Aucune organisation, quelle que soit sa nature ou son secteur d’activité ne fonctionne aujourd’hui en vase clos ou en parfaite autarcie. Fournisseurs de services cloud, éditeurs de logiciels, prestataires d’infogérance, cabinets de conseil, sous-traitants logistiques et bien d’autres sont autant d’acteurs formant un écosystème où des dizaines, voire des centaines d’acteurs différents accèdent aux données, aux systèmes et soutiennent les processus métier, y compris les plus critiques, des organisations clientes. Si ces dépendances sont source d’agilité et de compétitivité permettant à chacun de se focaliser sur ses propres champs d’expertise cela transforme également le profil de risque des organisations. Le périmètre à prendre en compte et à sécuriser ne s’arrête ainsi plus aux seules frontières internes, mais s’étend désormais à l’ensemble de la chaîne de valeur.
Définition et grands principes de la gestion des risques tiers
La gestion des risques liés aux tiers (Third Party Risk Management, TPRM) désigne l’ensemble des processus permettant d’identifier, d’évaluer, de maîtriser et de surveiller les risques induits par les relations avec des parties externes. Il serait toutefois ici réducteur de le limiter aux seules menaces provenant d’acteurs malveillants : le risque tiers recouvre ainsi tout autant les défaillances opérationnelles, les manquements contractuels, les erreurs humaines ou techniques ou encore les dépendances excessives à l’égard d’un nombre restreint d’acteurs.
Deux grandes logiques, complémentaires, sous-tendent cette discipline.
La première, sous l’impulsion des législateurs nationaux comme européens est celle de la conformité réglementaire : à travers des textes comme les Lois de Programmation Militaire, le RGPD, NIS 1 puis 2, DORA ou encore récemment le Cyber Resilience Act, la maîtrise de la chaîne d’approvisionnement est devenue une obligation légale, assortie de sanctions et d’une responsabilisation directe des dirigeants.
La seconde, plus fondamentale, transposée dans le droit par les textes précités, consiste à intégrer la gestion des tiers dans la gestion des risques de l’organisation au sens large et à considérer celle-ci non comme une seule contrainte réglementaire, mais comme un véritable levier d’amélioration de sa propre sécurité et de sa résilience.
Table des matières
Pourquoi les tiers concentrent les risques :
Des tiers devenus indispensables à la chaîne de valeur devenant sources de risques
Comme mentionné en introduction, la complexification des pratiques et des organisations a amené ces dernières à externaliser une part croissante de leurs activités et de leurs infrastructures, notamment numériques. Infrastructure As a Service, applications métier SaaS, plateformes de communication, briques logicielles open source ou propriétaires, prestations d’exploitation, etc. sont autant de briques reposants aujourd’hui largement sur des tiers. Cette externalisation si elle a apporté agilité, expertise et réduction des coûts a aussi rendu les tiers indispensables au fonctionnement quotidien des organisations y souscrivant. Un fournisseur n’est ainsi pas un simple prestataire interchangeable, il est un véritable rouage de la chaîne de valeur dont la sécurité et la fiabilité conditionnent directement celle de l’organisation s’appuyant sur lui. Les risques deviennent ainsi d’autant plus réels que derrière chaque fournisseur se cache également leurs propres tiers créant des cascades de dépendances particulièrement ardues à maîtriser.
Un risque non limité aux actions d’acteurs malveillants
Ce risque se matérialise par deux voies qui, malgré leur nature différente, ne sont pas nécessairement opposables, car leurs conséquences pour l’organisation cliente sont souvent identiques (interruption d’activité, perte ou fuite de données, infraction réglementaire, etc.)
Bien entendu, dès lors qu’il s’agit de sécurité, la première idée venant à l’esprit est celle d’un incident causé par un acte malveillant. Les attaquants ont en effet compris une chose simple, il n’est pas nécessaire de s’épuiser à percer les défenses d’une grande entreprise mature en cybersécurité si passer par l’un de ses fournisseurs, souvent moins bien protégé, peut permettre d’atteindre un résultat similaire. Les exemples en ce sens ne manquent pas. Ainsi, l’affaire SolarWinds en 2020 a montré qu’une mise à jour logicielle compromise pouvait infecter des milliers d’organisations, y compris des agences gouvernementales américaines, l’attaque contre Kaseya en 2021 a permis de déployer un ransomware chez des centaines d’entreprises via un outil utilisé par leurs prestataires. Dans un contexte plus français, Airbus est régulièrement la cible d’attaques à travers ses fournisseurs. Plus largement, il est constaté, notamment par l’ANSSI dans ses rapports annuels, un accroissement de ce vecteur d’attaque au cours des années passées.
