Construisez un programme de due diligence des tiers pour la France couvrant la conformité fournisseurs, les audits, la corruption, la LCB-FT, la vie privée et le devoir de vigilance.
Les relations avec des tiers peuvent exposer une entreprise à des manquements qu'elle n'a pas elle-même commis. Un distributeur peut verser des pots-de-vin pour obtenir des contrats, un fournisseur peut dissimuler des pratiques de travail dangereuses, ou un prestataire technologique peut traiter des données personnelles sans sécurité adéquate. Lorsque ces risques sont ignorés, l'entreprise contractante peut néanmoins faire l'objet d'enquêtes réglementaires, de pertes financières et d'atteintes à sa réputation.
La due diligence des tiers est le processus consistant à identifier, évaluer, approuver et surveiller les organisations et personnes externes avec lesquelles une entreprise entretient une relation.
C'est ce qui permet à une entreprise de comprendre qui est un tiers, qui le détient et comment il exerce son activité. C'est pourquoi les organisations doivent évaluer les fournisseurs, prestataires, agents et intermédiaires avant de leur permettre de représenter l'entreprise, de recevoir des paiements ou d'accéder à des informations sensibles. C'est également pourquoi la due diligence doit se poursuivre après l'intégration plutôt que de s'arrêter à la signature du contrat.
Dans ce guide, vous apprendrez à construire un programme complet de due diligence des tiers pour une entreprise opérant en France, depuis la classification initiale des risques et le contrôle d'intégrité jusqu'aux audits fournisseurs, aux contrôles contractuels, à la surveillance continue et aux obligations liées au devoir de vigilance.
La due diligence des tiers est une investigation structurée destinée à déterminer si un partenaire commercial externe présente un risque juridique, financier, opérationnel, éthique ou réputationnel acceptable.
Le processus commence généralement avant l'intégration. L'organisation recueille des informations sur le tiers proposé, vérifie son identité et son actionnariat, le contrôle par rapport aux bases de données pertinentes et évalue les risques associés à la relation envisagée.
La profondeur de l'investigation doit refléter le niveau de risque. Un fournisseur local de fournitures de bureau à faible valeur ne devrait pas nécessairement recevoir le même examen qu'un agent commercial représentant l'entreprise auprès des autorités publiques dans un marché à haut risque.
Un programme complet doit prendre en compte davantage que la corruption et les sanctions. Selon la relation, l'organisation peut devoir évaluer le blanchiment d'argent, la fraude, la cybersécurité, la confidentialité des données, les droits humains, la sécurité au travail, la performance environnementale, la stabilité financière et les conflits d'intérêts.
L'objectif final n'est pas de garantir qu'un tiers ne posera jamais de problème. Aucune investigation ne peut éliminer tous les risques. L'objectif est de prendre une décision raisonnable, fondée sur des preuves, et d'appliquer des contrôles proportionnés aux risques identifiés.
Les organisations modernes dépendent de vastes réseaux de fournisseurs, consultants, distributeurs, sous-traitants, prestataires technologiques et partenaires logistiques. Ces relations apportent expertise et flexibilité opérationnelle, mais elles étendent également le risque de l'organisation au-delà de ses employés directs et de ses locaux physiques.
Un tiers peut interagir avec des clients, gérer des fonds de l'entreprise, soumettre des demandes aux autorités publiques ou traiter des informations confidentielles. Sa conduite peut donc être attribuée à l'organisation par les régulateurs, les clients ou le public, même lorsque la relation est juridiquement indépendante.
Le risque lié aux tiers peut affecter des entreprises de toute taille. Une petite entreprise peut dépendre fortement d'un prestataire informatique externalisé ou d'un fabricant à l'étranger. Une grande organisation peut compter des milliers de fournisseurs répartis dans différents pays et secteurs. Le formalisme du programme diffère, mais la nécessité de comprendre les relations critiques demeure.
Pour les entreprises françaises, la due diligence soutient également la conformité à plusieurs cadres juridiques qui se chevauchent. Cela inclut les contrôles anticorruption au titre du cadre Sapin II, les obligations sectorielles de LCB-FT, le RGPD, les règles relatives aux sanctions et le régime français du devoir de vigilance.
