Pour ce dernier article de l’été, revenons à une confusion fréquente.

Disposer d’une fiche fournisseur, d’un contrat, d’un questionnaire complété et de quelques attestations permet de mieux connaître un tiers.

Mais cela ne démontre pas encore que la relation est réellement maîtrisée.

Avoir l’information ne signifie pas que les dispositifs existent. Et disposer de dispositifs ne signifie pas qu’ils fonctionnent.

Connaître le tiers : avons-nous les bonnes informations ?

La connaissance constitue le premier niveau.

L’organisation doit pouvoir identifier :

  • les services réellement rendus ;
  • les fonctions critiques supportées ;
  • les données et les actifs accessibles ;
  • ...

Une connaissance incomplète crée des angles morts.

Mais une information ancienne peut être tout aussi dangereuse qu’une information absente : organigramme non actualisé, certification expirée, nouveau sous-traitant non déclaré ou service ayant évolué sans nouvelle évaluation.

La question n’est donc pas seulement :

Avons-nous collecté l’information ?

Mais :

Est-elle complète, à jour et suffisamment précise pour éclairer une décision ?

Maîtriser la relation : les dispositifs sont-ils réellement en place ?

Le deuxième niveau concerne les mécanismes de maîtrise.

Selon la criticité de la relation, l’organisation peut attendre :

  • une due diligence proportionnée ;
  • des clauses contractuelles adaptées ;
  • un suivi des incidents ;
  • des indicateurs de service et de risque ;
  • des contrôles périodiques ;
  • un plan de continuité ;
  • un dispositif de réversibilité ;
  • des audits ;
  • des plans d’action suivis.

Un tiers peut donc être très bien documenté tout en restant insuffisamment maîtrisé.

Le dossier est complet, mais le plan de continuité n’a jamais été testé. Le contrat contient un droit d’audit, mais celui-ci n’a jamais été exercé. Les incidents sont enregistrés, mais leurs causes ne donnent lieu à aucune action durable.

Vérifier l’effectivité : les dispositifs fonctionnent-ils vraiment ?

C’est souvent ici que se situe la principale différence entre conformité apparente et maîtrise réelle.

L’effectivité ne mesure pas seulement l’existence d’un contrôle.

Elle cherche à savoir s’il produit le résultat attendu.

Un plan de continuité existe-t-il uniquement dans un document ou a-t-il été testé avec succès ?

Les contrôles prévus ont-ils été réalisés ? Leurs résultats sont-ils satisfaisants ?

Les recommandations issues d’un audit ont-elles été mises en œuvre et leur efficacité a-t-elle été vérifiée ?

Les plans d’action sont-ils réellement clôturés sur la base de preuves, ou simplement déclarés comme terminés ?

Cette lecture permet de passer d’une logique documentaire à une logique de résultat.

Construire un niveau de confiance dynamique

La confiance accordée à un tiers ne devrait jamais être définitive. Elle résulte de plusieurs éléments : la qualité de la connaissance, la présence de dispositifs de maitrise,...

Un incident majeur, une certification expirée, une réévaluation non réalisée ou la découverte d’un sous-traitant critique doivent pouvoir modifier immédiatement la perception de la relation.

Mieux décider, sans multiplier les contrôles

Distinguer connaissance, maîtrise et effectivité permet d’éviter trois erreurs :

  • considérer qu’un dossier documenté est forcément sécurisé ;
  • multiplier les dispositifs sans vérifier leur utilité ;
  • maintenir une confiance élevée malgré des signaux récents défavorables.

Cette approche permet aux métiers, aux fonctions risques, au contrôle interne et à l’audit de partager une lecture commune.

Elle répond à quatre questions simples :

Avec ScoreMyTP, nous voulons rendre cette distinction immédiatement visible et permettre aux organisations de concentrer leurs efforts sur les informations manquantes, les dispositifs insuffisants et les contrôles qui ne produisent pas encore les résultats attendus.

La version SaaS de ScoreMyTP sera disponible à la rentrée.

Une nouvelle façon de ne plus seulement connaître ses tiers, mais de démontrer leur niveau réel de maîtrise.

Contactez-nous dès aujourd’hui en message privé ou par e-mail : echemama@emc-conseil.fr.