Sur un autre plan, le risque peut également résulter d’une “simple défaillance”, dépourvue de toute intention hostile, mais aux conséquences pouvant être tout aussi dramatiques. La panne mondiale provoquée en juillet 2024 par une mise à jour défectueuse de l’éditeur CrowdStrike en constitue peut-être l’un des exemples récents les plus marquants. Sans qu’aucun acteur malveillant ne soit impliqué, des millions de postes ont été rendus inopérants en quelques heures, clouant des avions au sol et perturbant hôpitaux, banques et chaînes de télévision à travers le monde. Au-delà de cet exemple particulier, le panel d’événements indésirables à prendre en compte est particulièrement large. Erreur de configuration ou de mise à jour, panne d’infrastructure, non-respect des engagements contractuels, défaillance financière, cessation d’activité ou encore les risques géopolitiques dans un contexte international de plus en plus incertain (sanctions, restrictions d’exportation, etc.) sont autant de problématiques à considérer.
Ces deux aspects forment ainsi un continuum justifiant d’aborder les risques posés par les tiers au sens large, dans une logique de gestion des risques intégrée, plutôt qu’à travers un seul prisme isolé.
Les enjeux du Third Party Management sous l’angle cyber :
Si la gestion des tiers est à penser de façon intégrée à la gestion globale des risques, les aspects de cybersécurité présentent tout de même un certain nombre de particularités. Ainsi, de façon classique, celles-ci s’apprécient traditionnellement au travers de quatre critères : la disponibilité, l’intégrité, la confidentialité et la traçabilité des systèmes et des données. Ici, l’enjeu du Third Party Management est d’étendre cette grille de lecture au-delà des frontières propres de l’organisation. Dès lors qu’un tiers héberge, traite ou accède à ses données et à ses systèmes, les exigences définies par l’organisation sur ces quatre aspects doivent s’appliquer à lui et faire l’objet de vérifications et de garanties, notamment contractuelles.
Disponibilité
C’est souvent la première dimension venant à l’esprit tant les tiers sont devenus indispensables au fonctionnement quotidien de chaque organisation. Qu’un fournisseur particulièrement critique soit victime d’un ransomware, d’une panne majeure, de perturbations graves imputables à une mise à jour défectueuse, etc. et c’est l’activité de l’organisation cliente qui s’interrompt, par simple ricochet. La disponibilité d’un service ne dépend plus seulement des infrastructures internes, mais de toute la chaîne de dépendances en amont, ce qui suppose d’identifier les fournisseurs les plus critiques et d’exiger d’eux des garanties de continuité solides.
Intégrité
L’intégrité concerne l’exactitude et la non-altération des données et des traitements confiés à un tiers. Des données compromises chez un prestataire, un traitement erroné, un composant logiciel altéré dans la chaîne d’approvisionnement, etc. sont autant d’atteintes susceptibles d’impacter, en bout de chaîne, l’organisation cliente exigeant des mesures dédiées.
Confidentialité
La confidentialité, probablement par l’importance acquise du RGPD, est aussi un enjeu associé au risque tiers particulièrement présent dans les esprits. Une fuite de données survenue chez un prestataire engageant également l’organisation cliente du service, se posent les questions des garanties réelles offertes dans le cadre de la prestation (localisation de l’hébergement, mesures de sécurité associées, devenir des données dans le temps, etc.) Il s’agit de garantir que seules les personnes autorisées puissent accéder aux données tout au long de leur cycle de vie y compris lorsqu’elles font l’objet de traitements externalisés.
Traçabilité
La traçabilité quant à elle, qui renvoie à la capacité de pouvoir attribuer les actions réalisées à leurs auteurs clairement identifiés et selon les besoins à en conserver une preuve opposable, est, elle aussi, un enjeu primordial. Elle est notamment ce qui rend les trois autres critères vérifiables et dans les relations avec les tiers conditionne la capacité à détecter un incident, à en reconstituer le déroulement, à établir les responsabilités et à démontrer sa propre diligence.
