Questions fréquentes
Qu'est-ce que le TPRM (Third-Party Risk Management) ?
Le TPRM est l'ensemble des processus permettant à une organisation d'identifier, d'évaluer, de noter et de surveiller les risques portés par ses fournisseurs et sous-traitants : risque cyber, risque RGPD, risque opérationnel, risque financier et risque réputationnel.
TPRM, VRM, GRC : c'est la même chose ?
Non. Le VRM (Vendor Risk Management) est un sous-ensemble du TPRM centré sur les fournisseurs commerciaux. Le GRC (Governance, Risk & Compliance) couvre l'ensemble des risques de l'entreprise, dont le TPRM. En pratique, ces termes sont souvent utilisés de manière interchangeable.
Le TPRM est-il une obligation réglementaire ?
Oui, dans plusieurs cas : le règlement DORA (secteur financier, règlement 2022/2554, articles 28 à 30), la directive NIS2 (2022/2555, article 21) pour 18 secteurs essentiels et importants, le RGPD article 28 (sous-traitance de données personnelles), et les lignes directrices EBA/GL/2019/02 sur l'externalisation pour le secteur bancaire.
Combien de fournisseurs faut-il évaluer ?
Tous, mais avec une intensité graduée. La pratique standard distingue 3 tiers : Tier 1 (critiques, audit annuel approfondi), Tier 2 (importants, questionnaire annuel), Tier 3 (standards, vérification documentaire). Une PME a typiquement 50-150 fournisseurs, une ETI 300-1000.
Comment automatiser une partie du TPRM sur le volet RGPD ?
Le volet protection des données d'une évaluation fournisseur se prête bien à l'automatisation documentaire : un scan RGPD des sources publiques (politique de confidentialité, DPA, page sécurité) permet de produire un score RGPD daté avant même d'envoyer un questionnaire, et de concentrer l'effort humain sur les zones de risque réelles.