Gouvernance et gestion des risques des tiers Surmonter les menaces et les incertitudes Enquête mondiale 2017 sur la gestion des risques dans les entreprises étendues Operational Risk Editorial01 Avant-propos 02 Dépendance et vulnérabilité 04 Gestion et suivi des relations avec les tiers 12 Processus de gouvernance et de gestion des risques 18 Plateformes technologiques 22 Modèles de prestations émergents 26 Contacts 33 Sommaire Editorial Dans un environnement de pressions réglementaires croissantes, de complexification des relations avec les tiers, de multiplication des parties prenantes et de renforcement de la dépendance à l’égard de son écosystème, la gestion des tiers est devenue un véritable vecteur de valeur ajoutée pour les entreprises. Elle permet à la fois d’améliorer la maîtrise des risques, la gestion de la conformité et la performance. Par ailleurs, une gestion proactive et optimisée des risques des tiers contribue à améliorer la relation de l’entreprise avec ses partenaires, quelle que soit leur nature : fournisseurs, distributeurs, sous-traitants, JVs, alliances… Les Directions générales ont de plus en plus conscience de l’importance stratégique du sujet, souvent suite à un ou plusieurs incidents (74% des répondants font état d’un incident significatif lié à un tiers ces trois dernières années). Cette prise de conscience, couplée aux bénéfices liés à la gestion des tiers, pourrait laisser présager un niveau de maturité fort des entreprises. Or, la réalité est tout autre puisque la gestion des risques de tiers est encore trop souvent réalisée en silos, sans vision globale et coordonnée. La qualité des données disponibles au regard des tiers (y compris les données contractuelles) est très largement insuffisante, les risques émergents liés aux tiers sont encore peu identifiés et les plateformes technologiques permettant d’assurer une gestion mutualisée des tiers sont à renforcer. Les niveaux de maturité sont différents en fonction des zones géographiques. La zone Amérique est la plus dépendante des tiers mais apparaît comme étant la mieux organisée. La zone EMEA affiche à la fois une dépendance importante (58% des répondants font état d’un niveau élevé ou critique) et un faible taux de maturité (seulement 20% affichent un niveau intégré ou optimisé). Le faible niveau de maturité global ne peut que s’améliorer, compte tenu du contexte actuel de l’entreprise étendue 1 . Les prochaines années verront sûrement la multiplication des initiatives de gestion des risques des tiers, avec une implication croissante des Directions générales et des administrateurs. Les démarches intégrées et optimisées seront à privilégier afin d’éviter de tomber dans l’écueil de la compartimentalisation et de la création d’« usines à gaz » qui ne feront qu’alourdir des processus déjà existants sans pour autant en tirer les bénéfices attendus. 1. L’expression « entreprise étendue » fait référence à l’entreprise et son écosystème de tiers. Marc Duchevet Associé Grégory Abisror Associé Sonia Cabanis Directrice Les entreprises sont-elles prêtes à gérer les risques liés aux tiers de manière proactive ? 01Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Avant-propos Avec 536 répondants (170 en 2016), l’enquête de cette année reflète l’opinion des dirigeants de diverses organisations, dans 11 pays différents au sein des régions Amériques, EMEA et Asie- Pacifique. Ces réponses ont été recueillies pendant la période d’incertitude accrue ayant suivi le vote du Brexit au Royaume-Uni et l’élection présidentielle américaine. Cela pourrait expliquer que les progrès accomplis par les organisations en matière de gestion des risques liés aux tiers (TPRM)¹ semblent modestes. Pour autant, la sensibilité des entreprises à ces problématiques s’est nettement accrue. Cela présage une année 2018 marquée par l’accroissement de la maturité des organisations dans la gestion de leurs risques liés aux tiers. La plupart des dirigeants ayant répondu à notre enquête portent la responsabilité de la gestion des risques liés aux tiers au sein de leur organisation. Ce sont principalement des : directeurs financiers, directeurs des achats ou de la gestion des fournisseurs, directeurs des risques, directeurs de l’audit interne et des responsables conformité (dont conformité IT). Ils sont représentatifs de l’ensemble des grands secteurs d’activité². La plupart des organisations interrogées réalisent un chiffre d’affaires annuel supérieur à 1 milliard de dollars US. Nous avons également élargi l’analyse aux filiales de groupes très décentralisés et à certains groupes ayant un chiffre d’affaires légèrement inférieur. Cette étude aborde les principales problématiques liées à la gestion de l’entreprise étendue et aux risques y afférents, et ce dans un contexte en évolution permanente. Nous espérons vous apporter des éléments qui vous permettront de mieux appréhender les mutations à l’œuvre et les défis à venir, tout en vous aidant à valoriser les nombreuses opportunités qu’offrent la gouvernance et la gestion des risques des tiers à votre organisation. 1. Compte tenu de l’emploi croissant de l’expression « Third Party Risk » au niveau mondial pour qualifier les risques liés aux tiers des entreprises, nous utiliserons l’expression « Third Part Risk Management », et l’acronyme « TPRM » pour désigner la gouvernance et la gestion des risques des tiers dans la présente publication. 2. L’enquête porte sur les secteurs industriels suivants : Services financiers, Energie & Ressources, Secteur manufacturier, Secteur public, Technologies, Médias & Télécommunications, Produits de grande consommation, Santé & Sciences de la vie et Entreprises, infrastructures & services. Bienvenue dans notre enquête mondiale 2017 sur la gestion des risques dans les entreprises étendues. Une première enquête, parue en 2016 sous le titre « Les menaces sont réelles », révélait les méthodes employées par les grandes organisations pour traiter les principaux risques liés à la gestion de leurs tiers. S’engager auprès des tiers représente aujourd’hui une opportunité stratégique, ces derniers n’étant plus perçus uniquement comme un centre de coûts mais comme un vecteur de valeur ajoutée pour l’organisation. 02Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Prenons l’exemple des entreprises étendues. En tirant profit d’un « écosystème » de tiers, elles ont compris qu’elles peuvent innover et bénéficier de flexibilité, d’agilité et d’économies significatives. Mais parallèlement, elles sont également conscientes du fait que tout manquement d’un tiers risque de porter préjudice à leur marque et à leur réputation, entraîner des sanctions réglementaires et entraver leur capacité à répondre aux attentes de leurs clients. Notre conviction ? En choisissant la bonne approche de gestion des risques, les organisations sont en mesure de saisir l’avantage concurrentiel offert par l’entreprise étendue. Afin d‘aider les dirigeants à identifier les conditions leur permettant de tirer profit de leur entreprise étendue, cette étude passe en revue les opportunités et les défis relevés par plus de 500 organisations mondiales, notamment : • la gestion holistique et coordonnée des risques, • l’adoption d’une démarche de gestion axée sur les données, • l’amélioration de l’exécution des processus manuels et informatisés, • l’intégration de plateformes technologiques, • le recours à de nouveaux modèles de prestations. Les organisations les plus matures sont celles qui parviennent à améliorer la gouvernance et la gestion des risques de l’entreprise étendue, tout en bâtissant des relations avec leurs tiers qui leur permettent de mettre cet écosystème au service de la création de valeur. Nous pensons que les entreprises ne doivent pas gérer les risques uniquement pour protéger leur valeur, mais également pour consolider leur performance. Pour en savoir plus, nous vous invitons à consulter notre site : https://www2.deloitte.com/fr/fr/services/risques.html. Notre conviction ? En choisissant la bonne approche de gestion des risques, les organisations sont en mesure de saisir l’avantage concurrentiel offert par l’entreprise étendue. En tirant profit d’un « écosystème » de tiers, l’entreprise étendue peut innover et bénéficier de flexibilité, d’agilité et d’économies significatives… Mais elle s’expose également à de nouveaux risques. 03Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 1. Dépendance et vulnérabilité 1a. Malgré leur forte dépendance à l’égard des tiers, les organisations ne gèrent toujours pas les risques liés aux tiers de manière holistique et coordonnée. 1b. Les organisations se sentent mal préparées face aux mutations de l’environnement extérieur impactant leur entreprise étendue. 04 Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 1a. Malgré leur forte dépendance à l’égard des tiers, les organisations ne gèrent toujours pas les risques liés aux tiers de manière holistique et coordonnée. Messages clés Notre enquête 2016 a démontré qu’en dehors de la baisse des coûts, un nouveau groupe de facteurs, directement alignés sur la création de valeur à long terme (par exemple : agilité opérationnelle, accès à des compétences et savoirs spécialisés, innovation et perfectionnement des processus), accentuait leur dépendance à l’égard des tiers. Combiné à la croissance de la fréquence d’incidents graves avec les tiers et à des conséquences préjudiciables variées, ce constat a sensibilisé les conseils d‘administration à l’intérêt de la TPRM. Résultat : les organisations ont commencé à envisager des investissements dans des programmes holistiques et intégrés de gestion des tiers. Cette enquête indique que la dépendance stratégique à l’égard des tiers continue de se renforcer. Ainsi, 40,5% des répondants font état d’une augmentation de leur degré de dépendance vis-à-vis des tiers au cours de l’année passée, et 10,1% déclarent même l’avoir vu s’accroître fortement. Bien que 53,3% des organisations ayant pris part à l’étude affichent désormais un « degré de dépendance élevé ou critique » à l’égard des tiers, seules 20,1% affirment avoir intégré ou optimisé leurs mécanismes de TPRM. Les répondants admettent que le niveau actuel d’intégration et d’optimisation de ces mécanismes est très inférieur à leurs espérances. Ils aspirent néanmoins à progresser sur ce point : 53% des répondants veulent réussir la complète intégration de ces mécanismes et 27% souhaitent une optimisation de ceux-ci dans les trois prochaines années. La plupart des organisations n’ont pas adopté de démarche de gestion complète et coordonnée des risques liés aux tiers ; et ce point n’a que très peu évolué cette dernière année. Bien que 53,3% des organisations interrog?es estiment avoir un ? degr? de d?pendance ?lev? ou critique ? envers les tiers? ... seules 20,1% ont int?gr? ou optimis? leurs m?canismes de TPRM . Degré de dépendance à l'égard des tiers Niveau de maturité en matière de TPRM Minime FaibleMod?r? Elev? Critique Initial : probl?matiques pas ou tr?s rarement prises en compte D?fini : certaines composantes prises en compte, mais efforts limit?s G?r? : toutes les composantes sont prises en compte, mais de mani?re perfectible Int?gr? : la plupart des composantes sont prises en compte et ?voluent Optimis? : l'organisation "id?ale" - toutes les composantes sont prises en compte et ?voluent 4,1% 11,2% 31,4% 35,8% 17,5% 6,8% 29,4% 43,7% 18,3% 1,8% 05Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes L’avis de Deloitte Les répondants se sont montrés trop optimistes dans notre dernière enquête quant aux temps et efforts nécessaires à la transformation organisationnelle requise pour assurer l’intégration et l’optimisation des mécanismes de TPRM. Compte tenu de la diversité des parties prenantes et des processus et technologies généralement affectés par ces évolutions, les organisations qui estimaient à 1 an le temps nécessaire pour mener ces changements risquent en réalité de devoir y passer plus de temps. L’expérience de Deloitte montre que ces programmes s’étalent en moyenne sur deux ou trois ans. L’état optimal de la TPRM est et demeurera une cible mouvante : les organisations ne cessent de « courir après » les opportunités et risques stratégiques que représentent les tiers. On peut notamment évoquer les éléments suivants qui vont accélérer cette tendance : ••une palette élargie de services d’accompagnement délivrés de manière innovante dans un environnement en rapide mutation ; ••la multiplication d’alliances et de joint-ventures ; ••l’augmentation de la proportion de tiers intervenant dans des opérations dépassant la traditionnelle chaîne d’approvisionnement directe (fournisseurs) ; ••l’usage accru des nouvelles technologies (liées au cloud, par exemple) qui facilitent la collaboration et permettent aux entreprises d’élargir leurs frontières virtuelles. Les résultats par industrie Les graphiques suivants montrent à quel point les grandes organisations ont des positions divergentes quant au niveau de dépendance optimal à avoir à l’égard des tiers. Le niveau de maturité de leur démarche de gestion des risques et de gouvernance des tiers fluctue lui aussi. Il existe cependant une corrélation entre la dépendance aux tiers et le niveau de maturité de TPRM. Situation actuelle : le premier graphique compare le niveau de dépendance aux tiers à la maturité actuelle des mécanismes de TPRM des organisations. Il sert donc à comprendre le positionnement actuel de ces organisations, regroupées par secteur. Le second graphique (visible à la page suivante) compare pour sa part la dépendance aux tiers au niveau de maturité TPRM souhaité et présente ainsi le parcours envisagé pour progresser en termes d’intégration et d’optimisation. • Les organisations financières semblent afficher la dépendance la plus élevée à l’égard des tiers, mais ce sont aussi celles ayant réalisé les plus gros investissements pour améliorer le niveau de maturité de leurs mécanismes de gouvernance et de gestion des risques des tiers. Soumises à une réglementation omniprésente, les entreprises de l’industrie financière présentent le plus grand nombre d’affaires dans lesquelles les régulateurs les tiennent pour responsables d’actions attribuables à leurs tiers. Cette surveillance ne se traduit pas uniquement par des amendes et des sanctions exemplaires, elle conduit aussi les entreprises à prêter une grande attention à la gouvernance et à la maîtrise des risques liés aux tiers. Elle leur donne également les moyens d’appréhender l’ensemble des risques impactant les décisions stratégiques et créant de la valeur pour leur organisation. Degré de dépendance à l'égard des tiers en fonction de la maturité TPRM par industrie (situation actuelle) 0 1 2 3 4 5 0 1 2 3 4 5 Niveau de maturit? de la TPRM Degr? de d?pendance ? l'?gard des tiers MinimeFaibleModéréElevéCritique Initial Defini Géré Intégré Optimisé Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Sant? & sciences de la vie Secteur manufacturier Secteur public Technologies, M?dias & T?l?communications Services financiers Les grandes organisations ont des positions divergentes quant au niveau de dépendance optimal à avoir à l’égard des tiers. 06Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes • Les industries santé & sciences de la vie, énergie & ressources et technologies, médias & télécommunications suivent de près le secteur financier dans leur degré de dépendance aux tiers. Toutes trois sont exposées à des changements disruptifs dans leur environnement. Ces derniers les amènent à devoir se tourner vers des tiers pour bénéficier d’innovations, d’avantages compétitifs ou réaliser des économies. A titre d’illustration, le secteur de la santé & des sciences de la vie fait face à de profondes incertitudes du fait des mutations démographiques (vieillissement de la population dans les pays occidentaux et enjeux de santé en découlant), de facteurs financiers (évolution des politiques publiques et pression en faveur d’une réduction des coûts) et de l’accélération de l’innovation (par exemple : automédication), dans un contexte marqué par le durcissement réglementaire et l’impératif de se mettre au service du patient par un recours massif à la technologie. De la même manière, les incertitudes entourant les prix de l’énergie ne sont pas sans effet sur les organisations du secteur énergie & ressources, tout comme les technologies émergentes et les plateformes à prestations et modèles tarifaires innovants impactent le secteur technologies, médias & télécommunications. Une réaction rapide étant nécessaire face à ces changements stratégiques, ces organisations n’ont pas eu l’occasion (ou les incitations réglementaires) d’investir dans la TPRM comme l’a fait le secteur financier ces dernières années. • Traditionnellement, les secteurs manufacturier et produits de grande consommation sont amenés à travailler avec un grand nombre de tiers via leur