Le 18 septembre 2026, l’Autorité bancaire européenne (EBA) a publié ses orientations finales sur la gestion des risques liés aux tiers pour les services non-TIC. Cette autorité élabore des règles et des recommandations pour le secteur bancaire et veille à l’harmonisation des pratiques de surveillance au sein de l’Union européenne. Le principe est simple : adapter la gestion des risques aux conséquences potentielles de perturbations. Les prestataires externes qui soutiennent des fonctions critiques ou importantes doivent ainsi faire l’objet d’une vigilance accrue. Les orientations ont été publiées, mais ne sont pas encore applicables.
Bien qu’elles s’adressent aux établissements financiers, ces orientations offrent également des pistes concrètes aux autres entreprises en Belgique et aux Pays-Bas. Quels fournisseurs nécessitent des contrôles approfondis et un suivi renforcé ? Pour le déterminer, il faut d’abord se poser une question essentielle : que se passerait-il pour votre entreprise si ce fournisseur cessait toute activité dès demain ?
Qu’est-ce que le third-party risk management ?
Le third-party risk management, ou gestion des risques liés aux tiers, consiste à identifier, évaluer et maîtriser les risques associés aux relations avec des partenaires externes, tels que les fournisseurs, les prestataires de services et les sous-traitants. Il s’agit d’évaluer leur fiabilité et leur résilience, mais aussi le degré de dépendance de votre entreprise à leur égard.
Une analyse de solvabilité permet d’évaluer la santé financière d’un fournisseur. Toutefois, les conséquences d’une défaillance dépendent également de la nature de ses prestations et de la rapidité avec laquelle vous pouvez le remplacer. Un petit fournisseur représentant un faible volume d’achats peut, par exemple, livrer une pièce indispensable à votre production. Sans cette pièce, toute votre activité pourrait être paralysée.
Identifiez les fournisseurs critiques pour votre entreprise
Pour concentrer vos efforts là où ils sont le plus nécessaires, les données financières ne suffisent pas : vous devez également bien connaître vos propres processus. Pour chaque fournisseur, évaluez les éléments suivants :
- Impact : quels processus, produits ou services seraient menacés en cas de défaillance ?
- Possibilités de remplacement : existe-t-il une solution de remplacement et combien de temps faudrait-il pour changer de fournisseur ?
- Accès : le fournisseur a-t-il accès à des données sensibles ou à des systèmes essentiels ?
- Dépendances : de quels sous-traitants dépend-il pour assurer ses prestations ?
Cette analyse permet de distinguer les fournisseurs facilement remplaçables de ceux dont la défaillance aurait des conséquences immédiates sur vos activités. C’est cette distinction qui doit déterminer le niveau d’approfondissement de vos vérifications et l’intensité du suivi à mettre en place.
Lisez aussi : Top 5 des risques fournisseurs et comment les maîtriser
Regardez au-delà de vos fournisseurs : où se concentrent les risques ?
Pour mener cette évaluation, il est essentiel de ne pas vous limiter à vos partenaires contractuels directs. Vous pouvez vous approvisionner auprès de trois fournisseurs différents tout en dépendant, sans le savoir, d’un seul et même fabricant. Si ce dernier rencontre des difficultés, vos trois fournisseurs pourraient être affectés simultanément.
Ce risque de concentration est également abordé dans la boîte à outils européenne sur la sécurité des chaînes d’approvisionnement TIC (EU ICT Supply Chain Security Toolbox), publiée en février 2026. Celle-ci propose des recommandations pour renforcer la sécurité des chaînes d’approvisionnement TIC, notamment en encourageant les stratégies multifournisseurs afin de diversifier les dépendances. Il s’agit d’un outil pratique, et non d’une obligation légale générale en matière de gestion des fournisseurs.
L’enseignement à retenir est clair : disposer de plusieurs fournisseurs ne constitue une véritable solution de repli que s’ils sont suffisamment indépendants les uns des autres. Examinez donc les liens entre les différentes entités d’un même groupe, les principaux sous-traitants et les sites de production partagés. Vérifiez également qu’un fournisseur alternatif dispose des capacités nécessaires pour prendre le relais dans les délais requis.
Maîtrisez les risques tout au long de la relation avec vos fournisseurs
Une fois les fournisseurs critiques identifiés et les dépendances mises en évidence, vous pouvez mettre en place des mesures adaptées. Celles-ci ne doivent pas se limiter à l’évaluation initiale réalisée lors de l’onboarding.
Les orientations de l’EBA couvrent ainsi l’ensemble du cycle de vie de la relation : analyse des risques, due diligence, contractualisation, sous-traitance, surveillance et stratégie de sortie. Les informations recueillies lors de l’évaluation doivent se traduire par des engagements contractuels et des mesures de suivi tout au long de la collaboration.
Si un fournisseur s’avère difficile à remplacer, mieux vaut définir en amont des engagements en matière de continuité d’activité et anticiper les modalités d’une éventuelle transition. S’il dépend fortement d’un sous-traitant, il est important de convenir de la manière dont vous serez informé des changements susceptibles d’affecter ce dernier.
Lisez aussi : Le vrai visage de votre base de fournisseurs
Transformez les signaux de risque en actions concrètes
Au cours de la collaboration, des difficultés de paiement, une dégradation du score de crédit ou une acquisition peuvent justifier une réévaluation des risques. Un suivi régulier permet de détecter ces évolutions. En matière de risque de crédit commercial (Trade Credit Risk) et de risques liés aux fournisseurs (Supplier Risk), l’enjeu est ensuite de déterminer les mesures à prendre.
Si la situation financière d’un fournisseur critique se détériore, il peut être nécessaire d’engager rapidement le dialogue avec lui et de préparer une solution de remplacement. En revanche, un suivi moins intensif peut suffire pour un fournisseur facilement remplaçable.
Il est donc essentiel de définir à l’avance qui est chargé d’analyser les signaux d’alerte, à quel moment intervenir et quelles mesures peuvent être prises. Vous pourrez ainsi relier les informations les plus récentes aux dépendances préalablement identifiées.
Comment passer concrètement à l’action ?
Voici cinq étapes pour intégrer le third-party risk management à votre politique de gestion des fournisseurs :
- Segmentez vos fournisseurs selon leur criticité et votre niveau de dépendance. Identifiez les partenaires indispensables à la continuité de vos activités.
- Repérez les maillons faibles. Déterminez les situations dans lesquelles la défaillance d’un seul acteur pourrait interrompre un processus.
- Analysez la chaîne d’approvisionnement au-delà de vos fournisseurs directs. Identifiez les sous-traitants et les dépendances communes susceptibles d’accroître les risques.
- Adaptez la due diligence et le suivi à l’impact potentiel. Concentrez vos contrôles sur les fournisseurs dont la défaillance aurait les conséquences les plus importantes sur la continuité de vos activités.
- Définissez à l’avance les actions à entreprendre. Clarifiez les responsabilités, identifiez les fournisseurs alternatifs et prévoyez des stratégies de sortie.
Une bonne gestion des risques liés aux tiers consiste avant tout à accorder le bon niveau d’attention aux bons fournisseurs. En combinant les données financières avec une connaissance approfondie de vos dépendances, vous pouvez identifier les situations qui nécessitent des contrôles renforcés et savoir quand intervenir.
Vous souhaitez mieux maîtriser les risques liés à vos fournisseurs ? Découvrez comment nos solutions Supplier Risk vous aident à évaluer vos fournisseurs et à détecter les risques à temps. Vous pouvez également échanger avec l’un de nos experts pour discuter de vos enjeux.