De la sécurité à la résilience
Pris ensemble et intégrés à une analyse concernant l’ensemble des tiers, ces quatre critères ne visent pas seulement à prévenir les incidents, mais à garantir la résilience de l’organisation, à savoir sa capacité à continuer de fonctionner, à limiter l’impact et à se rétablir en cas de défaillance d’un tiers, et cela quelle qu’en soit la cause. Il n’est pas ici uniquement question d’analyser les risques posés par un ou plusieurs tiers pris de façon isolés mais de mettre en œuvre une démarche, complète, holistique, ayant pour but d’anticiper au mieux les scénarios de défaillance possible afin d’en limiter la portée. C’est un changement de posture : la question n’est plus seulement « ce fournisseur est-il sécurisé ? », mais « que se passe-t-il pour nous s’il tombe, et sommes-nous prêts à y faire face ? ». Cette approche par la résilience suppose notamment d’anticiper les scénarios de défaillance, d’établir et de tester des plans de continuité, de prévoir des stratégies de sortie et de repli, et d’intégrer les tiers dans les dispositifs de gestion de crise.
Une pression réglementaire croissante
Si une prise en compte cadrée et rigoureuse des risques posés par les tiers est depuis longtemps préconisée par les différents standards et bonnes pratiques internationaux (NIST, normes ISO etc.), on assiste depuis plusieurs années à un durcissement important du cadre normatif sur ces questions, particulièrement en Europe. En voici quelques exemples :
- La directive NIS2, transposée ou en cours de transposition dans les droits nationaux, impose explicitement aux entités dites essentielles et importantes de maîtriser la sécurité de leur chaîne d’approvisionnement, sous peine de sanctions significatives.
- Dans le secteur financier, le réglement DORA, applicable depuis janvier 2025 encadre précisément la gestion des risques liés aux prestataires de services TIC en imposant notamment des clauses contractuelles obligatoires, la tenue d’un registre des contrats, une analyse des risques de concentration ou encore en instaurant une supervision européenne des prestataires les plus critiques.
- Le Cyber Resilience Act (CRA) traite lui d’une autre dimension en agissant cette fois en amont, sur les produits eux-mêmes. Il impose ainsi des obligations de cybersécurité sur l’ensemble de la chaîne de production et de distribution (fabricants, importateurs et distributeurs) dès la conception et tout au long du cycle de vie des produits (principe de security by design, gestion des vulnérabilités tout au long du cycle de vie, obligations de notification en cas d’incident ou de faille de sécurité, etc.). L’objectif du CRA étant d’élever le niveau de sécurité globale, un produit non conforme n’est ainsi pas commercialisable dans l’Union européenne, ce qui en fait un levier puissant pour les organisations clientes et une contrainte forte pour les acteurs souhaitant commercialiser un produit.
La bonne prise en compte de la gestion des tiers n’est donc plus une option laissée à la discrétion des organisations mais tend à devenir, de plus en plus, une obligation réglementaire s’imposant à l’ensemble des acteurs, allant jusqu’à parfois conditionner leur accès au marché.
Construire un dispositif de Third Party Management efficace
Cartographier : connaître avant de maîtriser
Logiquement, il n’est possible de protéger que ce que l’on connaît. Le prérequis d’une gestion des tiers efficace relève pour l’organisation concernée d’un travail d’identification de son écosystème. Or, cette cartographie des tiers n’a de sens que si elle s’inscrit dans la cartographie des risques de l’organisation elle-même. Les tiers ne constituant pas un univers de risque parallèle, ils en sont un vecteur parmi d’autres devant être rattachés aux processus critiques, aux scénarios de risque déjà identifiés et à l’appétence au risque définie par la direction. C’est ce rattachement, pouvant être effectué à l’occasion de travaux plus globaux (par exemple lors de BIA) qui permet de passer d’une simple liste de fournisseurs à une véritable compréhension de l’exposition au risque et qui évite de traiter la gestion des tiers comme un silo déconnecté de la gestion globale du risque.
Par ailleurs, établir un inventaire exhaustif de cette nature suppose de croiser les sources, référentiel achats et base fournisseurs, contrats en vigueur, flux financiers, inventaire applicatif, etc. Cela d’autant plus que cet inventaire ne se limite pas à établir une liste de noms, il doit documenter, pour chaque tiers, la nature du service rendu, les processus métier qu’il soutient, les données concernées, les interconnexions et les dépendances en cascade, potentiellement selon les cas les sous-traitants de second rang, etc.