La due diligence des tiers doit donc être traitée comme un contrôle métier plutôt que comme un simple questionnaire propre au service conformité. Les équipes achats, finance, juridique, sécurité de l'information, développement durable et opérationnelles contribuent toutes aux informations nécessaires à une décision fiable.
La due diligence des tiers en France est influencée par plusieurs cadres juridiques. Les obligations exactes dépendent de la taille de l'organisation, de son secteur, de ses activités et du type de tiers concerné.
L'article 17 de la loi Sapin II impose aux grandes entreprises concernées d'évaluer les clients, fournisseurs de premier rang et intermédiaires selon leur cartographie des risques de corruption.
En pratique, les entreprises devraient appliquer des contrôles renforcés aux agents, consultants et autres tiers qui interagissent avec des agents publics, perçoivent des commissions ou opèrent dans des marchés à plus haut risque. L'examen devrait porter sur l'actionnariat, la réputation, les qualifications, la rémunération et les conflits d'intérêts potentiels.
La loi française sur le devoir de vigilance impose aux entreprises concernées d'identifier et de traiter les risques graves en matière de droits humains, de santé, de sécurité et d'environnement liés à leurs opérations, filiales et certains fournisseurs ou sous-traitants.
Pour les entreprises concernées, la due diligence fournisseurs devrait inclure une cartographie des risques, des évaluations ciblées, des actions correctives et une surveillance continue. Un simple questionnaire ne suffit probablement pas à démontrer une vigilance effective lorsque des risques graves ont été identifiés.
Les organisations réglementées doivent identifier les clients et les bénéficiaires effectifs, comprendre l'objet des relations d'affaires et appliquer des contrôles renforcés lorsque les risques de blanchiment d'argent ou de financement du terrorisme sont plus élevés.
Même lorsqu'une entreprise commerciale n'est pas directement soumise au cadre complet de LCB-FT, ces principes restent utiles pour examiner les structures d'actionnariat opaques, les intermédiaires inexpliqués, les paiements inhabituels ou les comptes offshore.
Lorsqu'un prestataire traite des données personnelles, l'organisation doit évaluer s'il offre des garanties suffisantes en matière de confidentialité et de sécurité.
L'examen devrait porter sur les données traitées, les lieux d'hébergement, les sous-traitants ultérieurs, les transferts internationaux, les mesures de sécurité, la notification des violations et la suppression des données. Des protections contractuelles appropriées doivent être mises en place avant tout partage de données personnelles.
Le cadre européen émergent de devoir de vigilance en matière de durabilité renforcera les attentes concernant l'identification et le traitement des impacts négatifs sur les droits humains et l'environnement dans les chaînes de valeur des entreprises.
Les entreprises françaises devraient suivre sa mise en œuvre et aligner leurs évaluations fournisseurs sur leurs contrôles existants en matière de devoir de vigilance, de durabilité et d'achats. Cela peut réduire les doublons et faciliter les futurs changements de conformité.
Un tiers est toute organisation ou personne externe qui fournit des biens ou services, représente l'entreprise, traite des informations ou participe autrement à ses activités.
Cela peut inclure les fournisseurs, sous-traitants, consultants, agents commerciaux, distributeurs, revendeurs, courtiers, partenaires de coentreprise, représentants en douane, prestataires logistiques, agences de recrutement, prestataires technologiques et conseillers professionnels.
Toutes les parties ne nécessitent pas la même investigation. L'organisation devrait d'abord identifier l'exposition potentielle de la relation.
Un agent qui négocie avec des agents publics présente un risque différent d'un prestataire de services domestique. Un prestataire cloud stockant des données de santé d'employés présente un risque différent d'un fournisseur de mobilier de bureau. Un fabricant dans une chaîne d'approvisionnement à haut risque peut nécessiter des contrôles de main-d'œuvre et environnementaux qui ne concernent pas un comptable local.
L'organisation devrait donc définir les catégories de tiers relevant de son programme et identifier les zones de risque associées à chaque catégorie.
La direction générale devrait approuver le cadre de due diligence des tiers et nommer un responsable de programme.
Ce responsable peut relever de la conformité, du juridique, de la gestion des risques ou des achats. Ce qui compte, c'est qu'il dispose de l'autorité suffisante pour demander des informations, suspendre l'intégration et faire remonter les risques non résolus.
