Rationaliser les audits de gestion des risques par des tiers : 5 étapes critiques de mise en conformité

Peu de mots inspirent autant de crainte aux professionnels de la sécurité et de la gestion des risques que le mot "audit". Le simple fait de lire ce mot peut donner des frissons dans le dos. Le défi d'un audit de sécurité informatique est amplifié lorsqu'il s'étend aux vendeurs et fournisseurs tiers, ce qui nécessite des ressources et du temps supplémentaires.

Le défi va au-delà du temps consacré à la collecte de preuves, à l'identification et à l'établissement de rapports sur les lacunes en matière de contrôle. La réalisation d'un audit des risques liés aux tiers implique de naviguer dans un paysage réglementaire complexe et qui se chevauche souvent. Dès lors, comment une équipe de sécurité et de gestion des risques responsable de la gestion des risques des tiers peut-elle s'assurer que ses vendeurs et fournisseurs respectent des principes de gestion des risques sains sans épuiser l'équipe ?

La clé pour surmonter ce défi réside dans la reconnaissance des points communs entre les multiples cadres de contrôle de la réglementation et de la sécurité informatique et dans l'établissement d'une base pour vos efforts de conformité sur ces points communs. Ce blog présente cinq domaines qui se recoupent à travers les exigences communes du TPRM pour que les organisations puissent construire une base solide pour les efforts d'audit et de conformité.

1. Planification : Mettre votre programme en conformité avec le MRP

Comprendre l'exposition de votre organisation aux risques liés aux tiers est essentiel dans de nombreux cadres réglementaires et de contrôle. Il est impératif de se concentrer sur deux types de tiers : ceux qui fournissent des produits ou des services essentiels et les logiciels qui soutiennent les principaux processus d'entreprise. De nombreux régimes réglementaires exigent des évaluations systématiques de la criticité des fournisseurs, une gestion centralisée et une surveillance des logiciels tiers.

Mise en place d'une équipe interfonctionnelle de gestion des risques technologiques

Constituer une équipe composée de représentants de l'ensemble de l'entreprise, notamment de la sécurité informatique, de la gestion des risques, du service juridique, de l'audit interne et de l'approvisionnement. Cette équipe sera chargée de mettre en place une gouvernance appropriée et de piloter le programme de gestion des risques technologiques et intégrera les besoins de toutes les équipes qui souhaitent avoir une vue d'ensemble des tiers.

Conseil TRPM : Recherchez des solutions TPRM qui fournissent des informations consolidées sur les risques pour plusieurs équipes et qui permettent une vision des risques et des rapports spécifique à chaque rôle.

Déterminer la criticité du fournisseur

Comprendre quels fournisseurs tiers sont essentiels à vos opérations est la pierre angulaire de la planification du TPRM. Les fournisseurs qui fournissent des services essentiels ou qui traitent des informations sensibles doivent être classés comme critiques, ce qui nécessite une diligence raisonnable et une surveillance continue.

Conseil TRPM : Effectuer un exercice de profilage et de hiérarchisation pour déterminer le risque inhérent et identifier la criticité du fournisseur.

Centraliser l'inventaire des fournisseurs

Créez un inventaire central des tiers qui permette aux équipes de gérer tous les fournisseurs tout au long du cycle de vie de leurs relations. Dès le début, vous devez accorder une attention particulière à tous les fournisseurs de logiciels tiers existants liés à votre organisation. Avec l'augmentation des attaques contre la chaîne d'approvisionnement des logiciels, il est vital de maintenir un inventaire à jour de tous les logiciels tiers. Cet inventaire doit être lié à vos processus d'entreprise et aux tiers qui les soutiennent.

Conseil du TPRM : Étant donné que votre organisation utilise probablement déjà un cadre de contrôle commun pour ses rapports sur la sécurité informatique, structurez vos évaluations des risques des tiers en utilisant des cadres tels que NIST SP 800-53 ou ISO 27001.

2. Diligence raisonnable et sélection des tiers

Une fois que les règles permettant de déterminer la criticité des fournisseurs sont établies et qu'un inventaire des logiciels et services tiers existants est dressé, il est temps d'appliquer des principes de diligence raisonnable pour sélectionner de nouvelles solutions. Il est essentiel de choisir une solution ou un service qui soit non seulement adapté à l'objectif visé, mais qui corresponde également au profil de risque de l'organisation. Un processus complet de diligence raisonnable à l'égard des fournisseurs permet aux organisations de recueillir d'emblée des informations pertinentes sur les fournisseurs et d'effectuer des contrôles clés dans de nombreux cadres réglementaires.

Le processus de diligence raisonnable à l'égard des fournisseurs comporte quelques étapes simples :

• Évaluer le fournisseur en évaluant ses pratiques en matière de cybersécurité et de confidentialité des données, ses facteurs commerciaux et opérationnels, sa réputation, son statut de conformité, ses politiques ESG et sa situation financière après l'adhésion. Procéder à une vérification préalable du contrat avant l'intégration.

• Centraliser les risques et les lacunes en matière de contrôle dans un registre des risques unique pour une visibilité à l'échelle de l'entreprise. Cela permettra de développer et d'appliquer les plans de correction des fournisseurs et de faciliter les discussions internes sur l'acceptabilité des risques du fournisseur.

• Exploitez l'inventaire central des tiers créé lors de l'étape de planification pour gérer efficacement le cycle de vie des relations. Inclure des attributs tels que les données de l'entreprise du fournisseur, les informations financières et la localisation.

Conseil du TPRM : L'objectif de la diligence raisonnable exigée par la réglementation est d'atténuer les risques identifiés, et pas seulement de procéder à l'évaluation pour "cocher la case". Par conséquent, appliquez des mesures correctives pour vous assurer que les tiers correspondent aux seuils de risque de votre organisation.

Visibilité de votre chaîne d'approvisionnement étendue

Pour disposer d'un programme efficace de gestion des risques technologiques, vous devez avoir une visibilité sur votre chaîne d'approvisionnement étendue. Les chaînes d'approvisionnement étendues impliquant des sous-traitants et des tiers présentent des risques opérationnels importants, et un manque de visibilité peut entraîner des défaillances au niveau de la résilience en cas de perturbations. De nombreuses violations de données importantes peuvent être liées à des compromissions de tiers, mais lorsqu'elles font l'objet d'une enquête, il s'avère souvent que la compromission a commencé au niveau du sous-traitant.