Comment créer une source unique de vérité pour les informations sur les risques liés aux vendeurs et aux fournisseurs tiers ?

L'étude 2023 sur la gestion des risques liés aux tiers révèle deux tendances très intéressantes. Tout d'abord, plus de départements que jamais sont impliqués dans la gestion des risques liés aux tiers (TPRM), les équipes de sécurité de l'information, de gestion des risques et de conformité/audit enregistrant la plus forte croissance d'une année sur l'autre. Deuxièmement, bien que les équipes de sécurité de l'information soient responsables du programme de gestion des risques liés aux tiers dans 71 % des entreprises, c'est l'équipe chargée des achats qui est généralement responsable des relations avec les tiers.

Une équipe est responsable du programme de TPRM, mais une autre est responsable de la relation avec le vendeur/fournisseur. De nombreuses équipes ont un rôle à jouer dans la gestion des risques liés aux tiers, et ces équipes ont toutes leurs propres besoins en matière de risques liés aux tiers. Inévitablement, cette approche pluridisciplinaire de la gestion des risques liés aux tiers peut conduire à des cloisonnements involontaires, à une mauvaise communication ou à une absence totale de partage d'informations essentielles.

Comment les entreprises peuvent-elles rassembler leurs services dans une lingua franca de la gestion des risques liés aux tiers? Cela commence par la mise en place d'une source unique de vérité en ce qui concerne les informations sur les vendeurs et les fournisseurs tiers.

Cet article examine les défis et les conséquences d'une approche désordonnée de la gestion des tiers et recommande dix bonnes pratiques pour unir les équipes sous une source unique de vérité.

Les défis d'une approche multi-services de la gestion des risques liés aux tiers

Une approche pluridisciplinaire de la gestion des risques liés aux vendeurs et fournisseurs tiers n'est pas mauvaise en soi ; il suffit que l'organisation s'engage à coordonner les fonctions. Cependant, si elle n'est pas appliquée de manière cohérente, le fait que différents départements prennent des directions différentes en ce qui concerne l'évaluation et l'analyse des risques liés aux tiers peut avoir plusieurs conséquences négatives.

• La fragmentation des exigences ministérielles peut limiter l'efficacité des contrôles préalables des vendeurs/fournisseurs.
• Différents outils peuvent produire des rapports incohérents sur des mesures qui ne correspondent pas aux objectifs généraux de l'organisation.
• La prise de décision en matière de risques est dispersée - il n'y a pas de personne ou d'équipe qui ait une vue d'ensemble des risques encourus par les tiers.

La mise en place d'une source unique de vérité pour la gestion des risques liés aux vendeurs et fournisseurs tiers est cruciale pour les organisations qui cherchent à rationaliser leurs processus d'évaluation des risques et à garantir l'exactitude et la cohérence des données.

Comment créer une source unique de vérité pour les risques liés aux tiers ?

Une source unique de vérité sert de référentiel centralisé d'informations cohérentes et fiables auxquelles les différents acteurs de l'organisation peuvent accéder et sur lesquelles ils peuvent s'appuyer. Voici dix étapes qui vous aideront à établir une source unique de vérité pour les risques liés aux vendeurs et aux fournisseurs :

1. Définir les objectifs de l'organisation et les indicateurs clés

Commencez par comprendre quels sont les risques spécifiques que l'organisation doit évaluer et gérer, et quelles sont les informations essentielles à la prise de décision. Par exemple, quels sont les indicateurs de risque clés (KRI) qui signalent des problèmes potentiels dans votre base de vendeurs et de fournisseurs tiers ? Dans le cadre de ce processus, il convient de procéder à un examen complet des indicateurs de risque de l'entreprise, y compris ceux qui concernent les différents départements des parties prenantes.

2. Identifier les principales parties prenantes de l'entreprise

Sur la base des paramètres de risque de l'entreprise définis à l'étape 1, déterminez qui utilisera la source unique de vérité. Il peut s'agir d'équipes d'approvisionnement de la gestion des risques, des responsables de la conformité, des équipes juridiques et d'autres départements concernés au-delà de la sécurité informatique. Au fur et à mesure que vous identifiez les principales parties prenantes, vérifiez que les indicateurs de performance clés choisis à l'étape 1 sont exacts et ajustez-les en conséquence.

3. Réaliser un audit pour comprendre les sources de données actuelles

Une fois que l'on a compris ce que l'organisation doit surveiller et qui doit être impliqué, l'étape logique suivante consiste à déterminer d ' où proviennent les données existantes sur les risques liés aux tiers. Les sources courantes de données sur les risques liés aux tiers sont généralement les suivantes :

• État des contrôles internes sur les principaux processus opérationnels
• Informations sur les sociétés et les entreprises
• Cyber les signaux émis par les outils de contrôle de la sécurité
• Mises à jour commerciales/opérationnelles
• Informations sur la réputation
• Score financier ou score de crédit pour la santé financière
• Statut environnemental, social et de gouvernance (ESG)
• Perspectives en matière de conformité ou de sanctions

Une fois que vous avez vérifié les sources de données, vous pouvez déterminer les éventuels chevauchements de données ou identifier les lacunes à combler.

4. Centraliser les données sur les risques liés aux tiers dans une plateforme technologique unique

Votre organisation tirera le meilleur parti de la gestion des risques si toutes les données nécessaires sur les risques liés aux tiers sont centralisées et visibles par toutes les parties prenantes concernées. Choisissez donc une plateforme technologique ou une solution logicielle unique qui puisse servir de base à votre source unique de vérité. Envisagez des options qui offrent des capacités d'intégration, des outils d'analyse des données et des rapports spécifiques aux parties prenantes. La centralisation des données présente l'avantage supplémentaire de favoriser la collaboration entre les parties prenantes.