Notation de risque fournisseur

Définition

La notation de risque fournisseur, ou vendor risk scoring, désigne la méthode par laquelle une organisation attribue à chacun de ses fournisseurs et prestataires un score synthétique reflétant son niveau de risque global, généralement calculé en combinant plusieurs critères tels que la criticité du service fourni, la sensibilité des données auxquelles le fournisseur accède, sa maturité de sécurité évaluée via un questionnaire ou des certifications détenues, ainsi que, de plus en plus fréquemment, des indicateurs externes issus de plateformes de notation continue de cybersécurité analysant la posture technique observable d'un fournisseur depuis l'extérieur de son réseau. Cette notation permet de segmenter le portefeuille de fournisseurs d'une organisation en plusieurs niveaux de criticité, orientant en conséquence l'intensité de la due diligence initiale, la fréquence des réévaluations périodiques et le niveau de garanties contractuelles exigées, une approche uniforme appliquée indistinctement à l'ensemble des fournisseurs constituant un usage inefficace des ressources limitées généralement disponibles pour la gestion des risques liés aux tiers. Certaines organisations recourent à des services tiers spécialisés produisant une notation continue et automatisée de la posture de sécurité externe de leurs fournisseurs, comparable dans son principe à une notation de crédit financier, permettant une surveillance continue entre deux réévaluations contractuelles formelles, bien que ces notations externes ne remplacent pas entièrement une évaluation contractuelle et documentaire approfondie pour les relations les plus critiques.