ADVISORY
Maîtriser les risques portés par vos partenaires
Un tiers ne doit pas être évalué selon un questionnaire standard, mais selon ce qu’il peut réellement exposer : données, accès, dépendances et continuité d’activité. Red Reaper adapte le niveau d’assurance à la criticité de la relation.
Notre approche
Contrôler davantage là où une défaillance ferait réellement mal.
La profondeur de l’évaluation doit être proportionnée à l’impact potentiel du service, aux accès accordés et aux informations traitées. L’objectif n’est pas de soumettre tous les fournisseurs au même dispositif, mais de concentrer l’effort d’assurance sur les relations qui portent le plus de risque.
Critères de qualification
- Accès au SI
- Données traitées
- Criticité métier
- Sous-traitance
- Résilience
- Réversibilité
Quel niveau d’assurance exiger ?
La profondeur de l’évaluation résulte de la combinaison entre l’impact d’une défaillance et le niveau d’exposition créé par la relation.
| Impact d’une défaillance | Exposition au SI et aux données | ||
|---|---|---|---|
| Limitée | Significative | Privilégiée | |
| Modéré | Qualification légère | Questionnaire ciblé | Revue de preuves |
| Important | Questionnaire ciblé | Revue documentaire | Audit ciblé |
| Critique | Revue documentaire | Audit ciblé et plan d’action | Assurance renforcée et suivi continu |
Cette représentation illustre une logique de proportionnalité. Le niveau d’assurance et la décision finale restent adaptés au contexte, aux preuves disponibles et au risque accepté par l’organisation.
La mission doit produire un avis exploitable
Red Reaper produit un avis et des éléments d’arbitrage ; la décision contractuelle finale appartient au client.
Accepter
Le niveau de maîtrise et les preuves sont compatibles avec l’exposition identifiée.
Accepter sous réserve
Les écarts sont acceptables à condition d’être attribués, suivis et corrigés dans un délai convenu.
Conditionner
Des mesures contractuelles, techniques ou organisationnelles doivent être obtenues avant la mise en production ou l’engagement définitif.
Refuser ou suspendre
L’exposition est incompatible avec le niveau de maîtrise démontré ou les preuves disponibles sont insuffisantes.
L’évaluation peut produire
- Rapport d’évaluation
- niveau de risque
- analyse des preuves
- recommandations
- clauses de sécurité
- plan de remédiation
- avis d’acceptation, de réserve ou de refus
Échanger
Évaluer un fournisseur avant qu’il ne devienne un risque
Présentez le service, les données traitées, les accès accordés et les dépendances critiques. Le niveau d’évaluation sera adapté à l’exposition réelle.