Qu'est-ce que le départ d'un fournisseur ?
Le retrait d'un fournisseur consiste à supprimer l'accès d'un fournisseur aux systèmes, aux données et à l'infrastructure de l'entreprise, et à s'assurer que les autres mesures finales sont exécutées conformément aux dispositions du contrat. Le retrait d'un fournisseur vise à garantir une transition fluide et sécurisée, à minimiser les risques et les perturbations des opérations commerciales, et à protéger les informations sensibles.
De nombreuses organisations négligent l'importance d'un processus de départ sécurisé et systématique, s'exposant ainsi à des risques futurs. Dans cet article, nous aborderons les points suivants :
- Exemples de risques courants associés au départ d'un fournisseur
- Les défis liés à la gestion du départ des fournisseurs
- 7 bonnes pratiques pour mettre fin en toute sécurité à des relations commerciales
N'oubliez pas de télécharger également le guide complet sur la diligence raisonnable en matière de départ des fournisseurs pour obtenir des informations supplémentaires sur ce sujet, notamment un modèle de liste de contrôle en 40 étapes que vous pouvez utiliser dès aujourd'hui pour améliorer votre processus de départ.
Types de risques à prendre en compte lors du départ des fournisseurs
Une bonne gestion de la sortie des fournisseurs est essentielle pour gérer les risques, d'autant plus que les équipes chargées de la sécurité, des achats et de la gestion des fournisseurs cessent de surveiller les fournisseurs lorsque la relation prend fin. Un processus de sortie incomplet ou mené à la hâte peut entraîner des pertes financières, des sanctions réglementaires et une atteinte à la réputation.
Risque cybernétique
Une violation des données conservées par un fournisseur après la résiliation du contrat peut entraîner des problèmes de réputation, des frais juridiques et des sanctions réglementaires. Il existe plusieurs exemples illustrant comment des processus incomplets de sortie des fournisseurs ou prestataires tiers ont nui à des organisations.
- En 2023, UScellular a signalé une violation de données qui a exposé les informations privées d'environ 5 millions de clients. Plutôt que d'attaquer directement UScellular, les criminels ont ciblé un « ancien fournisseur tiers » pour accéder aux dossiers. Lorsqu'un fournisseur quitte l'entreprise, il doit restituer ou supprimer de manière sécurisée tous vos dossiers.
- En janvier 2023, une violation de données impliquant l'un des anciens fournisseurs de services cloud d'AT&T a touché 8,9 millions de clients mobiles. En conséquence, AT&T a accepté de payer 13 millions de dollars d'amendes à la FCC, d'améliorer la gestion des données clients et d'imposer des pratiques plus strictes en matière de traitement des données à ses fournisseurs afin d'éviter de nouvelles violations. Cette violation s'est produite plusieurs années après la fin du contrat, soulignant l'importance de surveiller en permanence les fournisseurs, même après la résiliation.
- En 2021, le Lexington Medical Center a été victime d'une violation de données lorsqu'une personne non autorisée travaillant pour un ancien fournisseur, Healthgrades Operating Company, a accédé à des fichiers de sauvegarde sur des serveurs archivés contenant des informations de santé protégées (ePHI). Healthgrades avait précédemment fourni des services d'éducation des patients au Lexington Medical Center. Lorsqu'il n'est pas possible de supprimer les données en toute sécurité en raison des politiques de conservation des dossiers, les organisations doivent s'assurer que le fournisseur dispose de contrôles pour empêcher tout accès non autorisé aux données.
Risque financier
La fin d'une relation avec un fournisseur peut entraîner des coûts supplémentaires. Par exemple, le fournisseur peut avoir négocié des frais de résiliation anticipée. De plus, votre organisation peut devoir supporter des coûts pour identifier, sélectionner et intégrer un nouveau fournisseur, tels que des frais de mise en route et de formation. Sans un processus de transition fluide, la réception des pièces, des produits et des services des nouveaux fournisseurs peut être retardée, ce qui peut perturber la capacité de votre organisation à livrer ses clients.