Les responsabilités devraient être clairement réparties. Les sponsors métier devraient expliquer pourquoi le tiers est nécessaire. Les achats devraient recueillir les informations commerciales et d'actionnariat. La conformité devrait examiner les risques d'intégrité. La sécurité de l'information devrait évaluer l'accès technologique, tandis que les équipes développement durable peuvent évaluer l'exposition en matière de travail et d'environnement.
Le décideur devrait être suffisamment indépendant pour remettre en question l'employé proposant la relation. Un sponsor métier qui s'attend à percevoir une commission ou à atteindre un objectif commercial ne devrait pas être la seule personne approuvant le tiers.
La direction devrait recevoir des informations sur les relations à haut risque, les revues en retard, les signaux d'alerte non résolus et la performance du programme.
Une entreprise ne peut pas appliquer une due diligence fiable sans savoir quels tiers elle utilise.
L'organisation devrait créer un inventaire central indiquant la dénomination sociale, la catégorie, le pays, le sponsor métier, les services fournis, la valeur du contrat, les modalités de paiement, l'accès aux données et le statut de risque de chaque partie active.
Les informations peuvent actuellement être réparties entre les systèmes d'achats, les registres financiers, les tableurs locaux et les applications spécifiques à chaque service. Les doublons et les noms incohérents peuvent rendre le contrôle et la surveillance peu fiables.
L'inventaire devrait identifier les fournisseurs inactifs ou en double et les parties recevant des paiements sans contrat en cours. Il devrait également distinguer les fournisseurs approuvés des parties qui existent dans un système de paiement mais n'ont jamais fait l'objet d'une due diligence.
Un inventaire de tiers propre soutient la conformité fournisseurs, le filtrage des sanctions, les audits fournisseurs, les contrôles de paiement et la réévaluation périodique.
L'organisation devrait attribuer un niveau de risque initial avant de décider de l'ampleur de la due diligence à effectuer.
Les facteurs de risque peuvent inclure le pays d'exploitation, le secteur, le type de service, l'interaction avec des agents publics, la structure de paiement, la complexité de l'actionnariat, l'accès aux données personnelles et la dépendance aux sous-traitants.
La valeur du contrat compte, mais elle ne devrait pas être le seul facteur. Un agent à faible valeur ayant l'autorité d'obtenir des permis peut présenter un risque de corruption plus élevé qu'un grand fournisseur domestique transparent.
Un modèle de hiérarchisation pratique peut utiliser trois niveaux :
|
Niveau de risque |
Profil type |
Examen approprié |
|
Faible |
Prestataire domestique transparent offrant des biens ou services courants |
Vérification d'identité basique et filtrage standard |
|
Moyen |
Fournisseur important, sous-traitant de données ou prestataire de services étranger |
Examen de l'actionnariat, questionnaire de conformité et contrôles spécialisés |
|
Élevé |
Agent, intermédiaire, fournisseur d'un pays à haut risque ou partie ayant une interaction avec le secteur public |
Due diligence renforcée, approbation par la direction et surveillance plus étroite |
La méthodologie devrait être documentée et appliquée de manière cohérente. Les employés ne devraient pas abaisser la notation de risque simplement pour accélérer l'intégration.
Les organisations développant leur méthode de notation des risques peuvent bénéficier du cours Gestion et Évaluation des Risques du French Compliance Institute, notamment pour relier les notations des tiers à la gouvernance des risques d'entreprise plus large.
L'organisation devrait recueillir suffisamment d'informations pour identifier la partie et comprendre la relation envisagée.
Pour une société, cela inclut normalement la dénomination sociale, les noms commerciaux, le numéro d'immatriculation, l'adresse, le pays de constitution, les dirigeants et les bénéficiaires effectifs. Le dossier devrait également expliquer les services à fournir, le mode de paiement prévu, les pays d'exploitation et le recours à des sous-traitants.
Les informations supplémentaires devraient refléter le risque. Un distributeur peut devoir divulguer ses clients et territoires. Un agent commercial peut devoir expliquer ses interactions avec les pouvoirs publics et ses modalités de commission. Un prestataire technologique peut devoir identifier ses lieux d'hébergement et sous-traitants ultérieurs.
Les questionnaires devraient être proportionnés et rédigés clairement. Envoyer un formulaire générique volumineux à chaque fournisseur peut créer un travail inutile sans produire d'informations pertinentes.