chaîne d’approvisionnement directe. Cela n’a pas varié ces dernières années, même si, sous l’effet de l’innovation et des technologies, de nouveaux modèles de prestations continuent d’émerger. En outre, l’impact de l’action réglementaire résultant de tiers est, jusqu’à aujourd’hui, considérablement inférieur à celui ressenti par les secteurs susmentionnés. Les répondants jugent donc la criticité de leur dépendance aux tiers inférieure à celle des autres industries. Par conséquent, les investissements dans la gouvernance et la gestion des risques ont pour l’essentiel été gérés par les équipes Achats, chargées des risques de la chaîne d’approvisionnement, et non alloués à une démarche holistique et intégrée, englobant l’ensemble des tiers. Tous les secteurs sans exception aspirent à poursuivre l’intégration et l’optimisation de leur gestion des risques liés aux tiers. • Enfin, le secteur public et le secteur entreprises, infrastructures & services présentent le plus faible niveau de dépendance relative vis-à-vis des tiers si on le compare à celui des autres industries, ce qui concorde avec leur faible niveau d’investissement dans la TPRM. • Aspirations : les résultats de l’enquête indiquent que tous les secteurs sans exception aspirent à poursuivre l’intégration et l’optimisation de la TPRM. Si ces aspirations se concrétisent dans les trois ans, les secteurs services financiers, technologies, médias & télécommunications et énergie & ressources deviendront des « acteurs avisés », à même de porter une attention proportionnée au risque et à la gouvernance, imposée par leur forte dépendance aux tiers. Le secteur de la santé et des sciences de la vie anticipe quant à lui l’adoption d’une approche plus mesurée, s’agissant de l’intégration et de l’optimisation de la feuille de route. Les répondants du secteur public comptent continuer à investir dans le TPRM. Néanmoins, leur haut niveau de responsabilité publique est de nature à inciter les décideurs à faire preuve de prudence et gérer les risques en vue de les surmonter ou d’atténuer leurs conséquences préjudiciables. Une telle démarche freinerait l’intégration plus directe de leur maîtrise et gestion des risques à leurs décisions stratégiques. Dans le même ordre d’idées, le secteur entreprises, infrastructures & services prévoit de limiter sa dépendance aux tiers en maintenant une gestion des risques portée sur la minimisation de leur responsabilité vis-à-vis de clients et autres tiers. Les investissements à venir seront avant tout alloués aux nouvelles menaces, par exemple aux failles de sécurité informatique ou aux atteintes à la confidentialité des données de leurs clients, aux blessures corporelles ou aux dommages matériels découlant de leurs actes ou omissions, voire aux préjudices économiques (dus aux retards, perte de productivité et coût des mesures correctives). Degré de dépendance aux tiers en fonction du niveau de maturité TPRM souhaité Niveau de maturit? de la TPRM souhait? 0 1 2 3 4 5 0 1 2 3 4 5 Degr? de d?pendance ? l'?gard des tiers MinimeFaibleModéréElevéCritique Initial Defini Géré Intégré Optimisé Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Sant? & sciences de la vie Secteur manufacturier Secteur public Technologies, M?dias & T?l?communications Services financiers 07Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Les résultats par région La région Amériques compte de loin la plus forte proportion de répondants faisant état d’une dépendance élevée ou critique envers les tiers (73,6%), devant EMEA (58,4%) et l’Asie-Pacifique (35,3%). La part de répondants dont les mécanismes TPRM sont intégrés et optimisés est également la plus élevée dans les Amériques (44,4%), devant EMEA (20,1%) et l’Asie-Pacifique (15,1%). 0 10 20 30 40 50 60 70 80 Elev? ? critiqueMod?r?Faible ou minime Degré de dépendance aux tiers par région 0 20 40 60 80 100 Int?gr? ou optimis?Initial, d?fini ou g?r? Niveau de maturité TPRM par région Am?riques Asie-Pacifique EMEA La région Amériques compte à la fois la plus forte proportion de répondants mentionnant une dépendance élevée ou critique à l’égard des tiers, et la part la plus élevée de répondants indiquant intégrer et optimiser leurs mécanismes TPRM. 08Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 74,1 % des ré pondants ont dû faire face à au moins un incident lié à un tiers durant ces trois dernières années. Un répondant sur cinq déclare avoir été confronté à la défaillance complète d'un tiers ou à un incident aux conséquences majeures, dont l'impact aurait pu être minimisé si la résilience avait été mieux prise en compte. Degré de préparation Préparation totale Préparation relative Pas de préparation 11,6% 16,1% 72,3% 1b. Les organisations se sentent mal préparées face aux mutations impactant leur entreprise étendue. Messages clés Les participants à l’enquête s’accordent pour reconnaître la forte progression des incertitudes et de la volatilité économique et politique par rapport à l’an passé : parmi les facteurs en cause, on citera notamment le changement d’administration aux Etats-Unis et les incertitudes en découlant pour la politique gouvernementale, les craintes d’une montée du protectionnisme dans le commerce international suite au vote du Brexit, et l’apparition continue de nouvelles réglementations internationales, comme le règlement général sur la protection des données (RGPD), qui durcit les obligations légales dans l’ensemble de l’Union européenne. L’étude révèle justement que la faiblesse des investissements pour consolider la résilience organisationnelle dans un environnement si volatil et incertain expose aujourd’hui les organisations à des risques majeurs. A peine 11,6% des répondants se sentent « parfaitement préparés » aux incertitudes accrues liées à l’environnement extérieur, alors qu’une forte majorité d’entre eux (72,3%) s’estiment seulement « relativement bien préparés ». Quant au reste (16,1%), ils ne se considèrent tout simplement pas préparés à faire face à ces incertitudes grandissantes. Parallèlement, les résultats de l’enquête font état d’une fréquence élevée d’incidents avec les tiers. Ainsi, pas moins de 74% des dirigeants interrogés rapportent avoir été confrontés à au moins un incident lié à un tiers au cours des trois dernières années. Sur la même période, un répondant sur cinq déclare avoir été confronté à la défaillance complète d’un tiers ou à un incident aux conséquences majeures, dont l’impact aurait pu être minimisé si la résilience avait été mieux prise en compte. Enfin, 26,3% des répondants ont été confrontés à un manquement aux obligations réglementaires, tandis que 16,7% ont été victimes d’une atteinte à leur réputation, directement attribuable à leurs relations avec les tiers. 09Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Les résultats par industrie Même si le manque de préparation à des changements d’ampleur dans l’environnement extérieur et l’exposition à des épisodes de défaillance complète ou à des perturbations majeures imputables à des tiers sont communs à l’ensemble des secteurs, plusieurs industries sortent du lot : • Aucun répondant des secteurs santé & sciences de la vie, technologies, médias & télécommunications, et entreprises, infrastructures & services ne s’estime parfaitement préparé à de profondes mutations de l’environnement extérieur, même si respectivement 23,1%, 23,3% et 30% d’entre eux déclarent avoir été victimes d‘une défaillance complète ou de perturbations majeures dues à un tiers ces trois dernières années. • Le secteur des services financiers semble mieux préparé aux évolutions de l’environnement, quoique seuls 17,3% des dirigeants interrogés indiquent être fin prêts ; ils sont néanmoins 21,3% à avoir été exposés à une défaillance complète ou à une perturbation majeure due à un tiers ces trois dernières années. 