Les organisations comptent de plus en plus sur des entreprises externes pour accomplir des tâches essentielles. Ces relations peuvent accroître leur capacité et leur efficacité, tout en leur donnant accès à une expertise spécialisée. Elles créent aussi des dépendances qui peuvent passer inaperçues dans un registre des risques traditionnel jusqu’à ce qu’une perturbation soit déjà en cours.

Le Bureau du surintendant des institutions financières (BSIF) du Canada considère le risque lié aux tiers comme l’un des principaux risques non financiers du secteur financier. Il souligne que les organisations demeurent responsables des activités qu’elles externalisent. Ce principe dépasse le cadre bancaire : la responsabilité des résultats revient à l’organisation dont le personnel, les clients et les activités sont touchés. Les indications du BSIF sur le risque lié aux tiers constituent un repère utile pour les dirigeants de tous les secteurs.

Le problème d’un fournisseur peut devenir votre problème opérationnel

Les perturbations chez les tiers sont souvent considérées comme une question d’approvisionnement ou de gestion des contrats. Cette perspective est trop limitée. La défaillance d’un fournisseur peut interrompre la production, empêcher l’accès à un établissement, exposer des renseignements sensibles, retarder le versement de la paie, nuire au service à la clientèle ou obliger les employés à suivre des procédures manuelles qu’ils connaissent peu.

Le fournisseur direct n’est pas nécessairement à l’origine du problème. Son fournisseur technologique, un sous-traitant, son réseau de transport ou un fournisseur de services publics peut subir une défaillance en premier. Ces dépendances indirectes sont plus difficiles à repérer. Elles peuvent pourtant déterminer si un service essentiel peut être maintenu.

Plus le service est essentiel, moins une simple liste de fournisseurs approuvés suffit. Les dirigeants doivent comprendre de quoi dépend l’organisation, en combien de temps une interruption peut avoir des conséquences importantes et quelles solutions de rechange peuvent réellement être mises en œuvre.

Pourquoi les évaluations habituelles des fournisseurs laissent des angles morts

Les vérifications préalables à l’intégration d’un fournisseur sont importantes, mais elles ne donnent qu’un portrait à un moment précis. Un changement de propriétaire, des pressions financières, une pénurie de main-d’œuvre, des événements géopolitiques, des cyberincidents ou de nouvelles ententes de sous-traitance peuvent modifier le profil de risque d’un fournisseur bien avant le prochain renouvellement de contrat.

Une vision à l’échelle de l’organisation relie les renseignements sur les fournisseurs à leurs conséquences opérationnelles. Elle soulève les questions suivantes :

• Quels services de l’organisation seraient interrompus ou dégradés si ce fournisseur devenait indisponible?
• Combien de temps l’organisation pourrait-elle fonctionner avant que la sécurité, la conformité, les revenus ou la réputation soient touchés?
• Le fournisseur dépend-il d’un site, d’une plateforme ou d’un sous-traitant dont dépendent aussi d’autres secteurs de l’organisation?
• Qui reçoit les alertes, décide de faire intervenir les responsables appropriés et communique avec les employés, les clients ou les organismes de réglementation?
• Les solutions de rechange et les fournisseurs de remplacement ont-ils été mis à l’essai dans des conditions réalistes?

Une seule perturbation peut toucher plusieurs catégories de risques

Les incidents chez les tiers se limitent rarement à une seule catégorie de risques. Prenons l’exemple d’une panne chez un fournisseur de services de gestion des identités. D’abord technologique, le problème peut empêcher les employés ou les sous-traitants d’accéder aux systèmes et aux installations. Les procédures manuelles de contrôle d’accès peuvent soulever des enjeux de sécurité physique. Les retards de service peuvent déclencher des obligations contractuelles ou réglementaires. Le mécontentement du public peut ensuite nuire à la réputation de l’organisation.

C’est pourquoi le risque lié aux tiers doit être considéré aux côtés de la résilience opérationnelle, de la cybersécurité, de la sécurité physique, de la gestion de crise et de la continuité des activités. Une vision commune aide les équipes à comprendre le même événement, à en évaluer toutes les répercussions et à agir selon un plan convenu.

Comprendre les dépendances avant une perturbation

Une approche plus solide commence par relier les relations externes essentielles aux services de l’organisation qu’elles soutiennent. Les fournisseurs peuvent ensuite être classés selon l’importance des répercussions et l’urgence d’intervenir, plutôt que seulement selon la valeur du contrat. Il faut aussi repérer les risques de concentration, notamment lorsque plusieurs services essentiels dépendent de la même technologie, de la même région ou du même sous-traitant.

Pour les relations les plus importantes, les organisations doivent définir les indicateurs d’alerte, les exigences de notification, les seuils d’intervention et les attentes en matière de rétablissement. Des exercices fondés sur des scénarios peuvent révéler si les coordonnées sont à jour, si les pouvoirs décisionnels sont clairs et si les solutions de secours sont applicables. Le suivi doit se poursuivre entre les renouvellements, surtout après un changement de propriétaire, une modification des services ou une évolution des menaces.

La résilience commence par une vision intégrée des risques

Aucune organisation ne peut éliminer toutes ses dépendances externes. Elle peut toutefois déterminer lesquelles méritent un examen plus approfondi et se préparer à leur défaillance avant que les conséquences ne se propagent. Ce travail est plus efficace lorsque les dirigeants mettent en relation les renseignements sur les fournisseurs, le renseignement, les enquêtes, la planification de la continuité des activités et les risques opérationnels. Découvrez comment évaluer un partenaire en gestion intégrée des risques au Canada.

Faites le point sur les risques liés aux tiers

GardaWorld Sécurité peut aider les organisations à examiner les risques qui touchent leur personnel, leurs activités et leurs relations externes. Parlez à un expert en enquêtes et gestion des risques pour obtenir une vision plus claire des risques à l’échelle de votre organisation.

Parlez avec un expert en gestion des risques