Gestion des risques liés aux tiers en 2026 : de la fatigue des questionnaires à l'assurance continue

Les questionnaires fournisseurs se multiplient tandis que les régulateurs demandent bien plus que du papier. Voici comment rééquilibrer la gestion des risques liés aux tiers autour du risque de concentration, de la surveillance continue et de l'assurance publiée.

La gestion des risques liés aux tiers (TPRM) est devenue l'une des parties les plus laborieuses d'un programme de sécurité et de conformité. Chaque client envoie son propre questionnaire, chaque fournisseur en répond des centaines, et une grande partie de l'effort produit des documents qui deviennent obsolètes en quelques mois. Dans le même temps, la réglementation européenne attend désormais des organisations qu'elles prouvent qu'elles comprennent et maîtrisent leur chaîne d'approvisionnement. Cet article examine ce qui a changé en 2026 et comment construire un processus TPRM à la fois défendable et durable.

Pourquoi le risque fournisseur est désormais une question réglementaire

L'exposition aux tiers n'est pas une préoccupation théorique. Le rapport 2025 sur les enquêtes relatives aux violations de données de Verizon a révélé que l'implication de tiers dans les violations avait doublé pour atteindre 30 % ^[1]. Les régulateurs ont réagi en inscrivant la surveillance des fournisseurs dans la loi.

NIS2

L'article 21, paragraphe 2, point d) de NIS2 énumère la sécurité de la chaîne d'approvisionnement, « y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs », parmi les mesures de gestion des risques en matière de cybersécurité minimales ^[2]. L'article 21, paragraphe 3, ajoute que les entités doivent tenir compte des vulnérabilités spécifiques à chaque fournisseur direct et de la qualité globale de ses produits et pratiques en matière de cybersécurité. ^[2].

Pour les fournisseurs d'infrastructure numérique et de services numériques (cloud, centres de données, fournisseurs de services gérés et fournisseurs de services de sécurité gérés, entre autres), le règlement d'exécution (UE) 2024/2690 rend cela concret : une politique de sécurité de la chaîne d'approvisionnement, des critères de sélection des fournisseurs, des exigences de sécurité contractuelles et un suivi régulier des pratiques des fournisseurs ^[3]. Les lignes directrices techniques de mise en œuvre de l'ENISA de juin 2025 ajoutent des exemples de preuves que les autorités de contrôle peuvent attendre ^[4]. Pour les autres entités NIS2, ces documents ne sont pas contraignants, mais ils constituent un repère judicieux.

DORA

Pour les entités financières, DORA est plus prescriptif. L'article 28 requiert une stratégie sur le risque lié aux TIC pour les tiers et un registre d'informations couvrant tous les arrangements contractuels avec les prestataires de services tiers en matière de TIC ^[5]. L'article 29 requiert une évaluation préalable du risque de concentration en matière de TIC avant de conclure des contrats qui soutiennent des fonctions critiques ou importantes, y compris si le prestataire est facilement remplaçable et si plusieurs contrats avec le même prestataire ou des prestataires étroitement liés sont en cours de conclusion. ^[5].

Un questionnaire vous dit ce qu'un fournisseur a déclaré un jour ; votre risque dépend de ce que le fournisseur fait chaque jour.

Fatigue des questionnaires : les symptômes et la cause

La fatigue des questionnaires affecte les deux parties. Les acheteurs envoient de longs questionnaires génériques à chaque fournisseur, indépendamment du risque. Les fournisseurs répondent aux mêmes questions dans des formats légèrement différents, souvent par l'intermédiaire d'équipes commerciales ou de gestion de comptes plutôt que par le personnel de sécurité. Le résultat est un grand volume de réponses autodéclarées qui sont rarement vérifiées et deviennent rapidement obsolètes.

Le problème sous-jacent n'est pas le questionnaire lui-même mais l'absence de hiérarchisation. Lorsque chaque fournisseur est évalué de la même manière, l'effort est réparti trop finement et les quelques fournisseurs qui comptent vraiment ne reçoivent pas plus d'attention qu'un prestataire de restauration.

Une approche hiérarchisée selon les risques

Un modèle plus durable commence par la classification :

• Criticité : le fournisseur soutient-il une fonction critique ou importante, ou sa défaillance perturberait-elle vos services ?
• Accès aux données : traite-t-il des données à caractère personnel, des informations confidentielles ou des identifiants ?
• Accès aux systèmes : se connecte-t-il à votre réseau, exploite-t-il vos systèmes ou livre-t-il des logiciels dans votre environnement ?
• Remplaçabilité : à quelle vitesse pourriez-vous le remplacer ?

Les fournisseurs à faible risque peuvent nécessiter uniquement des clauses contractuelles et une déclaration de base. Les fournisseurs à haut risque justifient un examen plus approfondi : certifications indépendantes, rapports d'audit, droits d'audit contractuels, engagements de notification d'incidents et réévaluation périodique.

Le risque de concentration monte à l'ordre du jour

Le risque de concentration pose une question différente de celle de la diligence raisonnable classique : non pas « ce fournisseur est-il sécurisé ? » mais « que se passe-t-il si ce fournisseur, ou le prestataire qui le soutient, défaille ? »

En vertu de DORA, c'est désormais un thème de supervision. Le 18 novembre 2025, les Autorités européennes de surveillance (ABE, AEAPP et AEMF) ont publié la première liste des prestataires tiers de services TIC critiques désignés, qui sont désormais soumis à la surveillance directe de l'UE ^[6]. La désignation n'élimine pas la responsabilité propre d'une entité financière : les entités doivent toujours gérer leur exposition à ces prestataires par le biais de stratégies de sortie et d'analyses de substituabilité. ^[5].

