Due diligence fournisseur

Définition

La due diligence fournisseur désigne le processus d'évaluation approfondie qu'une organisation conduit avant de contractualiser avec un prestataire ou un fournisseur, en particulier lorsque celui-ci accédera à des systèmes d'information sensibles ou à des données personnelles, visant à apprécier sa fiabilité financière, sa maturité en matière de sécurité de l'information et sa conformité aux obligations réglementaires applicables à la relation envisagée. Cette évaluation s'appuie généralement sur un questionnaire de sécurité fournisseur structuré, sur l'examen des certifications détenues par le prestataire, comme l'ISO 27001 ou un rapport SOC 2 de type II, sur la vérification de sa situation financière et juridique, ainsi que, pour les relations les plus critiques, sur des audits complémentaires ou des tests techniques indépendants. L'intensité de cette due diligence doit être proportionnée à la criticité du service confié et à la sensibilité des données concernées, une due diligence uniforme appliquée indistinctement à l'ensemble des fournisseurs d'une organisation, qu'ils soient critiques ou marginaux, conduisant généralement à un usage inefficace des ressources disponibles pour cet exercice. Cette démarche est désormais explicitement exigée par plusieurs cadres réglementaires, notamment le règlement DORA pour les prestataires TIC du secteur financier et la directive NIS2 qui inclut la sécurité de la chaîne d'approvisionnement parmi ses domaines obligatoires de gestion des risques pour les entités essentielles et importantes.