Avant toute chose, une distinction s’impose, car le terme recouvre deux réalités différentes et la plupart des lecteurs cherchent précisément des informations sur l’une d’elles.
La première relève de la chaîne d’approvisionnement. Il s’agit de veiller à ce que les fournisseurs respectent les règles de l’acheteur en matière d’expédition, d’étiquetage et d’emballage des marchandises. Le non-respect de ces règles entraîne, par exemple, des pénalités lorsqu’une palette n’est pas conforme. Les grands distributeurs consacrent des programmes considérables à ce sujet. Si c’est ce qui vous intéresse, un contenu dont le titre mentionne la « distribution » ou l’« EDI » vous sera plus utile que cet article.
La seconde, qui nous intéresse ici, concerne les risques. Elle consiste à s’assurer que les tiers dont dépend une entreprise respectent effectivement les obligations dont celle-ci doit répondre. C’est cette dimension qui préoccupe les responsables conformité, les gestionnaires de fonds et toute personne qui rend des comptes à un régulateur ou à un investisseur commanditaire. Elle se révèle plus difficile à cerner qu’il n’y paraît.
Ce qu’est réellement la conformité des fournisseurs
Dans sa forme la plus simple, la conformité des fournisseurs désigne la responsabilité d’une organisation à l’égard des obligations que ses fournisseurs exécutent pour son compte.
Cette formulation mérite que l’on s’y attarde. Confier une activité à un tiers, qu’il s’agisse de la paie, du stockage de données, de la vérification d’identité, du traitement des paiements ou d’autre chose, transfère le travail. Cela ne transfère pas la responsabilité. Si une défaillance du fournisseur affecte les clients, les données ou la situation réglementaire, le problème revient à l’organisation qui l’a mandaté. Et l’argument « c’est notre fournisseur qui l’a fait » n’a jamais constitué une défense très convaincante devant un régulateur.
La plupart des gens envisagent la conformité des fournisseurs sous un angle étroit : disposent-ils d’un rapport SOC 2 ? En réalité, son périmètre est bien plus large, et bien le définir constitue l’essentiel du travail.
Ce qu’elle couvre réellement
Un fournisseur assume tout un ensemble d’obligations qui, s’il y manque, deviennent discrètement celles de l’acheteur.
La sécurité est la plus évidente. Dans les faits, sa violation de données devient la vôtre, car ce sont vos données qui se trouvent dans ses systèmes. Les clients ne feront pas de distinction minutieuse pour déterminer à qui revient techniquement la faute.
La protection des données va de pair avec la sécurité, mais elle est plus complexe, car les obligations se propagent le long de chaînes de sous-traitance. Un fournisseur fait appel à des sous-traitants ultérieurs, qui ont eux-mêmes les leurs. Les obligations du GDPR et du CCPA parcourent toute cette chaîne. La responsabilité s’étend donc à des maillons qui n’ont jamais été directement évalués et dont l’existence, dans certains cas, n’a même jamais été signalée.
À cela s’ajoute la dimension réglementaire : agréments, enregistrements, situation au regard des sanctions. Un fournisseur qui perd un agrément nécessaire à son activité ou se retrouve sur une liste où il ne devrait pas figurer transforme, sans préavis, une simple ligne budgétaire en incident de conformité bien réel.
La santé financière fait aussi partie du périmètre. C’est pourtant le point que l’on oublie, parce qu’il ne semble pas relever de la « conformité ». Un fournisseur qui se rapproche de l’insolvabilité risque d’entraîner dans sa chute une partie de vos activités, généralement au pire moment et avec très peu de préavis.
Les aspects juridiques et réputationnels complètent l’ensemble : contentieux, respect des contrats et simple fait que le comportement public d’un fournisseur rejaillit sur l’organisation qui l’a mandaté. C’est particulièrement vrai si celle-ci est réglementée ou doit rendre des comptes à des investisseurs institutionnels qui suivent l’actualité.
