Gestion des risques tiers (TPRM) : évaluer ses fournisseurs

La gestion des risques tiers (TPRM, pour Third-Party Risk Management) est le processus qui permet d'identifier, d'évaluer et de maîtriser les risques que vos fournisseurs, prestataires et sous-traitants font peser sur votre organisation. En cybersécurité, elle consiste à inventorier vos tiers, à les classer par criticité, à évaluer leur sécurité, à fixer des exigences par contrat et à suivre leur niveau dans le temps. NIS 2 et DORA en font désormais une obligation pour de nombreuses organisations.

Un tiers est toute organisation extérieure avec laquelle vous travaillez : éditeur de logiciel en mode SaaS, infogérant, hébergeur, cabinet de conseil, prestataire de paie, transporteur, et même le sous-traitant de votre sous-traitant. Chacun d'eux peut accéder à vos données, se connecter à votre système d'information ou conditionner la continuité d'une activité. Leur niveau de sécurité devient, en partie, le vôtre.

La gestion des risques tiers a pour but de rendre cette exposition visible et pilotable. Elle couvre plusieurs familles de risques, que le RSSI partage souvent avec les achats, le juridique et le DPO :

• Cybersécurité : intrusion par le fournisseur, fuite de données hébergées chez lui, logiciel compromis.
• Continuité : arrêt d'un prestataire dont dépend une activité critique.
• Conformité : sous-traitant RGPD défaillant, exigences sectorielles non respectées.
• Concentration : trop d'activités reposant sur un même fournisseur, par exemple un seul fournisseur de cloud.

TPRM, VRM, risques fournisseurs : de quoi parle-t-on ?

Les termes se recoupent. TPRM désigne la démarche la plus large, tous tiers confondus. VRM (Vendor Risk Management) se limite aux fournisseurs. Les textes européens parlent de sécurité de la chaîne d'approvisionnement. Dans tous les cas, la gestion des risques tiers est une composante de la gouvernance, gestion des risques et conformité (GRC) et s'appuie sur la même logique que toute analyse de risques : connaître ce qui compte, mesurer, décider, suivre.

Pour un attaquant, compromettre un fournisseur est souvent plus rentable que d'attaquer chacun de ses clients : une seule intrusion ouvre des centaines de portes. En 2021, l'agence européenne ENISA a analysé 24 attaques par la chaîne d'approvisionnement : dans environ 66 % des cas, les attaquants visaient le code du fournisseur, et dans 66 % des cas également, les fournisseurs ne savaient pas ou n'ont pas indiqué comment ils avaient été compromis.

Quelques cas publics illustrent les trois manières dont un tiers peut vous exposer :

• Par une mise à jour piégée : fin 2020, des versions compromises du logiciel SolarWinds Orion ont été distribuées à ses clients, au point que l'agence américaine CISA a ordonné aux administrations fédérales de les déconnecter.
• Par un logiciel exposé : en 2023, le groupe Cl0p a exploité une faille de l'outil de transfert de fichiers MOVEit Transfer pour voler les données de nombreuses organisations qui l'utilisaient.
• Par un prestataire qui détient vos données : début 2024, en France, la cyberattaque de deux opérateurs de tiers payant, Viamedis et Almerys, a concerné plus de 33 millions de personnes selon la CNIL. Les données de ces assurés étaient gérées pour le compte de complémentaires santé.

Nous détaillons ces scénarios, et la façon de s'en protéger, dans notre article sur les attaques par la chaîne d'approvisionnement.

Deux textes européens ont fait passer la gestion des risques tiers du statut de bonne pratique à celui d'obligation.

NIS 2 : sécuriser la chaîne d'approvisionnement

L'article 21 de la directive NIS 2 place la sécurité de la chaîne d'approvisionnement parmi les mesures minimales de gestion des risques, « y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs ». Les entités doivent tenir compte des vulnérabilités propres à chaque fournisseur, de la qualité de ses produits et de ses pratiques de cybersécurité. En France, à la date de rédaction de cet article (septembre 2026), le projet de loi relatif à la résilience des infrastructures critiques, qui transpose NIS 2, est toujours en discussion au Parlement ; l'ANSSI accompagne déjà les entités concernées.

DORA : registre d'information et prestataires TIC critiques

Le règlement DORA, applicable depuis le 17 janvier 2025 aux entités financières, va plus loin. Son article 28 impose de tenir un registre d'information de tous les accords de services TIC conclus avec des prestataires tiers, d'évaluer les risques avant de contractualiser et de prévoir des stratégies de sortie. L'article 30 liste les clauses contractuelles obligatoires. Enfin, les autorités européennes de surveillance ont désigné en novembre 2025 une première liste de prestataires TIC critiques, désormais placés sous surveillance européenne.

Une démarche TPRM efficace suit chaque tiers de l'entrée en relation jusqu'à la sortie. L'effort n'est pas le même pour tous : c'est la classification par criticité qui décide de la profondeur de l'évaluation.

