Évaluation continue des tiers

Définition

L'évaluation continue des tiers désigne l'évolution des pratiques de gestion des risques liés aux fournisseurs, passant d'une évaluation ponctuelle réalisée uniquement au moment de la contractualisation initiale vers une surveillance récurrente et régulière de la posture de sécurité et de la conformité des prestataires tout au long de la relation contractuelle, reconnaissant que le niveau de risque associé à un fournisseur évolue dans le temps sous l'effet de changements organisationnels, techniques ou réglementaires que la seule due diligence initiale ne peut anticiper. Cette évaluation continue s'appuie sur des mécanismes variés, comme la réévaluation périodique via un questionnaire de sécurité actualisé selon une fréquence adaptée à la criticité du fournisseur, la surveillance de sources externes signalant des incidents de sécurité affectant le fournisseur, ou le recours à des plateformes de notation continue analysant en permanence la posture de sécurité technique observable du fournisseur depuis l'extérieur de son réseau. Cette approche répond à un constat récurrent dans les incidents majeurs impliquant des tiers, où une dégradation progressive de la posture de sécurité d'un fournisseur pourtant initialement bien évalué n'était détectée par son client qu'au moment de la matérialisation d'un incident, faute d'un mécanisme de surveillance continue permettant d'identifier cette dérive suffisamment tôt pour engager une action corrective préventive avant la survenance effective d'un sinistre.