Le point commun à tous ces sujets est qu’aucun ne se règle par une vérification unique. Chacun correspond à une situation qui évolue dans le temps, et c’est tout l’enjeu des sections qui suivent.
Les attentes varient fortement selon le secteur
Ce qui constitue un niveau satisfaisant dépend largement du secteur. Voilà pourquoi les conseils génériques sur le sujet ne satisfont presque personne. Il est utile d’examiner quelques grands cas de figure, car ils imposent des exigences très différentes.
Dans les services financiers, les exigences sont les plus élevées et leur application est la plus explicite. Les régulateurs attendent une surveillance continue et documentée des tiers. Ils considèrent que l’externalisation transfère le travail, mais pas la responsabilité, et examinent la gestion des fournisseurs comme une discipline à part entière. En particulier, l’exposition aux sanctions par l’intermédiaire d’un fournisseur est considérée comme le problème de l’établissement qui l’a mandaté, sans réserve.
Dans la santé, l’obligation s’articule autour des données. Un fournisseur qui traite des informations de santé protégées est, dans la terminologie du régime applicable, un business associate. L’entité assujettie reste responsable de ce que ce partenaire fait des données. L’accord écrit n’est qu’un point de départ ; la responsabilité, elle, est continue.
Dans les technologies et le SaaS, les attentes portent sur le niveau de sécurité et la chaîne des sous-traitants ultérieurs. Les grandes entreprises clientes exigent de plus en plus, au-delà des certifications du fournisseur, des preuves qu’il encadre ses propres fournisseurs. La chaîne ne vaut en effet que ce que vaut son maillon le plus faible.
Dans la distribution et l’industrie manufacturière, l’expression renvoie davantage au sens opérationnel : expédition, étiquetage, emballage et niveaux de service. Les grands distributeurs intègrent toutefois désormais des exigences éthiques et réglementaires à leurs programmes fournisseurs, qui couvrent les pratiques de travail et la provenance des produits en plus de la logistique.
Dans la gestion immobilière et la gestion des installations, la conformité des fournisseurs désigne souvent des éléments très précis et concrets : attestations d’assurance, autorisations d’exercice et couverture de responsabilité civile des prestataires autorisés à intervenir sur un site. Le scénario de défaillance est celui d’un prestataire sans couverture valide qui cause des dommages dont le gestionnaire devient responsable.
Dans tous ces secteurs, le niveau d’exigence augmente avec la sensibilité de ce à quoi le fournisseur a accès et le degré de réglementation de l’organisation qui le mandate. Un fonds ou une banque se situe à l’extrémité la plus exigeante. Mais même dans les cas les moins contraignants, ce qui était une formalité il y a quelques années est devenu un sujet que les acheteurs et les régulateurs vérifient activement.
Les composantes d’un dispositif de conformité des fournisseurs
Quel que soit le secteur, un dispositif efficace de conformité des fournisseurs repose généralement sur les mêmes composantes. Les nommer est utile : la plupart des organisations en possèdent certaines, mais pas toutes, et les problèmes surviennent habituellement là où il en manque.
Tout commence par une politique qui précise ce que l’organisation exige réellement de ses fournisseurs et qui est responsable de la relation en interne. Sans cela, tout le reste s’improvise.
Vient ensuite l’inventaire des fournisseurs, c’est-à-dire la liste complète des fournisseurs auxquels l’organisation fait effectivement appel. Cela semble élémentaire, mais l’est rarement : des outils sont achetés avec des cartes d’entreprise et des services sont souscrits sans passer par un processus centralisé. Un dispositif qui surveille une liste où manque un tiers des fournisseurs réels surveille une fiction rassurante.
Il faut ensuite classer les fournisseurs par niveau de risque, selon les dommages que leur défaillance pourrait causer. L’objectif est de concentrer les contrôles là où ils comptent, au lieu de les répartir uniformément et superficiellement sur l’ensemble.
