Les rapports d'évaluation des risques liés aux fournisseurs sont essentiels à votre programme de gestion des risques liés aux tiers. Au-delà de mettre en évidence les faiblesses du programme ou les lacunes dans les contrôles de sécurité, les bons rapports contribuent également à renforcer les relations avec les fournisseurs, à démontrer aux régulateurs que vous faites preuve de diligence raisonnable et que vous gérez correctement les risques, et à mettre en lumière les meilleures pratiques en matière de contrôles de sécurité.
Alors, qu'est-ce qui caractérise un bon rapport d'évaluation des risques liés aux fournisseurs? De manière générale, trois éléments essentiels doivent être pris en compte : l'évaluation continue des risques liés aux fournisseurs, la conformité réglementaire et les rapports sur la cybersécurité pour la diligence raisonnable des fournisseurs. Dans cet article, nous passons en revue ces éléments essentiels et d'autres considérations cruciales dans vos rapports d'évaluation des fournisseurs.
Rapports continus sur l'évaluation des risques liés aux fournisseurs
L'époque où les évaluations des fournisseurs étaient réalisées selon une approche ponctuelle est révolue. Pour rester à la pointe face à l'évolution des menaces, il est essentiel de mener régulièrement un processus d'évaluation des risques liés aux fournisseurs. Cela se fait généralement à l'aide de deux types de rapports : les rapports de synthèse des risques initiaux et les rapports de synthèse des risques finaux.
Rapports sommaires initiaux sur les risques
Le rapport initial de synthèse des risques fournit aux équipes internes et aux fournisseurs tiers des informations détaillées sur les risques présents dans leurs environnements qui nécessitent des mesures d'atténuation ou des contrôles compensatoires. Vous pouvez le considérer comme un « pré-test » qui identifie les points forts et les points à améliorer chez le tiers. Le rapport doit être suffisamment flexible pour afficher les cotes de risque et d'autres détails importants, tout en permettant aux parties prenantes d'approfondir les vulnérabilités les plus critiques. Les programmes de gestion des risques tiers matures utilisent ce type de rapport pour renforcer leur position dans les discussions avec les fournisseurs et négocier des engagements de remédiation.
Rapport final de synthèse des risques
Le rapport final de synthèse des risques s'appuie sur le rapport initial de synthèse des risques en détaillant tous les ajustements de risques justifiés, les engagements pris dans le cadre du plan de remédiation et/ou les contrôles compensatoires. Il documente essentiellement les mesures que vous comptez prendre pour faire face au risque. Il doit également s'agir d'un rapport évolutif, mis à jour chaque fois qu'un risque est identifié, vérifié ou atténué, ou lorsque des incidents ou des alertes spécifiques nécessitent une mise à jour. Ce rapport sert à documenter les engagements des fournisseurs, à enregistrer les mesures de sécurité mises en œuvre et à suivre toutes les vulnérabilités connexes révélées après l'évaluation initiale des contrôles.
Les organismes de réglementation exigent souvent des rapports de synthèse des risques initiaux et finaux comme preuve d'un processus en boucle fermée dans le cadre duquel vous informez les fournisseurs de toute vulnérabilité révélée lors des évaluations, suivez et validez la correction des risques, et communiquez en permanence les engagements respectés et non respectés.
Rapports d'évaluation des risques liés aux fournisseurs pour la conformité
Les régulateurs doivent déterminer si votre gestion des risques liés aux tiers est conforme aux meilleures pratiques en matière d'évaluation des risques liés aux fournisseurs, et les rapports peuvent faire ou défaire vos initiatives de conformité.
Les rapports de conformité font office de mise minimale dans le cadre de la gestion des risques liés aux tiers. Cependant, ils peuvent également offrir une visibilité interne sur ces bonnes pratiques, afin que les responsables de service puissent prendre des décisions éclairées qui correspondent également aux objectifs de conformité. Par exemple, les services chargés de la confidentialité ont besoin de rapports sur les risques qui incluent le contexte autour du CCPA, du RGPD et d'autres réglementations en matière de conformité.
Considérez chaque réglementation ou cadre de conformité comme une langue différente. Vos données d'évaluation des risques fournisseurs doivent être traduites dans chaque langue pour permettre un reporting de conformité efficace. C'est pourquoi votre solution de gestion des risques tiers doit inclure des fonctionnalités telles que la cartographie des risques par rapport à la conformité, des tableaux de bord spécifiques à la conformité et des rapports sur le « pourcentage de conformité » pour chaque réglementation.
Pour accélérer la création de rapports de conformité et obtenir une meilleure visibilité sur le niveau de conformité de chaque fournisseur, commencez par établir un seuil de conformité en pourcentage pour chaque catégorie de risque. Vos rapports doivent être liés aux notes de conformité en pourcentage, ce qui permettra à votre équipe d'évaluation de se concentrer sur les domaines où les taux de conformité sont faibles.
De plus, ne vous arrêtez pas au niveau des fournisseurs. Effectuez des contrôles de conformité à un niveau macroéconomique pour tous les fournisseurs. Cela sera important pour le conseil d'administration, qui cherche à déterminer dans quelle mesure le portefeuille de fournisseurs est conforme aux réglementations nouvelles et en constante évolution.
