Pendant longtemps, la gestion des fournisseurs était surtout l'affaire des Achats : un appel d'offres, un contrat, un questionnaire de référencement, puis un renouvellement quelques années plus tard. Le risque tiers se résumait souvent à un fichier Excel et à une case cochée au moment de l'onboarding.
En 2026, ce modèle ne tient plus. Les organisations n'ont jamais autant dépendu de prestataires extérieurs (cloud, SaaS, infogérance, sous-traitancemétier, fournisseurs d'IA), et le droit européen en tire une conclusion simple: vous pouvez externaliser une activité, pas la responsabilité qui va avec.
Pour les fonctions Risques, Conformité, Sécurité, Achats et Audit, la question n'est plus de savoir qui sont vos fournisseurs, mais de pouvoir démontrer àtout moment que vous maîtrisez ce qu'ils font peser sur votre organisation.
Ce qui a changé
1. Le risque tiers est devenu une obligation réglementaire explicite
• Secteur financier : DORA (règlement (UE) 2022/2554), applicable depuis le 17janvier 2025, consacre un chapitre entier au risque lié aux prestataires TIC (articles 28 à 30) :
– un registre d'information recensant tous les accords contractuels TIC (art.28, §3), dont le format est fixé par le règlement d'exécution (UE) 2024/2956 ;
– une analyse des risques avant contractualisation (art. 28, §4) ;
– des stratégies de sortie pour les services soutenant des fonctions critiques (art. 28, §8) ;
– l'évaluation du risque de concentration (art. 29) ;
– des clauses contractuelles minimales (art. 30).
La politique relative aux prestataires TIC est précisée par le règlement délégué (UE) 2024/1773. Les autorités européennes de surveillance supervisent en outre directement les prestataires TIC désignés comme critiques (art. 31 et suivants). Ces textes s'ajoutent aux orientations de l'EBA sur l'externalisation (EBA/GL/2019/02).
• Hors secteur financier : NIS2 (directive (UE) 2022/2555) fait de la sécurité de la chaîne d'approvisionnement une mesure obligatoire de gestion des risques (art. 21, §2, d). Les entités doivent tenir compte des vulnérabilités propres à chaque fournisseur et de la qualité de ses pratiques de cybersécurité (art. 21, §3). Les organes de direction doivent approuver ces mesures et enrépondre (art. 20).
• Données personnelles : le RGPD (règlement (UE) 2016/679) impose depuis longtemps de ne recourir qu'à des sous-traitants présentant des garanties suffisantes, d'encadrer la relation par contrat et de maîtriser les sous-traitants ultérieurs (art. 28), ainsi que les transferts hors UE (art. 44 et suivants).
Chacun de ces textes regarde vos tiers sous un angle différent, mais tous exigent la même chose : connaître, évaluer, contractualiser, surveiller et documenter.
2. La responsabilité remonte la chaîne, puis redescend
• Cyber Resilience Act (règlement (UE) 2024/2847) : depuis le 11 septembre 2026, les fabricants de produits comportant des éléments numériques doivent signaler sous 24 heures les vulnérabilités activement exploitées et les incidents graves (art. 14). Ils doivent aussi exercer une diligence raisonnable sur les composants intégrés provenant de tiers (art. 13, §5). Si votre fournisseur logiciel est concerné, sa capacité à vous alerter à temps devient un élément de votre propre maîtrise.
• AI Act (règlement (UE) 2024/1689) : les entreprises qui utilisent des systèmes d'IA fournis par des tiers ont leurs propres obligations (art. 26). Les obligations de transparence (art. 50) s'appliquent à partir du 2 décembre 2026, et celles relatives aux systèmes à haut risque ont été reportées à décembre 2027 et août 2028 par l'Omnibus numérique.
• Devoir de vigilance : la CSDDD (directive (UE) 2024/1760), profondément remaniée par la directive Omnibus I, ne s'appliquera aux grandes entreprises qu'en 2029. Mais elle confirme une tendance de fond : la responsabilité s'étend à la chaîne d'activité.