La due diligence à l’entrée en relation est la composante que la plupart des organisations possèdent déjà : questionnaire, vérification des certificats, appel de prise de références. Elle est nécessaire, mais c’est aussi la partie que l’on confond avec le dispositif dans son ensemble.
La surveillance continue est la composante qui manque à la plupart des organisations. C’est elle qui transforme un exercice de classement documentaire en un véritable contrôle. Elle consiste à surveiller, chez les fournisseurs importants, les éléments qui évoluent entre deux évaluations.
Enfin, il faut des clauses contractuelles et une procédure de réaction : droit d’audit, obligation de notification et enchaînement défini des mesures à prendre lorsqu’un fournisseur cesse d’être conforme. Un dispositif sans moyens d’action ni plan pour les situations difficiles reste un classeur, pas un contrôle.
Pourquoi la conformité des fournisseurs compte davantage aujourd’hui
La conformité des fournisseurs se résumait autrefois à une formalité : un questionnaire rangé dans un tiroir et ressorti pour les audits. Trois facteurs en ont fait une préoccupation permanente.
Le premier est réglementaire. Les orientations des autorités de supervision indiquent désormais explicitement que la responsabilité ne se transfère pas avec le travail. La position du CFPB sur les prestataires de services établit qu’une entreprise reste responsable de la protection des consommateurs même lorsqu’elle externalise la fonction concernée. La surveillance continue des tiers fait partie du programme de conformité, au lieu d’être un complément facultatif. La même logique sous-tend les recommandations du FATF sur la due diligence continue.
Le deuxième est l’évolution de la surface d’attaque. Une entreprise moderne fonctionne avec des dizaines de fournisseurs, chacun constituant une porte d’entrée vers ses données. La compromission de tiers et de la chaîne d’approvisionnement est devenue l’une des voies les plus courantes de fuite de données. Le rapport annuel Verizon Data Breach Investigations Report constate une hausse, année après année, de la part des violations impliquant un tiers. La sécurité d’une organisation dépend désormais en partie de celle de ses fournisseurs, une dépendance inconfortable qu’il faut surveiller.
Le troisième est commercial. Les grandes entreprises acheteuses et les investisseurs institutionnels ont commencé à demander comment une organisation surveille ses fournisseurs, et plus seulement si elle les a contrôlés une fois. Cette surveillance est devenue une condition d’accès aux contrats et aux levées de fonds. La conformité des fournisseurs ne sert donc plus uniquement à se prémunir contre les risques. Une surveillance insuffisante freine désormais le chiffre d’affaires, ce qui retient généralement l’attention plus vite que tout argument réglementaire.
Le coût réel d’une conformité défaillante des fournisseurs
Les conséquences d’une mauvaise gestion ne sont pas abstraites. Il est utile d’en décrire concrètement les mécanismes.
Le plus direct est une violation de données ayant son origine chez un fournisseur. L’organisation qui l’a mandaté supporte les obligations de notification, l’exposition réglementaire et l’atteinte à sa réputation, quels que soient les systèmes effectivement compromis. Les clients ne font pas la distinction, et les régulateurs la font de moins en moins.
Vient ensuite la sanction réglementaire à proprement parler. Un fournisseur qui se révèle non conforme, qu’il exerce sans autorisation, soit une contrepartie sous sanctions ou traite des données de manière inadéquate, peut déclencher des mesures à l’encontre de l’organisation qui s’est appuyée sur lui. Le principe est que la responsabilité n’a jamais pu être transférée.
Les pertes financières liées à la défaillance d’un fournisseur sont plus discrètes. L’insolvabilité d’un fournisseur critique peut interrompre une activité. Le remplacer dans l’urgence, en pleine crise, coûte cher d’une manière qui apparaît rarement dans les modèles de risque avant que le problème ne survienne.
