Les 5 principales erreurs de conformité en matière de gestion des risques liés aux tiers

Au cours de mes 20 années de travail dans les domaines de la cybersécurité, de la confidentialité des données, de l'audit, de la conformité et du conseil, j'ai tiré de précieuses leçons. Par exemple, lors du déploiement du programme de gestion des risques des tiers (TPRM) dans une entreprise de soins de santé figurant au classement Fortune 10, j'ai découvert à quel point il est essentiel d'anticiper les besoins des auditeurs et des examinateurs du programme.

En fait, la simplification des initiatives de conformité a été l'un des principaux moteurs de tous les programmes de TPRM auxquels j'ai participé, et j'ai dû surmonter de nombreux obstacles en cours de route. Voici cinq des principaux écueils que j'ai rencontrés en matière de conformité au TPRM, ainsi que des conseils sur la manière de les surmonter.

Erreurs courantes en matière de conformité au TPRM

1. Manque de documentation

La collecte de preuves documentées des contrôles, des processus et des procédures est au cœur de tous les audits de conformité. Cependant, lorsque je travaille avec des clients, je constate souvent que leur documentation est dépassée, obsolète et/ou incohérente par rapport aux réglementations actuelles et aux meilleures pratiques. Dans de nombreux cas, il n'y a aucune indication de propriété, de révision ou d'approbation - et les outils et techniques requis ne sont souvent pas annexés aux procédures existantes. Pire encore, la plupart des documents que j'ai examinés n'étaient pas suffisamment bien rédigés pour que les nouveaux membres de l'équipe puissent se les approprier si nécessaire.

2. Ignorance des politiques et des normes de l'entreprise

La plupart des programmes de TPRM font de leur mieux pour respecter les exigences réglementaires et les normes industrielles, mais nombre d'entre eux ne sont pas alignés sur les politiques et les normes de l'entreprise ou de l'organisation. En voici quelques exemples :

• renoncer à vérifier les antécédents des nouveaux vendeurs ou fournisseurs (par exemple, examiner les violations récentes, la situation financière, les problèmes opérationnels, etc.)
• Ne pas établir de normes de connectivité basées sur la sensibilité des données (par exemple, quand autoriser l'accès via des VPN ou des passerelles sécurisées).
• Ne pas cloisonner les zones "interdites" ou les zones du réseau qui devraient être séparées (par exemple, par un accès privilégié).
• L'utilisation de contrats non approuvés lorsque les acheteurs sont malhonnêtes
• Contourner le processus de TPRM afin d'intégrer le plus rapidement possible un nouveau fournisseur.

Aller au-delà des politiques approuvées de l'entreprise expose votre organisation à des risques inutiles et pourrait avoir pour conséquence que votre projet ne reçoive pas le financement dont il a besoin pour être couronné de succès.

3. Absence de mesures significatives

Le fait de ne pas mesurer les progrès accomplis dans la réalisation des objectifs en matière de risques ralentira le processus d'audit. Examinez honnêtement vos mesures existantes. Par exemple, sont-ils.. :

• Rendre compte avec précision des risques commerciaux et des risques liés aux fournisseurs ?
• Découvrir les ajustements potentiels des données et de l'information ?
• Représentatif de l'environnement d'évaluation réel ?
• Fournir des rapports pertinents et contextuels sur les risques à la direction et aux principales unités opérationnelles ?
• Apporter un soutien et une valeur ajoutée à toutes les parties prenantes ?

4. Pas d'inventaire centralisé des fournisseurs

L'un des principaux défis des nouveaux programmes de TPRM est de savoir qui sont les vendeurs et les fournisseurs. Certains peuvent être gérés par l'équipe de sécurité informatique, tandis que d'autres le sont par le service des achats ou un autre service. L'absence d'une liste de fournisseurs faisant autorité peut bloquer votre projet de TPRM. C'est pourquoi il est important de déterminer qui possède et tient à jour l'inventaire des fournisseurs de votre organisation.

Veillez à ce que la documentation relative à la politique de gestion de la relation client reflète la propriété de votre groupe ou fasse référence à la politique du propriétaire. En outre, synchronisez régulièrement les équipes impliquées dans la gestion des inventaires de fournisseurs, telles que les services d'approvisionnement, les propriétaires d'entreprise, les services juridiques et (en dernier recours) les services de comptabilité fournisseurs.

5. Toujours en mode réactif

Trop de programmes de TPRM fonctionnent en mode réactif et sont constamment sur la brèche. C'est l'aboutissement des quatre erreurs de conformité précédentes, où les programmes manquent de documentation, de politiques, de mesures et/ou d'un inventaire central des fournisseurs. Une approche plus proactive de la conformité au TPRM rationalisera vos opérations, vous permettra de mettre à jour la documentation au fur et à mesure des changements, et ouvrira les lignes de communication avec les parties prenantes en ce qui concerne les mesures et les autres besoins du programme.