Les documents devraient également être à jour. Un certificat d'immatriculation délivré il y a de nombreuses années peut ne pas refléter l'actionnariat et les dirigeants actuels du tiers.
L'organisation devrait vérifier que le tiers proposé existe légalement et que les informations fournies correspondent à des registres fiables.
Cela peut impliquer l'examen des informations du registre du commerce, des documents constitutifs, des rapports annuels, des licences, des informations fiscales et des pièces d'identité officielles.
Les vérifications de bénéficiaires effectifs devraient identifier les personnes qui détiennent ou contrôlent finalement l'entreprise. Les chaînes complexes, les actionnaires prête-noms, les trusts et les sociétés holding récemment créées peuvent nécessiter un examen renforcé.
L'objectif n'est pas simplement de dresser une liste d'actionnaires. L'entreprise doit comprendre qui bénéficie de la relation et si l'actionnariat crée un risque de sanctions, de corruption, de conflit d'intérêts ou de blanchiment d'argent.
Les différences inexpliquées entre le questionnaire et les registres officiels devraient être résolues avant l'approbation. Le tiers devrait également expliquer les changements récents d'actionnariat lorsqu'ils semblent liés à une préoccupation réglementaire, financière ou réputationnelle.
Le filtrage devrait refléter les risques associés à la relation envisagée.
Les contrôles courants incluent les désignations de sanctions, les personnes politiquement exposées, les allégations de corruption, la fraude, les mesures d'application, les litiges graves, l'insolvabilité et la presse défavorable.
Une alerte de filtrage n'est pas automatiquement une preuve de manquement. Des noms courants, des identifiants incomplets et des informations anciennes peuvent produire de faux positifs. Un examinateur qualifié devrait comparer les dates, adresses, nationalités, numéros d'immatriculation et autres détails disponibles.
Le statut de personne politiquement exposée n'interdit pas automatiquement une relation. Il indique que l'organisation peut avoir besoin d'une analyse plus approfondie de l'influence, de l'origine de la fortune, des conflits et des interactions avec le secteur public.
Les recherches sur la presse défavorable devraient distinguer les informations crédibles des rumeurs, des articles dupliqués et des allégations non étayées. L'examinateur devrait tenir compte de la gravité, de la fiabilité, de l'ancienneté et de la pertinence des informations.
L'investigation et la conclusion devraient être documentées. Une simple note indiquant « filtrage réussi » n'explique pas quelles bases de données ont été vérifiées ni comment une alerte a été résolue.
Les tiers qui représentent l'organisation, obtiennent des autorisations ou interagissent avec des agents publics nécessitent une attention particulière.
L'entreprise devrait comprendre pourquoi le tiers a été sélectionné, quelles qualifications il apporte et si sa rémunération est commercialement raisonnable.
Des honoraires de succès élevés, des demandes de paiement en espèces, des comptes offshore et des prestations de conseil vagues peuvent créer un risque significatif. Les paiements devraient correspondre à un travail identifiable et à des livrables contractuels.
L'évaluation devrait également identifier les relations personnelles entre le tiers et les employés, clients ou agents publics de l'entreprise. Les employés impliqués dans le processus de sélection devraient divulguer les intérêts financiers ou familiaux pertinents.
Lorsqu'un conflit existe, l'organisation devrait déterminer s'il peut être géré par une approbation indépendante, un changement de responsabilités ou une surveillance supplémentaire. Certains conflits peuvent rendre la relation inappropriée.
La due diligence des tiers devrait établir si la relation envisagée a un sens commercial.
L'organisation devrait examiner la stabilité financière, l'historique d'exploitation, les effectifs, les installations et l'expérience. Une entreprise revendiquant fournir des services techniques spécialisés devrait disposer d'employés ou de sous-traitants capables d'exécuter le travail.
Les informations bancaires devraient être détenues au nom légal du tiers dans la mesure du possible. Les paiements vers des comptes personnels, des entreprises non liées ou des juridictions étrangères inexpliquées nécessitent un examen supplémentaire.
Les modalités de commission et de tarification devraient être comparées aux attentes du marché. Des honoraires inhabituellement élevés peuvent dissimuler des paiements illicites ou indiquer que la partie contractante ne comprend pas le service acheté.