Risque juridique
Des litiges concernant la propriété intellectuelle (PI) ou les paramètres de résiliation peuvent survenir si votre service juridique n'examine pas minutieusement le contrat pendant la négociation et à chaque étape de la relation. Les frais juridiques peuvent être considérables en cas de litige concernant le droit d'une organisation à résilier un accord.
Risque de réputation
Il est important de maintenir de bonnes relations avec les fournisseurs, même lorsque vous mettez fin à des accords commerciaux. D'autres fournisseurs pourraient interpréter une mauvaise communication ou un mauvais respect des contrats avec un fournisseur comme une preuve que votre entreprise est difficile à travailler. Cela peut également avoir un impact négatif sur vos relations avec d'autres fournisseurs existants ou partenaires commerciaux potentiels.
Ces exemples démontrent que les organisations doivent évaluer un large éventail de risques commerciaux lorsqu'elles se séparent de leurs fournisseurs.
Les défis liés au départ des fournisseurs
Les équipes chargées des achats, de la gestion des fournisseurs et de la sécurité considèrent souvent la gestion des risques liés aux tiers (TPRM) comme une tâche à accomplir avant l'intégration d'un nouveau fournisseur. Il n'est donc pas étonnant que la sortie des fournisseurs soit une préoccupation secondaire dans de nombreuses organisations. Alors que près de 90 % des entreprises suivent les risques dès les phases d'approvisionnement et de sélection, moins de 80 % d'entre elles suivent les accords de niveau de service (SLA) et les risques liés à la fin de la relation plus tard dans le cycle de vie de la relation. Si la diligence raisonnable dans l'approvisionnement et la sélection des fournisseurs est une activité importante, la mesure et la gestion des risques s'étendent à toute la durée de la relation avec un fournisseur. Cela inclut la gestion de la fin d'une relation avec une fin de relation approfondie avec le fournisseur.
Participation limitée des parties prenantes
Comme pour l'intégration des fournisseurs, le cloisonnement des connaissances peut rendre difficile l'identification de toutes les tâches nécessaires à leur désengagement. Le service des achats peut informer un fournisseur que son contrat ne sera pas renouvelé, mais le service juridique doit examiner les termes du contrat et fournir des détails sur les étapes à suivre pour une résiliation en bonne et due forme. Dans certains cas, le service d'ingénierie peut avoir besoin d'identifier la propriété intellectuelle partagée avec le fournisseur. Les services de fabrication et d'exploitation doivent confirmer les mesures à prendre pour éviter les arrêts de production. Le service financier doit identifier les factures impayées ou les crédits dus par le fournisseur. Le service de sécurité informatique doit s'assurer que les données sont détruites et que l'accès au système est révoqué. Sans coordination entre ces équipes, la désinscription est une tâche compliquée.
Diligence raisonnable insuffisante lors du départ d'un employé
Il est plus facile de se concentrer sur les activités avec les nouveaux fournisseurs que sur celles avec les fournisseurs qui quittent l'entreprise. Pour atténuer les risques mentionnés ci-dessus, il est essentiel d'être rigoureux lors du départ d'un fournisseur. Cela nécessite que tous les membres de l'équipe en contact avec le fournisseur identifient les risques potentiels, s'accordent sur les mesures d'atténuation à prendre et suivent méticuleusement les progrès réalisés. Les méthodes manuelles de diligence raisonnable entraîneront inévitablement des tâches oubliées et des risques non résolus.
Visibilité incomplète sur l'atténuation des risques
Le suivi des tâches dans des feuilles de calcul ou des documents partagés peut rendre le processus de départ irrégulier et sujet à des erreurs. L'exhaustivité et l'exactitude d'une liste de tâches dépendent de l'expertise de chacun dans le processus de départ. Par exemple, un employé moins expérimenté peut négliger des tâches essentielles ou marquer à tort un élément comme terminé sans disposer de la documentation complète d'un fournisseur. Les feuilles de calcul auxquelles plusieurs employés ont accès ne disposent pas non plus de contrôles d'audit.