En dehors des services financiers, la même logique s'applique. De nombreux fournisseurs SaaS fonctionnent sur un petit nombre de plateformes cloud hyperscale. La mise en correspondance de vos quatrièmes parties (les principaux sous-traitants de vos fournisseurs) est souvent le seul moyen de constater que dix fournisseurs « indépendants » partagent un point de défaillance unique. Le règlement d'exécution 2024/2690 s'attend explicitement à ce que les entités concernées prennent en compte les propres chaînes d'approvisionnement de leurs fournisseurs. ^[3].

Du contrôle ponctuel à la surveillance continue

Un questionnaire vous dit ce qu'un fournisseur a déclaré un jour donné ; votre risque dépend de ce que le fournisseur fait chaque jour. La surveillance continue des fournisseurs vise à combler cet écart. En pratique, elle combine :

• Réévaluation déclenchée par des événements : déclencheurs tels qu'un incident de sécurité chez le fournisseur, un changement de propriété, un nouveau sous-traitant ou une modification du service que vous consommez.
• Suivi des certificats et attestations : dates d'expiration des certificats ISO/IEC 27001, rapports SOC 2 et preuves similaires, avec suivi en cas d'expiration.
• Signaux externes : divulgations publiques de violations, actions réglementaires et, le cas échéant, évaluations externes de la surface d'attaque. Traitez les évaluations comme des indicateurs à investiguer plutôt que comme des verdicts, car elles n'observent que ce qui est visible depuis Internet.
• Leviers contractuels : délais de notification d'incident, droits d'audit et obligation d'informer de tout changement matériel.

La surveillance n'a de valeur que si quelqu'un agit sur les constats. Désignez un responsable pour chaque fournisseur à haut risque et documentez les décisions : accepter, atténuer, escalader ou mettre fin à la relation.

Pourquoi les centres de confiance gagnent du terrain

Un centre de confiance est une page web publique ou réservée où un fournisseur publie sa posture en matière de sécurité et de conformité : certifications, rapports d'audit (souvent protégés par un accord de confidentialité), politiques, listes de sous-traitants, localisation des données et réponses aux questions courantes. L'idée est de répondre une fois, publiquement, au lieu de le faire à plusieurs reprises en privé.

Le concept n'est pas nouveau. Le registre STAR de la Cloud Security Alliance permet depuis des années aux fournisseurs cloud de publier des auto-évaluations basées sur le Consensus Assessments Initiative Questionnaire (CAIQ), ou des certifications et attestations tierces, explicitement pour réduire le besoin de remplir plusieurs questionnaires clients. ^[7].

Ce que les centres de confiance font bien

• Ils donnent aux acheteurs un accès immédiat à des preuves standard, ce qui raccourcit les cycles d'approvisionnement.
• Ils encouragent les fournisseurs à tenir l'information à jour, car elle est visible.
• Ils permettent aux équipes de sécurité de consacrer du temps à des questions de suivi qui comptent vraiment.

Où ils font défaut

• Le contenu publié est sélectionné par le fournisseur. Il montre ce que le fournisseur choisit de partager, pas nécessairement ce que vous devez savoir.
• Les documents génériques ne traitent pas de votre utilisation spécifique du service, des flux de données ou de l'intégration.
• Les obligations réglementaires restent les vôtres. Ni NIS2 ni DORA ne vous permettent d'externaliser votre évaluation à la page marketing d'un fournisseur. ^[2][5].

La réponse pratique est hybride : utilisez les centres de confiance et les évaluations partagées comme source de preuves par défaut, puis envoyez des questions de suivi ciblées uniquement pour les lacunes qui sont significatives pour votre risque.

Une liste de contrôle pratique pour 2026

1. Construisez et maintenez un inventaire unique des fournisseurs, aligné avec le registre DORA des informations le cas échéant.
2. Classez les fournisseurs par criticité, accès aux données, accès aux systèmes et substituabilité.
3. Mettez en correspondance les quatrièmes parties clés pour vos fournisseurs de plus haut niveau.
4. Acceptez le contenu des centres de confiance, les certifications et les questionnaires standard comme preuves primaires ; réservez les questions personnalisées aux lacunes véritables.
5. Définissez les déclencheurs de réévaluation et suivez l'expiration des preuves.
6. Documentez les stratégies de sortie pour les fournisseurs critiques et testez-les le cas échéant.
7. Communiquez le risque fournisseur à la direction en termes d'impact sur l'activité, et non en scores de questionnaire.

Conclusion

La gestion des risques liés aux tiers en 2026 consiste moins à collecter davantage de réponses qu'à savoir quels fournisseurs comptent, pourquoi, et ce que vous feriez s'ils venaient à défaillir. La réglementation exige désormais que ce raisonnement soit documenté.

Secrato aide les organisations à gérer des référentiels tels que NIS2, DORA et ISO/IEC 27001 sur une seule plateforme hébergée en UE, avec des contrôles partagés, des preuves et des pistes d'audit.