1. Inventorier vos tiers

On ne protège pas ce que l'on ne connaît pas. Croisez les données des achats, de la comptabilité fournisseurs et de la DSI, sans oublier les abonnements SaaS souscrits directement par les métiers. Pour chaque tiers, notez le service rendu, les données concernées, les accès accordés et le responsable interne de la relation.

2. Classer les fournisseurs par criticité

Évaluer chaque fournisseur avec un questionnaire de 200 questions épuiserait tout le monde. La classification répartit les tiers en niveaux, selon quatre questions simples : à quelles données le tiers accède-t-il, quel accès a-t-il à votre système d'information, que se passe-t-il s'il s'arrête, et peut-on le remplacer rapidement. Essayez avec l'outil ci-dessous.

3. Évaluer la sécurité du fournisseur

L'évaluation se fait en général par un questionnaire de sécurité, proportionné au niveau de criticité, complété de preuves. Envoyé sur un portail d'évaluation des fournisseurs plutôt que par e-mail, il se remplit, se relance et se consolide beaucoup plus facilement. Comment le construire, quelles questions poser et comment éviter les réponses de complaisance : c'est l'objet de notre article sur le questionnaire de sécurité fournisseur.

4. Noter et décider

Les réponses donnent un score et une liste d'écarts. La décision revient au métier, éclairé par le RSSI : retenir le fournisseur, le retenir sous conditions de corrections, ou l'écarter. Gardez la trace de cette décision et de ses motifs.

5. Convenir d'un plan de remédiation

Chaque écart accepté sous conditions devient une action, avec un responsable chez le fournisseur et une échéance. Sans suivi, ces engagements restent lettre morte.

6. Contractualiser les exigences

Le contrat fixe les règles : clauses de sécurité, notification des incidents dans un délai défini, droit d'audit, localisation des données, réversibilité. Pour les prestations sensibles, ces exigences sont regroupées dans un plan d'assurance sécurité (PAS).

7. Suivre dans le temps, et préparer la sortie

Un fournisseur évalué il y a trois ans n'est plus le même. Prévoyez une réévaluation selon la criticité, surveillez les incidents qui le touchent et tenez prêt un plan de sortie pour les tiers dont dépendent vos activités critiques.

Aucune méthode ne suffit seule. Les organisations matures combinent plusieurs sources d'information, en fonction du niveau de criticité du tiers.

La gestion des risques fournisseurs échoue rarement faute de méthode ; elle échoue parce que personne ne s'en sent responsable. Les achats signent, le métier utilise, le RSSI découvre le prestataire au premier incident. Une répartition claire des rôles évite ce scénario.

• Les achats déclenchent la démarche à chaque nouvelle relation et intègrent les clauses de sécurité aux contrats.
• Le responsable métier de la relation qualifie le besoin, porte la décision de retenir le fournisseur et suit son plan de remédiation.
• Le RSSI définit la classification, les questionnaires et les seuils, analyse les réponses et conseille la décision.
• Le juridique et le DPO vérifient les clauses, notamment celles qu'exige l'article 28 du RGPD pour les sous-traitants de données personnelles.
• La direction fixe le niveau de risque acceptable et arbitre les cas où un fournisseur critique ne peut pas être remplacé.

Les indicateurs à suivre

Quelques indicateurs suffisent pour piloter la démarche et en rendre compte à la direction, ou à une autorité de contrôle :

• la part des tiers inventoriés qui ont été classés par criticité ;
• la part des tiers critiques évalués dans les douze derniers mois ;
• le nombre d'écarts ouverts et leur ancienneté moyenne ;
• la part des contrats critiques qui contiennent les clauses de sécurité attendues ;
• le nombre d'incidents de sécurité impliquant un tiers sur la période.

Ces chiffres montrent si l'effort porte au bon endroit. Un taux d'évaluation élevé n'a pas de valeur si les écarts relevés ne sont jamais corrigés.

Beaucoup d'organisations commencent avec un tableur et des questionnaires envoyés par e-mail. Cela fonctionne pour une dizaine de fournisseurs. Au-delà, les limites apparaissent vite : versions multiples, relances manuelles, aucun historique, impossibilité de consolider des indicateurs pour la direction ou pour un contrôle NIS 2 ou DORA.

Le module de gestion des risques tiers de Phinasoft répond à ces besoins : vous créez vos questionnaires à partir de vos exigences, vos prestataires y répondent sur un portail dédié, vous leur faites vos retours (non-conformités acceptées ou non, demandes de compléments) et vous suivez les indicateurs d'avancement et de conformité. Chaque prestataire a son profil, avec l'historique de ses évaluations : vous repartez de la précédente plutôt que de zéro, et vous exportez les exigences à intégrer à vos plans d'assurance sécurité. Pour voir le parcours complet, de la création du questionnaire au rapport, vous pouvez demander une démonstration.