Meilleures pratiques en matière de départ des fournisseurs
Un processus centralisé peut aider les équipes à automatiser le départ des fournisseurs, à garantir l'exhaustivité et à atténuer efficacement les risques. Voici sept bonnes pratiques à suivre lors du départ d'un fournisseur :
1. Maintenir les voies de communication ouvertes
Les équipes peuvent atténuer les risques en maintenant une communication ouverte avec le fournisseur tout au long du processus de départ. Cela implique notamment d'informer les fournisseurs du calendrier de départ, de répondre à leurs questions et de leur fournir des instructions claires sur ce qui est attendu pendant le processus. Une solution qui centralise les interactions avec les fournisseurs, gère les tâches et les calendriers et exige des workflows d'approbation permettra de réduire considérablement le travail manuel nécessaire pour traiter ces questions.
2. Effectuer une révision finale du contrat
Examinez les clauses de résiliation du contrat afin de vous assurer que vous avez le droit de mettre fin à la relation et, le cas échéant, de respecter les délais appropriés pour le faire. Si vous résiliez le contrat en raison d'une violation des clauses contractuelles, assurez-vous que les avis ont été émis et que les droits du fournisseur à remédier aux manquements ont été respectés. Les équipes peuvent avoir modifié les clauses du contrat au fil du temps. Un examen final avec les services juridiques et les achats permet d'identifier les dérives et de s'assurer que le fournisseur a fourni tous les biens et services prévus dans le contrat.
Enfin, examinez les indicateurs clés de performance, les livrables en attente et les paiements. Si le fournisseur fournit des pièces, assurez-vous que les accords de garantie et d'assistance qui survivent à la résiliation sont clairs.
3. Régler toutes les factures en suspens
Après avoir examiné attentivement les termes du contrat et identifié les obligations restantes des deux parties, assurez-vous de recevoir les livrables finaux et planifiez les paiements finaux. Veillez à inclure tous les crédits ou retours dans le calcul des paiements, car ceux-ci peuvent être difficiles à récupérer après la résiliation de la relation.
4. Révoquer l'accès à l'infrastructure informatique, aux données et aux bâtiments physiques
Les partenaires et les fournisseurs peuvent avoir besoin d'accéder à vos systèmes, notamment ceux utilisés pour les achats, l'ingénierie, le marketing et les données financières. Lorsque vous mettez fin à une collaboration avec un fournisseur, il est essentiel de supprimer son accès à votre propriété intellectuelle et à d'autres données sensibles. Cela comprend :
- S'assurer que vous disposez d'une liste de tous les comptes fournisseurs et supprimer les identifiants de connexion.
- Fournir au fournisseur une liste complète de tous les équipements appartenant à l'entreprise qu'il doit restituer. Lorsque vous réutilisez des équipements restitués, veillez à respecter les exigences en matière de conservation des données.
- Modification de tous les identifiants de connexion, y compris les identifiants partagés si un fournisseur dispose de privilèges système élevés.
- Désautoriser l'accès à toutes les applications, y compris les VPN et les applications cloud, pour le partage de fichiers et la messagerie.
- Désautoriser tout accès dont le fournisseur aurait pu disposer via des API, car celles-ci pourraient constituer un vecteur d'attaque utile si un pirate informatique venait à compromettre le fournisseur par la suite.
Certains employés du fournisseur peuvent avoir eu besoin d'accéder physiquement à vos bureaux ou salles de serveurs. Désactivez toutes les cartes d'accès et tous les badges, et assurez-vous que le fournisseur restitue toutes les clés physiques. Il peut parfois être nécessaire de modifier les codes d'accès aux salles de serveurs. Collaborez avec vos équipes de sécurité physique afin de mettre en place un processus clair pour gérer l'accès physique des fournisseurs.