0% 50% 60% 70% 80% 90% 10% 20% 30% 40% 100% Préparation complète Préparation relative Pas de préparation Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Santé & sciences de la vie Secteur manufacturier Secteur public Technologies, Médias & Télécommunications Services financiers Les procédures de due diligence ou de vérification applicables aux tiers constituent autant de contrôles préventifs et de garde-fous face à de futurs défis. Préparation à un changement majeur de l’environnement extérieur par industrie L’avis de Deloitte Les investissements dans la TPRM consistent généralement à mettre en œuvre des contrôles portant sur des risques spécifiques que les tiers posent, par nature, aux organisations, en fonction de la nature de leurs prestations. Ces contrôles ont avant tout pour objet de détecter les situations appelant l’attention de la direction ou exigeant une remontée rigoureuse en temps utile. De même, les procédures de due diligence ou de vérification applicables aux tiers constituent autant de contrôles préventifs et de garde-fous face à de futurs défis. Destinée à réduire l’impact des incidents dérivant des risques liés aux tiers, la résilience n’est pas suffisamment prise en compte, sauf lorsque la réglementation l’impose, comme dans le secteur des services financiers. Les incertitudes liées à l’environnement externe devraient occuper une place majeure dans la feuille de route des fonctions risques durant les 12 prochains mois, afin d’investir dans la résilience et ainsi compléter les efforts axés jusque-là sur la détection et la prévention. Pour Deloitte, il s’agit d’une des grandes tendances en matière de risques pour 2017. 10Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Les résultats par région De toutes les régions, les Amériques sont les mieux préparées : 18,8% de ses représentants déclarent être parfaitement prêts, devant l’Asie-Pacifique où 14,3% des répondants partagent le même avis. A l’opposé, en zone EMEA, moins d’un répondant sur dix se dit parfaitement préparé aux mutations de l’environnement extérieur, alors même que les situations de défaillances complètes ou de perturbations majeures dues aux tiers sont les plus fréquentes (23,7%). C’est dans les Amériques que les incidents liés aux tiers et occasionnant un préjudice réputationnel sont les plus fréquents (un répondant sur quatre en fait mention), tandis que la région EMEA se distingue par la plus forte proportion de défaut de conformité aux obligations réglementaires (28,5%). En zone EMEA, moins d’un répondant sur dix se dit parfaitement préparé aux mutations de l’environnement extérieur, alors même que les situations de défaillances complètes ou de perturbations majeures dues aux tiers sont les plus fréquentes (23,7%). Résilience aux risques découlant de l’évolution de l’environnement extérieur par région AmériquesA sie-Pacifique EMEA 18,8% 14,3% 9,9% 49,0%68,8% 12,5% 36,7% 79,0% 11,1% Préparation complète Préparation relative Pas de préparation 11Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 2. Gestion et suivi des relations avec les tiers 2a. Si la compréhension du paysage des tiers progresse, les données nécessaires à l’identification et à la gestion des risques qui y sont associés sont toutefois insuffisantes. 2b. Le développement des capacités d’identification des risques émergents liés aux tiers devient clé. 12 Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 2a. Si la compréhension du paysage des tiers progresse, les données nécessaires à l’identification et à la gestion des risques qui y sont associés sont toutefois insuffisantes. Messages clés L’enquête révèle que plus de la moitié (55,4%) des organisations interrogées jugent leur connaissance des tiers forte à excellente, tandis que les autres (44,6%) l’estiment faible ou relative. Cela étant dit, bien que le niveau global de connaissance des tiers semble avoir augmenté depuis que les organisations ont commencé à investir dans des programmes de TPRM holistiques et intégrés, les résultats de l’étude font ressortir un manque de confiance dans les données nécessaires à la gestion de ces risques. Pas moins de 53,8% des répondants estiment avoir une connaissance limitée ou insuffisante des conditions contractuelles et des données y afférentes. Aucune initiative organisationnelle spécifique ne semble être prise pour améliorer la qualité et le niveau de maîtrise et d’utilisation de ces informations dans près de la moitié des organisations (46,6%) participant à l’enquête. 46,6 % des ré pondants ne prennent aucune initiative organisationnelle pour améliorer la qualité des données relatives à l’exécution des contrats et renforcer ainsi la connaissance des tiers avec lesquels ils collaborent. Niveau de compréhension des tiers et de maîtrise des données contractuelles y affére ntes Compréhension faible à relative Compréhension forte à excellente Connaissance insuffisante Connaissance limitée Bonne connaissance 44,6% 6,1% 55,4% 47,7% 46,2% 13Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Les résultats par industrie L’enquête souligne des écarts entre les différents secteurs dans la connaissance des tiers et la maîtrise des données contractuelles : • Les organisations des secteurs services financiers, énergie & ressources, et entreprises, infrastructures & services se montrent les plus confiantes quant à leur connaissance des tiers, puisque respectivement 64% (services financiers), 64% (énergie & ressources) et 67% (entreprises, infrastructures & services) d’entre elles l’estiment raisonnable à excellente. Ces trois secteurs déclarent également avoir la plus forte maîtrise des données contractuelles, avec respectivement 49,3% (services financiers), 63,6% (énergie & ressources) et 46,4% (entreprises, infrastructures & services) d’entre elles qui jugent en avoir une connaissance raisonnable à élevée. • Les organisations du secteur public et du secteur manufacturier se déclarent, pour leur part, moins confiantes dans leur connaissance des tiers, puisqu’elles ne sont que 37% (secteur public) et 40% (secteur manufacturier) à l’estimer raisonnable à excellente. De la même manière, moins de la moitié d’entre elles précisent maîtriser suffisamment les contrats y afférents. L’avis de Deloitte D’après notre expérience, il existe une corrélation directe entre la place occupée par les données dans une organisation et sa capacité à gérer ses relations avec les tiers de manière globale, en prenant en compte les opportunités et les risques correspondants. Les spécialistes de Deloitte estiment qu’en l’absence d’initiatives visant à améliorer la qualité des données, le faible niveau de compréhension des données concernant les tiers compromet la possibilité de prendre des décisions avisées s’agissant des risques liés. Il est intéressant de noter que le renforcement des processus de contractualisation (par exemple, grâce à des modèles centralisés) revient très souvent dans les initiatives organisationnelles des participants à l’enquête. Les avantages d’une telle initiative seraient amplifiés si les données étaient mieux prises en compte dans la démarche. 0% 20% 40% 60% 80% 100% Compréhension raisonnable à excellente Compréhension faible à relative Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Sant? & sciences de la vie Secteur manufacturier Secteur public Technologies, M?dias & T?l?communications Services financiers Connaissance insuffisanteConnaissance limitée Bonne connaissance 0% 20% 40% 60% 80% 100% Différents niveaux de compréhension des tiers (par industrie) Différents niveaux de connaissance des conditions contractuelles/données relatives aux tiers (par industrie) Organisations ne prenant aucune initiative particulière pour l‘amélioration de la qualité des données liées aux tiers (par industrie) 0% 10% 20% 30%4 0% 50%6 0% Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Santé & sciences de la vie Secteur manufacturier Secteur public Technologies, Médias & Télécommunications Services financiers 14Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Les résultats par région La maîtrise des données contractuelles atteint son plus haut niveau dans la région Amériques, où 61,1% des répondants l’estiment bonne, et le plus faible en Asie-Pacifique, où seuls 31,6% des répondants ont choisi cette réponse. Ce résultat se reflète dans la proportion d’organisations ayant des initiatives liées aux données des tiers. En effet, ce pourcentage est le plus élevé dans les Amériques (66,7%), devant EMEA (60,4%), contre seulement 32,5% en Asie-Pacifique. Les Amériques présentent la plus forte proportion d’organisations prenant des initiatives concernant les données des tiers (66,7%). Différents niveaux de maîtrise des données contractuelles par région Importance relative des initiatives concernant les données tiers dans les régions Amériques et EMEA par rapport à Asie-Pacifique Amériques  Asie-PacifiqueE MEA 11,1% 7,9% 5,0% 31,6% 60,5% 27,8% 61,1% 50,5% 44,5% Connaissance insuffisante Connaissance limitée Bonne connaissance 66,7% Amériques  60,4% EMEA 32,5% Asie-Pacifique 15Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 2b. Le développement des capacités d’identification des risques émergents liés aux tiers devient clé. Messages clés En 2016, seuls 6,5% des participants à notre enquête témoignaient d’une confiance élevée dans le suivi des risques liés aux tiers et les mécanismes de gestion qui s’y appliquent. Même si leur proportion est passée à 7,4% dans cette étude, ce pourcentage demeure faible et indique que les capacités de suivi des risques opérationnels ne sont pas à la hauteur des attentes des parties prenantes. Par ailleurs, l’augmentation du niveau de confiance ne semble pas corrélée à la consolidation des capacités d’identification des risques émergents liés aux tiers. Les résultats de l’enquête indiquent en effet que seuls 13,6% des répondants disposent de capacités à identifier les risques émergents et les enjeux de performance des tiers et les ont efficacement intégrées à leurs processus de gestion des tiers. Les 78,9% restants (exclusion faite des 7,5% ne prévoyant aucune action en la matière) se trouvent à différents stades du processus. Même si les discussions ou les efforts progressent dans 29% des organisations, les répondants ne sont pas moins de 50% à déclarer n’exploiter ces capacités que dans de très rares cas. Seuls 13,6 % des dirigeants déclarent disposer de capacités pour identifier les  risques imminents et les  enjeux de performance des  tiers et déclarent également les avoir efficacement intégrées aux processus de gestion de leur entreprise étendue. Par ailleurs, 78,9 % des dirigeants ayant répondu à l’enquête se trouvent à différents stades de développement de ces capacités. Degré de confiance dans la gestion et le suivi organisationnels des tiers Niveau de maturité dans la mise en œuvre des capacités d’identification des risques émergents Elevé Faible Aucun projet n'existe en la matière Des discussions sont en cours Des efforts sont en cours Ces capacités sont appliquées de manière limitée Ces capacités sont bien intégrées à nos processus 17,4% 83,0% 7,5% 15,9% 13,1% 13,6% 50,0% Même si les discussions ou les efforts progressent dans 29% des organisations, les répondants ne sont pas moins de 50% à déclarer n’exploiter ces capacités que dans de très rares cas. 16Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 0% 20% 40% 60% 80% 100% Fort Faible à moyen 0% 20% 40% 60% 80% 100% Aucune capacité ou capacité limitée Capacités correctement intégrées Les résultats par région La région Amériques devance nettement les autres, puisque 21,4% des organisations interrogées annoncent avoir développé des capacités de vigilance et de suivi prospectif et les avoir parfaitement intégrées aux processus GGRT. Les zones EMEA (14,4%) et Asie-Pacifique (9,3%) sont loin derrière. Organisations disposant de capacités de vigilance et de suivi prospectif correctement intégrées aux processus TPRM 21,4% Amériques  14,4% EMEA 9,3% Asie-Pacifique Degré de confiance dans la gestion et le suivi organisationnels de tiers par industrie Capacité de suivi des tiers par industrie L’avis de Deloitte Pour Deloitte, passer de la détection à la prévention du risque est crucial, car cela traduit la volonté des organisations à instaurer une TPRM optimisé et mature. La rapidité de mise en œuvre et la fluidité d’intégration des mécanismes de vigilance liés aux tiers contribuent en effet à une identification proactive des risques émergents et des enjeux de performance de ces derniers. Par ricochet, ces avancées concourent à une meilleure prévention des menaces et optimisent par là même les capacités TPRM et la confiance des parties prenantes. Les organisations peuvent envisager la possibilité de tirer parti des modèles de services émergents comme les « managed services » ou les hubs d’information, pour identifier les risques de défaillance des tiers et se donner ainsi les moyens d’empêcher les manquements ou de réduire l’impact des préjudices. Les résultats par industrie Les organisations du secteur public affichent le plus bas niveau de confiance de leurs parties prenantes dans les mécanismes de suivi et de gestion des tiers. Par ordre croissant, viennent ensuite la santé & les sciences de la vie (7,7% des répondants partagent cet avis), les technologies, médias & télécommunications, les produits de grande consommation (tous deux 11,1%) et le secteur énergie & ressources (13,6%). Les capacités de vigilance ou de suivi prospectif semblent être les plus évoluées dans le secteur des services financiers, où 18,7% des répondants ont développé et intégré ces capacités à d’autres aspects de la maîtrise des risques liés aux tiers. Loin derrière les services financiers, ce pourcentage diminue dans les secteurs technologies, médias & télécommunications (11,1%), produits de grande consommation (11,1%), entreprises, infrastructures & services (10%) et énergie & ressources (9,1%). Il est à noter, par ailleurs, qu’aucun répondant du secteur public n’a développé et intégré ces capacités. Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Sant? & sciences de la vie Secteur manufacturier Secteur public Technologies, M?dias & T?l?communications Services financiers 17Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 3. Processus de gouvernance et de gestion des risques 3. Le niveau de confiance reste faible dans les processus et les technologies TPRM. 18 Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 3. Le niveau de confiance reste faible dans les processus et les technologies TPRM. Messages clés Selon l’enquête, les risques liés aux tiers sont portés systématiquement ou régulièrement à l’ordre du jour du conseil d’administration dans 53,2% des organisations interrogées. Ces dernières sont souvent les plus progressistes, appréciant les avantages procurés par l’interconnexion entre risque et stratégie au plus haut niveau de l’organisation, ou alors sont soumises à des obligations réglementaires - pour celles opérant dans un environnement fortement réglementé. Certaines organisations indiquent que leur conseil d‘administration a commencé à s’intéresser aux enjeux de TPRM suite à un grave incident lié à un tiers, avec un impact significatif sur leurs clients La responsabilité ultime de la gestion des risques liés aux tiers repose sur les conseils d’administration, les PDG, les Directeurs financiers, les Directeurs des achats ou autres membres de l’équipe dirigeante dans 74,6% des cas - chiffre traduisant là encore l’évolution encourageante de la TPRM vers un niveau stratégique. Toutefois, le niveau de confiance dans la qualité des processus TPRM n’en demeure pas moins très faible, puisque 82,5% des répondants déclarent devoir continuer à faire des efforts en la matière. Même constat quant à l’intérêt de la technologie : la proportion de répondants doutant de l’utilité des technologies TPRM dans leur organisation n’a que faiblement reculé, passant de 94,3% lors de notre dernière enquête à 90,6%. La responsabilité ultime de la gestion des risques des tiers repose sur les conseils d’administra tion, les PDG, les Directeurs financiers, les Directeurs des achats ou autres membres de l'équipe dirigeante dans 74,6 % des cas. Inscription de la gestion des risques liés aux tiers à l'ordre du jour du conseil d’administration Responsabilité globale de TPRM Membre (s) du CA PDG Directeur financier Directeur de la gestion des risques Directeur des achats Directeur de la gestion des fournisseurs/alliances Responsable des fournisseurs/alliances Directeur de l'audit interne Directeur de la conformité Autres/Non déterminé Non Par intermittence (faible importance) Réactive (réponse à des incidents) Périodique (avec une urgence variable) Constante (composante critique) 6,3% 16% 11,7% 28,8%41,5% 11,7% 20% 19% 11% 13% 12% 12% 4% 3% 3% 19Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 30% 20% 10% 40% 50% 60% 70% 0% Point critique constamment porté à l'ordre du jour Point périodiquement porté à l'ordre du jour avec un niveau d’urgence variable Inscription des risques liés aux tiers à l’ordre du jour du CA par industrie Les rôles du conseil d’administration et de la direction générale sont clés pour avancer dans la mise en place de dispositifs efficaces de gestion des risques des tiers. L’avis de Deloitte Tout comme celle de 2016, l‘enquête de cette année met en relief l’existence d’un écart entre les attentes placées dans la TPRM et la réalité. Ce fossé s’explique par le fait que les technologies, processus et compétences