations étendues: évaluez les relations avec les quatrièmes parties et les n-ièmes parties afin d'éviter les risques liés à la sécurité et les doublons inutiles qui peuvent avoir un impact sur la rentabilité.
- Intégration des acquisitions : élaborez un processus structuré pour intégrer les acquisitions dans votre infrastructure technologique. Cela permettra de réduire les risques organisationnels et de renforcer la résilience opérationnelle.
- Lacunes contractuelles : traitez les risques liés à la sécurité dans les contrats en incluant des droits d'audit, la notification des violations et les obligations des tiers. Étendez les exigences en matière de sécurité des données aux sous-traitants et définissez clairement les attentes en matière de sécurité de l'information.
- Exceptions au risque : des problèmes surviennent lorsque les unités opérationnelles ne parviennent pas à atténuer les risques liés aux tiers. Au minimum, les unités opérationnelles doivent recourir à des exceptions au risque qui reconnaissent et mettent en œuvre des contrôles pour les risques qui ne peuvent être atténués.
TPRM pendant la cession
Si votre équipe gère une cession d'activité, il est important de disposer d'un processus établi pour le départ des fournisseurs tiers ainsi que des fonctions ou départements internes.
Établissez un accord de service de transition si des fonctions ou des unités commerciales sont externalisées et continuent leur relation commerciale avec votre organisation en tant que tiers. Déterminez qui gérera le processus et à quel moment l'acquéreur pourra obtenir l'accès une fois la cession terminée. Vérifiez si l'entité cédée aura accès à votre infrastructure, conservera des informations sensibles ou exécutera des processus internes critiques. Une fois cette étape terminée, séparez l'entité cédée afin de restreindre l'accès jusqu'à la mise en place des contrôles. Cela permettra de garantir que les activités ou les opérations ne seront pas perturbées pendant la cession.
Meilleures pratiques pour le départ des fournisseurs tiers lors d'une cession
- Maintenez une communication ouverte : gérez les risques potentiels en communiquant régulièrement avec le fournisseur pendant la période de transition. Informez les fournisseurs du calendrier de transition, répondez à leurs questions et soyez transparent quant à ce à quoi ils peuvent s'attendre.
- Révoquer l'accès aux bâtiments physiques, aux données et à l'infrastructure informatique : mettez fin à l'accès d'un fournisseur aux données sensibles et à la propriété intellectuelle. Supprimez ses identifiants de connexion, demandez la restitution des biens de l'entreprise, modifiez les identifiants, annulez l'accès à toutes les applications et refusez tout accès via les API.
- Procédez à un examen final du contrat : examinez les clauses et dispositions du contrat relatives à la résiliation afin de vous assurer que vous avez le droit de mettre fin à la relation avec le fournisseur ou de la transférer à une entité remplaçante. Procédez à un examen final avec les équipes juridiques et d'approvisionnement afin d'identifier tout dépassement de périmètre et de vous assurer que le fournisseur a rempli toutes ses obligations contractuelles.
- Payer les factures en souffrance : planifiez les paiements finaux une fois que vous avez reçu les livrables finaux du fournisseur, après avoir examiné les termes du contrat et clarifié toutes les obligations restantes des deux parties.
- Évaluer la conformité en matière de sécurité de l'information et la confidentialité des données : assurez-vous que les procédures de résiliation sont conformes à vos obligations légales. Discutez avec le fournisseur de tous les engagements en cours, y compris les accords de non-divulgation, les accords de non-concurrence et la confidentialité.
- Mettez à jour votre base de données de gestion des fournisseurs : documentez l'historique du fournisseur au sein de votre organisation, en fournissant des preuves qui expliquent les raisons de la résiliation de la relation et en consignant le processus de résiliation. Conservez des archives afin de résoudre rapidement les problèmes et d'éviter les risques juridiques.
- Surveillez en permanence les fournisseurs afin d'identifier les risques potentiels futurs : les risques ne disparaissent pas toujours une fois les tâches de départ effectuées et le contrat résilié. Surveillez les domaines à risque potentiel pendant un certain temps après le départ afin de gérer les risques futurs, tels que les identifiants d'utilisateur disponibles à la vente sur le dark web.
TPRM pour les coentreprises
Les coentreprises (JV) posent des défis particuliers en matière de gestion des risques liés aux tiers, en particulier lorsque votre organisation partage la propriété de ce qui pourrait être un accord temporaire. Dans de tels cas, vous devrez peut-être traiter le partenaire commercial comme un tiers.
Mesures essentielles pour gérer les risques dans les coentreprises
- Réalisez des évaluations complètes des risques :
Réalisez des évaluations approfondies des risques afin d'identifier les risques potentiels pour l'infrastructure et les informations de votre organisation. Cette étape fondamentale est essentielle pour identifier les vulnérabilités et planifier des stratégies efficaces d'atténuation des risques.
- Applications de contrôle et séparation: mettre en œuvre et maintenir des contrôles appropriés, en veillant à une séparation claire afin de relever les défis spécifiques posés par la coentreprise. À mesure que la coentreprise évolue, évaluer si des mesures supplémentaires sont nécessaires pour protéger les intérêts de votre organisation.
- Collaborer à la gestion des risques: consolider toutes les compétences externes afin d'assurer la réussite de la coentreprise. Organiser des sessions afin d'aider toutes les parties à comprendre les risques identifiés, les stratégies mises en place pour gérer ces risques et les méthodes permettant de communiquer ces risques à tous les partenaires. Cette approche collaborative favorise la transparence et la compréhension mutuelle, qui sont essentielles pour gérer efficacement les risques liés à la coentreprise.
- Gérer les fournisseurs tout au long du cycle de vie de la relation: examiner et évaluer régulièrement les fournisseurs tiers qui travaillent pour la coentreprise. Surveiller régulièrement leurs performances, appliquer les dispositions contractuelles pertinentes et se séparer des fournisseurs de manière appropriée lorsqu'ils ne répondent plus aux normes de la coentreprise ou que leurs services ne sont plus nécessaires.
Se concentrer sur ces domaines peut améliorer la gestion des risques liés aux tiers dans les coentreprises et contribuer à la réussite globale de l'entreprise. Réexaminez régulièrement chaque étape afin de vous assurer que les stratégies de gestion des risques restent efficaces et adaptées à la nature évolutive de la coentreprise.
Prochaines étapes
Pour en savoir plus sur la gestion des risques liés aux tiers lors d'une transition commerciale, consultez notre livre blanc intitulé « Guide stratégique pour la gestion des risques liés aux tiers lors d'une fusion-acquisition ». Intégrez la gestion des risques liés aux tiers (TPRM) à vos processus MAD en téléchargeant notre guide d'intégration et de départ. Ensuite, planifiez une démonstration pour découvrir comment Prevalent peut vous aider à automatiser et à accélérer votre programme TPRM lors des transitions commerciales.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
