Le millefeuille réglementaire du TPRM (Third Party Risk Management)
Le législateur européen s’est trouvé une nouvelle passion : la pâtisserie.
Depuis quelques années, il enchaîne les créations sucrées avec une rigueur quasi artistique.
Le RGPD ? Une pâte feuilletée fine, bien beurrée, qui craque sous la conformité réglementaire.
DORA ? Une couche croustillante de résilience.
Sapin II ? Une crème diplomatique, un peu granuleuse mais toujours servie avec de bonnes intentions.
Maintenant, l’IA Act : un glaçage brillant, miroir parfait pour un dessert déjà bien garni.
La LCB-FT : ces chevrons en fondant ; pas la couche la plus visible, mais celle qui oblige toute la pâtisserie à s’ajuster.
Résultat : un millefeuille réglementaire aussi spectaculaire qu’un trompe-l’œil de Cédric Grolet.
Superbe à l’extérieur, précis dans ses découpes…
Mais quand on y plonge la cuillère, la structure se défait.
Les couches s’écrasent, les saveurs se mélangent, et le goût de “trop plein” l’emporte sur celui de la cohérence.
En toile de fond, un sujet pourtant simple : comment organiser un dispositif de TPRM cohérent : c’est-à-dire la gestion des risques liés aux tiers, prestataires et sous-traitants.
Et comme si cela ne suffisait pas, chaque secteur y ajoute sa touche “maison” :
- Solvabilité II pour les assureurs,
- Bâle III pour les banquiers,
- NIS2 pour les acteurs essentiels,
- CSRD pour les plus vertueux.
Chacun personnalise la recette, ajoute son glaçage ou son zeste de reporting durable, jusqu’à ce que la table déborde.
Dans les cuisines des entreprises, le service s’annonce tendu.
Les chefs se multiplient : conformité, sécurité informatique, achats, juridique, RSE, chacun ajoute sa couche, sa crème, sa pincée de poudre d’amende honorable.
Personne ne parle tout à fait la même langue, mais tout le monde s’accorde sur une chose : il faut harmoniser les contrôles tiers et structurer un vrai dispositif TPRM.
C’est souvent à ce moment-là que les consultants sont appelés en renfort, spatule en main, pour tenter de sauver la recette.
Et très vite, on réalise que le problème n’est plus la recette, mais la gravité : comment faire tenir tout ce millefeuille sans qu’il s’écroule ?
Partie 2 — La brigade réglementaire : quand tout le monde cuisine… mais personne ne veut être chef
Dans la cuisine interne, les rôles semblent bien répartis.
Chacun a son tablier, ses ustensiles, sa spécialité.
Mais dès qu’il s’agit de savoir qui porte réellement la toque du TPRM, les regards se baissent, les écrans s’allument, et chacun feint un call urgent.
En réalité, tout le monde veut ajouter sa couche… mais personne ne veut être responsable de la tenue du gâteau.
Voici la brigade.
Le Juridique
Précision, clauses, responsabilité, réversibilité.
Toujours un article sous la main.
Toujours partant pour donner un avis…
Jamais pour piloter le dispositif TPRM.
L’IT / Sécurité informatique
Vulnérabilités, matrices NIS2, certifications, scans, chiffrement.
Elle veut vérifier que personne n’amène un malware dans la cuisine.
Mais piloter le dispositif ?
« C’est plutôt de la gouvernance. »
La Gestion des risques (RO / CRO)
Elle regarde la cuisine depuis la mezzanine.
Dépendances critiques et continuité d’activité, ruptures, scénarios, risques résiduels.
Elle veut la vision consolidée.
Mais tenir la spatule ?
« C’est un sujet transverse. »
Les Achats
SLA, coûts, délais, clauses type.
Ils veulent un process fluide, un questionnaire court.
Mais définir la criticité ?
« Ça, ce n’est pas nous. »
La RSE / ESG
Elle ajoute sa couche CSRD : droits humains, carbone, durabilité.