5. Examiner la conformité en matière de confidentialité des données et de sécurité de l'information
Les fournisseurs ont souvent accès à des données sensibles qui peuvent être soumises à des exigences réglementaires telles que la CCPA, le RGPD, la norme PCI DSS et autres. Lors du départ d'un fournisseur, alignez vos procédures de résiliation avec vos obligations légales. Les plateformes de gestion des risques tiers intègrent des fonctionnalités de reporting conformes à ces obligations réglementaires, ce qui simplifie le processus de mise en conformité.
Si le fournisseur détient des copies de vos données sensibles, celles-ci pourraient être exposées lors d'une violation ultérieure. Morgan Stanley n'a pas supervisé correctement la mise hors service des serveurs par un tiers. Une violation ultérieure de la part de ce tiers a exposé des informations personnelles et a entraîné une amende de 60 millions de dollars infligée par le Bureau du contrôleur de la monnaie (OCC). Assurez-vous que toutes les propriétés intellectuelles et les données sensibles sont restituées. De plus, une déclaration sous serment du fournisseur est requise, attestant que les copies électroniques présentes sur l'infrastructure du fournisseur, y compris sur les appareils des employés, ont été supprimées de manière sécurisée. Passez en revue avec le fournisseur les obligations restantes, telles que les accords de confidentialité, de non-divulgation et de non-concurrence.
6. Mettez à jour votre base de données de gestion des fournisseurs
Toutes les résiliations ne sont pas définitives. Vous aurez besoin d'un historique clair des relations entre le fournisseur et votre organisation, y compris les indicateurs clés de performance (KPI) du fournisseur. Afin de réduire les risques juridiques, documentez clairement les raisons de la résiliation de la relation et conservez un compte rendu complet des procédures de résiliation. Assurez-vous de conserver toutes les communications, tous les contrats et autres documents échangés entre votre organisation et le fournisseur afin de pouvoir résoudre rapidement toute question ou tout problème à l'avenir.
7. Surveiller en permanence les fournisseurs afin d'identifier les risques potentiels futurs
Même si le contrat a été résilié et que toutes les tâches ont été menées à bien, des risques pour vos systèmes et vos données, ainsi que des risques liés à la conformité ou à la réputation, peuvent encore survenir longtemps après la fin de la relation. La surveillance continue de multiples vecteurs de risque permettra à votre équipe d'avoir une meilleure visibilité sur les risques potentiels futurs.
Prochaines étapes pour améliorer votre processus de départ des fournisseurs
La gestion manuelle du départ des fournisseurs dans une grande organisation peut épuiser même les équipes de gestion des risques les mieux dotées en personnel. Bien que certaines mesures, telles que la centralisation des données sur les fournisseurs et la mise en place de processus de départ uniformes dans toute l'organisation, puissent aider, la plupart des grandes organisations tirent un énorme avantage de l'utilisation d'une plateforme dédiée à la gestion des risques liés aux tiers.
Une plateforme TPRM dédiée peut :
- Fournissez une source unique d'informations fiables sur les fournisseurs, en encourageant la collaboration entre les parties prenantes internes et les fournisseurs au sein d'une solution centralisée.
- Centralisez la gestion du cycle de vie des contrats, en automatisant les tâches afin de garantir le respect des dispositions contractuelles et de protéger l'entreprise.
- Automatisez l'évaluation et la surveillance continue des risques liés aux fournisseurs, de leur intégration à leur départ, en centralisant les résultats dans un registre des risques unique qui permet une action coordonnée.
- Proposez des conseils de remédiation afin de garantir que les fournisseurs dont vous vous êtes séparé respectent les exigences de conformité et de sécurité de votre entreprise à un niveau de risque acceptable.
- Mettre en place un processus normatif pour traiter les tâches finales et établir des rapports conformément aux exigences de conformité.
Vous souhaitez savoir comment Prevalent peut vous aider à réduire les risques lors du départ d'un collaborateur dans le cadre de votre cycle de gestion des tiers ? Demandez une démonstration dès aujourd'hui.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