• Lutte anti-blanchiment : l'AMLR (règlement (UE) 2024/1624), applicable à partir de juillet 2027, harmonise les règles de vigilance, y compris lorsqu'on s'appuie sur des tiers pour exécuter les mesures de vigilance.
3. L'évaluation ponctuelle ne suffit plus
Un questionnaire rempli à l'onboarding photographie un fournisseur à un instant donné. Or, DORA demande un suivi tout au long de la relation contractuelle, et NIS2 une gestion des risques réévaluée en continu. Entre deux revues annuelles, un prestataire peut perdre une certification, subir un incident, changer d'actionnaire, sous-traiter à son tour ou voir ses niveaux de service se dégrader.
Les nouveaux défis
Le risque de concentration. Quelques grands fournisseurs de cloud et de logiciels sont présents partout. DORA impose désormais de l'identifier et de l'évaluer explicitement (art. 29) : une défaillance chez l'un d'eux peut toucher simultanément plusieurs fonctions critiques et plusieurs entités d'un même groupe.
La sous-traitance en cascade. Vos tiers ont eux-mêmes des tiers. DORA encadre spécifiquement la sous-traitance des services TIC soutenant des fonctions critiques, et le RGPD celle dessous-traitants ultérieurs (art. 28, §2 et §4). Le risque réel se cache souvent au rang 2 ou 3, là où la visibilité est la plus faible.
La fatigue des questionnaires. Les fournisseurs reçoivent des dizaines de questionnaires redondants, un par réglementation et par client, et y répondent de plus en plus mécaniquement. Envoyer toujours plus de questions n'est pas une stratégie.
Une information éclatée. Le contrat est aux Achats, les SLA chez le métier, les certifications chez la Sécurité, les incidents à l'IT, les constats d'audit à l'Audit interne. Au moment de produire le registre DORA ou de répondre à une autorité, il faut tout reconstituer, et lorsqu'un prestataire défaille, il faut des jours pour en mesurer l'impact.
Les six décisions à ne pas manquer en 2026
1. Construire un référentiel unique des tiers.
Chaque fournisseur doit avoir une fiche de référence unique : données administratives, services fournis, contrats et avenants, SLA, responsables internes de la relation, données et actifs manipulés, processus et systèmes d'information concernés. C'est le socle du registre d'information DORA, du registre des sous-traitants RGPD et de la cartographie de la chaîne d'approvisionnement NIS2. Ce sont trois exigences différentes, mais une seule source de vérité suffit.
2. Classer les tiers par criticité et dépendance, non par montant de dépenses.
DORA distingue les prestataires qui soutiennent des fonctions critiques ou importantes, et c'est sur eux que portent les exigences renforcées (clauses de l'art. 30, §3, stratégies de sortie, évaluation de la concentration). Un petit prestataire qui accède à vos données clients est plus risqué qu'un gros fournisseur de fournitures de bureau. Concentrez l'effort là où il est justifié.
3. Relier chaque tiers à vos risques, processus et obligations.
La vraie question n'est pas « ce fournisseur est-il risqué ? » mais « qu'est-ce qui s'arrête, et quelle obligation est en jeu, s'il défaille ? ». Relier chaque tiers aux processus auxquels il contribue, aux actifs auxquels il accède, aux risques qu'il porte et aux exigences réglementaires et contractuelles qui s'appliquent à lui, c'est ce qui permet de tester la stratégie de sortie et d'évaluer la concentration exigées par DORA.
4. Mutualiser les évaluations entre référentiels.
Un même questionnaire bien conçu peut couvrir DORA, NIS2 (art. 21), ISO27001, le RGPD (art. 28 et 32), voire les exigences ESG et anti-blanchiment. Analysez automatiquement les réponses pour faire ressortir les écarts, et faites en sorte que chaque écart alimente une évaluation de risque, un plan d'action ou un contrôle compensatoire. Un questionnaire qui ne débouche surrien n'a servi à rien.
