Bearlink · Risque tiers
TPRM : définition et méthode de la gestion des risques tiers
Par Steven Carrier Mis à jour le
Le TPRM (third-party risk management), ou gestion des risques tiers, désigne la démarche qui consiste à évaluer et surveiller les risques que font peser fournisseurs, sous-traitants et partenaires sur une organisation. Il couvre la conformité documentaire, la due diligence réglementaire, la santé financière et, de plus en plus, la cybersécurité. Bearlink met en œuvre ce cycle complet sur une plateforme souveraine.
- Cycle complet du tiers
- Conformité et cybersécurité
- Développé en France
Pourquoi le risque tiers devient-il prioritaire ?
Selon le Data Breach Investigations Report 2026 de Verizon, publié le 19 mai 2026, 48 % des violations de données impliquent désormais un tiers, une part en hausse de 60 % en un an. Un sous-traitant défaillant, un fournisseur compromis ou un partenaire non déclaré suffit à ouvrir la porte. La réglementation en tire la conséquence et impose désormais d’évaluer et de surveiller ces tiers. Gérer le risque tiers à la main, par tableurs, ne tient plus.
Que couvre un TPRM complet ?
Un TPRM complet couvre plusieurs dimensions du risque : juridique et administrative, financière, éthique et anticorruption, environnementale et sociale, protection des données, et cybersécurité. Longtemps, cette dernière dimension restait la plus faible ; Bearlink la couvre avec une note cyber produite nativement, présentée sur la page Bearlink.
Risque tiers
- Juridique et administratif
- Financier
- Éthique et anticorruption
- Environnement et social
- Données personnelles
- Cybersécurité
Quelles sont les étapes du cycle de vie d’un fournisseur ?
-
Référencer
Créer la fiche du tiers et recueillir les informations de base.
-
Évaluer
Collecter les documents, lancer la due diligence, noter les risques.
-
Contractualiser
Intégrer les exigences de conformité et de sécurité.
-
Surveiller
Suivre les expirations, la note cyber et les alertes en continu.
-
Sortir
Offboarding maîtrisé et archivage à valeur probante.
Le socle documentaire et réglementaire
Le cœur d’un TPRM reste la collecte et la vérification des documents : attestation URSSAF, immatriculation, assurances, régularité fiscale, suivies à l’expiration. S’y ajoute la due diligence : questionnaires Sapin II, devoir de vigilance, RSE, RGPD, NIS2 et DORA , criblage des sanctions, contrôle d’IBAN contre la fraude.
Voir au-delà de vos fournisseurs directs
Un risque majeur se cache derrière vos fournisseurs directs : le même prestataire critique peut se trouver en sous-traitance de plusieurs d’entre eux. Cartographier cette sous-traitance de rang N révèle les risques de concentration, où une seule défaillance affecte plusieurs de vos chaînes.
- Fournisseurs directs
- Sous-traitance de rang N
- Risque de concentration
Que demandent NIS2 et DORA sur vos fournisseurs ?
NIS2 range la sécurité de la chaîne d’approvisionnement, y compris les relations avec les fournisseurs directs, parmi les mesures de gestion des risques attendues (article 21). DORA encadre le risque lié aux prestataires tiers de services TIC et impose un registre d’information sur les accords conclus (article 28). Le TPRM outille ces exigences.
Sources et références
- Verizon, Data Breach Investigations Report 2026 (19 mai 2026) : un tiers impliqué dans 48 % des violations, en hausse de 60 % sur un an
- Directive (UE) 2022/2555 (NIS2), article 21, sécurité de la chaîne d’approvisionnement, EUR-Lex
- Règlement (UE) 2022/2554 (DORA), chapitre V, gestion des risques liés aux prestataires tiers de services TIC, EUR-Lex
- Règlement (UE) 2016/679 (RGPD), article 28, sous-traitants, EUR-Lex
- Loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique (Sapin II), Légifrance
- Loi n° 2017-399 du 27 mars 2017 relative au devoir de vigilance des sociétés mères et des entreprises donneuses d’ordre, Légifrance
Sources consultées le . Signaler une erreur : contact+site@bearops.fr
Questions fréquentes
Qu’est-ce que le TPRM ?
Le TPRM (third-party risk management) est la gestion des risques liés aux tiers : fournisseurs, sous-traitants, partenaires. Il couvre la conformité documentaire, la due diligence réglementaire, la santé financière, l’éthique, l’environnement et la cybersécurité, sur tout le cycle de vie du tiers.
Quelle différence entre TPRM et gestion des fournisseurs ?
La gestion des fournisseurs vise l’efficacité des achats. Le TPRM vise la maîtrise des risques : il évalue et surveille la conformité, la solidité et la sécurité des tiers. Les deux sont complémentaires et partagent souvent les mêmes données.
Le TPRM est-il une obligation réglementaire ?
Aucun texte n’impose « un TPRM » en tant que tel, mais plusieurs obligations en imposent les composantes : obligation de vigilance, Sapin II, devoir de vigilance, NIS2, DORA, RGPD. Un TPRM outille le respect de ces obligations et en trace la preuve.
Qu’est-ce que le risque de concentration ?
C’est le risque qu’un même prestataire critique se retrouve en sous-traitance de plusieurs de vos fournisseurs. Sa défaillance affecterait alors plusieurs chaînes à la fois. Le cartographier suppose de voir au-delà des fournisseurs directs, jusqu’à la sous-traitance de rang N.
Structurez votre gestion des risques tiers
Un échange de cadrage situe votre démarche TPRM et montre, sur un échantillon de vos fournisseurs, ce que Bearlink apporte sur la conformité et le cyber.