La fraude mérite une mention particulière, car les relations fournisseurs en sont un vecteur privilégié. Un e-mail envoyé depuis un compte fournisseur compromis ou usurpé, demandant de modifier des coordonnées de paiement, figure parmi les attaques les plus efficaces. Le paiement était attendu et la demande semble légitime. C’est l’insuffisance de la vérification du fournisseur qui permet à la fraude d’aboutir.
À toutes ces conséquences s’ajoute un coût plus lent : l’érosion de la confiance des clients, des régulateurs et des investisseurs après tout incident lié à un fournisseur. Reconstruire cette confiance prend bien plus de temps qu’il n’en a fallu pour que l’incident se produise.
Le piège dans lequel presque tout le monde tombe
Voici comment la conformité des fournisseurs est gérée dans la plupart des organisations. Un questionnaire est envoyé à l’entrée en relation. Un certificat est reçu et classé. Une case est cochée. Puis, dans la plupart des cas, rien ne se passe jusqu’au renouvellement, à supposer que celui-ci déclenche la moindre action.
Ce processus repose sur une hypothèse implicite : le fournisseur serait une réalité immuable. Une fois vérifié, il le resterait.
Ce n’est pas le cas, car un fournisseur évolue. Entre le jour de l’entrée en relation et la prochaine vérification, chacun des événements suivants peut survenir, généralement sans le moindre e-mail pour vous prévenir.
Sa certification expire et n’est pas renouvelée. Ses sous-traitants ultérieurs changent, déplaçant les données vers un environnement qui n’a jamais été évalué. Il subit une violation de données. Sa situation financière se dégrade discrètement. Il est racheté, éventuellement par une entreprise qui n’aurait jamais été approuvée comme fournisseur. Les personnes clés dont les compétences avaient réellement été évaluées s’en vont. Sa situation au regard des sanctions ou sa situation juridique change.
Chacun de ces événements modifie le risque que l’organisation a accepté de prendre. Or, une évaluation annuelle, ou déclenchée uniquement par le renouvellement, ne permet d’en détecter aucun au moment où cette détection serait utile.
Il faut donc changer de perspective, et tout l’article tient en une phrase : la conformité des fournisseurs n’est pas un document à collecter, mais une situation à surveiller. Le problème est que la plupart des entreprises la gèrent comme un document, tout en restant pleinement responsables de la situation réelle.
L’organisation n’a pas approuvé le fournisseur qu’elle a aujourd’hui. Elle a approuvé celui qu’il était à l’entrée en relation, et il s’agit de plus en plus souvent de deux entreprises différentes.
L’idée générale selon laquelle le risque ne s’arrête pas lorsqu’une relation commence est développée ici. La conformité des fournisseurs est une autre forme de ce même problème.
Comment évaluer la conformité d’un fournisseur
Une évaluation rigoureuse suit une démarche assez constante. Il est utile de la formaliser plutôt que de l’improviser pour chaque fournisseur.
Commencez par classer le fournisseur. À quoi a-t-il accès, quel est son degré de criticité et quels dommages sa défaillance causerait-elle ? Les réponses déterminent la profondeur de toutes les étapes suivantes. Un fournisseur à faible risque ne justifie pas les mêmes contrôles qu’un fournisseur critique. Les traiter de la même manière gaspille l’attention dont les fournisseurs critiques ont besoin.
Rassemblez ensuite les justificatifs adaptés à ce niveau de risque : certifications, documentation de sécurité, situation financière, autorisations, assurances et références. Pour un fournisseur à risque élevé, l’examen est approfondi ; pour un fournisseur à faible risque, il reste proportionné.
Vérifiez au lieu de simplement collecter. Un certificat au dossier prouve qu’un document existe, pas que le contrôle sous-jacent est réel. Pour les fournisseurs importants, l’évaluation doit confirmer la réalité des mesures, plutôt que se limiter à constater la réception des documents.
