Le registre des risques fournisseurs est la source de référence du programme de TPRM sur l’état actuel des risques fournisseurs dans l’ensemble du portefeuille. Il oriente la priorisation des risques, l’affectation des ressources, le reporting à la direction et la prise de décision fondée sur les risques pour le portefeuille de fournisseurs. L’utilité du registre pour toutes ces finalités dépend entièrement de son exactitude : un registre qui ne reflète pas le statut actuel des fournisseurs, les incidents récents, les changements de services et l’évolution des relations n’est pas un outil de gestion des risques. C’est un document historique qui crée une fausse confiance dans des décisions de gestion des risques prises à partir de données obsolètes.
Le problème du mécanisme de mise à jour du registre en est la cause profonde. Les registres des risques mis à jour selon un cycle de revue périodique (annuel, semestriel) accumulent des inexactitudes entre deux revues. Chaque changement chez un fournisseur intervenant entre deux revues (sortie, intégration, extension de services, déclaration d’incident, changement de propriétaire) crée un écart entre le registre et la réalité. Plus le cycle de revue est long et plus le portefeuille de fournisseurs est actif, plus l’inexactitude accumulée est importante. Les registres tenus par des revues groupées périodiques plutôt que par des mises à jour déclenchées par des événements seront toujours inexacts dans une certaine mesure.
Le problème de l’obsolescence des notations de risque est le risque décisionnel précis. Les notations de risque d’un registre des risques fournisseurs décrivent la posture de risque du fournisseur au moment de sa dernière évaluation. Un fournisseur noté à risque moyen lors de sa dernière évaluation et qui a depuis subi une violation rendue publique reste noté à risque moyen dans le registre. Les décisions prises à partir de cette notation (priorité de réévaluation, intensité de la surveillance, communications aux responsables métier) reposent sur un tableau des risques qui ne reflète pas l’état actuel du fournisseur.
Pourquoi c’est important
L’exactitude du registre des risques est importante, car les décisions de la direction en matière de risques (où affecter les ressources de correction, quels fournisseurs signaler au conseil d’administration, quelles relations réexaminer) sont prises à partir des données du registre. Un registre inexact produit une priorisation des risques inexacte. Le fournisseur dont la violation n’a pas été reportée dans le registre ne recevra pas l’attention accrue qu’elle justifie. Le fournisseur sorti du portefeuille qui figure encore dans le registre recevra des ressources de surveillance qui devraient être affectées ailleurs.
- Registre mis à jour selon un cycle de revue périodique : absence de mises à jour déclenchées par des événements
- Fournisseurs sortis restant inscrits au registre
- Nouveaux fournisseurs non ajoutés avant la revue périodique
- Déclarations d’incidents ne déclenchant pas de mise à jour du registre
- Changements de services et de propriétaire non pris en compte
À quoi ressemblent les bonnes pratiques
Les programmes matures de gestion du registre des risques maintiennent son exactitude grâce à des mises à jour déclenchées par des événements, c’est-à-dire des événements précis qui entraînent automatiquement la modification du registre : la sortie d’un fournisseur déclenche son retrait ou son archivage, l’intégration d’un fournisseur déclenche son ajout, la déclaration d’un incident déclenche une revue de la notation des risques et les changements importants chez un fournisseur déclenchent une réévaluation. Le registre est un document vivant, pas un instantané périodique.
- Processus de mise à jour déclenché par des événements : déclencheurs précis de modification du registre
- Déclencheur lié à la sortie du fournisseur : retrait ou archivage du registre actif
- Déclencheur lié à l’intégration : ajout avant le premier provisionnement d’accès
- Déclencheur lié à la déclaration d’incidents : revue et signalement de la notation des risques
- Revue trimestrielle de la qualité des données : confirmation de l’exactitude du registre
Outils
Plateformes de TPRM : OneTrust, ProcessUnity, Prevalent avec automatisation des circuits pour les mises à jour déclenchées par des événements
Les plateformes de TPRM dotées d’automatisation des circuits peuvent créer des mises à jour du registre déclenchées par des événements : archivage automatique des fournisseurs sortis, création d’entrées en attente pour les nouveaux fournisseurs en cours d’achat et génération de tâches de revue lorsque des signaux de surveillance indiquent des changements importants chez un fournisseur. L’automatisation de la plateforme transforme un instantané périodique en un registre tenu à jour en continu.