La faiblesse financière n'empêche pas toujours l'approbation. Cependant, un fournisseur critique confronté à un risque grave d'insolvabilité peut menacer la continuité de l'activité et nécessiter une planification de contingence.
Les prestataires technologiques et les prestataires de services externalisés peuvent avoir un accès direct aux données personnelles, aux informations confidentielles ou aux systèmes de l'entreprise.
Le processus de due diligence devrait identifier les données concernées, l'accès des utilisateurs, le lieu d'hébergement, le chiffrement, la réponse aux incidents, les modalités de sauvegarde et les sous-traitants.
L'organisation devrait déterminer si le prestataire a connu des incidents de sécurité significatifs et comment les vulnérabilités sont gérées. Les certifications et rapports d'audit peuvent soutenir l'examen, mais ils ne devraient pas remplacer une évaluation du service particulier acheté.
Le contrat devrait définir le traitement autorisé, les responsabilités en matière de sécurité, la notification des violations, la suppression des données, les droits d'audit et l'assistance aux obligations réglementaires.
Les prestataires critiques devraient être surveillés après l'approbation. Un prestataire peut changer son modèle d'hébergement, son actionnariat ou ses sous-traitants au cours du contrat, modifiant l'évaluation initiale des risques.
La due diligence fournisseurs devrait tenir compte de l'impact potentiel des biens et services achetés.
Les risques pertinents peuvent inclure le travail forcé, le travail des enfants, les horaires de travail excessifs, les lieux de travail dangereux, la discrimination, la pollution, l'extraction illégale de ressources et les préjudices causés aux communautés locales.
L'évaluation devrait se concentrer sur les parties de la chaîne d'approvisionnement où des impacts graves sont les plus probables. Un questionnaire uniforme envoyé à chaque fournisseur est moins efficace que des questions ciblées basées sur le pays, le secteur et le risque produit.
Les preuves peuvent inclure des certifications, des informations sur la main-d'œuvre, des permis environnementaux, des registres d'accidents, des politiques d'approvisionnement et des rapports d'audit antérieurs.
Lorsque des risques sont identifiés, l'organisation devrait distinguer un problème pouvant être corrigé d'un problème nécessitant un rejet ou une suspension immédiate.
Le devoir de vigilance ne devrait pas être traité comme un exercice de paperasserie. L'objectif est de prévenir ou de réduire les impacts graves grâce à des actions concrètes, un suivi et un engagement significatif avec les parties affectées.
La due diligence renforcée est appropriée lorsque l'examen initial identifie un risque élevé ou des incohérences non résolues.
Elle peut inclure l'obtention de documents d'actionnariat supplémentaires, la conduite d'entretiens, la commande de recherches spécialisées ou des visites de locaux.
Un audit fournisseur à haut risque peut examiner les dossiers d'emploi, les conditions de sécurité, les contrôles environnementaux et la sous-traitance. Pour un agent ou intermédiaire, l'examen peut se concentrer sur les qualifications, les liens avec les pouvoirs publics, les modalités de paiement et les clients antérieurs.
La due diligence renforcée devrait avoir un objectif défini. Demander davantage de documents sans savoir quelle préoccupation ils sont censés résoudre peut retarder l'intégration sans améliorer la décision.
L'organisation devrait enregistrer le risque, le travail supplémentaire effectué et si la préoccupation a été résolue.
Le résultat devrait normalement être l'approbation, l'approbation conditionnelle, le rejet ou l'escalade.
Les parties à faible risque peuvent être approuvées par les achats ou le sponsor métier selon un processus standard. Les parties à risque plus élevé devraient nécessiter un examen par la conformité, le juridique ou un comité de direction.
L'approbation conditionnelle peut impliquer un périmètre réduit, des exigences contractuelles supplémentaires, des contrôles de paiement, une formation, une remédiation ou une surveillance plus fréquente.
Le compte rendu de décision devrait expliquer les preuves examinées, les risques identifiés, les conditions requises, le responsable et la prochaine date de révision.
L'approbation devrait avoir une expiration ou un déclencheur de réévaluation. Un tiers ne devrait pas rester approuvé de manière permanente alors que l'actionnariat, les activités et les conditions de risque peuvent changer.
Les contrats devraient refléter les risques identifiés lors de la due diligence.
