Votre liste de fournisseurs ne reflète pas toujours vos dépendances numériques réelles. Un SaaS souscrit directement par une équipe, le sous-traitant d’un prestataire ou un ancien fournisseur dont les accès sont encore actifs peuvent rester hors radar.
Avant d’évaluer les fournisseurs, encore faut-il savoir de quels tiers l’organisation dépend réellement.
Une liste fournisseurs ne suffit pas
Les bases Achats ou Finance donnent une vision contractuelle. Elles ne recensent pas nécessairement tous les services numériques utilisés, les accès accordés ou les sous-traitants impliqués dans la chaîne de service.
Il faut donc croiser plusieurs sources : contrats, dépenses, outils SaaS, comptes et habilitations, prestataires IT et sous-traitants connus. L’objectif n’est pas d’obtenir une liste plus longue, mais une vision plus juste.
Le questionnaire sécurité ne mesure pas la dépendance
Un questionnaire fournisseur documente le niveau de maîtrise déclaré par un tiers : organisation, certifications, sécurité, gestion des incidents ou continuité. Il ne répond toutefois pas à une autre question essentielle : que perd l’entreprise si ce tiers devient indisponible ou compromis ?
Deux fournisseurs présentant un niveau de sécurité comparable peuvent avoir un impact très différent selon les activités qu’ils supportent.
Cartographier la dépendance réelle
Pour prioriser les tiers, il faut repartir de l’usage et de l’impact métier : à quels systèmes ou données le prestataire accède-t-il ? Quelles activités reposent sur lui ? Combien de temps peut-on fonctionner sans son service ? Combien de temps faut-il pour le remplacer ? Et de quels sous-traitants ou fournisseurs dépend-il lui-même ?
Cette lecture permet d’identifier les tiers réellement critiques et d’adapter le niveau de contrôle, les exigences contractuelles et les plans de continuité.
Une cartographie nécessairement collective
Aucune fonction ne dispose seule de toutes les informations. Achats, Juridique, Conformité, Cybersécurité et Métiers détiennent chacun une partie de la réponse. La direction des risques peut alors consolider cette vision dans une cartographie exploitable.
DORA impose déjà aux entités financières une gestion structurée des risques liés aux prestataires tiers de services TIC. NIS2 inscrit également la sécurité de la chaîne d’approvisionnement parmi les mesures de gestion des risques cyber des entités concernées.
Le sujet n’est donc plus seulement de tenir une liste à jour. Il est de savoir quels tiers comptent vraiment, pourquoi, et ce qu’il faut prévoir si l’un d’eux fait défaut.
TechAndTrust Consulting accompagne les organisations dans l’identification, l’évaluation et la maîtrise des risques liés aux tiers, pour transformer les inventaires fournisseurs en outils de pilotage réellement utiles.
Découvrez nos savoir-faire : cybersécurité et gestion des risques technologiques