5. Passer de la revue annuelle à la surveillance continue.
Suivez en continu ce qui fait évoluer le profil de risque d'un tiers : échéances des contrats, renouvellement des certifications (ISO 27001, SOC 2,HDS, PCI-DSS), attestations d'assurance, plans de continuité et de reprise, indicateurs de SLA, incidents. Définissez à l'avance les événements qui déclenchent une réévaluation : incident majeur, évolution réglementaire, changement d'activité du prestataire, modification contractuelle importante, dégradation des indicateurs. Avec les délais de notification de DORA, de NIS2et du CRA, l'information doit circuler en heures, pas en semaines.
6. Rendre le risque tiers démontrable.
Les autorités peuvent demander le registre d'information à tout moment (DORA, art. 28, §3). Les organes de direction NIS2 doivent pouvoir justifier les mesures approuvées (art. 20). Les autorités de protection des données peuvent exiger la preuve des garanties du sous-traitant. La cartographie des tiers, l'évaluation du risque avant et après mesures de maîtrise, les contrôles réalisés, les écarts et l'avancement des plans d'action doivent être disponibles immédiatement, pas reconstitués à la main.
Faire du risque tiers un levier de résilience
Bien piloté, le risque tiers dépasse la contrainte réglementaire. Il permet de choisir de meilleurs partenaires, de négocier des contrats plus protecteurs, d'anticiper les défaillances et de renforcer durablement la résilience opérationnelle.
C'est l'approche du module TPRM de la plateforme Oxial GRC. Conçu comme un module transverse, il s'appuie sur les référentiels déjà en place dans la plateforme (entités, processus, risques, contrôles, conformités, audits et actions) au lieu de créer un silo de plus. Chaque tiers dispose d'une vue à360° : contrats, SLA, données et actifs manipulés, processus impactés, risques associés, incidents, contrôles, questionnaires de due diligence, plans d'action et missions d'audit, reliés par des liens dynamiques.
Les campagnes d'évaluation sont entièrement paramétrables (DORA, NIS2, ISO 27001, RGPD, ESG,LCB-FT ou référentiels internes), et leurs résultats alimentent directement les évaluations de risques et les plans d'action. Des plans de contrôle dédiés aux tiers critiques, des alertes et workflows automatisés et des réévaluations déclenchées par des événements assurent la surveillance continue. Des cockpits de pilotage donnent aux directions métiers et aux fonctions Risques, Conformité, Sécurité, Achats et Audit une vision partagée, documentée e démontrable de leur exposition.
Pour échanger sur la manière dont Oxial aide les organisations àreprendre la maîtrise de leur écosystème de tiers, contactez-nous.
Repères réglementaires UE : risque tiers
DORA
Règlement (UE) 2022/2554
Art. 28 (registre, analyse préalable, sortie), art. 29 (concentration), art. 30 (clauses contractuelles), art. 31 et suivants (supervision des prestataires TIC critiques)
17 janvier 2025
DORA – textes d'application
Règlement délégué (UE) 2024/1773 ; règlement d'exécution (UE) 2024/2956
Politique relative aux prestataires TIC ; modèles du registre d'information
En vigueur
NIS2
Directive (UE) 2022/2555
Art. 20 (gouvernance), art. 21, §2, d et §3 (sécurité de la chaîne d'approvisionnement)
Transposition attendue au 17 octobre 2024, inégale selon les États membres
RGPD
Règlement (UE) 2016/679
Art. 28 (sous-traitants et sous-traitants ultérieurs), art. 32 (sécurité), art. 44 et suivants (transferts)
Depuis 2018
Cyber Resilience Act
Règlement (UE) 2024/2847
Art. 13, §5 (diligence sur les composants tiers), art. 14 (signalement sous 24 h)
Signalement : 11 septembre 2026 ; ensemble des obligations : 11 décembre 2027
AI Act
Règlement (UE) 2024/1689
Art. 26 (obligations des utilisateurs), art. 50 (transparence)
Art. 50 : 2 décembre 2026 ; haut risque : décembre 2027 / août 2028
AMLR
Règlement (UE) 2024/1624
Vigilance à l'égard de la clientèle, recours à des tiers
10 juillet 2027
CSDDD (modifiée par Omnibus I)
Directive (UE) 2024/1760
Devoir de vigilance sur la chaîne d'activité
2029
Orientations EBA
EBA/GL/2019/02
Externalisation dans le secteur bancaire
En vigueur
