🤝 Gestion des risques tiers (TPRM)

« Vos fournisseurs. Leur risque. Une seule plateforme. »
Évaluez un fournisseur, n'envoyez que les questionnaires pertinents, examinez les réponses, et clôturez une évaluation que vous pourrez expliquer plus tard.

La gestion des risques tiers (gestion des fournisseurs) fait entrer les fournisseurs dans le même espace de travail Brainframe où vous gérez déjà les risques, contrôles et documents. Les évaluations ne vivent plus dans des tableurs et des boîtes mail. Chaque fournisseur dispose d'une fiche, chaque évaluation a un cycle clair, et chaque réponse conserve un historique de qui a dit quoi.

1️⃣ Pourquoi cela existe

La plupart des organisations gèrent déjà les risques, contrôles et référentiels dans une plateforme GRC. Les fournisseurs sont souvent la partie qui reste encore en dehors.

Lacunes typiques :

• Questionnaires en circulation — fichiers Excel envoyés par e-mail, renvoyés dans des versions différentes, sans notation fiable.
• Preuves dans des boîtes mail — certificats, rapports et contrats stockés là où ils sont faciles à perdre et difficiles à contester.
• Révisions sans preuve — aucun enregistrement clair de qui a révisé une réponse, ce qu'il a remis en question, ou quelle décision de risque a été approuvée.
• Registres reconstruits à la main — la liste des fournisseurs réassemblée à chaque cycle à partir de sources qui ne concordent pas.

Brainframe comble cet écart au sein de la plateforme que vous utilisez déjà. Le même identifiant de connexion, les mêmes permissions, et le même modèle de risque et de contrôle. La gestion des fournisseurs est une extension de votre travail GRC, pas un second outil à réconcilier.

Une fiche fournisseur peut porter les évaluations, les risques et contrôles que vous acceptez, les preuves, et la décision de réviser à nouveau plus tard. Vous n'avez pas à ressaisir le résultat dans un autre registre.

2️⃣ Une seule évaluation, du premier regard au résultat validé

Une évaluation de fournisseur est un cycle reproductible. Vous n'envoyez pas chaque formulaire à chaque fournisseur, et vous ne perdez pas les réponses de l'année précédente lorsque vous recommencez.

📌 Clôturer une évaluation fige cette version. Une réévaluation ultérieure est une nouvelle évaluation. Elle n'écrase pas le passé.

3️⃣ Formulaires : concevez le modèle une seule fois

Un modèle de formulaire est le plan directeur. Vous le concevez une seule fois. Vous ne reconstruisez pas les questions pour chaque fournisseur.

Le modèle définit :

• Catégories et questions — afin que chacun remplisse le formulaire dans un ordre clair.
• Types de réponse — texte libre, choix, téléversements, et les autres formats de réponse dont vous avez besoin.
• Scores — une valeur sur une réponse lorsque vous voulez qu'elle compte pour la maturité.
• Questionnaires de suivi — une réponse peut débloquer un formulaire plus approfondi, comme une diligence raisonnable supplémentaire.
• Ce qui se passe ensuite — par exemple remplir des champs sur un document, ajouter du travail à un tableau, lire une réponse comme un signal de risque, ou notifier les personnes qui doivent la réviser.

Deux façons d'utiliser le même type de formulaire

💡 Un formulaire de demande sert à collecter des informations encore et encore. Un questionnaire fournisseur sert à évaluer, réviser, verrouiller, et conserver l'historique de ce fournisseur.

4️⃣ Comment les formulaires sont configurés pour les fournisseurs

Les questionnaires fournisseurs utilisent cette même famille de modèles, avec un rôle dans l'évaluation.

Dans les paramètres fournisseurs, chaque type de fournisseur pointe vers les formulaires que ce type doit utiliser :

• Pré-évaluation — le questionnaire d'ouverture. Chaque évaluation commence ici.
• Diligence raisonnable — les questionnaires plus approfondis qui peuvent s'appliquer après la pré-évaluation.

