Gestion des risques tiers : le questionnaire ne suffit pas, le registre non plus

Le chiffre qui ne dit rien

Demandez à une direction des risques combien de fournisseurs elle a évalués l'an dernier : elle aura le chiffre, à l'unité près. Demandez-lui lequel pourrait, à lui seul, interrompre la facturation pendant trois jours, et la réponse tarde.

C'est le vice de forme du domaine : il se mesure en taux de réponse. Quatre-vingt-douze pour cent de retours à la campagne annuelle se présentent très bien en comité et n'apprennent rien à personne, puisque ce chiffre additionne des déclarations non vérifiées portant sur des fournisseurs dont la criticité n'a jamais été différenciée. Deux personnes à plein temps, un budget réel, et les trois scénarios capables d'arrêter l'activité restent intacts.

Ce que NIS2 et DORA rendent non négociable

NIS2 traite la sécurité de la chaîne d'approvisionnement à son article 21(2)(d) : les mesures de gestion des risques doivent couvrir les relations avec les fournisseurs directs, en tenant compte des vulnérabilités de chacun et de la qualité de ses pratiques. Le levier réel est ailleurs, à l'article 20, qui confie l'approbation et la supervision de ces mesures à l'organe de direction et engage sa responsabilité. Le risque fournisseur cesse d'être un sujet d'équipe le jour où un dirigeant signe pour lui.

DORA (règlement (UE) 2022/2554) va plus loin pour les entités financières et sert de référence aux autres : un registre d'information couvrant tous les accords contractuels TIC, collecté par les autorités compétentes et assez détaillé pour contraindre à documenter la sous-traitance des fonctions critiques ; des clauses contractuelles obligatoires ; une évaluation du risque de concentration et une stratégie de sortie écrite. Et une surveillance directe, par les autorités européennes de surveillance, des prestataires désignés comme critiques — la première fois qu'un hyperscaler répond en Europe devant un superviseur et pas seulement devant ses clients.

Ce registre produit un effet secondaire que les équipes découvrent en le remplissant : il rend visible ce que personne n'avait cartographié, et le champ sur les sous-traitants est celui qui fait le plus mal.

Un questionnaire ne prouve rien, sauf à le traiter comme une preuve

Le questionnaire auto-déclaré, renvoyé en tableur, lu par personne, classé dans un répertoire partagé, ne vaut rien. Il produit une trace d'audit, pas une connaissance. Le fournisseur coche ce qui lui permet de passer, et il a raison : rien dans le processus ne distingue une réponse exacte d'une réponse commode.

Trois exigences renversent l'exercice. Attacher une preuve aux questions qui comptent, et à celles-là seulement : « disposez-vous d'une politique de gestion des accès ? » ne renseigne qu'accompagnée de la politique et d'un extrait daté de revue des habilitations. Échantillonner — huit réponses vérifiées valent mieux que cent réponses lues, à condition de choisir celles dont dépend le scénario redouté et de tirer ailleurs l'année suivante. Lire les attestations plutôt que les collectionner : il circule des certificats ISO/IEC 27001 parfaitement valides dont le périmètre couvre un siège et un centre de données qui n'hébergent pas le service acheté, et dans un rapport SOC 2 de type II, les deux sections utiles sont les exceptions et les contrôles complémentaires attendus de l'entité utilisatrice — ce que le rapport suppose que vous faites, vous.

Le SIG de Shared Assessments, le CAIQ de la Cloud Security Alliance et l'ISO/IEC 27036 évitent de réinventer la liste de questions. Ce sont des instruments ; aucun ne décide quelle profondeur appliquer à qui, et c'est cette décision qui fait un programme.

Le risque n'est pas à l'entrée du contrat

La quasi-totalité des programmes évaluent au référencement, puis plus jamais. C'est l'inverse de la distribution réelle du risque : au référencement, le fournisseur est mobilisé, l'équipe achats attentive, le contrat ouvert. Les conditions ne seront jamais aussi favorables.

