Meilleures pratiques en TPRM

Avec l'évolution des risques et des réglementations, les organisations doivent créer des stratégies TPRM adaptables. Cette section met en lumière les dernières meilleures pratiques en gestion des risques des tiers, offrant des aperçus sur la manière dont les entreprises leaders naviguent dans les défis actuels et atténuent les risques.

• 86 % des organisations ont un ensemble de critères définis pour identifier leurs fournisseurs critiques. (Venminder)
• Les trois principaux défis auxquels les organisations font face concernant le TPRM sont l'obtention des bons documents de la part des fournisseurs (48 %); le manque de ressources internes (36 %); et la gestion du temps (27 %). (Venminder)
• 58 % des répondants ont mis à jour leurs évaluations des risques inhérents au cours de la dernière année, 25 % au cours des une à deux dernières années, 10 % des répondants ont examiné tous les trois ans ou plus longtemps, et 7 % n'ont pas du tout effectué d'évaluations des risques inhérents. (Venminder)
• Les domaines de risques les plus prioritaires en 2023 sont les risques de cybersécurité et de sécurité de l'information (62 %); le risque géopolitique (33 %); la résilience et la continuité des affaires (32 %); et la confidentialité des données (29 %). (Deloitte)
• 67 % des organisations déclarent avoir mis à jour leur politique de gestion des risques des tiers il y a moins d'un an. 23 % l'ont mise à jour il y a 1 à 2 ans; 2 % il y a trois ans; 3 % il y a plus de 3 ans, et 5 % n'ont pas de politique TPRM. (Venminder)
• Seulement 48 % des organisations ont des stratégies d'exit ou des plans de contingence pour les tiers à haut risque, laissant plus de la moitié d'entre elles non préparées. (EY)
• 45 % des répondants à l'enquête augmentent la diversité de leurs fournisseurs pour atteindre les objectifs ESG. (EY)
• Le nombre d'entreprises évaluant tous les tiers pour les risques environnementaux devrait atteindre 30 % dans trois ans. (KPMG)
• 23 % des répondants à l'enquête ont déclaré que si un fournisseur clé ne répondait pas à leurs exigences ESG, ils cesseraient de travailler avec ce fournisseur. (EY)

• 23 % des entreprises déclarent que la réduction des risques de menaces et de vulnérabilités cybernétiques est absente de leur programme de surveillance des risques.  (Supply Wisdom)
• 89 % des programmes TPRM évaluent les risques non cybernétiques ou commenceront bientôt à le faire. La confidentialité a été citée comme le facteur de risque non cyber le plus courant pris en compte dans le cadre des programmes TPRM (85 % des répondants). Les autres facteurs comprennent le risque opérationnel (65 %), les notations financières (64 %), les sanctions réglementaires (61 %), la gouvernance environnementale et sociale (47 %) et le risque géopolitique (39 %). (RiskRecon)

Tendances de l'évaluation des risques tiers

Connaître vos risques tiers est une chose; les évaluer correctement en est une autre. À quelle fréquence les entreprises évaluent-elles leurs partenaires ? Quels facteurs priorisent-elles et quels défis rencontrent-elles ? Cette section couvre les statistiques les plus récentes sur les évaluations des risques tiers, vous offrant un aperçu des méthodes et de la fréquence auxquelles les entreprises restent à l'avance des menaces potentielles.

• Près de 50 % des entreprises interrogées ne classent pas du tout leurs fournisseurs et prestataires tiers par niveau de risque. (Supply Wisdom)
• Seulement 36 % des répondants déclarent qu'avant de commencer une relation d'affaires nécessitant le partage d'informations sensibles ou confidentielles, leur entreprise évalue les pratiques de sécurité et de confidentialité de tous les fournisseurs. (RiskRecon et Ponemon Institute)
• Les répondants ont déclaré évaluer ou surveiller seulement 33 % de leurs fournisseurs. (Prevalent)

• Environ la moitié (47 %) des répondants affirment ne pas effectuer d'évaluations en raison de l'exigence des tiers de se conformer aux réglementations de protection des données (RiskRecon et Ponemon Institute)
• Seules 29 % des entreprises corrigent les risques identifiés lors de la phase de sourcing et de sélection des fournisseurs. (Prevalent)
• 49 % des organisations déclarent que leur méthode actuelle pour évaluer les risques tiers n'est pas capable d'évaluer les risques à chaque étape du cycle de vie du fournisseur. 51 % déclarent que leur méthode actuelle n'est pas capable de fournir l'automatisation et les rapports nécessaires pour démontrer efficacement la conformité. (Prevalent)

