Le programme de TPRM d’une entreprise de distribution classait les fournisseurs en quatre niveaux de risque selon l’accès aux données et la profondeur de l’intégration des systèmes. Les fournisseurs de niveau 1 faisaient l’objet d’évaluations complètes ; ceux de niveau 4, d’une vérification préalable de base. Un fournisseur de fournitures de bureau avait été classé au niveau 3 lors de son intégration initiale trois ans plus tôt : il livrait de la papeterie et des fournitures pour les salles de pause, n’avait aucun accès aux données et aucune intégration de systèmes. Le classement au niveau 3 donnait lieu à des mises à jour périodiques par questionnaire confirmant l’absence de changement dans la relation. Deux ans plus tôt, le fournisseur de fournitures de bureau avait acquis une entreprise de technologies logistiques dont le logiciel de gestion des stocks avait commencé à être déployé dans plusieurs centres de distribution de l’entreprise dans le cadre d’un programme pilote. Le logiciel s’intégrait directement au système de gestion d’entrepôt de l’entreprise, traitait des données de stocks en temps réel, disposait d’une connectivité réseau vers l’environnement de technologies opérationnelles des centres de distribution et était géré à distance par l’équipe d’ingénierie de la filiale acquise. Le classement était resté au niveau 3 tout au long de cette période : attribué à la relation avec l’entité juridique qu’était l’entreprise de fournitures de bureau, il n’avait pas été réévalué au regard de l’intégration logicielle de la filiale, qui avait fondamentalement modifié le profil de risque de la relation.
Les inexactitudes du classement des fournisseurs : de quoi s’agit-il vraiment ?
Le classement des fournisseurs consiste à répartir les relations avec les fournisseurs par niveau de risque afin d’appliquer une profondeur d’évaluation, une intensité de surveillance et des exigences de gouvernance proportionnées. Un classement exact est fondamental pour une TPRM efficace : les fournisseurs sous-classés font l’objet d’une gouvernance inférieure à ce que justifie leur risque, tandis que les fournisseurs surclassés mobilisent des ressources d’évaluation qui seraient mieux employées pour des relations plus risquées. Les inexactitudes de classement ont trois sources : un classement initial erroné fondé sur une compréhension incomplète de la relation, l’obsolescence du niveau lorsque le profil de risque de la relation change sans déclencher de réévaluation, et un décalage de périmètre lorsque le niveau est attribué à une entité juridique plutôt qu’à chaque relation de risque distincte créée par cette entité.
Le problème de l’évolution de la relation est la source d’inexactitude de classement la plus lourde de conséquences. Les relations avec les fournisseurs évoluent avec le temps : un fournisseur qui fournissait un service à faible risque lors de son intégration peut avoir ajouté un service plus risqué, étendu son accès aux données, intégré d’autres systèmes ou acquis une filiale dont les activités créent un profil de risque différent. Les réévaluations annuelles par questionnaire qui posent chaque année les mêmes questions peuvent confirmer que la fonction d’origine de la relation n’a pas changé sans détecter les nouveaux éléments ajoutés à la relation. Le niveau du fournisseur de fournitures de bureau reflétait fidèlement la relation de livraison de papeterie. Il ne reflétait pas l’intégration du logiciel logistique créée à la suite de l’acquisition.
Le problème du périmètre entité ou relation est un défaut précis de conception du classement. Les programmes de TPRM qui attribuent des niveaux aux entités juridiques plutôt qu’à chaque relation de risque distincte avec ces entités classeront mal les situations où une même entité juridique crée plusieurs relations de risque : un conglomérat dont les filiales fournissent des services différents aux profils de risque différents, ou un acquéreur dont l’acquisition a introduit une nouvelle relation plus risquée à côté de la relation d’origine moins risquée. Le classement au niveau de l’entité attribue un seul niveau à des profils de risque potentiellement multiples, ce qui sous-classe systématiquement les relations les plus risquées au sein de l’entité.
- Évolution de la relation sans réévaluation du niveau : de nouveaux services, intégrations ou filiales ajoutent du risque sans déclencher de revue du niveau
- Classement au niveau de l’entité masquant le risque au niveau de la relation : un seul niveau appliqué à une entité ayant plusieurs relations aux profils de risque différents
- Questionnaire annuel ne détectant pas les ajouts à la relation : des questions standard confirment la fonction d’origine sans interroger sur les nouveaux éléments
- Acquisition ne déclenchant pas d’évaluation de la relation avec la filiale : les nouvelles relations de risque issues d’une acquisition par le fournisseur ne sont pas détectées lors de la réévaluation standard
- Niveau attribué lors de l’intégration et supposé stable : classement initial non réexaminé en l’absence de déclencheur précis
Pourquoi c’est important
Les inexactitudes du classement des fournisseurs sont importantes pour la TPRM, car toute la structure de gestion des risques du programme repose sur l’exactitude des niveaux. Un fournisseur sous-classé fait l’objet de moins d’évaluation, de surveillance et de gouvernance que ne le justifie son risque : la lacune de sécurité correspond à l’écart entre ce qu’exigerait le niveau de risque réel du fournisseur et ce qu’offre le niveau inexact. Pour un fournisseur disposant d’un accès en temps réel aux réseaux de technologies opérationnelles et aux systèmes de gestion d’entrepôt mais classé au niveau 3 à faible risque, cet écart sépare l’évaluation complète qu’exige le niveau 1 du questionnaire périodique dont bénéficie le niveau 3.
