Segmentation des fournisseurs par criticité

Définition

La segmentation des fournisseurs par criticité désigne la démarche méthodologique consistant à répartir l'ensemble du portefeuille de fournisseurs et prestataires d'une organisation en plusieurs catégories de risque, généralement de deux à quatre niveaux, en fonction de critères objectifs tels que la sensibilité des données auxquelles ils accèdent, l'impact potentiel de leur défaillance sur les activités critiques de l'organisation, et le niveau d'accès technique dont ils disposent à ses systèmes d'information, afin d'allouer de manière proportionnée l'effort de due diligence, de suivi continu et de garanties contractuelles exigées selon la catégorie retenue pour chaque fournisseur. Sans cette segmentation, une organisation risque soit de consacrer un effort disproportionné à des fournisseurs peu critiques au détriment de ceux réellement essentiels à son activité, soit à l'inverse d'appliquer un niveau d'exigence uniformément insuffisant qui ne protège pas correctement contre les risques associés aux relations les plus sensibles de son écosystème. Cette segmentation, désormais explicitement attendue par le règlement DORA qui distingue les fonctions critiques ou importantes des autres prestations TIC, et implicitement par la directive NIS2 dans son exigence de gestion des risques de la chaîne d'approvisionnement, doit être révisée périodiquement pour tenir compte de l'évolution du périmètre des services fournis par chaque tiers et de la criticité réelle de la relation au fil du temps.