Évaluez le fournisseur au regard des exigences définies par l’organisation, consignez les écarts et décidez de la suite à donner à chacun : l’accepter, exiger une correction ou refuser la relation. La documentation compte autant que la décision, car la capacité à démontrer que l’évaluation a bien eu lieu constitue la moitié de ce qu’un régulateur ou un auditeur vérifie réellement.
Enfin, avant de passer à autre chose, fixez les modalités des évaluations ultérieures. C’est cette étape qui distingue un véritable programme d’une conformité de façade. Comment ce fournisseur sera-t-il surveillé, à quelle fréquence et quels événements déclencheront un nouvel examen ? Le décider au moment de l’évaluation, plutôt que jamais, évite que celle-ci ne devienne une photographie vite dépassée.
Comment mettre en place un processus de conformité des fournisseurs
Pour transformer ces éléments en un processus reproductible, plutôt qu’en un effort exceptionnel qui se dégrade ensuite, il suffit de suivre une série d’étapes maîtrisables.
Commencez par l’inventaire, car rien ne fonctionne sans lui. Recensez tous les fournisseurs, y compris ceux qui ont été choisis discrètement en dehors de tout processus centralisé. Les notes de frais sont généralement le moyen le plus rapide de retrouver ceux que personne n’a enregistrés.
Classez-les par niveau de risque afin de concentrer les efforts là où une défaillance ferait le plus de dégâts. Un processus uniforme qui traite tous les fournisseurs de la même façon épuise l’équipe sur des fournisseurs sans enjeu ou contrôle insuffisamment les plus risqués. En général, il produit les deux effets.
Standardisez la due diligence à l’entrée en relation, afin que chaque nouveau fournisseur passe par la même évaluation adaptée à son niveau de risque, indépendamment de la personne qui l’a introduit dans l’organisation.
Ajoutez une surveillance continue des fournisseurs importants. Ainsi, les évolutions entre deux évaluations, comme les violations de données, les certifications expirées, les difficultés financières, les sanctions et les changements de propriétaires, sont détectées lorsqu’elles se produisent, plutôt qu’au prochain examen programmé, si elles le sont un jour.
Définissez la procédure de réaction afin que chaque signal soit transmis à un interlocuteur et qu’une personne agisse. Un fournisseur sous surveillance qui déclenche une alerte dont personne n’est responsable n’est pas mieux surveillé qu’un fournisseur sans aucun suivi.
Prévoyez aussi une révision du processus lui-même, car un processus de conformité des fournisseurs se dégrade aussi discrètement qu’une politique de risque. Une échéance inscrite au calendrier lorsque tout va bien permet de repérer les dérives avant qu’elles ne portent à conséquence.
Quels outils facilitent la conformité des fournisseurs
Les outils se répartissent en plusieurs catégories distinctes. Comme pour les logiciels de gestion des risques en général, ces catégories ne se substituent pas les unes aux autres. Il est utile de le comprendre avant tout achat.
Les plateformes de gestion des risques liés aux tiers prennent en charge les processus : envoi de questionnaires, collecte et stockage des certifications, suivi de l’état des évaluations et gestion du cycle de vie des fournisseurs. C’est la catégorie à laquelle la plupart des gens pensent lorsqu’ils parlent de « logiciel de conformité des fournisseurs ». Pour gérer questionnaires et attestations, c’est l’outil adapté.
Les services de notation de sécurité évaluent en continu le niveau de sécurité d’un fournisseur tel qu’il apparaît de l’extérieur. Ils donnent une vue externe de son exposition sans nécessiter sa coopération.
Les outils de vérification des paiements et des fournisseurs ciblent spécifiquement la fraude. Ils confirment que les coordonnées de paiement appartiennent bien au fournisseur annoncé, ce qui permet de se défendre contre les attaques par fausses factures.
