Gestion du Risque Tiers : Fournisseurs, Prestataires et Sous-traitants

Pourquoi le risque tiers augmente#

Hébergement cloud, logiciels en ligne, centres d'appels, prestataires de paiement, fournisseurs d'IA : une part croissante des activités critiques repose sur des tiers. Or la responsabilité, elle, ne se sous-traite pas. Si un prestataire perd les données de vos clients, c'est votre entreprise que les clients et le régulateur tiennent pour responsable.

Étape 1 : faire l'inventaire#

Recensez tous les tiers, y compris ceux payés par carte bancaire ou utilisés gratuitement : outils en ligne, applications de messagerie, prestataires informatiques, agents commerciaux, intermédiaires.

Étape 2 : classer par criticité#

Étape 3 : réaliser la due diligence#

L'intensité dépend de la criticité. Pour un tiers critique, vérifiez notamment :

• la santé financière et la réputation ;
• la conformité légale et les antécédents ;
• les risques de corruption, notamment pour les intermédiaires et agents ;
• la sécurité informatique (certifications, tests d'intrusion, gestion des incidents) ;
• le lieu d'hébergement des données et les éventuels transferts à l'étranger ;
• pour un fournisseur d'IA, la documentation du système et la répartition des responsabilités.

Étape 4 : sécuriser le contrat#

Les clauses essentielles :

• Données personnelles : un contrat écrit qui oblige le sous-traitant à respecter vos instructions et à sécuriser les données, comme l'exigent les articles 23 et 24 de la loi 09-08.
• Localisation et transferts : lieu d'hébergement, et conformité aux articles 43 et 44 de la loi 09-08 en cas de transfert.
• Droits d'audit et accès à l'information.
• Sous-traitance en cascade soumise à votre accord.
• Niveaux de service et pénalités.
• Notification des incidents dans un délai court.
• Réversibilité : restitution des données et assistance en cas de fin de contrat.

Étape 5 : suivre dans la durée#

Revoyez les tiers critiques au moins une fois par an : incidents, niveaux de service, évolution de leur situation, changements de sous-traitants. Un fournisseur évalué une seule fois, à la signature, n'est pas un fournisseur maîtrisé.

Étape 6 : organiser la sortie#

Prévoyez dès le départ comment sortir : restitution des données, suppression chez le prestataire, transfert vers un nouveau fournisseur, sans interruption de service.

Les règles spécifiques au Maroc#

• Loi 09-08 : contrat écrit avec chaque sous-traitant et encadrement des transferts à l'étranger. Voir le transfert de données à l'étranger.
• Banques : la directive de Bank Al-Maghrib du 19 mai 2022 sur l'externalisation vers le cloud impose notamment un accord préalable pour les externalisations importantes et des droits d'audit.
• Entités d'importance vitale : la loi n° 05-20 et le décret n° 2-24-921 imposent le recours à des prestataires cloud qualifiés pour les systèmes sensibles.
• Fournisseurs d'IA : la norme ISO/IEC 42001 prévoit de répartir clairement les responsabilités avec les fournisseurs et les clients tout au long du cycle de vie du système.