Le problème de l’accumulation invisible des risques transforme l’erreur sur un seul fournisseur en risque au niveau du portefeuille. Dans un portefeuille de TPRM comptant des dizaines ou des centaines de fournisseurs, les inexactitudes de classement ne sont pas réparties uniformément : elles tendent à s’accumuler dans des catégories précises, à savoir les fournisseurs dont la relation a évolué depuis le classement initial, les fournisseurs ayant des filiales acquises et les fournisseurs pour lesquels le responsable de la relation métier a ajouté des éléments d’intégration sans en informer l’équipe TPRM. Le sous-classement cumulé dans ces catégories représente une lacune systématique dans la couverture des risques du programme de TPRM.
Là où la plupart des équipes se trompent
La défaillance la plus constante consiste à considérer les réponses au questionnaire annuel comme une réévaluation du niveau. Les questionnaires annuels qui reprennent les questions de l’évaluation initiale du niveau confirmeront l’exactitude du niveau si les éléments d’origine de la relation n’ont pas changé. Ils manqueront les inexactitudes de niveau dues à l’évolution de la relation si les questions ne portent pas précisément sur l’ajout de nouveaux services, de nouvelles intégrations et de nouvelles relations avec des filiales.
- Considérer le questionnaire annuel comme une réévaluation du niveau sans interroger sur les ajouts à la relation
- Classement au niveau de l’entité plutôt qu’au niveau de la relation
- Aucune détection des acquisitions lors de la réévaluation annuelle : les acquisitions par les fournisseurs ne sont pas identifiées
- Responsable de la relation métier absent du processus de revue des niveaux : l’équipe de TPRM s’appuie sur le questionnaire sans la contribution du responsable métier
- Aucune détection des ajouts d’intégrations : les nouvelles intégrations de systèmes ne déclenchent pas de revue du niveau
À quoi ressemblent les bonnes pratiques
Les programmes matures de classement des fournisseurs classent au niveau de la relation plutôt qu’au niveau de l’entité, incluent la détection des acquisitions et des nouveaux services dans la réévaluation annuelle, associent les responsables de la relation métier à la revue du classement pour repérer les ajouts à la relation dont ils peuvent avoir connaissance, et déclenchent une réévaluation du niveau lors d’événements précis, notamment les acquisitions par les fournisseurs et le déploiement de nouvelles intégrations.
- Classement au niveau de la relation : chaque relation de risque distincte est classée indépendamment
- Détection des acquisitions dans le questionnaire annuel : demander précisément si le fournisseur a acquis des sociétés qui fournissent des services au client
- Contribution des responsables métier à la réévaluation annuelle : les responsables de la relation métier confirment quels services ou intégrations supplémentaires ont été ajoutés
- Réévaluation déclenchée par des événements : une acquisition par le fournisseur, une nouvelle intégration ou une extension de services déclenche une revue du niveau
- Recoupement avec l’inventaire des intégrations informatiques : liste des fournisseurs classés comparée à l’inventaire des intégrations de l’informatique pour repérer les intégrations non classées
Outils
Renseignement sur les fournisseurs : Interos, Dun & Bradstreet
Les plateformes de renseignement sur les fournisseurs surveillent les changements dans la structure des fournisseurs (acquisitions, nouvelles filiales, changements de propriétaire) susceptibles de modifier le profil de risque de la relation. Pour les praticiens de la TPRM, surveiller ces changements au moyen de plateformes de renseignement permet de détecter les acquisitions que les questionnaires annuels peuvent manquer. Interos surveille spécifiquement les relations de la chaîne d’approvisionnement pour repérer les changements de structure d’entreprise qui influent sur le risque.
Plateformes de TPRM avec cartographie des relations : ProcessUnity, Prevalent
Les plateformes de TPRM qui permettent un suivi au niveau de la relation plutôt qu’au niveau de l’entité permettent de classer chaque relation de risque distincte au sein d’une entité fournisseur, en tenant compte du fait qu’un fournisseur de type conglomérat peut avoir plusieurs relations de risque distinctes exigeant des niveaux différents. Pour les praticiens de la TPRM, demander si la plateforme de TPRM prend en charge le classement au niveau de la relation constitue une question précise sur les capacités de conception du programme.