Les dispositions pertinentes peuvent porter sur le respect des lois, l'anticorruption, les sanctions, la protection des données, la sous-traitance, les droits d'audit, la conservation des documents et la notification des changements d'actionnariat.
L'accord devrait permettre à l'entreprise de suspendre les paiements ou l'exécution pendant l'investigation d'une préoccupation grave. Il devrait également prévoir des droits de résiliation lorsqu'un manquement est confirmé ou que le tiers refuse de fournir les informations requises.
Pour les fournisseurs présentant des faiblesses corrigibles, l'organisation peut convenir d'un plan de remédiation. Cela pourrait inclure la mise en œuvre de contrôles de sécurité, le changement d'un sous-traitant, l'amélioration de la sécurité des données ou la mise en place d'une formation à la conformité.
Le plan devrait contenir des actions spécifiques et des délais. Une promesse générale d'« améliorer la conformité » est difficile à surveiller ou à faire respecter.
Aucun tiers ne devrait être activé dans les systèmes d'achats ou de paiement avant l'obtention de l'approbation requise.
L'organisation devrait séparer les responsabilités de demande, d'approbation et de création des fournisseurs. Cela réduit le risque de fournisseurs fictifs, de doublons et de paiements non autorisés.
Les changements de coordonnées bancaires devraient nécessiter une vérification indépendante par une méthode de contact de confiance. Les fraudeurs se font fréquemment passer pour des fournisseurs et demandent des changements de paiement urgents.
Les factures devraient correspondre au contrat, aux services et au compte de paiement approuvé. Les descriptions inexpliquées, les factures à chiffres ronds et les paiements répétés juste en dessous des seuils d'approbation devraient faire l'objet d'un examen plus attentif.
Lorsqu'une relation est approuvée conditionnellement, le système devrait enregistrer les restrictions afin que les employés ne dépassent pas le périmètre convenu.
La due diligence des tiers devrait se poursuivre tout au long de la relation d'affaires. L'actionnariat, les dirigeants, les services, les modalités de paiement et l'exposition réglementaire peuvent changer après l'intégration, de sorte que les tiers à risque plus élevé devraient être recontrôlés et réévalués plus fréquemment que les fournisseurs de routine. Des événements tels qu'une désignation de sanctions, une violation de données, une enquête réglementaire, un changement d'actionnariat ou un incident grave sur le lieu de travail devraient déclencher un examen immédiat.
Les audits fournisseurs fondés sur le risque peuvent fournir une assurance plus approfondie lorsque les questionnaires et documents sont insuffisants. Selon le risque identifié, un audit peut examiner les conditions de travail, les contrôles environnementaux, la cybersécurité, la qualité des produits ou la gestion des sous-traitants. Les constats devraient être classés par gravité, attribués à des responsables et suivis jusqu'à leur résolution. Les préoccupations graves ou non résolues peuvent nécessiter la suspension ou la résiliation de la relation.
L'organisation devrait également conserver suffisamment de preuves pour reconstituer chaque décision significative de due diligence. Les dossiers peuvent inclure les questionnaires, documents d'actionnariat, résultats de filtrage, notations de risque, approbations, contrats, constats d'audit et plans de remédiation. Les employés impliqués dans la sélection, l'approbation, le paiement ou la gestion des tiers devraient recevoir une formation adaptée à leurs responsabilités.
Enfin, le programme devrait être testé par des revues de conformité périodiques, des audits internes et des contrôles par échantillonnage. Ces revues devraient évaluer si les notations de risque sont cohérentes, si les contrôles requis ont été effectués et si les approbations conditionnelles sont surveillées. Les constats devraient conduire à des améliorations documentées plutôt qu'à des observations non résolues.
Les signaux d'alerte devraient être évalués en contexte plutôt que traités comme une preuve automatique de manquement.
Un tiers peut présenter un risque élevé lorsque l'actionnariat est dissimulé, que l'entité juridique a été récemment créée, ou que ses capacités ne correspondent pas au travail proposé. Des commissions inhabituelles, des demandes en espèces et des paiements vers des pays non liés nécessitent également une explication.
D'autres signaux d'alerte incluent des liens avec les pouvoirs publics non divulgués, le refus d'accepter des droits d'audit, le recours répété à des sous-traitants et des registres d'entreprise incohérents.
