Refonte de la gestion des risques liés aux tiers en 2021 : Partie I

Lorsque nous avons compilé nos prévisions pour 2020 en matière de gestion des risques liés aux tiers, aucune mention n'a été faite des pandémies, de la résilience des entreprises, des défaillances de la chaîne d'approvisionnement, ni même de la distanciation sociale. Notre boule de cristal nous a fait défaut.

Il est certain que l'année 2020 a changé la façon dont les praticiens de la gestion des risques liés aux tiers effectuent leur travail. Et nous n'avons pas besoin d'une boule de cristal pour savoir que la pandémie continuera d'avoir un impact sur les chaînes d'approvisionnement au cours de l'année à venir. Si votre manuel actuel de gestion des risques de tiers n'est pas axé sur la résilience de la chaîne d'approvisionnement, il est peut-être temps de le jeter et d'en rédiger un nouveau.

Nos experts se sont réunis pour faire huit prédictions afin de vous aider à prendre une longueur d'avance. Nous commencerons par les quatre premières dans ce billet, puis nous compléterons la liste avec la deuxième partie la semaine prochaine.

#1. Les renseignements fournis par des tiers révéleront les risques tout au long du cycle de vie des fournisseurs.

2020 a vu une litanie de défaillances de la chaîne d'approvisionnement déclenchées par des événements imprévisibles. Ces incidents mettent en lumière le fait que les entreprises doivent comprendre les risques à chaque étape du cycle de vie des fournisseurs - de l'approvisionnement à l'exclusion, et tout ce qui se trouve entre les deux.

En 2021, les praticiens du risque tiers devront élargir leur visibilité en recherchant des renseignements sur les risques à plusieurs étapes clés de la relation avec le fournisseur :

• Recherche et sélection - La vérification de la réputation et des antécédents de crédit d'un fournisseur potentiel peut révéler s'il respecte ses engagements financiers et ceux de ses clients. Ces informations peuvent également indiquer s'il sera en mesure de faire face à des changements soudains de la demande et s'il possède la résilience financière nécessaire pour faire face aux ralentissements économiques.
• Accueil et intégration - L'intégration d'un fournisseur nécessite un examen encore plus approfondi de son risque potentiel. C'est pourquoi les programmes TPRM solides établissent des profils de risque complets qui incluent les questions de cybersécurité, de droit, de sanctions et/ou de conformité pour chaque fournisseur. L'essentiel ici est d'être proactif et de commencer à mesurer le risque dès le premier jour de la relation avec le fournisseur.
• Hiérarchisation et notation - Les différents types de fournisseurs présentent des niveaux de risque différents. Une hiérarchisation et une catégorisation efficaces des fournisseurs peuvent donc être le secret de la mise en place d'un programme TPRM durable. Les mesures du risque inhérent peuvent vous aider non seulement à évaluer la probabilité et l'impact des incidents de sécurité et de conformité, mais aussi à déterminer le niveau de diligence raisonnable requis pour chacun de vos fournisseurs.
• Évaluation et surveillance - En procédant à des évaluations des contrôles internes, vous pouvez faire la lumière sur les pratiques de cybersécurité et de gouvernance des fournisseurs et activer des mesures correctives si nécessaire. Mais les évaluations internes ne sont qu'une partie de l'histoire. Vous devez encore valider les réponses des fournisseurs, vérifier les mesures correctives et découvrir les risques entre les évaluations. C'est là que la surveillance continue des risques peut vous aider. Les solutions qui combinent la surveillance du Web public, privé et obscur cyber avec la surveillance commerciale et financière fourniront les renseignements les plus complets sur les risques liés aux fournisseurs.
• Rapports et gestion - Les renseignements provenant de tiers n'ont de valeur que si vous pouvez les comprendre et agir en conséquence pour réduire les risques et renforcer les relations avec les fournisseurs. Un reporting efficace permet à plusieurs parties prenantes de collaborer pour réduire les risques et assurer la conformité. Il peut également fournir des informations sur les performances des fournisseurs et le respect des contrats afin d'éclairer les négociations d'achat et de renouvellement. Les meilleures solutions TPRM offrent tout cela à travers un seul et même écran.

#2. La mesure du risque fournisseur s'étendra au-delà de la cybersécurité

Les risques liés aux fournisseurs ne se limitent pas aux menaces de cybersécurité. Il existe plusieurs autres facteurs de risque qui influent sur la capacité d'un fournisseur à fournir ses produits et services.

Par exemple, vos vendeurs sont-ils financièrement stables ? Payent-ils leurs factures à temps ? Comment gèrent-ils les perturbations opérationnelles dues aux catastrophes naturelles et aux urgences sanitaires ? Comment leurs violations en matière d'éthique ou de durabilité pourraient-elles menacer la marque ou la réputation de votre organisation ?

Pour une analyse plus complète des risques liés aux fournisseurs, vous voudrez ajouter ces catégories de risques à vos initiatives de surveillance en 2021 :

• Risque opérationnel : les changements de direction, les restructurations et les fusions et acquisitions peuvent indiquer des changements stratégiques, tandis que les mises à jour des partenaires et des équipementiers peuvent signaler des augmentations de prix et d'autres changements.
• Risque pour la marque : les rappels de produits, les violations de données et autres incidents peuvent entraîner des relations publiques négatives.
• Risque réglementaire et juridique : les sanctions internationales, les recours collectifs et les violations des normes réglementaires peuvent entraîner des retards importants dans la livraison des produits et des services.
• Risquefinancier : Les procédures de faillite et les bénéfices non réalisés peuvent entraîner une restructuration et l'abandon de certaines offres de fournisseurs.

Une plateforme TPRM unifiée peut aider à normaliser, corréler et analyser ces données de surveillance avec les résultats des évaluations de cybersécurité.