nécessaires à l’obtention des résultats escomptés ne sont pas réunis pour soutenir les engagements organisationnels. Bien que l’écart en question ait commencé à se résorber ces 12 derniers mois, il reste encore beaucoup de chemin à parcourir pour que les processus, les mécanismes de suivi et les technologies TPRM parviennent à un niveau réellement satisfaisant. De l’avis des spécialistes de Deloitte, l’appropriation de la TPRM par le conseil d‘administration (CA) et les membres du COMEX est généralement primordiale pour que les organisations gèrent les risques des tiers de manière efficace et effective. Elles doivent capitaliser sur le rôle du CA et de la direction générale pour combler l’écart entre attentes et exécution. Cela étant dit, cette réflexion sur la transformation n’a pas encore eu d’impact substantiel sur les organisations soumises à une faible pression réglementaire et sur celles n’ayant pas encore été exposées aux impacts négatifs d’un incident lié aux tiers. Les résultats par industrie La gestion des risques des tiers est inscrite fréquemment ou systématiquement à l’ordre du jour des conseils d’administration des secteurs des services financiers (62,6% des répondants), santé & sciences de la vie (61,5%), technologies, médias & télécommunications (61,1%) et énergie & ressources (59%), avec un degré d’urgence et de criticité supérieur à celui du secteur manufacturier (40,1% des répondants). Le niveau de confiance dans les processus TPRM est le plus faible dans les secteurs public, santé & sciences de la vie, technologies, médias & télécommunications, et énergie & ressources (seulement 7,7% des répondants ont exprimé un niveau de confiance élevé pour le secteur de la santé & des sciences de la vie, 11,1% pour le secteur des technologies, médias & télécommunications, 12,5% pour le secteur public, et 13,6% pour le secteur énergie & ressources). Ce pourcentage atteint les 22,7% dans le secteur financier, montrant les progrès à réaliser, même pour l’industrie la plus sensibilisée et contrainte par le sujet. Le niveau de confiance dans les technologies soutenant les processus TPRM est le plus faible dans les secteurs de la santé & des sciences de la vie, et des technologies, médias & télécommunications, où aucun répondant n’a indiqué un niveau de confiance élevé. Il atteint en revanche son meilleur score dans le secteur public et le secteur manufacturier, dont l’environnement économique a été relativement plus stable que celui des secteurs santé & sciences de la vie et technologies, médias & télécommunications, même si, là encore, le pourcentage de répondants se déclarant très confiants (respectivement 12,5% et 14,3%) en dit long sur l’ampleur des progrès qui restent à accomplir. Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Sant? & sciences de la vie Secteur manufacturier Secteur public Technologies, M?dias & T?l?communications Services financiers 20Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Sant? & sciences de la vie Secteur manufacturier Secteur public Technologies, M?dias & T?l?communications Services financiers 20% 40% 60% 80% 100% 0% Elevé Faible à moyen Toutes industries confondues 30% 50% 70% 20% 10% 40% 60% 80% 0% AmériquesA sie-Pacifique EMEA Point critique constamment porté à l'ordre du jour Point périodiquement porté à l'ordre du jour avec un niveau d’urgence variable 80% 85% 90% 95% 100% 75% Elevé Faible à moyen Toutes industries confondues 100% 20% 40% 60% 80% 0% AmériquesA sie-Pacifique EMEA Elevé Faible à moyen Niveau de confiance dans les processus TPRM par secteur Niveau de confiance dans les technologies soutenant les processus TPRM par secteur Niveau de confiance dans les processus TPRM par région Les résultats par région Qu’elle soit périodique ou permanente, l’inscription de la gestion des risques liés aux tiers à l’ordre du jour du conseil d’administration est réalisée de manière plus fréquente dans la région Amériques (78,5% des répondants) que dans les autres régions du monde. La zone EMEA (56,9%) arrive en seconde position, suivie par l’Asie-Pacifique (34,9%). Le niveau de confiance dans les processus TPRM est le plus élevé dans la région Amériques, où 24,9% des répondants se déclarent très confiants. Ce pourcentage tombe au plus bas en Asie-Pacifique avec 13,9%. La région EMEA, quant à elle, se situe au milieu avec 18,5%. Cependant, le niveau de confiance dans les technologies sous- tendant les processus TPRM est faible quelle que soit la région considérée : en effet, les dirigeants interrogés ne sont que 12,5% (Amériques), 11,6% (Asie-Pacifique) et 9,5% (EMEA) à se déclarer très confiants. Inscription de la gestion des risques liés aux tiers à l’ordre du jour du conseil d’administration par région 21Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 4. Plateformes technologiques 4. Les plateformes technologiques continuent d’être déployées de manière fragmentée. 22 Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 4. Les plateformes technologiques continuent d’être déployées de manière fragmentée. Messages clés Les résultats de l’enquête montrent que les entreprises souhaitant mettre en place une solution intégrée TPRM se contentent pour l’instant d’une approche fragmentée et parcellaire. Cela présente certains avantages limités (notamment l’exploitation des différentes possibilités que proposent les outils du marché), mais contraint à la mise en place de processus manuels pour créer des passerelles entre les différentes plateformes. 55% des répondants combinent désormais plusieurs plateformes technologiques pour gérer les différentes typologies de risques liés aux tiers, voire pour gérer les différentes catégories de tiers, lorsque leurs organisations sont globales et décentralisées. Cités par 43,9% des répondants, les ERP demeurent la plateforme technologique la plus courante pour gérer les risques des tiers, suivis par les logiciels sur mesure utilisés par 20,4% des répondants pour compléter les ERP. Enfin, 19,9% des dirigeants interrogés utilisent actuellement les modules TPRM de solutions GRC (Gouvernance, Risque et Conformité) plus larges, alors que 17% se tournent vers des logiciels standard de gestion des risques des tiers. 55% des ré pondants à l'enquête combinent désormais plusieurs plateformes technologiques pour répondre aux exigences de la TPRM. 0 10 20 30 40 50 Les technologies TPRM : une approche fragmentée ERP Outil GRC (Gouvernance, Risque et Conformité) Logiciel standard de gestion des risques des tiers Logiciel sur mesure 23Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Les résultats par industrie Le secteur énergie & ressources (81,8%), le secteur public (62,5%), et le secteur de la santé & des sciences de la vie (61,5%) privilégient l’utilisation des modules d’ERP standard pour la gestion des risques de leurs tiers. Dans les autres secteurs, au moins 50% des répondants utilisent également les ERP pour la TPRM, à l’exception du secteur des services financiers où ce pourcentage s’élève seulement à 26,7%. Les secteurs public (50%), énergie & ressources (27,3%) et services financiers (24%) sont les trois premiers utilisateurs d’outils GRC pour gérer les risques de leurs tiers, tandis que le secteur santé & sciences de la vie et le secteur manufacturier sont ceux qui y ont le moins recours (7,7% et 11,4%). Les logiciels standard de gestion des risques des tiers sont les plus utilisés dans les secteurs des services financiers (22,7%), des produits de grande consommation (22,2%) et énergie & ressources (18,2%). Ils le sont nettement moins dans le secteur de la santé & des sciences de la vie (7,7%) et sont inexistants dans le secteur public. Les secteurs public (37,5%), entreprise, infrastructure & services (33,3%) et services financiers (28%) sont les trois premiers utilisateurs de solutions sur mesure, tandis que le secteur manufacturier est en bas du classement avec 5,7%. Les différe ntes approches technologiques de gestion des risques des tiers, par industrie Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Services financiers Santé & sciences de la vie Secteur manufacturier Secteur public Technologies, Médias & Télécommunications ERP Logiciel standard de gestion des risques des tiersL ogiciel sur mesure Outil GRC 0% 20% 40% 60% 80% 100% 0% 10% 20% 30% 40% 50% 0% 5% 10% 15% 20% 25% 0% 5% 10% 15% 20% 25% 30% 35% 40% 24Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes L’avis de Deloitte Avec les technologies adéquates, les