Étape 1 : la prise en compte
La première étape consiste à centraliser la collecte de toutes les informations concernant les tiers, ce qui élimine plusieurs points d’entrée et angles morts potentiels plus en aval.
Cette centralisation peut être effectuée via un portail libre-service unique, où les employés peuvent demander l’ajout de tiers, de fournisseurs ou d’autres parties, ou dans le cadre d’un outil de gestion du cycle de vie des contrats ou de planification des ressources.
Un tel processus de prise en compte en libre-service donne aux organisations une longueur d’avance sur la collecte d’informations critiques sur les tiers, telles que leurs certifications dans le domaine de la protection de la vie privée, la portée de l’engagement et les types de données impliquées. Les tiers peuvent ainsi être classés et hiérarchisés dès le début, en fonction du risque inhérent associé pour l’organisation.
Étape 2 : les vérifications préalables
La deuxième étape consiste à effectuer des vérifications de diligence raisonnable sur les tiers potentiels. Voici quelques questions à se poser au cours de cette étape :
- comment vérifier que ce tiers potentiel n’est pas exposé politiquement ?
- comment vérifier qu’il n’y a pas de problème de blanchiment d’argent, de corruption ou de pots-de-vin ?
Pour répondre à ces questions, il faut en général vérifier si les tiers apparaissent dans les listes de sanctions, les listes de surveillance ou même dans les médias pour identifier les problèmes susceptibles de poser un risque élevé.
Dans la plupart des cas, l’outil de gestion des risques tiers de OneTrust va plus loin que la confidentialité et la sécurité. Il est important de passer tous les autres types de risques en revue, tels que la conformité réglementaire, l’éthique, l’ESG, la géopolitique, etc., qui peuvent avoir un impact potentiel sur vos opérations.
L’objectif de cette étape est de mettre au jour tous les risques associés aux tiers et, si votre organisation décide malgré tout de poursuivre la relation, de concevoir une approche adaptée comprenant une évaluation et un plan d’atténuation.
Étape 3 : l’évaluation
C'est l’étape la plus gourmande en temps et en ressources. C’est également là que la gestion des risques peut être combinée à des évaluations de la protection de la vie privée et à d’autres préoccupations de conformité pour une approche plus exhaustive.
Optimisez les évaluations en utilisant des outils dédiés dotés de modèles intégrés pour traiter divers domaines de risque, notamment la confidentialité et la conformité, la protection des données, les cyber-risques, etc.
Un référentiel de risques fournisseurs peut également fournir des informations prévalidées pour recouper les informations fournies par le tiers.
Étape 4 : la revue
Il est maintenant temps de passer en revue toutes les informations et perspectives recueillies sur les tiers au cours des étapes précédentes.
Par exemple, supposons qu’un tiers en cours de revue démontre une posture de sécurité mature, mais qu’il lance à peine son programme de confidentialité. Il ne peut pas définir les données qu’il collecte, les éléments de données recueillis, ni la finalité du traitement des données. Cela représente un risque important pour votre organisation en matière de confidentialité.
Sur la base de ces constatations, les parties prenantes peuvent désormais attribuer une cote de risque et un niveau de sévérité adaptés, et déterminer la meilleure approche pour gérer le tiers en question.
Étape 5 : la surveillance
Au fur et à mesure que de nouveaux risques et réglementations apparaissent et que la portée du service d’un tiers évolue, la mise en place d’une surveillance continue est essentielle pour maintenir une relation saine.
Une surveillance efficace comprend généralement :
- une évaluation des domaines de risque spécifiques
- la détermination d’une fréquence recommandée pour les évaluations
- la définition de ce qui doit être inclus dans le questionnaire envoyé à chaque tiers (en fonction des domaines spécifiques, des domaines d’activité, de la sécurité et de la confidentialité).
« D’après mon expérience, c’est à cette étape que beaucoup d’organisations ont une formidable opportunité d’améliorer leur efficacité en automatisant la surveillance continue des tiers », déclare Paterson.
5 conseils pour réduire son exposition aux risques tiers
Votre organisation continue de développer son réseau tiers ? Il est alors nécessaire d’établir un processus fiable pour identifier les risques et réduire l’exposition dans tous les domaines.
Voici quelques conseils éprouvés pour maintenir votre conformité en termes de protection des données personnelles et de sécurité à chaque étape du cycle de vie de la gestion des tiers :
1er conseil : comprendre où vont les données
Il est courant pour les organisations de gérer des centaines ou des milliers de tiers. Mais concernant les données personnelles, il ne suffit pas de surveiller les processus tiers. Il faut suivre la façon dont les données passent de la tierce partie à la quatrième partie, puis à la énième partie, etc.
Pour comprendre la destination de vos données de façon exhaustive, interrogez vos tiers potentiels sur leurs propres tiers. C’est particulièrement critique pour les opérations complexes, telles que :
- les transferts de données internationaux, qui impliquent souvent des exigences de conformité supplémentaires,
- celles qui utilisent des tiers qui proposent un large éventail de services, car chaque service peut impliquer des types de données différents,
- les ajouts ou les modifications du champ d’application d’un tiers qui nécessitent des mises à jour des contrats et des évaluations.
Créez un modèle qui aide vos équipes à visualiser chaque étape où se trouvent vos données entre les différentes parties.