Dans les chaînes d'approvisionnement, les préoccupations peuvent inclure des intermédiaires de main-d'œuvre inexpliqués, des registres de sécurité manquants, des horaires de travail excessifs ou des permis environnementaux qui ne peuvent être vérifiés.
Pour les prestataires technologiques, les signaux d'alerte peuvent inclure des lieux d'hébergement peu clairs, le refus d'identifier les sous-traitants ultérieurs et des engagements de notification d'incident faibles.
La présence d'un signal d'alerte devrait entraîner la suspension ou l'escalade de la relation jusqu'à ce que l'organisation comprenne le problème.
Un fabricant français prévoit de nommer un agent pour obtenir des contrats dans le secteur public dans un autre pays. L'agent demande des honoraires de succès élevés et souhaite être payé via une société immatriculée dans une autre juridiction.
Avant l'approbation, le fabricant devrait vérifier l'actionnariat de l'agent, ses qualifications, ses liens avec les pouvoirs publics et ses modalités de paiement. Le contrat devrait définir clairement les services, exiger des preuves à l'appui des factures et permettre la suspension de la relation en cas de préoccupations de conformité.
Un prestataire cloud stockera des informations sur les employés et les clients en dehors de la France et utilisera plusieurs sous-traitants.
L'organisation devrait examiner le rôle du prestataire au regard du RGPD, les lieux d'hébergement, les modalités de transfert international, les contrôles de sécurité, le processus de notification des violations et les procédures de suppression des données. Une certification générale en cybersécurité peut soutenir l'évaluation, mais elle ne remplace pas un examen du service spécifique et des données concernées.
Un fournisseur opère dans une région associée à des préoccupations en matière de travail, de santé, de sécurité ou d'environnement.
L'entreprise devrait évaluer les pratiques de recrutement, les conditions de travail, les sous-traitants, les méthodes d'approvisionnement et les contrôles environnementaux. Selon le risque, l'approbation peut nécessiter un audit fournisseur sur site, un plan d'action corrective et une surveillance continue plus étroite.
Nommer le responsable du programme, cartographier les tiers actifs et identifier les relations critiques. Examiner les systèmes d'intégration actuels et déterminer où les informations fournisseurs sont incomplètes ou en double.
Créer une méthodologie de risque initiale et identifier les parties urgentes à haut risque nécessitant un examen immédiat.
Développer des questionnaires, des procédures de filtrage, des niveaux d'approbation et des normes de due diligence renforcée.
Aligner les responsabilités des achats, de la finance, du juridique, de la confidentialité et de la conformité. Mettre à jour les contrats et introduire des contrôles empêchant les fournisseurs non approuvés de recevoir des paiements.
Former les employés et examiner un échantillon des fournisseurs, distributeurs et prestataires de services existants.
Tester si l'organisation peut détecter une alerte de sanctions, un changement d'actionnariat, un paiement suspect ou un incident fournisseur grave.
Rapporter les faiblesses à la direction, attribuer des actions correctives et établir le calendrier de réévaluation continue.
Une entreprise devrait pouvoir répondre oui aux questions suivantes :
La direction a-t-elle approuvé le programme et nommé un responsable ?
Existe-t-il un inventaire complet des fournisseurs, prestataires, agents et autres tiers ?
L'organisation applique-t-elle une méthode documentée de hiérarchisation des risques ?
Les informations d'identité, d'actionnariat et d'objet commercial sont-elles recueillies avant l'approbation ?
L'existence juridique et les bénéficiaires effectifs sont-ils vérifiés ?
Les contrôles de sanctions, PPE, mesures d'application et presse défavorable sont-ils effectués lorsque pertinent ?
Les risques de corruption, les conflits d'intérêts et les interactions avec les pouvoirs publics sont-ils évalués ?
La stabilité financière et les modalités de paiement sont-elles examinées ?
Les contrôles de confidentialité des données et de cybersécurité sont-ils évalués pour les prestataires technologiques ?
Les risques liés aux droits humains, à la sécurité et à l'environnement sont-ils pris en compte dans les chaînes d'approvisionnement concernées ?
La due diligence renforcée est-elle appliquée aux relations à risque plus élevé ?
Les décisions sont-elles documentées et approuvées au bon niveau ?
Les contrats contiennent-ils des contrôles proportionnés aux risques identifiés ?