La suite échappe à tout contrôle. Le périmètre dérive — un outil acheté pour l'analyse d'audience traite dix-huit mois plus tard des données RH parce qu'une équipe a trouvé l'intégration pratique. Un fonds rachète, le support part dans un pays absent du contrat. Le sous-traitant est remplacé sans notification. Le contrat se reconduit tacitement un dimanche.

La réponse n'est pas d'évaluer plus souvent, mais de remplacer l'instantané par des signaux : expiration de certification, notification d'incident, changement de sous-traitant, vulnérabilité publiée sur un composant exposé, dégradation financière — une entreprise en difficulté coupe d'abord dans ce qui ne facture pas. Les services de notation externe ont un usage, et un seul : déclencher une question. Un déclencheur vaut mieux qu'un calendrier.

La concentration, angle mort des registres

Un registre bien tenu liste vingt prestataires pour un processus critique et donne l'impression rassurante d'une dépendance répartie. Résolvez chacun jusqu'à son hébergement réel : les vingt tournent dans la même région du même fournisseur cloud. La redondance était contractuelle, pas technique.

La concentration ne se lit jamais sur une ligne du registre, elle apparaît dans la colonne que personne n'a créée. Même fournisseur d'identité. Même prestataire d'envoi d'e-mails transactionnels, celui dont la panne bloque à la fois vos notifications clients et vos réinitialisations de mot de passe. Même sous-traitant de rang quatre derrière trois éditeurs qui se croient concurrents. Dans les petites structures, la même personne : l'unique administrateur qui connaisse l'architecture.

L'analyse se conduit par fonction perdue, pas par fournisseur : prenez un processus que vous ne pouvez pas arrêter, listez ce qui le soutient, résolvez chaque élément en hébergement, sous-traitants et pays d'exploitation, cherchez la valeur qui se répète. DORA l'impose à son article 29 ; ailleurs presque personne ne le fait, alors que c'est l'analyse la moins coûteuse de toutes.

Le droit d'audit que personne n'exerce

La clause d'audit se négocie durement, figure dans presque tous les contrats critiques et n'est jamais activée. Sur les programmes que nous reprenons, « à quand remonte le dernier exercice de ce droit ? » reste le plus souvent sans réponse. Une clause qu'on n'exerce pas n'est pas un contrôle, c'est une ligne de contrat.

Deux issues honnêtes. L'exercer, une fois par an, sur un fournisseur de palier 1 désigné par rotation, avec un périmètre étroit et annoncé : accès privilégiés, preuve du dernier test de restauration, journal des changements sur trois mois. Une journée à distance apprend davantage qu'un questionnaire de deux cents lignes. Ou la remplacer par des droits réellement exerçables — rapport d'audit et plan de remédiation à date fixe, droit de tester votre tenant selon des règles convenues d'avance, audits mutualisés quand le fournisseur refuse les visites individuelles.

L'enseignement est gratuit : la manière dont un fournisseur accueille une demande d'audit cadrée vous renseigne avant même qu'elle commence.

Faire correspondre la profondeur à la criticité

Le palier n'est pas une propriété du fournisseur, c'est une propriété de l'usage. Le même éditeur relève du palier 3 pour un outil de réservation de salles et du palier 1 pour la brique qui authentifie vos collaborateurs. Classer par raison sociale fait dérailler la plupart des tableaux de bord.

La règle d'allocation est brutale, et c'est ce qui la rend efficace : les paliers 1 et 2 absorbent l'essentiel du budget. Un programme qui traite trois cents fournisseurs avec la même diligence n'en traite correctement aucun des huit qui comptent.

Des clauses qu'on peut opposer

Une clause de sécurité qu'on ne sait pas mesurer ne rassure que le comité qui l'a validée. Ce qui la rend opposable : un fait déclencheur défini, un délai chiffré, un destinataire nommé, une conséquence.