Elle veut un dessert vertueux.
Mais organiser les contrôles ?
« Je contribue… mais je ne pilote pas. »
La Conformité
C’est elle que tout le monde regarde pour harmoniser le processus.
Elle tient la fiche recette, corrige les proportions, surveille la cuisson.
Mais seule, elle sait que si elle prend toute la responsabilité, le millefeuille s’effondre avant la première dégustation.
Résultat ?
- Les questionnaires doublonnent.
- Les matrices divergent.
- Les définitions ne s’alignent pas.
- Les prestataires répondent trois fois aux mêmes questions.
- Personne ne sait vraiment où commencent et s’arrêtent les responsabilités.
Le millefeuille gonfle.
La gouvernance, elle, reste à plat.
Partie 3 — La recette d’un TPRM qui tient debout (sans s’effondrer à la première part)
1. Le moule : une gouvernance claire
Sans cadre, un millefeuille se transforme en crumble.
Le TPRM repose sur un principe simple :
responsabilité unique, contribution collective.
Il faut définir :
- qui pilote,
- qui contribue,
- qui tranche,
- qui documente,
- qui purge (contrats, risques, données).
2. Une seule base, plusieurs couches : un modèle de criticité vraiment unifié
Le pire scénario ?
Une criticité IT,
une criticité Sécurité,
une criticité Achats,
une criticité ESG,
une criticité Juridique…
pour un seul et même prestataire.
Un modèle efficace repose sur une grille unique, multidimensionnelle, lisible.
Elle intègre :
- l’exposition cyber (IT / SSI),
- la dépendance opérationnelle (RO),
- les données traitées (Conformité),
- les obligations contractuelles (Juridique),
- les enjeux ESG (RSE),
- les engagements opérationnels (Achats),
- et, quand nécessaire, les contrôles LCB-FT (bénéficiaire effectif, listes de sanctions, vigilance adaptée).
Une seule échelle, plusieurs angles de lecture, un score final partagé.
Comme un millefeuille réussi : plusieurs textures, une seule tenue.
3. Le bon dosage : des contrôles proportionnés
Tout le monde ne doit pas recevoir le même questionnaire de 172 questions.
Il faut un dispositif TPRM à étages :
- tiers non critiques : vérifications minimales ;
- tiers significatifs : contrôles adaptés ;
- tiers critiques ou essentiels : due diligence complète, revue annuelle, audits.
Comme pour un millefeuille :
on ne traite pas toutes les couches de la même manière.
Chacune a sa texture, son rôle, son niveau de fragilité.
4. La fiche-recette : un référentiel documentaire lisible
Un TPRM solide repose sur :
- une politique de gestion des tiers,
- une procédure de classification,
- des modèles contractuels,
- des matrices de risque,
- un plan de remédiation,
- des escalades claires,
- une revue de performance.
Le tout à jour, cohérent, compréhensible.
5. La dégustation : un dispositif vivant
Le TPRM évolue avec :
- les incidents,
- les audits,
- DORA et NIS2,
- les transformations SI,
- l’arrivée de prestataires IA,
- les retours métiers.
Une recette réévaluée régulièrement.
Pas pour la réécrire : pour éviter qu’elle ne se liquéfie dans un dossier SharePoint oublié.
Résultat
Un dispositif qui ne vise pas la perfection, mais la tenue :
solide, proportionné, lisible,
et présentable sans trembler devant un audit ou un comité des risques.
Bref : un TPRM opérationnel, maîtrisé… et digeste.
Sources officielles
Chez Niutime, nous aidons les organisations à clarifier et renforcer leur TPRM : criticité unifiée, questionnaires cohérents, contrôles adaptés, exigences DORA/NIS2 intégrées.
L’objectif : un dispositif lisible, maîtrisé et opposable, capable de tenir en audit comme en situation d’incident.
FAQ sur les TPRM (Third Party Risk Management)