Enjeux de gouvernance
Le défi de gouvernance de l’exactitude du registre des risques est le problème de la responsabilité et de la discipline de mise à jour. Les mises à jour du registre exigent l’intervention de plusieurs équipes : les achats signalent les intégrations et les sorties de fournisseurs, l’équipe de sécurité met à jour les notations après les incidents, les responsables métier signalent les changements de services. Sans responsabilité claire pour chaque déclencheur de mise à jour et sans application du processus de mise à jour, l’exactitude du registre se dégrade lorsque l’équipe qui détient l’information la plus récente ne met pas à jour le registre centralisé.
- Définissez la responsabilité de mise à jour pour chaque type de déclencheur : qui met à jour le registre pour chaque événement
- Automatisez les mises à jour déclenchées par des événements lorsque les capacités de la plateforme le permettent
- Menez une revue trimestrielle de la qualité des données : registre par rapport à l’état actuel du portefeuille de fournisseurs
- Publiez un indicateur d’exactitude du registre : pourcentage d’entrées mises à jour au cours des 90 derniers jours
- Intégrez les mises à jour du registre aux circuits des achats, de l’informatique et de gestion des incidents de sécurité
Si vous êtes une petite équipe
Menez une revue trimestrielle de la qualité des données : comparez votre registre des risques à la liste des fournisseurs de la comptabilité fournisseurs, à vos registres de provisionnement informatique et à vos récentes déclarations d’incidents. Chaque écart (fournisseurs présents dans AP mais absents du registre, fournisseurs présents dans le registre mais absents de AP, incidents non reflétés dans les notations) est une lacune d’exactitude du registre. Ce rapprochement trimestriel, qui prend quelques heures, maintiendra l’exactitude du registre que des revues annuelles périodiques ne peuvent pas assurer.
- Menez une comparaison trimestrielle : registre, liste des fournisseurs de la comptabilité fournisseurs (AP) et provisionnement informatique
- Mettez à jour le registre pour tous les écarts identifiés
- Ajoutez un déclencheur lié à la déclaration d’incidents au processus de mise à jour
- Publiez la qualité des données du registre comme indicateur du programme
Ce qu’il faut exiger
Demandez directement :
« À quelle fréquence l’exactitude de votre registre des risques fournisseurs est-elle vérifiée, et disposez-vous de processus de mise à jour déclenchés par des événements pour l’intégration et la sortie des fournisseurs, les incidents et les changements de services importants, ou le registre n’est-il mis à jour que selon un calendrier de revue périodique ? »
Preuves attendues
- Documentation du processus de mise à jour du registre et des déclencheurs
- Fréquence des revues de la qualité des données
- Exemples de mises à jour déclenchées par des événements
- Indicateur d’exactitude du registre
Il convient de demander à un fournisseur qui confirme disposer d’un registre des risques complet comment celui-ci est tenu à jour. La valeur du registre réside dans son exactitude. Le processus de mise à jour est le mécanisme qui maintient cette exactitude entre deux revues formelles.
Comment le prouver
- Registres du processus de mise à jour déclenché par des événements
- Registres des revues trimestrielles de la qualité des données
- Reporting de l’indicateur d’exactitude du registre
- Documentation de l’attribution des responsabilités de mise à jour
À retenir
312 entrées. 8 mois depuis la dernière revue complète. Onze fournisseurs sortis toujours inscrits. Quatorze nouveaux fournisseurs absents. Trois violations rendues publiques non prises en compte. Une acquisition par une entité figurant sur une liste restreinte non mise à jour. Le registre était exact il y a huit mois. Il était utilisé comme référence pour aujourd’hui. L’exactitude du registre des risques n’est pas un livrable de revue périodique : c’est une exigence de maintenance continue. Des mises à jour déclenchées par des événements pour chaque type de changement, combinées à un rapprochement trimestriel de la qualité des données, maintiennent entre deux revues formelles l’exactitude qui fait du registre un outil de décision fiable plutôt qu’un document de référence historique.