La création de fournisseurs et les changements de coordonnées bancaires sont-ils vérifiés de manière indépendante ?
Les tiers à haut risque sont-ils surveillés et recontrôlés ?
Les audits fournisseurs sont-ils suivis d'actions correctives documentées ?
Les dossiers sont-ils conservés et protégés de manière appropriée ?
Les employés sont-ils formés selon leurs rôles ?
Le programme est-il testé par des revues de conformité ou des audits internes ?
L'organisation peut-elle suspendre ou résilier une relation lorsque le risque ne peut être résolu ?
Un processus générique peut submerger les fournisseurs à faible risque tout en ne posant pas les questions spécialisées nécessaires pour les agents ou prestataires technologiques à haut risque.
Le filtrage des sanctions et de la presse défavorable ne peut pas établir si la rémunération est raisonnable, si les données sont sécurisées ou si les conditions de travail sont sûres.
Une fois qu'un contrat a été signé ou que les services ont commencé, l'entreprise peut trouver difficile de rejeter la relation ou d'imposer les conditions nécessaires.
Un questionnaire rempli par le tiers est utile, mais des faits importants tels que l'identité juridique, l'actionnariat et les licences devraient être vérifiés de manière indépendante.
Un programme axé uniquement sur les nouvelles intégrations peut laisser des relations à haut risque de longue date sans évaluation.
Un dossier de due diligence volumineux a peu de valeur lorsque personne n'évalue les informations, ne résout les incohérences ou ne documente la logique d'approbation.
L'approbation conditionnelle devrait conduire à des actions correctives spécifiques. Sans responsables ni délais, les exceptions temporaires peuvent devenir des faiblesses permanentes.
La due diligence des tiers est un processus métier complet couvrant la classification des risques, la collecte d'informations, le filtrage, la vérification, l'approbation, la contractualisation et la surveillance.
Les entreprises françaises devraient relier le programme au cadre Sapin II, au devoir de vigilance, aux exigences de LCB-FT, au RGPD et aux règles sectorielles pertinentes.
La due diligence doit être proportionnée. Les parties à risque plus élevé nécessitent une investigation plus approfondie, une approbation plus stricte et une surveillance plus étroite que les fournisseurs de routine à faible risque.
La conformité fournisseurs dépend de la coopération entre les achats, la conformité, le juridique, la finance, la confidentialité, la cybersécurité et les équipes opérationnelles.
Les audits fournisseurs peuvent fournir des preuves importantes, mais ils devraient être ciblés, documentés et suivis d'actions correctives.
Le programme devrait se poursuivre tout au long de la relation car l'actionnariat, la conduite, les services et les conditions réglementaires peuvent changer.
Les relations avec des tiers sont essentielles à l'activité moderne, mais elles peuvent également transférer un risque juridique, éthique et opérationnel dans l'organisation.
Un programme complet de due diligence des tiers permet à une entreprise française de comprendre avec qui elle traite, d'identifier les principaux risques et de prendre une décision défendable avant d'engager de l'argent, des informations ou sa réputation.
Le processus devrait commencer par une méthodologie de risque claire et un inventaire fiable des tiers. Il devrait se poursuivre par la vérification de l'identité, les contrôles de bénéficiaires effectifs, le filtrage d'intégrité, l'évaluation des fournisseurs et les examens spécialisés.
L'approbation devrait être documentée, les contrats devraient refléter les risques identifiés et les paiements devraient être contrôlés. Les relations à haut risque devraient rester soumises à la surveillance, au recontrôle et aux audits fournisseurs.
Les programmes les plus solides ne cherchent pas à éliminer tous les risques possibles. Ils appliquent des contrôles proportionnés, enquêtent sur les signaux d'alerte et réagissent lorsqu'un tiers ne respecte pas les normes de l'organisation.
Découvrez la protection des données dès la conception en France : explorez l’article 25, les AIPD, la minimisation, les paramètres par défaut, l’IA et les...
Élaborez un plan de réponse aux incidents en France pour respecter les obligations de signalement RGPD, CNIL et NIS 2, gérer les cyberincidents et assurer...
Les transferts de données au titre du RGPD en France nécessitent un mécanisme juridique approprié, une évaluation des risques et des garanties adaptées. Découvrez comment...