Sapin 2, dix ans après : et si la gestion des tiers était sa plus belle réussite ?

Sapin 2 a construit la bibliothèque. Les autres réglementations ont apporté les livres.

Parmi les mesures prévues par Sapin 2, l'évaluation des tiers occupe une place particulière.

En imposant aux entreprises concernées de structurer l'examen de leurs partenaires commerciaux, le législateur a contribué à faire émerger une véritable discipline de connaissance des tiers : identification, segmentation par les risques, critères d'évaluation, seuils de vigilance, procédures de validation, traçabilité des décisions.

Des pratiques qui existaient parfois, mais qui ont gagné en méthode et en systématicité.

Sapin 2 a, en quelque sorte, construit la bibliothèque dans laquelle les entreprises allaient pouvoir ranger les exigences réglementaires à venir.

Le RGPD a ajouté les obligations relatives aux sous-traitants de données personnelles. Les textes sur le devoir de vigilance et les droits humains ont enrichi les attentes concernant les chaînes d'approvisionnement. DORA et NIS 2 renforcent, pour les organisations concernées, la maîtrise des prestataires et des dépendances technologiques.

Chaque réglementation conserve ses spécificités. Mais toutes partagent une interrogation : avec qui travaillons-nous, à quels risques nous exposons-nous et comment les maîtrisons-nous ?

C'est peut-être l'un des héritages les plus féconds de Sapin 2.

Des outils désormais matures. Mais pour quel usage ?

Cette évolution a favorisé la maturation d'un véritable marché de solutions de Third-Party Risk Management (TPRM).

Référentiels centralisés, questionnaires adaptés aux risques, vérifications automatisées, détection des signaux d'alerte, circuits d'approbation, surveillance continue : les plateformes actuelles permettent de gérer une grande partie du cycle de vie des relations avec les tiers.

Les grandes entreprises ont également compris l'intérêt de mutualiser leurs informations plutôt que de multiplier les dispositifs indépendants.

Tout n'est pas parfait. Les silos subsistent. Mais les méthodes existent, les outils sont disponibles et les organisations commencent à rationaliser leurs approches.

Le véritable défi n'est donc plus seulement de savoir évaluer les tiers. C'est de faire en sorte que cette évaluation intervienne au bon moment, au bon endroit et au service des bonnes décisions.

La conformité ne peut pas toujours arriver après la bataille

Imaginons une direction conformité parfaitement équipée, disposant d'une plateforme performante et d'équipes compétentes.

Elle découvre un nouveau fournisseur au moment de la signature du contrat.

Le partenaire est sélectionné, les négociations sont terminées, les opérationnels attendent la prestation. Et voilà que l'évaluation révèle un risque sérieux.

Que faire ? Bloquer la relation ? Demander des investigations complémentaires ? Recommencer la sélection ?

La conformité devient alors celle qui ralentit, complique ou empêche.

Pourtant, le problème n'est ni l'outil ni la compétence de l'équipe. C'est le moment auquel elle intervient.

Personne ne décide de travailler avec un fournisseur pour satisfaire sa direction conformité. On recherche une prestation, un produit, une compétence ou une capacité industrielle.

La conformité doit donc être naturellement intégrée à ce parcours, dès l'émergence du besoin.

Collecter les informations une seule fois, partager les données entre fonctions, automatiser les vérifications répétitives, adapter les investigations au niveau de risque : autant de leviers pour rendre le dispositif plus fluide et plus efficace.

Surtout, une conformité informée suffisamment tôt peut devenir un véritable partenaire des métiers.

Elle peut alerter sur la fréquentabilité d'un partenaire, suggérer des vérifications complémentaires ou recommander d'explorer d'autres solutions.

Elle éclaire alors la décision au lieu de devoir la remettre en cause.

C'est, à court terme, la priorité.

Et si le véritable sujet était finalement la stratégie achats ?

Mais cette meilleure intégration opérationnelle n'est, à mes yeux, qu'une première étape.

Une question me frappe régulièrement dans les organisations que j'accompagne.

Pourquoi les directions conformité ont-elles autant investi dans la connaissance et l'évaluation des tiers, alors que les directions achats devraient être au cœur de la maîtrise des risques fournisseurs ?

Car le risque fournisseur ne se limite évidemment pas à la corruption.

Il est

• Financier : quelle est la solidité de notre partenaire ?

• Opérationnel : que se passe-t-il s'il interrompt ses livraisons ?

• Géopolitique : notre stratégie d'approvisionnement est-elle compatible avec les tensions internationales ?

• Réputationnel, social ou environnemental : quelles conséquences les pratiques de nos partenaires peuvent-elles avoir pour notre entreprise ?

Et stratégique : sommes-nous devenus trop dépendants d'un fournisseur, d'une technologie ou d'un pays ?

Ces questions ne devraient-elles pas être constitutives de toute stratégie achats digne de ce nom ?

Or, je constate souvent un décalage entre la sophistication des dispositifs de conformité et la maturité du pilotage stratégique des risques fournisseurs.

Les directions conformité ont investi dans des outils, structuré leurs analyses et développé leurs capacités de surveillance.

Pendant ce temps, les directions achats restent encore fréquemment concentrées sur la négociation, les économies, les appels d'offres et la gestion contractuelle.

Ces missions sont essentielles. Mais elles ne suffisent pas à définir une fonction achats véritablement stratégique.

Et pourquoi entretenir deux chaînes d'évaluation parallèles, l'une portée par les achats et l'autre par la conformité, lorsque les informations et les analyses pourraient être largement mutualisées ?

Et si nous regardions le problème à l'envers ?

Nous avons construit des plateformes de gestion des risques tiers, souvent sous l'impulsion des directions conformité, auxquelles nous cherchons aujourd'hui à raccorder les processus métiers.

Mais ne faudrait-il pas plutôt concevoir des plateformes de gestion stratégique des fournisseurs, dans lesquelles la conformité trouverait naturellement sa place ?

Les achats piloteraient la relation fournisseur et les risques associés, en lien avec les métiers. La conformité, la cybersécurité, le juridique, la finance ou la RSE apporteraient leurs expertises et leurs exigences.

La conformité conserverait naturellement son indépendance et ses responsabilités de contrôle de deuxième niveau. Mais elle ne serait plus contrainte de reconstruire une connaissance des tiers que l'entreprise devrait déjà partager.

Il ne s'agit pas de transférer la conformité aux achats.

Il s'agit de reconnaître que la maîtrise des risques fournisseurs commence au moment où l'entreprise définit sa stratégie d'approvisionnement, et non lorsqu'elle vérifie le partenaire retenu.

Dix ans après, une réussite à prolonger

Sapin 2 a-t-elle permis de réduire significativement la corruption ? La question reste ouverte.

Mais elle a incontestablement contribué à professionnaliser la connaissance et l'évaluation des tiers, tout en favorisant l'émergence de méthodes et d'outils dont l'utilité dépasse largement son objectif initial.

C'est un acquis majeur.

Pour les prochaines années, deux ambitions me semblent essentielles.

• À court terme : intégrer les dispositifs de conformité dans les processus opérationnels, suffisamment tôt pour éclairer les décisions plutôt que les contrôler après coup.

• À plus long terme : replacer la maîtrise des risques fournisseurs au cœur de la stratégie achats, dans une approche véritablement transversale.

Finalement, Sapin 2 nous a appris à mieux connaître nos tiers.

Dix ans plus tard, ne serait-il pas temps d'apprendre à mieux les choisir ?