L’intelligence des risques en continu appliquée aux entités, catégorie à laquelle appartient Beady AI, surveille quant à elle les entités externes : sanctions, médias défavorables, changements dans les sociétés et leur actionnariat, contentieux et usurpation d’identité. Elle couvre les fournisseurs et les autres entités auxquelles une organisation est exposée. Chaque signal est relié à une source consultable et vérifiable.
Ces catégories sont complémentaires et ne sont pas en concurrence. Un programme fournisseurs sérieux en mobilise souvent plusieurs. Le rôle de chacune et sa véritable utilité sont présentés ici.
Ce que Beady couvre et ce qu’elle ne couvre pas
La précision compte ici, car la conformité des fournisseurs est vaste. Il serait facile de laisser entendre que la couverture est plus large qu’elle ne l’est réellement.
Beady couvre une dimension : celle des entités externes. Sanctions, médias défavorables, changements dans les sociétés et leur actionnariat, contentieux et usurpation d’identité sont surveillés en continu chez les fournisseurs et les autres entités. Chaque signal est relié à une source vérifiable. C’est précisément cette dimension qui reste souvent sans surveillance entre l’entrée en relation et le renouvellement.
Beady n’est pas une suite complète de gestion des risques liés aux tiers. Elle n’envoie pas de questionnaires de sécurité, ne collecte ni ne gère les attestations SOC 2 et ne pilote pas le processus d’entrée en relation avec les fournisseurs. Une organisation qui a besoin d’évaluer le niveau de sécurité et de gérer des questionnaires devrait se tourner, pour cette tâche précise, vers une plateforme TPRM dédiée ou le module de risque fournisseurs d’une suite GRC plus large.
Présenter les choses avec justesse revient à reconnaître leur complémentarité. Les outils de questionnaire enregistrent ce qu’était un fournisseur au moment de l’évaluation. La surveillance continue des entités suit ce qu’il devient ensuite. La plupart des entreprises ayant une exposition significative aux fournisseurs finissent par avoir besoin des deux.
Un point de départ en dix minutes
Il est possible d’obtenir dès cet après-midi un premier aperçu des lacunes de votre organisation en matière de conformité des fournisseurs, sans aucun outil.
Dressez la liste des dix fournisseurs les plus importants, classés selon les dommages que leur défaillance pourrait causer. Retenez ceux dont vous dépendez le plus, pas ceux dont les factures sont les plus élevées.
Pour chacun, répondez à deux questions. Quand sa conformité a-t-elle été réellement vérifiée pour la dernière fois, au-delà de la présence d’un certificat au dossier ? Et comment l’organisation apprendrait-elle, demain, qu’un changement important est survenu, comme une violation de données, l’expiration d’un agrément, une acquisition ou une inscription sur une liste de sanctions ?
Comptez ensuite le nombre de fournisseurs, parmi ces dix, pour lesquels vous n’avez pas pu répondre aux deux questions.
Ce chiffre mesure la lacune de votre dispositif de conformité des fournisseurs. Il est plus souvent qu’on ne le croit supérieur aux attentes, car un certificat au dossier donne l’impression de savoir, jusqu’à ce que quelqu’un demande ce qui s’est passé depuis sa délivrance.
Questions fréquentes
La gestion des fournisseurs couvre toute la relation : sélection, négociation des contrats, gestion des performances et des coûts, puis fin de la relation. La conformité des fournisseurs est la partie qui porte précisément sur le respect, par le fournisseur, des obligations dont l’organisation qui le mandate doit répondre. La conformité s’inscrit dans la gestion et en constitue le volet assorti de conséquences réglementaires.
Non, même si elle est très souvent gérée ainsi, ce qui constitue le problème central. La responsabilité à l’égard d’un fournisseur dure toute la relation, pas seulement le temps de l’entrée en relation. Ses certifications, ses sous-traitants ultérieurs, sa santé financière, son actionnariat et sa situation au regard des sanctions peuvent tous évoluer entre deux évaluations. Un contrôle ponctuel ne détecte aucun de ces changements.