entreprises peuvent mettre en œuvre et piloter des programmes de TPRM qui leur permettront de renforcer leur efficacité, de réduire leurs coûts, d’améliorer leur qualité de service, et d’accroître la rentabilité de leurs fonds propres. L’expérience de Deloitte en la matière montre que les organisations ayant une démarche technologique clairement définie pour gérer les risques liés aux tiers ont tendance à augmenter leur rendement sur fonds propres de 4 à 5%. L‘utilisation des outils et des technologies permet de réduire le temps passé sur les processus précontractuels, post-contractuels et de contrôle/suivi ; et ce faisant, de libérer du temps pour se concentrer sur la définition de la stratégie de gestion des risques des tiers et sur la création de valeur qui en découle. La plupart des participants à l’enquête souhaitent mettre en place des plateformes technologiques permettant d’adresser le plus grand nombre possible de composants de la gestion des risques des tiers (exemples : réalisation de due diligences et d’évaluations continues des risques, suivi de KPIs et autres données de performance au travers de tableaux de bord, facilitation de l’accès à la documentation, remontée des anomalies…). Cela présente certains avantages, notamment l’exploitation des différentes possibilités que proposent les outils du marché, mais contraint de nombreuses organisations à des démarches manuelles pour corriger les écarts entre les différentes plateformes. Les résultats par région Le recours à des plateformes technologiques pour gérer les risques des tiers est le plus élevé dans la région Amériques : ERP (64,3%), outils GRC (50%) et logiciels standard de gestion des risques des tiers (35,7%). L‘utilisation d’outils GRC (19,6%) et de logiciels standard de gestion des risques des tiers (21,7%) est moins répandue dans la région EMEA, où elle est contrebalancée par le recours accru aux logiciels sur mesure (26,6%). Les répondants de la région Asie-Pacifique semblent être le plus à l’écart des technologies de gestion des risques liés aux tiers. 0% 20% 40% 60% 80% ERP 0% 10% 20% 30% 40% Logiciel standard de gestion des risques des tiers 0% 10% 20% 30% Logiciel sur mesure 0% 10% 20% 30% 40% 50% Outil GRC Amériques Asie-PacifiqueEMEA Utilisation des plateformes technologiques TPRM par région 25Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Modèles de prestations émergents 5a. Le recours accru aux centres d’excellence et aux modèles de « managed services » apporte compétences et cohérence dans des environnements fortement décentralisés. 5b. La création de hubs d’information communautaires fonctionnant comme des places de marché est une tendance forte. 26 Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 5a. Le recours accru aux centres d’excellence et aux modèles de « managed services » apporte compétences et cohérence dans des environnements fortement décentralisés. Messages clés Les grandes organisations continuent d’être gérées de manière décentralisée (comme c’était déjà le cas lors de la précédente édition de cette étude) : 62,4% des répondants jugent leur degré de décentralisation supérieur ou égal à leur degré de centralisation. Ce constat représente un défi de taille pour le déploiement d’une approche holistique et unifiée de la gouvernance et de la gestion des risques liés aux tiers. C’est la raison pour laquelle nous assistons au développement de différents modèles de prestation hybrides et innovants, combinant les caractéristiques des organisations centralisées et décentralisées, et préservant agilité et compétitivité sur le marché. L’enquête révèle que la majorité des sondés (59%) ont élargi ou sont en train d’élargir le rôle de leurs services centralisés internes en y incluant des centres de services partagés (CSP) et des centres d’excellence dédiés à la gestion des risques des tiers, afin de développer standardisation, compétences et talents. Les répondants sont toutefois 12,8% à se tourner progressivement vers les modèles de « managed services » proposés par des prestataires de services externes. Cela reflète une volonté de cohérence et de montée en compétences. Parallèlement, 28,2% des répondants demeurent indécis sur la marche à suivre, préférant observer avant de se décider… Plus de 59% des ré pondants s'orientent vers une centralisation accrue des fonctions internes pour mener à bien la gestion des risques liés aux tiers. Modèles émergents de prestations de services  (centres d’excellence, centre s de services  partag?s vs mod?les de ? managed services?   fournis par des prestataires externes) Basculement progressif vers une fonction interne centralisée Basculement progressif vers un modèle de prestations externalisé Aucun des deux/Choix incertain 59,0% 12,8% 28,2% 27Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes L’avis de Deloitte Le choix entre une fonction interne et centralisée et un modèle de « managed services » fourni par un prestataire externe pour la TPRM peut entraîner des conséquences importantes et doit donc être considéré avec attention. Les organisations qui évoluent vers une fonction interne centralisée dans ce domaine sont avant tout guidées par le besoin de conserver un contrôle organisationnel sur cette activité essentielle. Pour autant, l’option des modèles de « managed services » permet à l’organisation de choisir un niveau de personnalisation adapté à ses besoins, ce qui n’est pas le cas pour la plupart des services, tout en bénéficiant de coûts moins élevés que ceux d’une équipe dédiée interne. Les centres d’excellence et les modèles de « managed services » permettent la mise en place de normes homogènes, la définition de processus uniformes, l’implémentation d’une technologie commune à toutes les activités de l’organisation avec une orientation stratégique à plus long terme, l’apport de formations, l’évaluation des risques et l’apport de lignes directrices. En parallèle, les dirigeants conservent la responsabilité de la gestion des risques et de la gouvernance. Les résultats par industrie Les organisations du secteur public, du secteur manufacturier et des Services financiers semblent prioriser le développement d’une fonction interne centralisée consacrée à la gestion des risques des tiers. En effet, la plupart des répondants (77,5% pour le secteur public, 68,6% pour le secteur manufacturier et 65,3% pour les Services financiers) ont une stratégie claire sur cette approche. Par ailleurs, les répondants du secteur technologie, médias et télécommunications sont les premiers à tirer réellement parti d’un modèle de « managed services » fourni par un prestataire de services externe (27,8% des sondés). À l’opposé, dans le secteur santé & sciences de la vie, aucune organisation ne présente d’intérêt pour les modèles de « managed services ». Une large proportion de répondants de ce secteur doivent clarifier leur stratégie sur ce sujet. 20% 40% 60% 80% 100% 0% Basculement progressif vers une fonction interne centralisée Basculement progressif vers un modèle de prestation externalisé Aucun des deux/Choix incertain Tendances caractérisant les modèles de prestations émergents applicables à la gestion des risques liés aux tiers, par industrie Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Sant? & sciences de la vie Secteur manufacturier Secteur public Technologies, M?dias & T?l?communications Services financiers 28Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Les résultats par région La région EMEA est la première à envisager un basculement progressif vers une fonction interne centralisée (60,8% des répondants), alors que la région des Amériques présente le pourcentage le plus élevé de répondants indiquant vouloir passer à un modèle de prestations externalisé (35,7%). Tendance régionale des modèles de prestations 20% 40% 60% 80% 100% 0% AmériquesA sie-Pacifique EMEA Basculement progressif vers une fonction interne centralisée Basculement progressif vers un modèle de prestations externalisé Aucun des deux/Choix incertain Différents modèles de prestations hybrides et innovants sont en cours de développement. Ils combinent les caractéristiques des organisations centralisées et décentralisées, et leur permettent de rester agiles et compétitives sur leur marché. 29Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Un dirigeant sur cinq a déjà recours aux plateformes d’information collaboratives (modèles d’information  communautaires disponibles sous forme de «marketplace»)  sur les risques liés aux tiers ou a l’intention d’y avoir recours  dans un futur proche. Néanmoins,  51,3  % des sondés déclarent ne pas avoir  connaissance de cette tendance émergente. Recours aux plateformes d’information collaboratives du marché Prévoient d’y avoir recours dans  un futur proche  Y ont peu recours Y ont beaucoup recours Ne prévoient pas d’y avoir recours dans  un futur proche N’ont pas connaissance de ces  plateformes 0% 10% 20% 30% 40% 50% 60% 5b. L’émergence de plateformes d’information collaboratives disponibles sous forme de « marketplace » est une tendance croissante. Messages clés Dans un monde interconnecté, le partage d’informations en mode collaboratif au sein et entre les organisations est de plus en plus reconnu comme un facteur de succès de la gouvernance et de la gestion des risques. C’est dans ce contexte qu‘ont émergé les plateformes d’information collaboratives : des modèles communautaires de partage d’information fonctionnant sous forme de « marketplace », pour la TPRM. Notre enquête révèle qu‘aujourd’hui, environ un répondant sur cinq a recours à ce type de service ou a l’intention de le faire dans un avenir proche. Les répondants voient dans cette pratique une tendance susceptible de les aider à optimiser leurs efforts de gestion des risques liés aux tiers. Néanmoins, le faible niveau de visibilité de ces plateformes d’information (51,3% des répondants n’ont pas connaissance de ce type de service) risque de limiter les bénéfices - résultant du partage d’information sur les tiers - que les organisations peuvent en tirer. 30Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes 0% 20% 40% 60% 80% 100% Y ont beaucoup recours Y ont peu recours Prévoient d’y avoir recours dans un futur proche Ne prévoient pas d’y avoir recours dans un futur proche N’ont pas connaissance de ces plateformes Recours aux plateformes d’information collaboratives par industrie L’avis de Deloitte Ces plateformes ouvrent la voie à une approche innovante selon laquelle les membres de la communauté (en général, de grandes organisations évoluant dans un vaste écosystème de tiers) unissent leurs forces pour réduire le temps passé à la présélection et l’évaluation continue des tiers. Dans le cadre de ce schéma, les organisations s’entendent sur l’application de normes communes aux tiers et sur le choix de données de performance précises, et collaborent pour les recueillir. Cette collaboration se trouve fréquemment facilitée par des infomédiaires externes faisant de ces plateformes des « marketplace » accessibles au moyen d’un abonnement. En ayant recours au cloud ou à d’autres technologies agiles, l’infomédiaire donne ensuite accès à une plateforme indépendante de données et d’analytics validées, qui aident les organisations à gérer les risques. De cette façon, le partage contrôlé d’informations non confidentielles accroît l’efficacité, renforce les standards de conformité et réduit les coûts pour tous les membres de la communauté. Outre la conformité à des standards minimums de présélection reposant sur la criticité du tiers, d’autres domaines potentiels liés au TPRM peuvent être partagés, comme par exemple : la confidentialité et la protection des données, la cybersécurité, la conformité réglementaire, la responsabilité sociale de l’entreprise (RSE), l’éthique et le développement durable, la rupture et la continuité de l’approvisionnement, la lutte anti-corruption, la qualité et la sûreté, la conformité des achats dans l’UE et la soutenabilité financière. Certains de ces services disponibles sur le marché proposent également des audits indépendants et des « Significant Event Notification and Tracking (SENT) », qui permettent aux organisations membres de gérer de manière proactive les événements disruptifs survenant à l’échelle de la communauté. Cependant, les plateformes d’information collaboratives ne dispensent pas les organisations de s’investir dans leurs propres systèmes TPRM et de prévoir des évaluations liées aux normes et accords conclus avec leurs tiers. Notons enfin que certains fournisseurs de plateformes d’information se mettent eux aussi à proposer des « managed services », ce qui accélère la croissance de la tendance. Les résultats par industrie Le secteur énergie & ressources est le premier secteur ayant recours aux plateformes d’information ou ayant l’intention de le faire dans un avenir proche, avec 40,9% de répondants. A l’opposé, les répondants des secteurs public (62,5%), santé & sciences de la vie (53,8%) et produits de grande consommation (51,9%) semblent les moins sensibilisés à ce sujet. Entreprises, infrastructures & services Produits de grande consommation Energie & Ressources Sant? & sciences de la vie Secteur manufacturier Secteur public Technologies, M?dias & T?l?communications Services financiers 31Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Les résultats par région L’intérêt pour les plateformes d’information collaboratives semble être le plus élevé dans la région Amériques, où 49,2% des répondants indiquent en utiliser une ou avoir l’intention de le faire à brève échéance. Il est en revanche très faible en Asie-Pacifique (7,2%), tandis que la région EMEA occupe une position intermédiaire (25,9%). C’est également en Asie-Pacifique que le déficit de sensibilisation est le plus élevé, puisque 59,5% des répondants de la région ignorent l’existence de ces plateformes d’information. Recours aux plateformes d’information collaboratives par région EMEA Asie- Pacifique Amériques 0% 20% 40%6 0% 80%1 00% Y ont beaucoup recours Y ont peu recours Prévoient d’y avoir recours dans un futur proche Ne prévoient pas d’y avoir recours dans un futur proche N’ont pas connaissance de ces plateformes Le partage collaboratif d’information entre les organisations gagne rapidement en popularité. C’est un vecteur clé de réussite dans la gestion des risques liés aux tiers. 32Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Marc Duchevet Associé mduchevet@deloitte.fr 01 55 61 27 72 Grégory Abisror Associé gabisror@deloitte.fr 01 58 37 94 03 Sonia Cabanis Directrice scabanis@deloitte.fr 01 58 37 03 04 33Gouvernance et gestion des risques des tiers I Surmonter les menaces et les incertitudes Contacts Deloitte fait référence à un ou plusieurs cabinets membres de Deloitte Touche Tohmatsu Limited (DTTL), société de droit anglais (« private company limited by guarantee »), et à son réseau de cabinets membres constitués en entités indépendantes et juridiquement distinctes. DTTL (ou « Deloitte Global ») ne fournit pas de services à des clients. Pour en savoir plus sur notre réseau global de firmes membres : www.deloitte.com/about. En France, Deloitte SAS est le cabinet membre de Deloitte Touche Tohmatsu Limited, et les services professionnels sont rendus par ses filiales et ses affiliés. Deloitte fournit des services professionnels en audit & assurance, consulting, financial advisory, risk advisory, juridique & fiscal et expertise comptable à ses clients des secteurs public et privé, quel que soit leur domaine d’activité. Deloitte sert quatre entreprises sur cinq du Fortune Global 500 ® companies à travers un réseau de firmes membres dans plus de 150 pays, et allie des compétences de niveau international à un service de grande qualité afin d’aider ses clients à répondre à leurs enjeux les plus complexes. Pour en savoir plus sur la manière dont nos 264 000 professionnels make an impact that matters (agissent pour ce qui compte), connectez-vous et échangez avec nous sur Facebook, LinkedIn ou Twitter. En France, Deloitte mobilise un ensemble de compétences diversifiées pour répondre aux enjeux de ses clients, de toutes tailles et de tous secteurs – des grandes entreprises multinationales aux microentreprises locales, en passant par les ETI et PME. Fort de l’expertise de ses 11 300 collaborateurs et associés, Deloitte en France est un acteur de référence en audit & assurance, consulting, financial advisory, risk advisory, juridique & fiscal et expertise comptable, dans le cadre d’une offre pluridisciplinaire et de principes d’action en phase avec les exigences de notre environnement. Deloitte 185, avenue Charles-de-Gaulle - 92524 Neuilly-sur-Seine Cedex © 2018 Deloitte SAS. Membre de Deloitte Touche Tohmatsu Limited Tous droits réservés - Studio graphique Neuilly #FRANCE 2023 PARTENAIRE #FRANCE 2023 PARTNER #FRANCE 2023 PARTENAIRE PARTNER #FRANCE 2023 2 PARTENAIRE COUPE DU MONDE DE RUGBY #FRANCE 2023