Risque tiers : ce que votre prestataire externalisé doit pouvoir démontrer en sécurité

Quand vous confiez à un tiers un accès à vos outils, vos fichiers ou vos clients, vous ne déléguez pas la responsabilité : vous ajoutez un maillon à votre chaîne de risque. Les cadres européens récents — NIS2 pour les entités essentielles et importantes, DORA pour le secteur financier — imposent à leurs assujettis de superviser leurs prestataires, et ces exigences redescendent par contrat vers les fournisseurs, y compris les plus petits (Bitsight, NXL Forge).

Avant de signer : la due diligence

Les guides de gestion du risque tiers convergent sur une séquence : évaluer le risque, qualifier le prestataire, contractualiser, surveiller dans la durée, et prévoir la sortie. Pour une PME qui choisit un prestataire d’externalisation, cela se traduit par des vérifications simples :

• Identité et solidité : existence légale vérifiable, numéro d’immatriculation, adresse, références.
• Politique de sécurité écrite : qui en est responsable, quand elle a été revue.
• Accès à vos données : par quels moyens (VPN, authentification multifacteur, postes sécurisés), avec quels droits, jusqu’à quand.
• Confidentialité : engagements écrits des personnes qui interviennent, formation, procédures en cas de départ.
• Continuité : que se passe-t-il si la personne dédiée est indisponible ? Un délai de remplacement est-il garanti ?
• Sous-traitants du prestataire : qui sont-ils, où opèrent-ils ?

Les clauses qui comptent

Les contrats gagnent à préciser : les obligations de sécurité, la notification d’incident dans un délai défini, le droit d’audit (au moins sur pièces), la localisation des données, le traitement à la fin du contrat (restitution, effacement, preuve) et la répartition des responsabilités. L’absence de ces clauses est souvent le premier signal d’un prestataire immature.

Pendant le contrat : surveiller

Une vérification à la signature ne suffit pas. Prévoyez une revue périodique — annuelle, ou après tout changement notable : nouvel outil, nouveau sous-traitant, incident. Contrôlez la liste des accès actifs et retirez ceux qui ne servent plus. Un compte oublié après le départ d’un intervenant est une porte ouverte.

Les signaux d’alerte

• Un prestataire incapable de dire où sont vos données.
• Des accès partagés entre plusieurs personnes avec un identifiant unique.
• L’absence de procédure d’incident, ou une réponse du type « ça ne nous est jamais arrivé ».
• Un refus de toute vérification, même sur pièces.

Notre approche

Chez Workynet, les garanties de base sont celles décrites sur notre page Conformité : formation à la confidentialité, environnement sécurisé (VPN, CRM/ERP), remplacement d’un collaborateur sous 72 heures et audits réguliers. Nous vous invitons à les vérifier plutôt qu’à nous croire sur parole — c’est exactement la démarche que cet article recommande.

Sources

• Bitsight — Guide to global third-party risk regulations in 2026
• NXL Forge — NIS2 et PME : l’effet cascade de la sous-traitance
• UpGuard — Third-party risk management guide