• 66 % des répondants disposent de processus formels pour évaluer les risques résiduels. Cependant, les 34 % restants n'ont soit pas de processus établi, soit ne sont pas certains des risques résiduels dans le contexte de la gestion des risques tiers. (Venminder)
• 51 % des organisations maintiennent un plan de résilience intégré pour les tiers critiques, 47 % effectuent des tests de résilience intégrés et 45 % effectuent une analyse de scénario. (EY)
• Seuls 44 % des répondants déclarent que leurs organisations effectuent des audits et des évaluations des pratiques de gestion des données de tiers (RiskRecon et Ponemon Institute)

Utilisation du questionnaire de sécurité des fournisseurs

Les questionnaires de sécurité des fournisseurs restent un outil fondamental pour évaluer les risques tiers, mais comment les organisations les utilisent-elles en 2024 ? Dans cette section, nous décomposons les tendances actuelles de l'utilisation des questionnaires.

• Les questionnaires de sécurité sont la méthode la plus populaire pour évaluer les risques tiers, 84 % des répondants les utilisant. (RiskRecon)
• Jusqu'à 75 % des fournisseurs ne répondent pas aux questionnaires de sécurité ou ne le font pas en temps voulu. (Viso Trust)
• 35 % des programmes de gestion des risques tiers (TPRM) incluent au moins 100 questions dans leurs questionnaires de fournisseurs (contre 19 % en 2020).  (RiskRecon)
• 57% des programmes TPRM utilisent des questionnaires de sécurité personnalisés, contre seulement 18% qui utilisent une norme de l'industrie telle qu'un questionnaire SIG. 42% utilisent une norme de l'industrie modifiée. (RiskRecon)
• Seulement 4% des répondants déclarent être très confiants que les fournisseurs respectent réellement les exigences de sécurité sur la base de leurs réponses au questionnaire. (RiskRecon)
• Le pourcentage d'organisations utilisant des services de notation en cybersécurité est passé de 42% en 2020 à 61% en 2023. (RiskRecon)

• 37% des organisations ne surveillent actuellement pas l'utilisation de l'IA chez leurs fournisseurs tiers. 15% surveillent l'utilisation grâce à des questionnaires de sécurité. (Venminder)
• 52% des entreprises déclarent qu'il faut 31 à 60 jours pour effectuer des évaluations de contrôle de parties tierces. 38% déclarent qu'il faut 61 à 90 jours, tandis que seulement 8% peuvent effectuer des évaluations de contrôle en 7 à 30 jours. (EY)
• 77% des organisations envoient entre 101 et 350 questions sur les évaluations de contrôle de tiers. (EY)

Surveillance continue des risques des tiers

Surveiller vos fournisseurs n'est pas une tâche ponctuelle ; cela nécessite une surveillance constante. Dans cette section, nous examinons l'importance de la surveillance continue des risques des tiers et les façons dont les entreprises surveillent les risques des fournisseurs au fil du temps pour garantir que les partenaires restent sécurisés et conformes.

• Seulement 32% des répondants déclarent que leur organisation maintient un inventaire complet des parties tierces avec lesquelles elle partage des informations sensibles. 61% des répondants disent que leur organisation n'a pas un tel inventaire, et 6% ne sont pas sûrs. (RiskRecon et Ponemon Institute)
• Près de 90% des entreprises suivent les risques depuis les phases de sourcing et de sélection, mais moins de 80% suivent les accords de niveau de service (SLA) et les risques de départ plus tard dans le cycle de vie de la relation. (Prevalent)
• 50% des personnes interrogées indiquent que leurs entreprises ne surveillent pas les pratiques de sécurité et de confidentialité des fournisseurs avec lesquels elles partagent des informations sensibles ou confidentielles, ou qu'elles ne sont pas sûres. La principale raison de ne pas surveiller est la confiance dans la capacité du tiers à sécuriser les informations (49%). (RiskRecon et Ponemon Institute)
• Parmi les 50% de répondants qui disent que leurs entreprises surveillent les pratiques de sécurité et de confidentialité des tiers pour s'assurer de l'adéquation de ces pratiques, 53% le font via des tests aléatoires ou des contrôles ponctuels. (RiskRecon et Ponemon Institute.
• 28% des organisations examinent et réévaluent le risque des fournisseurs sur une base annuelle. (Venminder)

Tendances des risques en N-ième partie et en aval

Il ne s'agit pas seulement de ceux avec qui vous travaillez directement : vos tiers ont leur propre réseau de fournisseurs et de partenaires. Ces risques "N-ième partie" ou en aval peuvent créer des effets d'entraînement pour votre entreprise. Ici, nous allons examiner les statistiques entourant les risques des N-ième parties, en soulignant jusqu'où s'étend la chaîne de risque et pourquoi cela devient une préoccupation croissante en 2024.

