Fournisseurs et sous-traitants : relation nécessaire mais risquée

Êtes-vous… assuré que vos fournisseurs cloud sécurisent correctement vos données ? Convaincu que vos fournisseurs font une gestion adéquate de leur cybersécurité ? Persuadé qu’ils gèrent et protègent les données personnelles et confidentielles selon les lois en vigueur? Certain qu’ils gèrent la qualité des produits ou services selon vos attentes ? Assuré qu’ils ne déversent pas des polluants dans la nature ou qu’ils ne sous-traitent pas des activités que vous leur avez confiées sans vous mettre au courant ?

Utilité des fournisseurs

Pour se démarquer dans son marché, une entreprise doit atteindre la bonne balance entre les besoins du marché, l’innovation et le rapport qualité/prix. L’innovation étant généralement conservée à l’interne, le recours aux fournisseurs (partenaires, sous-traitants, biens et services, etc.) est souvent motivé par deux grands impératifs : le besoin de s’adjoindre des spécialistes dans un domaine précis, et/ou la nécessité de réduire les coûts. Le tout, afin d’être plus efficace, plus efficient et plus agile.

Risques associés aux fournisseurs

Faire appel à des fournisseurs est non seulement utile, mais essentiel d’un point de vue business. Cela dit, confier des pans importants de la conduite de ses affaires à une autre entreprise engendre des risques, car l’organisation de départ a peu de contrôle sur les activités de son fournisseur, et encore moins sur les sous-traitants de celui-ci.

Il n’est pas rare qu’une organisation sous-contracte une activité à un fournisseur, qui lui-même, en sous-contracte une partie, et ainsi de suite. Comment s’assurer que le 3e ou 4e sous-traitant gère ses risques selon vos attentes ? Les risques sont d’autant plus importants que votre client, lui, ne fait pas la différence entre l’organisation et ses fournisseurs.

Bien qu’idéalement, ces relations se développent sur la base d’une confiance mutuelle, elles sont généralement structurées à l’aide de contrats de tous genres, d’un contrat-cadre (master service agreement) à un bon de commande en passant par un énoncé des travaux (statement of work) ou une lettre mandat.

La signature d’un contrat permet d’abord de clarifier les conditions sur lesquelles deux organisations s’entendent. Ensuite, elle permet de diminuer et gérer certains risques lorsque les rôles et responsabilités associés à la gestion du contrat sont clairs et lorsque le temps requis à cette gestion est disponible. Malheureusement, en raison des impératifs actuels, rares sont les organisations qui allouent les ressources et le temps nécessaires à une gestion adéquate des contrats. Ainsi, plusieurs clauses de contrats ne sont pas appliquées et les risques que le contrat devait gérer augmentent d’autant. En outre, plusieurs clauses de contrats gèrent les risques a posteriori. Autrement dit, lorsque les risques se sont matérialisés, l’organisation a des recours. Le problème, c’est que les dommages sont faits ! La réputation de l’organisation est entachée, les opérations ont été ralenties, des sommes d’argents ont été perdues, une pénalité a été encourue, etc.

À moins d’avoir des moyens importants, il n’est pas possible de gérer tous les contrats selon les meilleures pratiques et de suivre la cascade des fournisseurs.

Cependant, une organisation qui choisit d’analyser les risques associés à ses contrats selon différents paramètres précis peut identifier les contrats les plus risqués et mettre en place des méthodes de suivi et de gestion qui permettent de réduire de façon significative les risques, et ce, sans nécessairement investir massivement dans du personnel et des outils spécialisés.

En observant le marché, il nous apparaît évident que la gestion des risques fournisseurs devrait être une priorité pour toute entreprise qui veut préserver sa réputation, gérer ses opérations et protéger ses avoirs.