Vous choisissez quels modèles de formulaires publiés jouent ces rôles. Un fournisseur logistique et un fournisseur TIC n'ont pas à partager les mêmes questions.

Sur le modèle lui-même, vous décidez du degré de rigueur du formulaire : quelles réponses sont notées, quelle réponse ouvre un suivi, qui est informé lorsque le questionnaire est prêt pour révision, et quelles réponses doivent être traitées comme des signaux de risque avant qu'une personne ne les examine.

5️⃣ Pourquoi commencer par une pré-évaluation

La pré-évaluation est un filtrage, pas l'audit complet.

Elle est souvent réalisée en interne, par la personne qui connaît l'engagement : ce que le fournisseur fera, quelles données il verra, et à quel point le service est critique. Vous pouvez également l'envoyer à l'extérieur lorsque le fournisseur doit répondre lui-même aux premières questions.

Les réponses déterminent la profondeur du reste de l'évaluation. Un engagement à faible risque peut s'arrêter après la pré-évaluation. Un fournisseur qui traite des données sensibles, exploite une infrastructure TIC critique, ou se situe dans une chaîne réglementée, devrait poursuivre vers la diligence raisonnable.

C'est le but du premier formulaire :

• Vous en apprenez suffisamment pour juger si des questions supplémentaires sont justifiées.
• Vous évitez d'envoyer un long dossier de sécurité à un fournisseur qui n'en a pas besoin.
• Vous conservez un enregistrement expliquant pourquoi les questionnaires ultérieurs ont été, ou non, utilisés.

6️⃣ Les questionnaires de suivi ne vont qu'aussi loin que les réponses l'exigent

Les formulaires de diligence raisonnable sont facultatifs, et plus spécifiques. Sécurité, confidentialité, résilience, ou tout autre sujet que vous avez conçu — chacun est un questionnaire distinct.

Un suivi devient pertinent de deux façons :

• Le type de fournisseur le répertorie déjà comme formulaire de diligence raisonnable pour ce type de fournisseur.
• Une réponse précédente le débloque. Un « oui » à une question de pré-évaluation peut être la raison pour laquelle un formulaire plus approfondi entre dans le périmètre. (marqué en jaune)

Vous envoyez ensuite chaque questionnaire à la personne qui peut réellement y répondre. Le juridique, la sécurité et le contact principal du fournisseur n'ont pas à partager une seule boîte mail. Si une réponse est faible, vous pouvez demander une mise à jour et renvoyer ce questionnaire.

📌 Vous n'envoyez pas chaque formulaire à chaque fournisseur. Vous envoyez ce que la pré-évaluation, et le type de fournisseur, justifient.

7️⃣ Les types de fournisseurs regroupent les bons formulaires

Un type de fournisseur est le profil d'une catégorie de tiers : TIC, un service professionnel, un sous-traitant, la logistique, ou toute autre répartition qui correspond à votre façon d'acheter.

Chaque type peut avoir :

• sa propre pré-évaluation
• son propre ensemble de formulaires de diligence raisonnable
• sa propre place dans vos paramètres fournisseurs, de sorte que l'intégration ne démarre pas à partir d'une liste vide

Lorsque quelqu'un démarre une évaluation et choisit le type, Brainframe présélectionne cette pré-évaluation et les questionnaires de diligence raisonnable qui peuvent s'appliquer. L'utilisateur choisit toujours quoi envoyer. Le type l'empêche simplement d'assembler le dossier à la main.

8️⃣ Préparez le type de risque avant de vous appuyer sur l'IA

Le travail fournisseur doit s'inscrire dans un type de document et un type de risque que vous avez configurés pour les tiers.

Définissez ceci dans les paramètres fournisseurs :

• Type de document fournisseur — où le fournisseur lui-même est stocké.
• Type de risque par défaut — la méthode de risque utilisée lorsque vous évaluez ce fournisseur.