« Dans les meilleurs délais » ne s'oppose pas. Écrivez vingt-quatre heures à compter de la détection, vers une adresse nommée, avec obligation de notifier même lorsque l'impact sur vos données n'est pas encore établi : c'est cette précision qui évite trois semaines de silence pendant que le fournisseur qualifie. Sur la sous-traitance, pas de consentement général, mais une information préalable et un droit d'objection sous trente jours pour les fonctions critiques. Sur le niveau de sécurité, référencez un socle nommé — CIS Benchmarks, ISO/IEC 27002, votre annexe technique — plutôt que « l'état de l'art », qui se plaide dans les deux sens.

Tout cela se négocie avant la signature, ou ne se négocie pas. Les exigences de sécurité appartiennent au dossier de consultation ; un RSSI qui découvre le contrat après coup n'a plus aucun levier.

Écrire la sortie avant de signer

La phase la plus négligée du cycle est la dernière. Les contrats se terminent, les accès survivent. On retrouve, des mois après la fin d'une prestation, l'application encore assignée dans l'annuaire d'identité, des clés d'API valides, des consultants du prestataire dans le répertoire d'invités de la messagerie, des données dans ses sauvegardes bien au-delà de la durée annoncée. Rien n'a jamais été câblé entre la fin d'un contrat et la révocation des droits. La correction coûte peu — une procédure nommée, un responsable, un délai, une preuve — mais elle relève de l'exploitation, et l'exploitation ne se priorise jamais.

Le plan de sortie, lui, s'écrit avant la signature, quand vous avez encore quelque chose à échanger. Quatre questions : sous quel format et en combien de temps récupère-t-on les données, qui détient les clés de chiffrement, quelle durée de transition le fournisseur s'engage à assurer, existe-t-il un repli déjà qualifié. Un export jamais testé n'est pas un plan de sortie. Testez-le une fois, pendant que la relation est bonne — le seul moment où le fournisseur vous aidera.

Quatre-vingt-dix jours pour partir du bon pied

Un ordre de marche qui tient quand tout est à construire :

1. Bâtir le registre à partir de la comptabilité fournisseurs et des applications de l'annuaire d'identité, jamais d'un recensement déclaratif : les dépenses et les connexions révèlent les prestataires que personne ne déclare.
2. Classer par palier, sur l'usage. Deux critères suffisent : impact d'une indisponibilité, sensibilité des données accessibles.
3. Confronter les contrats des paliers 1 et 2 aux clauses ci-dessus et ranger les écarts par échéance. La prochaine reconduction est votre fenêtre de renégociation.
4. Cartographier la sous-traitance du palier 1 jusqu'au niveau qui héberge réellement la donnée.
5. Exercer un droit d'audit, une fois. Le programme change de nature ce jour-là.
6. Câbler l'offboarding sur le processus de fin de contrat.

Rien là-dedans n'exige un outil. L'outil devient nécessaire ensuite, pour tenir la campagne, la preuve, le score et l'échéancier de deux cents fournisseurs sans les perdre dans des tableurs.

Ce que nous apportons

Chez Wavatec, nous abordons le risque tiers par l'écosystème plutôt que par la liste. L'atelier 3 d'EBIOS RM, qui cote les parties prenantes sur leur exposition et leur fiabilité cyber, produit un palier justifié par une analyse de risque et un argumentaire qu'un organe de direction peut approuver — ce que NIS2 lui demande. Nous vérifions ensuite ce qui doit l'être : tests d'intrusion sur les interfaces exposées, revue de configuration contre les CIS Benchmarks, lecture critique des attestations. Elyys360, la plateforme GRC que nous éditons, tient la durée : campagnes, preuves, scoring, suivi des clauses et des échéances.

Le programme qui tient n'est pas celui qui évalue le plus de fournisseurs. C'est celui qui sait, à tout instant, lesquels peuvent l'arrêter, et ce qu'il fera le jour où l'un d'eux tombe.