Sortie de contrat fournisseur (offboarding)

Définition

La sortie de contrat fournisseur, ou offboarding, désigne l'ensemble des actions qu'une organisation doit engager à l'issue d'une relation contractuelle avec un prestataire, afin de garantir que la fin de cette relation ne laisse subsister aucun risque résiduel de sécurité ou de conformité, étape trop souvent traitée avec moins de rigueur que la phase d'entrée en relation alors qu'elle présente des enjeux de sécurité tout aussi significatifs. Cette sortie doit couvrir la révocation systématique et vérifiée de l'ensemble des accès techniques accordés au fournisseur, comptes, jetons d'authentification, accès réseau distants ou physiques aux locaux de l'organisation, la récupération des données confiées au fournisseur dans un format exploitable, conformément aux exigences de portabilité applicables, et l'obtention d'une preuve fiable de la suppression effective de toute copie résiduelle conservée par le fournisseur, en cohérence avec le principe de limitation de la conservation du RGPD lorsque des données personnelles étaient concernées. Cette sortie doit idéalement suivre les modalités prévues par la stratégie de sortie établie en amont pour les fournisseurs jugés critiques, une sortie non planifiée et menée dans l'urgence, par exemple à la suite d'une résiliation pour manquement grave, présentant un risque opérationnel et de sécurité nettement plus élevé qu'une sortie anticipée et méthodiquement organisée selon un calendrier maîtrisé par l'organisation cliente.