Le type de risque est ce qui rend les étapes ultérieures cohérentes. Sa méthodologie détermine comment vous notez et lisez le risque. Son modèle de plan de traitement est la structure du plan que vous rédigerez lorsque l'évaluation sera clôturée.

Lorsque l'IA est activée, ces deux paramètres accomplissent une grande partie du travail répétitif :

• Suggérer des constats et une vue de maturité pendant que vous révisez les réponses.
• Proposer des risques adaptés à ce fournisseur et à ce type de risque, plutôt qu'une liste générique.
• Suggérer des contrôles associés à ces risques.
• Rédiger un plan de traitement à partir du modèle, en utilisant le fournisseur, les risques, les contrôles, et les questions que vous avez marquées.

L'IA prépare le travail. Vos réviseurs acceptent, modifient ou rejettent toujours chaque suggestion avant qu'elle ne compte. La responsabilité reste avec le propriétaire du risque.

9️⃣ Un parcours typique

Voici le chemin depuis le module fournisseurs. Les écrans suivent le cycle ci-dessus.

Démarrer l'évaluation et choisir le type de fournisseur

Ouvrez le fournisseur et démarrez l'intégration, ou démarrez une nouvelle évaluation lorsqu'il est temps de réévaluer.
Vous sélectionnez le type de fournisseur. Ce choix présélectionne la pré-évaluation et les questionnaires de diligence raisonnable qui peuvent s'appliquer. Vous pouvez voir le dossier avant que quoi que ce soit ne soit envoyé. Complétez la pré-évaluation en interne lorsque votre propre équipe connaît déjà les réponses.

Envoyer les questionnaires

Depuis le fournisseur, envoyez chaque questionnaire qui doit être diffusé. Différents formulaires peuvent aller à différentes personnes.
Le fournisseur reçoit un lien sécurisé et répond dans le portail. Il n'a pas besoin d'accès à votre espace de travail interne.

Le fournisseur peut inviter des collègues

La personne qui reçoit le lien peut déléguer le même questionnaire à des collègues qui connaissent une section spécifique. Plusieurs personnes peuvent travailler ensemble sur un même formulaire.

Auto-hébergé : le portail peut être dans le cloud, l'enregistrement reste chez vous

Sur un espace de travail Brainframe cloud, les fournisseurs répondent sur la même plateforme.

Sur une installation auto-hébergée, vous pouvez garder la plateforme interne privée et laisser tout de même les fournisseurs répondre sur un portail public dans le cloud :

• Vous publiez le questionnaire vers l'extérieur. Le fournisseur ne se connecte jamais à votre environnement interne.
• Vous récupérez les réponses quand vous le souhaitez, y compris les preuves qu'ils ont téléversées.
• Après cette récupération, les réponses résident dans votre propre Brainframe. Cette copie sur le portail est effacée.
• Vos risques, contrôles, documents et workflows restent le système de référence.

Un problème sur le portail public n'ouvre pas vos données GRC internes. L'échange est initié depuis votre côté.

Réviser un questionnaire complété

Lorsqu'un questionnaire est soumis, les réviseurs configurés sur le formulaire sont notifiés.

Ouvrez la révision et parcourez les réponses. Pour chaque réponse, vous pouvez :

• enregistrer un constat
• définir la maturité de la réponse
• la marquer Acceptée lorsqu'elle est suffisamment bonne
• la marquer Marquer comme risque lorsqu'elle doit alimenter l'évaluation des risques du fournisseur
• la marquer Nécessite une mise à jour lorsque le fournisseur doit répondre à nouveau, puis renvoyer le formulaire

L'IA peut pré-analyser le questionnaire : constats suggérés, lecture de la maturité, et réponses qui semblent incomplètes ou faibles. Vous confirmez ou corrigez ces suggestions. Rien n'est validé simplement parce que le modèle l'a proposé.

Rassembler chaque réponse « marquer comme risque » en une seule évaluation des risques

Vous ne traitez pas chaque questionnaire comme un exercice de risque séparé. Lorsque les questionnaires dont vous avez besoin ont été révisés, ouvrez Réviser les risques.