Hiérarchiser : concentrer l’effort là où le risque est réel
Il serait illusoire de vouloir appliquer le même niveau de diligence à l’ensemble des tiers, du simple fournisseur de fournitures de bureau à l’hébergeur d’une application critique. La hiérarchisation est donc une étape centrale de la gestion des tiers permettant de déterminer où porter l’effort et les moyens devant y être alloués.
Cette classification doit s’appuyer sur les critères prolongeant naturellement la grille de lecture des risques de l’organisation. C’est ici que s’opère le lien avec les enjeux de disponibilité, d’intégrité, de confidentialité et de traçabilité. La classification des tiers doit refléter la criticité des processus soutenus et le niveau de dépendance de ceux-ci aux services souscrits. Impact d’une indisponibilité, sensibilité des données confiées et impact d’une fuite de données, capacité du tiers à altérer des données ou des traitements, obligations réglementaires de traçabilité sont autant de questions qu’il est nécessaire d’adresser. Il est par ailleurs à noter que diverses réglementations viennent ajouter des critères devant nécessairement être pris en compte dans l’évaluation des tiers (substituabilité et coût de sortie, exposition aux risques de concentration, etc. pour DORA par exemple).
De cette hiérarchisation de la criticité des tiers dépendront les étapes suivantes (niveau d’exigence dans l’évaluation des garanties apportées par les tiers, exigences contractuelles, fréquence des contrôles une fois la relation établie, etc.).
Évaluer : vérifier plutôt que présumer
L’évaluation traduit la hiérarchisation en actes. Elle intervient idéalement en amont de la relation, lors de la phase de sélection.
Les moyens disponibles sont multiples et complémentaires. Les questionnaires d’évaluation standardisés offrent un socle commun et permettent de couvrir un volume important de tiers à coût maîtrisé. Les certifications et attestations reconnues fournissent une assurance externe sur les garanties de sécurité apportées par le tiers (exemple : existence d’un système de management de la sécurité pour une certification ISO 27001). Les rapports d’audit indépendants apportent une vision plus fine des contrôles effectivement en place. Enfin, pour les tiers les plus critiques, des évaluations approfondies peuvent être envisagées (visites sur site, audits, revues documentaires détaillées, etc.).
Plus globalement, aucun de ces moyens ne suffit pris isolément. Ainsi, le questionnaire déclaratif sans vérification n’a qu’une portée limitée, il ne documente que ce que le fournisseur affirme faire et non ce qu’il fait réellement. La valeur de l’évaluation tient ici à la combinaison des sources, à son alignement sur le niveau de criticité des tiers considérés et in fine à ce que l’organisation en fait. L’évaluation doit en effet déboucher sur une décision formelle, que cela soit une contractualisation sur la base des garanties présentées, l’identification d’un plan d’action correctif, une acceptation du risque ou le refus de débuter ou de poursuivre la relation.
Contractualiser : transformer les attentes en obligations
Le contrat est l’instrument qui donne force juridique aux exigences édictées par l’organisation faisant appel à un tiers. Les leviers à la disposition de l’entité contractante sont nombreux : exigences de sécurité minimales, niveaux de service assortis de pénalités en cas de manquements, obligation de notification des incidents dans des délais définis, droit d’audit, encadrement de la sous-traitance en cascade, localisation des données, modalités de réversibilité et de destruction des données à la fin du contrat, clauses de sortie, modalités d’échanges et de coopération en cas de crise, etc. Des réglementations comme DORA rendent d’ailleurs l’inclusion de telles clauses, obligatoire dans les contrats passés avec les fournisseurs de services TIC.
Là encore les clauses du contrat doivent découler directement du niveau de criticité attribué au tiers, en lien direct avec les besoins formulés par le métier. Un prestataire soutenant une fonction considérée comme critique appelle des engagements stricts là où un tiers fournissant un service de criticité moindre n’a pas à supporter le même degré d’exigence.
Contrôler et réviser : un dispositif vivant
La gestion du risque tiers ne s’arrête toutefois pas à la signature du contrat. Une évaluation ponctuelle ne donne qu’une photographie du moment où elle est analysée, car la situation d’un fournisseur évolue en permanence, de même que celle de l’organisation contractante. Par conséquent, la gestion des risques doit inclure un processus de supervision et de revue régulière des tiers.