Prevalent a publié un livre blanc détaillé sur la gestion des risques liés aux tiers et la conformité, qui extrait les exigences spécifiques énoncées dans plusieurs réglementations et cadres industriels, explique la signification de ces exigences, puis met en correspondance les principales fonctionnalités des solutions avec ces exigences afin de démontrer comment une plateforme TPRM complète peut aider à alléger la charge liée à la conformité.
Rapport sur les risques cybernétiques des fournisseurs
Pendant des décennies, les responsables de la sécurité de l'information ont cherché une boule de cristal pour partager des informations « en coulisses » sur le niveau réel de sécurité informatique d'un fournisseur. Ces méthodes consistaient notamment à demander au fournisseur de répondre à des questionnaires de collecte de données, à établir des rapports sur les menaces et à effectuer des visites sur site. Les visites sur site présentent aujourd'hui un inconvénient. L'approche fondamentale « faire confiance, vérifier, valider » est toujours d'actualité et un rapport d'évaluation complet du fournisseur peut fournir des informations telles que :
• Risque moyen par score et statut
• Risques par probabilité
• Risques les plus élevés par fournisseur
• Risques liés à l'impact
• Risques courants identifiés
• Risques par domaine d'impact opérationnel
• Évolution du risque dans le temps en fonction du score/de l'impact/de la probabilité
• Projection du score de risque/de l'impact/de la probabilité au fil du temps
Les dirigeants exigent une visibilité globale sur le profil de risque des tiers afin de pouvoir rendre compte en toute confiance au conseil d'administration. Il est donc très difficile pour les évaluateurs de consolider manuellement les informations provenant de multiples sources. Lors de l'examen de diligence raisonnable des fournisseurs, l'analyste devra rapidement mettre en évidence les exceptions dans les comportements courants (par exemple, les valeurs aberrantes dans les évaluations, les tâches, les risques, etc.) qui pourraient justifier une enquête plus approfondie. Pour les programmes plus matures qui ont élevé leur programme de gestion des risques liés aux tiers au rang de programme de gouvernance, l'analyste aura la possibilité de tirer parti de l'analyse par apprentissage automatique pour corréler des ensembles de données complexes et mettre en évidence des tendances cachées potentielles.
Top 10 des capacités en matière de reporting et de remédiation des risques fournisseurs
Si ces 10 fonctionnalités ne sont pas disponibles sur la plateforme que vous envisagez d'acheter, réfléchissez-y à deux fois avant d'investir. L'absence d'une seule de ces fonctionnalités vous fera perdre du temps et vous empêchera de vous concentrer sur la gestion de vos risques. Voici les 10 fonctionnalités les plus importantes :
- Conseils intégrés en matière de remédiation et recommandations relatives aux risques
- Un cadre de reporting unifié avec mise en correspondance des questions-réponses avec tout cadre, directive ou méthodologie réglementaire ou standard de l'industrie.
- Rapports spécifiques à la conformité réglementaire, aux cadres et aux directives, tels que CMMC, ISO 27001, NIST, RGPD, CCPA, CoBiT5, SSAE18 et NYDFS.
- Capacité à afficher les seuils de conformité en pourcentage et de réussite
- Rapports approfondis par le fournisseur et tous les fournisseurs
- Projection de la notation des risques au fil du temps après la mise en œuvre des mesures correctives et l'atténuation des risques
- Workflows automatisés et communications par tickets
- Modèles de rapports intégrés et statut conforme à plusieurs réglementations en matière de sécurité, de conformité et de confidentialité
- Tableaux de bord exécutifs et opérationnels
- Association des risques et relations visant à harmoniser et normaliser les risques entre plusieurs sources de collecte de contenu
Comme vous pouvez le constater, les rapports d'évaluation des risques liés aux fournisseurs se présentent sous différentes formes. « On ne peut pas gérer ce qu'on ne mesure pas » reste une vérité immuable. Peut-être qu'à l'avenir, nous regarderons en arrière et réaliserons que l'année écoulée nous a permis d'améliorer nos capacités de reporting afin de garantir notre résilience. Si je devais résumer ce blog en une seule phrase, ce serait : concentrez-vous sur les données que vous collectez, découpez-les en morceaux adaptés à vos destinataires et faites-le dans le but de gérer les risques à tous les niveaux de complexité.
Prochaines étapes
Prevalent propose des solutions d'évaluation des risques fournisseurs qui automatisent et accélèrent vos initiatives de gestion des risques. Si vous préférez déléguer la charge du processus d'évaluation, nous proposons également une gamme de services d'évaluation des risques fournisseurs dans le cadre desquels nos experts se chargent du travail fastidieux à votre place. Vous ne savez pas par où commencer ? Inscrivez-vous à une évaluation gratuite de la maturité de votre programme TPRM, au cours de laquelle nous comparerons votre programme actuel aux meilleures pratiques et vous fournirons une série de recommandations pour atteindre vos objectifs en matière d'évaluation des fournisseurs.
Note de la rédaction : Ce billet a été publié à l'origine sur Prevalent.net. En octobre 2024, Mitratech a acquis l'entreprise Prevalent, spécialisée dans la gestion des risques pour les tiers et dotée d'une intelligence artificielle. Le contenu a depuis été mis à jour pour inclure des informations alignées sur nos offres de produits, les changements réglementaires et la conformité.
