Gestion du risque lié aux tiers, y compris les fournisseurs de vos fournisseurs

Parlez à un spécialisteVoir ce qu'on couvre

Ils nous font confiance

  • Broadcom
  • SSENSE
  • Mondou
  • Université Western
  • Votatec
  • Ren's Pets
  • Ville de Mississauga
  • Gouvernement du Canada
  • Halifax Water
  • Collectif Humanise
  • Merck KGaA
Le travail

Gestion du risque lié aux tiers : trois piliers, une seule équipe aux commandes.

Une seule équipe canadienne dresse la liste de vos fournisseurs, les classe et vérifie ce qu'ils affirment. Le risque lié à la chaîne d'approvisionnement, c'est le même problème une couche plus loin, et c'est là que se cache la concentration.

Contactez-nous

  1. Inventaire et criticité

    Chaque tiers, ce à quoi il touche et ceux qui pourraient arrêter vos activités s'ils s'arrêtaient.

  2. Des réponses vérifiées, pas empilées

    Les réponses aux questionnaires confrontées aux preuves, et les écarts inscrits au contrat lors du renouvellement.

  3. Quatrièmes parties et concentration

    De qui dépendent vos fournisseurs critiques, et où plusieurs des vôtres s'appuient sur un même prestataire.

Votre équipe

Avec qui allez-vous travailler?

Vous travaillez avec la personne derrière la conception. Saeid Khanipour Ghobadi a fondé SMEnode et conçoit encore l'architecture que les clients achètent. Titulaire du CCIE Data Center et fort de plus de 15 ans en réseau d'entreprise, en centre de données, en infonuagique et en IA appliquée, il cadre chaque mandat et y reste jusqu'à la livraison. Engager SMEnode, c'est engager la personne qui conçoit, pas un diaporama de vente.

Voir le profil
Demander une consultation

Gestion du risque lié aux tiers : de quoi avez-vous besoin?

Dites-nous qui vous êtes et sur quoi vous travaillez. Un spécialiste chevronné lit votre message avant de vous écrire : la première réponse est donc un vrai avis sur la portée, le risque et l'échéancier, en moins d'une heure, 24/7. Rien ici ne vous engage, et on vous dira franchement si on n'est pas le bon choix.

J'accepte de recevoir des courriels de SMEnode.

On utilise vos coordonnées pour répondre à ce message. Vous pouvez vous désabonner de nos courriels en tout temps. Confidentialité

Votre demande

Service
Gestion du risque lié aux tiers

La suite

  1. Un spécialiste chevronné répond en moins d'une heure, 24/7. Jamais un représentant.
  2. On fixe un appel de 30 minutes pour écouter, esquisser des options et nommer les risques.
  3. Vous recevez un énoncé de travaux cadré en 3 jours ouvrables.

Appelez la ligne 24/7

+1 514-465-1584
En profondeur

La gestion du risque lié aux tiers au Canada, concrètement.

La plupart des programmes collectionnent des questionnaires et y voient une garantie. Un questionnaire rempli prouve que quelqu'un a tapé au clavier.

C'est le classement qui rend le reste abordable.

Un bon travail commence par un inventaire et un classement sans complaisance, parce que vous ne pouvez pas traiter quatre-vingt-dix fournisseurs de la même façon et que personne n'a le budget pour essayer. La question qui fait le tri est simple : si celui-ci s'arrêtait demain, qu'est-ce qui s'arrêterait avec lui? Une poignée sera réellement critique, la plupart ne le seront pas, et c'est le classement qui rend le reste du programme abordable. Dans la plupart des parcs de moyennes entreprises canadiennes, cette poignée compte moins de dix fournisseurs. La diligence raisonnable devient alors proportionnée. Approfondie pour les quelques-uns qui comptent, légère et rapide pour les autres.

Nous vérifions ce qu'un fournisseur affirme plutôt que de le classer.

Là où un contrôle compte, nous demandons la pièce justificative derrière la réponse, et là où le fournisseur détient une attestation, nous lisons les exceptions plutôt que la page couverture. Le risque se trouve à deux endroits. Des contrats signés avant toute évaluation, soit la plupart des ententes héritées. Et un registre qui s'arrête à vos fournisseurs directs, alors que votre exposition réelle se trouve une couche plus bas.

Ce que demande réellement la B-10 du BSIF.

Au Canada, le déclencheur est précis. La ligne directrice B-10 du BSIF, Gestion du risque lié aux tiers, a été publiée le 2023-04-30 et est en vigueur depuis le 2024-05-01. Elle vise toutes les institutions financières fédérales et couvre largement les ententes commerciales et stratégiques, pas seulement l'impartition (source : BSIF, B-10). Deux de ses attentes sont presque partout escamotées : évaluer le risque de concentration «sur plusieurs dimensions», dont la région et le fournisseur, et la phrase selon laquelle «l'IFF est responsable de la détermination, du suivi et de la gestion des risques liés aux accords de sous-traitance». Si vous n'êtes pas sous réglementation fédérale, cette ligne directrice vous rejoint quand même par les contrats de vos clients.

Le regard d'un conseiller chevronné sur vos TI?

Dites-nous ce que vous exploitez aujourd'hui et ce qui lâche sans cesse. Un spécialiste chevronné de SMEnode répond en moins d'une heure avec un premier avis sur la portée, le risque et l'échéancier. Aucun transfert aux ventes.

