Risque tiers : votre fonction critique dépend-elle d’un fournisseur que la DSI ne voit pas ?

Cartographier ses fournisseurs cloud, ses opérateurs télécoms, ses éditeurs SaaS et ses prestataires informatiques est devenu une pratique courante dans les organisations les plus matures.

Mais une fonction critique ne dépend pas uniquement de l’informatique.

Un processus de crédit peut dépendre d’un fournisseur de données. Une activité de paiement peut nécessiter un prestataire physique. Un processus réglementaire peut reposer sur une société spécialisée. Une opération métier peut s’interrompre alors même que toutes les applications et infrastructures continuent de fonctionner.

Le 18 septembre 2026, l’Autorité bancaire européenne (EBA) a publié ses lignes directrices finales relatives à la gestion des risques liés aux tiers fournissant des services non-TIC. Elles sont finales mais pas encore applicables : l’EBA indique qu’elles sont en attente de traduction dans les langues officielles de l’Union et prévoit une période transitoire de deux ans.12

Le texte complète le cadre introduit par DORA avec une approche plus globale du risque tiers. Pour les organisations concernées, il invite surtout à changer la question : au lieu de demander « Quels sont nos fournisseurs critiques ? », il devient utile de demander « De quels tiers cette fonction critique dépend-elle réellement ? »

DORA a fortement structuré la vision du risque tiers TIC

DORA a imposé aux acteurs financiers un cadre particulièrement structuré de gestion du risque lié aux prestataires TIC. Le règlement pose également un principe essentiel : lorsqu’une entité financière utilise un prestataire TIC, elle demeure pleinement responsable du respect de ses obligations.3

Cette évolution a poussé les organisations à mieux inventorier leurs prestataires et à relier progressivement contrats, services TIC et fonctions critiques ou importantes. Mais cette représentation peut créer un angle mort : une fonction métier ne dépend pas nécessairement uniquement de ressources TIC.

L’EBA élargit le raisonnement aux tiers non-TIC

Les nouvelles lignes directrices de l’EBA portent sur les services fournis par des tiers qui ne relèvent pas du périmètre TIC de DORA. Elles ciblent en particulier les arrangements supportant des fonctions critiques ou importantes et couvrent l’ensemble du cycle de vie de la relation : évaluation du risque, due diligence, contractualisation, sous-traitance, suivi, documentation et stratégie de sortie.2

L’EBA promeut ainsi une approche plus globale du third-party risk management, couvrant les services TIC et non-TIC. Cette évolution a une conséquence très concrète pour la cartographie des dépendances.

Partir du fournisseur masque une partie du problème

Imaginons une banque qui souhaite analyser son processus d’octroi de crédit. Une approche centrée sur les fournisseurs peut produire plusieurs inventaires : fournisseurs cloud, éditeurs logiciels, opérateurs réseau, prestataires de maintenance, sous-traitants métier, fournisseurs de données et prestataires documentaires.

Chaque direction connaît une partie de cette liste. La DSI maîtrise les fournisseurs technologiques. Les achats disposent des contrats. Les métiers connaissent leurs prestataires spécialisés. Le juridique suit certaines relations contractuelles.

Le problème apparaît lorsqu’il faut répondre à une question simple : quels tiers sont nécessaires pour que le processus d’octroi de crédit fonctionne demain matin ?

Inverser la cartographie : commencer par la fonction

Une autre approche consiste à partir de ce que l’organisation doit absolument continuer à réaliser :

fonction critique → processus → activité → service nécessaire → tiers → sous-traitant → dépendance → alternative

Un processus d’octroi de crédit peut dépendre d’une application métier, d’un fournisseur cloud, d’un fournisseur d’identité, d’une source externe de données, d’un prestataire d’évaluation, d’un service de génération documentaire ou d’un prestataire de signature.

Certains sont TIC. D’autres ne le sont pas nécessairement. Mais du point de vue de la continuité de la fonction, la première question reste : que se passe-t-il si ce service disparaît ?

Le test du retrait

Pour chaque tiers relié à une fonction, on peut le retirer mentalement du système puis poser quatre questions : la fonction peut-elle encore fonctionner ? Pendant combien de temps ? Existe-t-il une solution alternative réellement utilisable ? Combien de temps faudrait-il pour basculer ?

Ce test distingue la criticité commerciale d’un fournisseur de la dépendance opérationnelle réelle. Un fournisseur représentant un faible montant d’achat peut soutenir une activité essentielle. À l’inverse, un contrat important peut concerner un service facilement substituable.

Une dépendance peut être indirecte

L’organisation peut connaître son fournisseur direct sans connaître précisément les acteurs dont celui-ci dépend. La chaîne réelle peut être :

fonction → service → fournisseur → sous-traitant → infrastructure ou service indispensable

L’EBA intègre explicitement la sous-traitance dans le cycle de gestion du risque tiers.2 L’objectif n’est pas de représenter chaque entreprise intervenant marginalement, mais d’identifier les dépendances dont la défaillance pourrait remettre en cause la continuité d’une fonction critique ou importante.

Le risque de concentration n’est pas seulement un nombre de contrats

Deux applications peuvent utiliser deux fournisseurs différents tout en dépendant indirectement du même acteur. La concentration devient plus intéressante lorsqu’elle est observée depuis les fonctions : combien de fonctions critiques dépendent du même tiers ? Puis : combien disposent réellement d’une alternative ?

Cette représentation fait apparaître des points de concentration que l’inventaire contractuel peut masquer.

Une stratégie de sortie doit être reliée à la dépendance réelle

Documenter une stratégie de sortie n’est pas équivalent à pouvoir sortir. Pour chaque dépendance significative, il faut pouvoir relier le service fourni, la fonction concernée, les données ou actifs nécessaires, les alternatives, les contraintes contractuelles, les dépendances techniques et le délai de remplacement.

Une alternative inscrite dans un document n’est utile que si elle peut être activée dans des conditions compatibles avec les besoins de la fonction.

Le risque tiers devient un problème d’architecture d’entreprise

Une organisation fonctionne grâce à un assemblage de personnes, processus, applications, infrastructures, données et services externes. Cartographier uniquement l’infrastructure produit une vision incomplète. Cartographier uniquement les fournisseurs aussi.

Le point de rencontre est la fonction métier. Une représentation utile peut relier :

fonction → processus → application → service → tiers → sous-traitant → alternative

La DSI y voit les dépendances techniques, les métiers les conséquences opérationnelles, les achats les relations fournisseurs, le juridique les contrats, le RSSI les expositions et le Risk Manager les concentrations.

Six questions pour tester sa cartographie du risque tiers

1. Pouvons-nous partir d’une fonction critique et retrouver tous les tiers nécessaires à son fonctionnement ?
2. Connaissons-nous les dépendances indirectes les plus importantes ?
3. Savons-nous quelles fonctions dépendent du même tiers ?
4. Une alternative existe-t-elle réellement pour chaque dépendance majeure ?
5. Connaissons-nous le temps nécessaire pour activer cette alternative ?
6. Une modification de fournisseur ou de sous-traitant met-elle à jour notre représentation des dépendances ?

Du registre des fournisseurs à la carte des dépendances

Les nouvelles lignes directrices de l’EBA ne rendent pas les inventaires fournisseurs inutiles. Mais un registre répond essentiellement à la question : « Avec qui travaillons-nous ? »

Une cartographie des dépendances répond à une autre question : « De qui dépend le fonctionnement de cette activité ? »

La différence paraît subtile. En situation de crise, elle devient essentielle.