Chaque réponse que vous avez marquée Marquer comme risque, à travers tous les questionnaires de l'évaluation, entre ensemble dans le périmètre. À partir de là, vous construisez la vision du risque pour ce fournisseur :

• Lier un risque qui existe déjà sur le fournisseur ou dans votre registre.
• Ajouter un risque parmi ceux déjà définis pour ce type de risque.
• Laisser l'IA proposer de nouveaux risques dans le contexte de ce fournisseur, ces réponses, et votre méthodologie.

Vous liez ensuite les contrôles applicables. L'IA peut également les suggérer. Vous définissez le degré de mise en œuvre de chaque contrôle, et vous retirez tout ce qui n'a pas sa place.

Clôturer l'évaluation et planifier la prochaine révision

Lorsque la révision des risques est terminée, verrouillez l'évaluation.

Le verrouillage fait trois choses :

• Il inscrit les risques et contrôles validés sur le fournisseur.
• Il fige cette évaluation. Questions, réponses, constats et décisions de risque restent tels qu'ils étaient, même si vous modifiez ultérieurement le modèle de formulaire.
• Il vous permet de planifier la prochaine révision, afin que la réévaluation ait un propriétaire et une date.

Une fois clôturée, rédigez le plan de traitement

Une évaluation verrouillée peut produire un plan de traitement pour ce fournisseur et cette évaluation.

Générez-le avec l'IA, ou rédigez-le vous-même. Le brouillon IA utilise le modèle de plan de traitement du type de risque fournisseur, ainsi que le contexte du fournisseur, les risques et contrôles que vous avez liés, le degré de mise en œuvre de ces contrôles, et les réponses au questionnaire que vous avez marquées comme risques. Le résultat est un document sur l'évaluation, lié au fournisseur, que vous pouvez ouvrir et modifier comme tout autre document.

Le plan est le récit de ce que vous allez faire. L'évaluation verrouillée reste la preuve de ce que vous avez décidé.

🔟 Ce que vous pouvez encore voir plus tard

Le journal d'audit conserve l'histoire complète : réponses, actions de révision, et risques que vous avez sélectionnés.

Pour une question, vous pouvez ouvrir l'historique plutôt que seulement la dernière réponse. Si un auditeur demande ce que ce fournisseur a dit il y a deux ans, l'évaluation de ce cycle est toujours là.

Lorsque vous démarrez l'évaluation suivante :

• Elle utilise les derniers modèles de formulaires.
• Les réponses précédentes sont reportées sur les questions qui existent encore, afin que personne ne parte d'une page vide.
• Le travail est toujours marqué comme devant être refait. Les réponses reportées sont une longueur d'avance, pas une validation.
• Les preuves téléversées sont effacées et doivent être fournies à nouveau.

📌 Verrouillage signifie que cette évaluation est clôturée. Une nouvelle évaluation est une nouvelle version. L'historique signifie que vous pouvez expliquer pourquoi.

✅ Une liste de contrôle pratique

• Les types de fournisseurs existent, chacun avec une pré-évaluation et les formulaires de diligence raisonnable dont ce type peut avoir besoin.
• Le type de document fournisseur et le type de risque par défaut sont définis, y compris le modèle de plan de traitement si vous utiliserez l'IA.
• Un nouveau fournisseur démarre par l'intégration, avec le type choisi avant l'envoi des questionnaires.
• La pré-évaluation est complétée avant l'envoi des formulaires plus approfondis.
• Chaque questionnaire envoyé a un véritable destinataire, qui peut inviter des collègues.
• Les réviseurs utilisent Accepté, Marquer comme risque, ou Nécessite une mise à jour, et rédigent un constat lorsque c'est pertinent.
• Réviser les risques couvre chaque réponse marquée, avec des risques et contrôles confirmés par une personne.
• L'évaluation est verrouillée, la prochaine révision est planifiée, et le plan de traitement est stocké sur cette évaluation.

Mis à jour le : 30/09/2026