Gestion des risques SSI et lutte contre la corruption : une approche mutualisée.

AVIS D’EXPERT

Les entreprises sont de plus en plus interdépendantes. Elles interagissent avec des tiers (fournisseurs, sous-traitants, partenaires…) de plus en plus nombreux. Chacune de ces relations induit des risques et le respect de référentiels variés, qu’il s’agisse de corruption, de fraude ou de fuite, de perte ou d’altération d’informations sensibles. Dès lors, la gestion des risques tiers est de plus en plus réglementée dans différents domaines. Le présent article invite à une réflexion sur les convergences des méthodologies employées pour la mise en conformité aux référentiels en sécurité des systèmes d’information et de lutte contre la corruption. L’opportunité serait alors d’améliorer la productivité et l’efficacité des entreprises en mutualisant les moyens de preuves, les outils et compétences.

L’émergence des nouvelles réglementations internationales, européennes et nationales incite les acteurs privés et publics à se responsabiliser, et ce dans de nombreux domaines socio-économiques. Ce changement de paradigme oblige les entreprises à adopter une approche par le risque permettant dans un premier temps de détecter leurs faiblesses pour, dans un second temps, se mettre en conformité. Le prisme couramment utilisé est alors celui de l’analyse des risques. Les méthodes d’analyse des risques diffèrent selon le contexte de l’étude, la nature des aléas, les objectifs de conformité mais à bien des égards, elles peuvent se compléter.

L’un des sujets permettant d’illustrer cette opportunité est celui de l’évaluation du risque lié aux tiers. Les tiers désignant en l’espèce les organismes externes avec lesquels une entreprise est en relation pour maintenir son activité (fournisseurs, sous-traitants, clients, partenaires…). Ces tiers peuvent parfois bénéficier d’un accès privilégié aux informations et systèmes de l’organisation, un accès certes proportionné au périmètre de leur mission mais qui fait peser des risques sur la société avec laquelle ils collaborent. Ces risques transverses font l’objet d’un examen minutieux notamment dans deux domaines : la sécurité des systèmes d’information et la lutte anticorruption. Étant donné que ces univers sont a priori très éloignés, cela peut brouiller les pistes d’actions communes.

Les risques que font encourir les tiers doivent être examinés dès le déclenchement de la mise en conformité. En effet, les échanges inter-entreprises sont de nos jours largement portés par les systèmes d’information. La sécurité des informations qui y sont contenues et l’intégrité des acteurs ayant accès à ces données sont donc primordiales. L’écosystème d’une société ne se réduit plus désormais à ses seuls collaborateurs et à sa clientèle. Tout un réseau d’acteurs intervient sur le cycle du produit, du service ou à l’appui d’une fonction support, offrant par la même occasion de nouveaux points d’entrées pour nuire à une organisation. Le risque lié aux tiers doit dès lors être analysé avec la plus grande attention pour permettre ensuite de l’atténuer au maximum. C’est pourquoi les autorités publiques et les organismes de normalisation incitent les entreprises à être plus prudentes et à surveiller de près leurs tiers. Une approche mutualisée de ces sujets au travers d’une méthode et d’outils peut dès lors permettre un gain d’efficacité et une meilleure visibilité de l’ensemble de ces relations.

De nombreuses entreprises proposent aux organismes publics et privés un large choix de services pour accompagner la mise en conformité. Les entreprises sont ainsi poussées à multiplier les outils relatifs à chaque réglementation, bien que certaines approches de gestion du risque puissent être mutualisées. La phase d’évaluation nécessite de collecter des informations et des preuves auprès du tiers pour attester de son intégrité ou du degré de sécurité déclaré. Il est alors primordial de croiser l’information interne et externe.

Dans le domaine légal, on vérifie que le tiers dispose d’une recommandation, d’une expérience reconnue pour le service à effectuer, de schémas de rémunération licites. A cette information interne s’ajoute un questionnaire externe permettant de vérifier l’identité du bénéficiaire effectif pour éviter les détournements. Enfin, il est possible d’utiliser des outils tels que des bases de données externes permettant de recueillir des informations sur les listes de sanctions, de condamnations, les bénéficiaires effectifs, les personnes politiquement exposées. La responsabilisation croissante des organisations rend nécessaire le développement d’une solution « tout en un » pour évaluer des tiers au regard de leur conformité à l’ensemble des standards. Cela permettrait d’adopter une approche pluridisciplinaire améliorant l’efficacité et la qualité de la gestion des risques liés aux tiers. En définitive, une approche commune de gestion de la conformité pourrait être un réel gain de temps et de productivité pour les entreprises, par le biais de process, d’outils et de compétences transverses applicables à de multiples référentiels.