TPRM (Third Party Risk Management)

Ce que le TPRM couvre, et ce qu'il ne couvre pas

Le TPRM porte sur le risque porté par l'organisation du fait d'un tiers, pas sur la performance commerciale de ce tiers. Un fournisseur peut livrer parfaitement et rester un risque majeur : hébergement hors UE de données sensibles, absence de plan de reprise, dépendance à un sous-traitant unique. À l'inverse, la négociation tarifaire, le suivi de SLA opérationnel et la relation achat relèvent du vendor management, avec lequel le TPRM partage le référentiel fournisseurs mais pas les objectifs.

Le périmètre couvre quatre familles de risques : cybersécurité (le tiers comme vecteur d'attaque), continuité (le tiers comme point de défaillance), conformité (le tiers comme extension du périmètre réglementé) et protection des données (le tiers comme sous-traitant au sens du RGPD).

Pourquoi le TPRM est devenu une obligation réglementaire

Jusque récemment, le TPRM relevait de la bonne pratique. Trois textes européens l'ont rendu contraignant : NIS2 impose la sécurité de la chaîne d'approvisionnement aux entités essentielles et importantes, DORA encadre le recours aux prestataires TIC du secteur financier, et ISO 27001 consacre un lot de contrôles aux relations fournisseurs. Le RGPD impose de son côté l'encadrement contractuel de tout sous-traitant traitant des données personnelles.

En pratique, cela signifie qu'un dispositif de TPRM doit désormais être documenté et démontrable, pas seulement effectif : inventaire des tiers, critères de criticité, preuves d'évaluation, décisions tracées.