Le contrôle régulier doit être calibré sur la hiérarchisation retenue : c’est elle qui détermine la fréquence des réévaluations, l’intensité des vérifications et la profondeur des échanges avec le fournisseur. Aux tiers les plus critiques correspondent une surveillance régulière et rapprochée, des revues de service périodiques, des points de contact structurés et une vérification effective du respect des engagements. Aux tiers secondaires ou d’une criticité encore inférieure, un suivi plus allégé lui sera préférable.
Surtout, la criticité d’un fournisseur n’est pas une donnée figée. Un prestataire initialement considéré comme relativement mineur peut devenir critique à mesure que son usage s’étend, qu’une dépendance s’installe, qu’il absorbe de nouveaux périmètres ou que le contexte change. La cartographie et la classification doivent donc être réexaminées à intervalles réguliers et à l’occasion de tout événement significatif (extension du service, incident, rachat du fournisseur, évolution réglementaire, modification des processus internes qu’il soutient, etc.). De cette réévaluation découle mécaniquement l’ajustement des mesures : intensité du contrôle, exigences contractuelles, plans de continuité et de sortie, etc.
Rapports de force et limites
Aussi rigoureux soit-il, un dispositif de gestion des tiers se heurte à des limites qu’il est nécessaire de reconnaître.
La plus structurante tient au déséquilibre du rapport de force. Face aux très grands fournisseurs technologiques (ex : des éditeurs dominants comme Microsoft, dont des pans entiers de l’économie sont devenus dépendants), le levier contractuel apparaît ainsi affaibli. En effet ces acteurs proposent pour l’essentiel des contrats d’adhésion standardisés, laissant peu de place à la négociation individuelle, y compris pour de grands comptes. Le droit d’audit par exemple, même contractuellement acquis, reste pour partie théorique, a fortiori pour client isolé qui doit alors se contenter de certifications, de rapports d’audit tiers et de la documentation mise à disposition par le fournisseur lui-même. Quant à la menace de résiliation, elle perd l’essentiel de sa force lorsque les alternatives crédibles sont rares et les coûts de migration prohibitifs.
Moins un fournisseur est substituable, moins le client dispose de leviers pour lui imposer ses exigences, toutefois des voies d’atténuation existent. Celles-ci sont néanmoins collectives plutôt qu’individuelles. Ainsi la mutualisation (audits groupés, questionnaires et référentiels standardisés, etc.) et de plus en plus l’appui par les régulateurs (notamment via la supervision directe des prestataires critiques instaurée par DORA) sont des voies permettant de contrebalancer pour partie les déséquilibres existants. Cependant, là aussi, la solution principale réside dans le fait de penser la gestion des tiers dans une logique de gestion du risque intégrée, en évitant les dépendances critiques initiales (ce qui implique de les identifier et de les mesurer) et en explorant, idéalement pour chaque cas, des solutions alternatives ou en admettant certaines concessions ou coûts supplémentaires (ex : refus d’externaliser certains services spécifiques ou traitement reposant sur des données trop sensibles et prise en charge du surcoût associé).
Conclusion
La gestion des tiers n’est plus une fonction administrative attribuée à la seule gestion des achats : c’est un pilier de la cybersécurité et de la résilience des organisations. Dans un monde où la frontière entre l’interne et l’externe est devenue poreuse, la solidité d’une entreprise vaut celle du maillon le plus fragile de son écosystème qu’il cède sous les coups d’un attaquant ou sous le poids de ses propres défaillances. Les organisations doivent ainsi traiter leurs tiers non comme des fournisseurs à auditer ponctuellement, mais comme des partenaires à embarquer dans une démarche continue : analyse initiale, réévaluation régulière de la criticité, revue des contrats, contrôles fréquents, vigilance sur les concentrations et lucidité sur les limites du levier contractuel face aux acteurs systémiques. Sous la triple pression des attaquants, des incidents et des régulateurs, cette discipline est devenue, au même titre que la gestion des vulnérabilités ou des identités, un réflexe fondamental de toute stratégie de résilience numérique.
Image d’illustration : Designed by rawpixel.com
Besoin d’une analyse de risque sur mesure ?