Demander une consultation
La méthode

Comment se déroule notre travail d'évaluation du risque fournisseur et de diligence raisonnable.

Quatre étapes, et l'étape 01 est d'habitude celle qui surprend les gens. Personne n'a de liste complète. L'approvisionnement connaît les contrats, les TI connaissent les intégrations, les finances savent qui est payé; les trois listes ne concordent pas. Nous les rapprochons avant d'évaluer quoi que ce soit, parce qu'un programme bâti sur un inventaire partiel donne un faux sentiment de sécurité exactement là où vous n'avez pas regardé.

Phases du mandat

Phases 01 à 04

  1. Rapprocher l'inventaire

    Contrats, intégrations et paiements recoupés en une seule liste des tiers sur qui vous comptez réellement, y compris ceux que personne n'a approuvés.

  2. Classer par criticité

    Ce à quoi chaque tiers touche, ce qui casse s'il s'arrête et lesquels justifient une diligence approfondie plutôt qu'une vérification légère.

  3. Vérifier les quelques tiers critiques

    Des pièces justificatives plutôt que des affirmations, des exceptions d'attestation lues comme il faut et, derrière chaque fournisseur critique, les quatrièmes parties nommées.

  4. Corriger les contrats et surveiller

    Des clauses de sécurité, de droit d'audit et de continuité inscrites au renouvellement, plus un rythme de revue qui tient sans nous.

Questions

Des questions sur la gestion du risque lié aux tiers, des réponses directes.

Les réponses d'abord, y compris celle où nous vous disons que votre programme est déjà assez bon. C'est un spécialiste qui prend l'appel.

Parfois, et il faut le lire pour le savoir. Un rapport vous dit qu'un auditeur a testé des contrôles décrits sur une période donnée, et la partie utile, c'est la section des exceptions et le périmètre, pas l'opinion en première page. Vérifiez que les systèmes sur lesquels vous comptez font réellement partie du périmètre, que la période est récente et ce que disent les exceptions. Pour un fournisseur réellement critique, nous lisons le rapport et posons des questions de suivi.

Directement, seulement si vous êtes une institution financière fédérale. Elle est en vigueur depuis le 2024-05-01 et couvre largement les ententes commerciales et stratégiques, pas seulement l'impartition. Si vous êtes fournisseur de ces institutions, elle vous rejoint quand même par leurs contrats, ce qui explique que des annexes de sécurité et des droits d'audit aient commencé à apparaître dans vos renouvellements. Nous déterminons de quel côté vous vous trouvez avant de proposer quoi que ce soit.

Vous posez la question, dans le contrat, puis vous vérifiez la réponse. La B-10 rend l'institution responsable des risques liés à la sous-traitance, alors le droit de savoir à qui votre fournisseur fait appel a sa place dans l'entente plutôt que dans un courriel amical envoyé plus tard. En pratique, nous demandons aux fournisseurs critiques de nommer les prestataires derrière leur service, vérifions la concentration dans tout votre registre et signalons les cas où plusieurs de vos fournisseurs critiques reposent en fait sur une même plateforme.

Les questionnaires fonctionnent comme filtre et échouent comme garantie. Un questionnaire est utile pour trier rapidement une longue liste et pour garder une trace écrite de ce qu'un fournisseur a affirmé, ce qui compte si quelque chose tourne mal plus tard. Ce qu'il ne peut pas faire, c'est vous dire si le contrôle existe, parce que personne ne l'a vérifié. Servez-vous-en pour faire le tri, puis vérifiez les quelques fournisseurs qui comptent à l'aide de pièces justificatives. Envoyer un formulaire de 300 questions à chaque fournisseur, c'est du travail qui ressemble à de la diligence.

Mieux vaut ne pas en bâtir quand vous avez moins d'une douzaine de fournisseurs et qu'aucun ne touche aux données des clients, parce qu'une courte liste et une lecture attentive de deux contrats, c'est tout le travail. Ni quand ce qui motive vraiment la démarche est un seul constat d'audit défavorable, moins cher à corriger directement. Ni quand l'approvisionnement et les TI ne s'entendent toujours pas sur l'identité de vos fournisseurs, puisque l'inventaire passe en premier et vaut la peine d'être acheté seul. Nous préférons réduire le périmètre.

Ces contrats sont le point faible habituel. Ils n'ont pas à être renégociés du jour au lendemain. Les juristes canadiens qui ont lu la B-10 en 2023 en ont tiré la même attente : les ententes héritées sont revues et mises à jour à la première occasion appropriée de renouvellement ou de révision. Nous les classons donc, déterminons quels renouvellements approchent et y inscrivons d'abord les clauses de sécurité, de droit d'audit et de continuité. Le reste va dans un plan daté que vous pouvez montrer à quelqu'un.
Poursuivez

Où ce travail se rattache.

Ces disciplines partagent la même équipe chevronnée et arrivent souvent ensemble. Suivez le fil jusqu'à la prochaine.

Parlons-en

Confiez-nous le problème que votre
dernière firme-conseil a refilé

Découvrez nos servicesDemander une consultation

Un spécialiste chevronné de SMEnode répond en moins d'une heure, 24/7.