Solutions · Achats, fournisseurs et clients
Pour les achats et le risque tiers
L'exposition de vos tiers, datée. En amont, c'est ce que NIS2 demande à l'article 21(3). En aval, c'est ce qui vous évite de payer une facture que votre client n'a jamais envoyée.
En amont : vos fournisseurs
Les vulnérabilités propres à chaque fournisseur direct
Le texte ne demande pas une politique générale : il demande de tenir compte de ce qui est propre à chaque tiers, un par un. Voici à quoi cela ressemble sur une liste de fournisseurs directs.
Vos fournisseurs directs
- Infogérance
- Paie
- Logistique
- Éditeur métier
- Maintenance
05/2024accès à l'environnement de cet éditeur proposé à la vente — vingt-deux mois avant votre revue annuelle
NIS2 impose de tenir compte des vulnérabilités propres à chaque fournisseur direct — article 21, paragraphe 3. Un questionnaire déclaratif ne l'établit pas ; une exposition datée, si.
Directive (UE) 2022/2555, article 21, paragraphe 3. Le schéma est illustratif.
En aval : vos clients
L'autre côté du contrat
Aucun texte ne vous oblige à regarder vos clients. Le risque, lui, existe : un client compromis ne vous met pas à l'arrêt, il vous écrit — et son message part d'une adresse parfaitement légitime.
Vos clients directs
- Grand compte
- Distributeur
- Revendeur
- Client public
- Compte export
02/2024boîte comptable de ce distributeur présente dans un lot d'identifiants — quatre mois avant la demande de changement de coordonnées bancaires
Un client compromis ne met pas votre production à l'arrêt : il vous écrit. La fraude au virement passe par une boîte légitime, et rien dans le message n'a l'air faux. Savoir depuis quand les identifiants de ce compte circulent est ce qui permet de douter au bon moment.
Schéma de principe. Les dates sont illustratives et ne décrivent aucun dossier réel.
Les moments qui comptent
Avant de signer, et pendant le contrat
À la sélection d'un fournisseur
Ce qui a déjà circulé sur un candidat, et depuis quand. Un fournisseur exposé depuis deux ans n'est pas un fournisseur exposé depuis hier.
À l'entrée en relation d'un client
Avant d'ouvrir un encours ou un délai de paiement, savoir ce qui circule déjà sur la contrepartie et ses dirigeants.
À la revue annuelle
Ce qui a changé depuis la dernière revue, daté, pour objectiver une discussion qui reste souvent déclarative.
Au dossier de conformité
Une trace écrite de ce qui a été regardé et quand, à verser au dossier NIS2 ou DORA.
Ce que le texte demande
Une déclaration n'est pas une vérification
L'article 21, paragraphe 3 de la directive (UE) 2022/2555 demande de tenir compte des vulnérabilités propres à chaque fournisseur direct. Un questionnaire rempli par le fournisseur lui-même dit ce qu'il déclare, à la date où il le déclare — et il n'y a rien d'autre à en tirer.
Une exposition observée depuis l'extérieur, datée et sourcée, se vérifie sans dépendre de la bonne volonté du tiers. C'est vrai d'un fournisseur, et tout autant d'un client, à qui personne ne pense à poser la question.
Commencer par vos tiers critiques
Une liste de fournisseurs et de clients suffit pour voir ce que l'archive ajoute à votre dernière campagne de questionnaires.