L’organisation qui a mandaté le fournisseur. Externaliser une activité transfère le travail, mais pas la responsabilité, un principe que les régulateurs énoncent explicitement. En interne, le pilotage revient généralement à la conformité, aux achats ou à un responsable de relation désigné. Mais la responsabilité reste celle de l’organisation qui a mandaté le fournisseur, quelle que soit la répartition interne des tâches.
Une violation de données provenant d’un fournisseur, dont l’organisation cliente supporte les obligations de notification et les conséquences réputationnelles. Une sanction réglementaire déclenchée par la non-conformité d’un fournisseur. Des pertes opérationnelles et financières lorsqu’un fournisseur critique fait défaut. Et la fraude, en particulier les attaques par fausses factures qu’une vérification insuffisante des fournisseurs laisse passer. À tous ces risques s’ajoute l’érosion progressive de la confiance des clients et des régulateurs.
La réévaluation formelle est généralement annuelle, avec une fréquence et une profondeur accrues pour les fournisseurs critiques par rapport à ceux qui présentent un faible risque. Mais réévaluer formellement n’est pas surveiller. Les événements qui provoquent réellement les incidents liés aux fournisseurs, comme les violations de données, les expirations, les sanctions et les acquisitions, suivent leur propre calendrier, pas celui des évaluations. C’est pourquoi les fournisseurs critiques justifient une surveillance continue en complément des évaluations périodiques.
C’est l’ensemble des composantes qui rendent la conformité des fournisseurs reproductible plutôt qu’improvisée : une politique définissant les exigences et les responsabilités, un inventaire complet des fournisseurs, un classement par niveau de risque, une due diligence à l’entrée en relation, une surveillance continue et des clauses contractuelles assorties d’une procédure de réaction définie. La plupart des organisations possèdent certaines de ces composantes. Les incidents naissent généralement là où il en manque.
Plusieurs catégories distinctes, qui ne se substituent pas les unes aux autres : plateformes de gestion des risques liés aux tiers pour les processus de questionnaires et d’attestations, services de notation de sécurité pour évaluer le niveau de sécurité depuis l’extérieur, outils de vérification des paiements pour prévenir la fraude et intelligence des risques en continu appliquée aux entités pour surveiller les sanctions, les médias défavorables, les changements d’actionnariat et l’usurpation d’identité chez les fournisseurs. Un programme sérieux combine généralement plusieurs catégories.
Oui, et le mot clé est « proportionné », avec des implications dans les deux sens. Une petite entreprise a besoin d’un dispositif plus léger, sans plateforme pour grande entreprise ni équipe dédiée aux risques fournisseurs. En revanche, sa responsabilité n’est pas moindre, pas plus que les conséquences de la défaillance d’un fournisseur critique, car une petite structure dispose de moins de moyens pour absorber le choc. Le point de départ consiste à identifier les quelques fournisseurs dont la défaillance pourrait réellement faire couler l’entreprise.
Conclusion
Tout se résume à ceci : un fournisseur relève de votre responsabilité dès que vous lui confiez du travail, et le reste jusqu’à la fin de la relation. Détourner le regard ne permet à personne de s’y soustraire.
Le certificat dans vos dossiers vous dit ce qu’était un fournisseur le jour de son entrée en relation. Il ne dit rien de l’entreprise qu’il est aujourd’hui. Tous les changements intervenus depuis, qu’il s’agisse d’un nouveau propriétaire, d’un agrément expiré, d’une violation de données ou d’une inscription sur une liste de sanctions, se trouvent dans cet écart. Et cet écart représente le risque que l’organisation a déjà accepté d’assumer.
Mieux vaut suivre ces évolutions au fil de l’eau que les découvrir au renouvellement. Réservez une session, et Beady effectuera cette surveillance sur une liste réelle de fournisseurs. La plupart des entreprises découvrent un élément qu’elles ignoraient dès le premier examen.