Enjeux de gouvernance
Le défi de gouvernance de l’exactitude du classement des fournisseurs est le manque d’information entre l’équipe de TPRM et les responsables de la relation métier qui ont connaissance des ajouts à la relation. Les responsables métier qui ajoutent un nouveau service fournisseur, déploient une nouvelle intégration ou font appel à une filiale du fournisseur n’en informent généralement pas l’équipe de TPRM : ils gèrent la relation métier, et la TPRM est pour eux une fonction de conformité qu’ils ne sollicitent pas forcément. Combler cet écart exige soit d’associer systématiquement les responsables métier au processus de revue des niveaux, soit de mettre en place des mécanismes de détection (recoupement avec l’inventaire des intégrations informatiques, renseignement sur les fournisseurs) qui repèrent les ajouts à la relation sans dépendre de la notification des responsables métier.
- Associez les responsables métier à la revue annuelle des niveaux, en leur demandant ce qui a changé dans la relation
- Recoupez la liste des niveaux des fournisseurs avec l’inventaire des intégrations informatiques pour repérer les intégrations qui ne sont pas prises en compte dans les niveaux des fournisseurs
- Surveillez les changements dans la structure des fournisseurs au moyen de plateformes de renseignement
- Ajoutez au questionnaire annuel des questions sur les acquisitions et les nouveaux services, portant précisément sur les ajouts à la relation
- Revue du niveau déclenchée par des événements : le déploiement d’une nouvelle intégration déclenche une réévaluation du niveau
Si vous êtes une petite équipe
Effectuez immédiatement un recoupement : extrayez la liste de toutes les intégrations de systèmes actives auprès de votre équipe informatique ou d’architecture d’entreprise et comparez-la à la liste des niveaux des fournisseurs de la TPRM. Pour chaque intégration dont le fournisseur d’origine ne figure pas sur la liste des niveaux, vous avez trouvé une relation avec un fournisseur non classée. Pour chaque intégration dont le fournisseur d’origine figure sur la liste à un niveau qui ne reflète pas le niveau de risque de l’intégration, vous avez trouvé une relation sous-classée. Ce recoupement, qui prend un après-midi, permettra de trouver le fournisseur de fournitures de bureau doté d’une intégration au système d’entrepôt que le questionnaire annuel n’a jamais fait apparaître.
- Extrayez l’inventaire des intégrations informatiques et comparez-le à la liste des niveaux des fournisseurs de la TPRM
- Identifiez les intégrations dont les fournisseurs ne sont pas classés ou sont sous-classés
- Ajoutez des questions sur les acquisitions et les nouveaux services au questionnaire de réévaluation annuelle
- Associez les responsables de la relation métier à la prochaine revue annuelle des niveaux
Ce qu’il faut exiger
Demandez directement :
« Outre les services décrits lors de votre enregistrement initial en tant que fournisseur, vous-même, une filiale ou une société acquise avez-vous commencé à fournir des services ou des intégrations de systèmes supplémentaires à notre organisation ? En particulier, une entité qui vous est liée a-t-elle accès à nos systèmes ou à nos données sans que cela soit reflété dans notre relation fournisseur d’origine ? »
Preuves attendues
- Description complète de tous les services et intégrations fournis par l’entité fournisseur et ses filiales
- Déclaration de toute acquisition ayant eu une incidence sur la relation
- Confirmation du recoupement avec l’inventaire des intégrations informatiques
Il convient de demander précisément à un fournisseur dont la réponse au questionnaire annuel confirme l’absence de changement dans les services si des filiales acquises ont commencé à fournir des services ou des intégrations au client. Le questionnaire d’origine confirmait la relation de fournitures de bureau. La question sur les filiales aurait révélé l’intégration du logiciel logistique.
Comment le prouver
- Registres de recoupement avec l’inventaire des intégrations informatiques
- Registres de détection des acquisitions et des relations avec des filiales
- Registres de la contribution des responsables métier à la revue des niveaux
- Documentation du classement au niveau de la relation
À retenir
Le niveau a été attribué à l’entité. La relation de risque porte sur le logiciel de la filiale, qui s’intègre en temps réel au système de gestion d’entrepôt. L’entité relève du niveau 3, fournitures de bureau. L’intégration relève du niveau 1, technologies opérationnelles. Le niveau est exact pour ce à quoi il a été attribué. Le risque réside dans ce à quoi il n’a pas été attribué. L’exactitude du classement des fournisseurs exige de classer la relation, c’est-à-dire chaque risque distinct créé par l’entité fournisseur et ses filiales, et pas seulement la fonction principale de l’entité. Le recoupement entre l’inventaire des intégrations informatiques et la liste des niveaux des fournisseurs de la TPRM prend un après-midi. Les intégrations sous-classées qu’il révèle sont sous-gouvernées depuis qu’elles existent sans revue de niveau.