Évaluation des risques liés aux tiers et aux fournisseurs

Présentation du service

L'évaluation des tiers est l'endroit où la plupart des environnements de contrôle cèdent en silence. L'organisation est certifiée, les politiques sont à jour, l'audit interne est propre, puis un prestataire de paie dont le serveur de transfert de fichiers n'a pas été corrigé perd l'ensemble.

ZULTIV évalue vos fournisseurs comme un auditeur vous évaluerait : selon un référentiel défini, sur preuves, avec une constatation graduée pour chaque écart. Vous savez au final quels fournisseurs portent réellement les mesures que leur contrat promet, lesquels exigent l'ajout de clauses de remédiation au renouvellement, et lesquels représentent un risque à escalader dès maintenant.

Ce qui est évalué

Gouvernance et responsabilité : qui porte la sécurité chez le fournisseur, et si cette personne dispose d'une autorité réelle
Certifications et attestations : des déclarations de domaine d'application lues correctement, et non des logos de certificats collectionnés
Traitement des données : ce qu'ils détiennent, où elles résident, qui peut y accéder et combien de temps elles survivent
Contrôle d'accès : arrivées, mobilités et départs, accès à privilèges, et leur propre personnel à distance
Mesures techniques : cadence de correction, chiffrement en transit et au repos, journalisation et surveillance
Réponse aux incidents, les délais de notification inscrits au contrat face à ceux de leur propre procédure
Continuité d'activité, leurs objectifs de reprise face à votre tolérance à leur indisponibilité
Quatrièmes parties : ce dont votre fournisseur dépend, car son risque de concentration devient le vôtre
Position contractuelle : droits d'audit, annexes sécurité, clauses de traitement des données et dispositions de sortie

Domaine d'application

Le domaine d'application est convenu par écrit avant tout démarrage, car « évaluez nos fournisseurs » recouvre des charges de travail très différentes selon la réponse à trois questions : combien, jusqu'à quelle profondeur, et quelles preuves êtes-vous en droit d'exiger.

Revue par niveaux

L'ensemble du parc fournisseurs classé par criticité et exposition aux données, afin que l'effort porte là où se trouve le risque. C'est en général la bonne première mission.

Évaluation standard

Revue sur preuves d'un fournisseur défini au regard d'un référentiel convenu, avec un registre de constatations graduées et une position de remédiation.

Évaluation approfondie

Pour les fournisseurs critiques : entretiens, revues de bout en bout des mesures, échantillonnage et, lorsque votre contrat le permet, une revue sur site ou sur les systèmes en production.

Démarche

01 : Classer

Nous inventorions les fournisseurs concernés et les répartissons par niveaux selon la sensibilité des données, la criticité métier et la facilité de remplacement. Tous les fournisseurs ne méritent pas la même attention.

02 : Fixer le référentiel

Nous convenons de ce au regard de quoi chaque niveau est évalué : votre propre corpus de mesures, l'Annexe A d'ISO/IEC 27001, le NIST CSF ou les attentes d'un régulateur. Le niveau d'exigence est écrit d'abord.

03 : Recueillir les preuves

Questionnaire, puis vérification : certificats et leurs déclarations de domaine d'application, rapports SOC 2 et leurs exceptions, politiques, tickets, extractions de configuration, entretiens.

04 : Éprouver les affirmations

Lorsqu'une mesure est affirmée, nous l'échantillonnons. Un délai de correction annoncé à 30 jours est vérifié sur les enregistrements réels de correctifs, et non accepté parce que la case a été cochée.

05 : Graduer et rapporter

Chaque écart est rédigé en séparant l'exigence, la preuve et le manquement, puis gradué selon le risque résiduel pour vous, et non selon l'inconfort qu'il y a à le soulever.

06 : Remédier et revérifier

Vous obtenez une position de remédiation par fournisseur : accepter, corriger pour une date donnée, ajouter une clause contractuelle au renouvellement, ou remplacer. Nous revérifions quand vous êtes prêt.

Livrables clés

Registre des risques fournisseurs

Chaque fournisseur évalué avec son niveau, son référentiel, sa notation de risque résiduel et son responsable : un document vivant, pas un PDF ponctuel.

Rapport d'évaluation par fournisseur

Domaine d'application, méthode, preuves examinées et chaque constatation graduée, sous une forme que vous pouvez transmettre au fournisseur sans la réécrire.

Actions de remédiation et actions contractuelles

Ce que chaque fournisseur doit corriger, pour quand, et quels écarts se referment mieux par le contrat au prochain renouvellement.

Synthèse de direction

Deux pages pour votre conseil ou votre comité des risques : risque de concentration, fournisseurs qui appellent une décision, et ce qui a changé depuis la dernière fois.

À qui cela s'adresse

Organisations certifiées ISO/IEC 27001 qui doivent prouver la maîtrise de leurs fournisseurs au titre de l'Annexe A 5.19 à 5.22
Entreprises dont les propres clients leur envoient désormais un questionnaire de sécurité fournisseur chaque trimestre
Secteurs régulés : banque, assurance et services financiers, santé, et toute entité traitant des données personnelles au titre du DPDP Act en qualité de responsable du traitement
Équipes qui externalisent le développement, le support ou l'infrastructure sans avoir jamais vérifié ce que font réellement ces partenaires
Toute organisation qui vient de traverser un incident fournisseur et n'en veut pas un second

Normes et référentiels utilisés pour l'évaluation

Le référentiel est choisi en fonction de vos obligations, pas de notre confort. Le plus souvent :

ISO/IEC 27001:2022Annexe A 5.19 à 5.23, mesures fournisseurs
ISO/IEC 27036Sécurité des relations avec les fournisseurs
SOC 2Trust Services Criteria & exceptions du rapport
NIST CSF 2.0Fonction Govern & gestion du risque chaîne d'approvisionnement
HIPAAObligations des business associates
DPDP Act, 2023Obligations d'engagement des sous-traitants
RGPDExigences de l'article 28 pour le sous-traitant

Questions fréquentes

C'est un bon signal, ce n'est pas une réponse. La question est de savoir ce que couvre la déclaration de domaine d'application du certificat : il est parfaitement possible qu'un fournisseur soit certifié pour une entité, un site ou une gamme de produits sans rapport avec le service que vous achetez. Lire correctement cette déclaration est l'une des toutes premières choses que nous faisons.

C'est en soi une constatation, et nous la rapportons comme telle. En pratique, le levier est contractuel : des droits d'audit et une annexe sécurité convenus à la signature valent bien plus que des demandes formulées après coup. Lorsque ces droits manquent, nous vous indiquons ce qu'il faut ajouter au renouvellement.

Pas tous. Répartissez d'abord le parc par niveaux, puis évaluez correctement le niveau critique et traitez le reste par un questionnaire plus léger dont les réponses sont vérifiées. Répartir le même effort sur deux cents fournisseurs n'en évalue correctement aucun.

Uniquement si vous le souhaitez, et toujours avec votre mise en relation. Certains clients préfèrent que nous passions entièrement par leur équipe achats et fournisseurs ; d'autres constatent qu'un évaluateur indépendant pose des questions plus dures et obtient des réponses plus franches. Les deux formules fonctionnent.

Les fournisseurs critiques chaque année, et immédiatement en cas de changement significatif : une acquisition, une violation de données, le passage à un nouveau sous-traitant ultérieur, ou une évolution des données détenues. Les niveaux inférieurs peuvent suivre un cycle plus long.