• 59% des organisations examinent et évaluent actuellement les pratiques de gestion des risques de leurs fournisseurs pour gérer les risques de quatrième partie. (Venminder)
• Seulement 10% des organisations effectuent des évaluations directes des risques des quatrièmes parties. 27% ne les évaluent ou ne les surveillent pas du tout. (Venminder)
• Seulement 39% des répondants au sondage déclarent que les mesures de protection des données, les politiques et les procédures de sécurité de leurs tiers sont suffisantes pour répondre efficacement à une violation de données, et seulement 40% disent qu'elles sont suffisantes pour prévenir une violation de données. (RiskRecon et Ponemon Institute)
• Seulement 36% des répondants déclarent que leurs organisations sont informées lorsque des tiers partagent leurs informations avec des N-ième parties avec lesquelles elles n'ont pas de relations directes. (RiskRecon et Ponemon Institute)
• Seulement 29% des répondants déclarent que leurs organisations ont une visibilité sur les N-ième parties qui ont accès aux informations sensibles et confidentielles. Parmi ces 29%, 56% disent que cette visibilité est due à la dépendance à des accords contractuels et 53% des répondants disent qu'ils font confiance au tiers pour notifier leurs organisations lorsque leurs données sont partagées avec leurs N-ième parties. (RiskRecon et Ponemon Institute)
• Plus de la moitié des répondants disent qu'ils comptent sur le tiers pour notifier leur organisation lorsque les données sont partagées avec des N-ième parties. (RiskRecon et Ponemon Institute)
• Parmi les organisations qui ont subi une violation de données par un tiers, 38% disent que la violation a été causée par une N-ième partie, indiquant les défauts des contrôles de sécurité des tiers en place pour les N-ième parties. (RiskRecon et Ponemon Institute)
• Les entreprises nord-américaines utilisent moins de fournisseurs tiers et de N-ième parties que les entreprises européennes. 47% des entreprises européennes déclarent avoir des fournisseurs dans jusqu'à 49 pays, contre 22% des entreprises nord-américaines qui ont déclaré la même chose. (Supply Wisdom)

Outils de gestion des relations tiers (TPRM) et adoption de la technologie

Gérer le risque des tiers est une tâche complexe, mais les bons outils et technologies peuvent la rendre sensiblement plus facile. Cette section décompose les chiffres sur la façon dont les organisations utilisent l'automatisation, l'intelligence artificielle et d'autres solutions pour améliorer leurs processus TPRM et rester en phase avec un paysage de risque en évolution.

• Bien que la plupart des organisations déclarent avoir des programmes de TPRM en place, 60% des répondants n'utilisent pas de plateforme TPRM dédiée. (Prevalent)

• 45% des leaders TPRM ont déclaré que l'investissement continu dans la technologie, l'automatisation et les données pour le TPRM est important. (Deloitte)
• Bien que seulement 5% des entreprises utilisent actuellement l'IA pour leurs programmes TPRM, 61% des organisations disent qu'elles enquêtent activement sur ses utilisations pour le TPRM. (Prevalent)
• 54 % des organisations déclarent que leur principal objectif dans l'investigation de l'IA pour le TPRM est d'accélérer la complétion des questionnaires en complétant automatiquement les réponses à l'aide de questionnaires existants et des preuves disponibles. (Prévalent)
• 77 % des répondants s'appuient désormais sur un logiciel avec des fonctionnalités de gestion de fournisseurs pour rationaliser la gestion des risques liés aux fournisseurs. (Venminder)

• 39 % des organisations prévoient d'intégrer l'automatisation dans leur fonction ESG pour mieux gérer les risques au cours des deux prochaines années. (EY)
• Plus de 50 % des répondants n'utilisant actuellement pas l'IA dans la surveillance des risques, plus de la moitié reconnaissent le besoin de surveiller les risques liés à l'IA, indiquant une prise de conscience croissante de l'impact de la technologie sur la gestion des risques. (Supply Wisdom)
• Seuls 14 % des professionnels des achats et 13 % des professionnels de la gestion des fournisseurs déclarent utiliser des outils de surveillance continue pour évaluer les fournisseurs. (Supply Wisdom)