Le risque de cluster que les audits de fournisseurs ne voient pas

Par Tobias Massow · 8 juillet 2026 · 9 min de lecture

Dix de vos fournisseurs ont passé l’audit. Chacun individuellement irréprochable. Pourtant, dès qu’un seul hyperscaler sur lequel ils fonctionnent tous, sans qu’on le remarque, tombe en panne, ces dix-là s’arrêtent également. C’est le risque de concentration. Aucun audit mené fournisseur par fournisseur ne permet de le déceler.

Points clés

L’audit individuel ne révèle pas le schéma. La gestion des tiers évalue chaque fournisseur séparément. Le risque de concentration n’apparaît qu’à l’échelle du portefeuille global, là où de nombreuses routes mènent au même prestataire.
La quatrième partie est absente du contrat. Le prestataire de votre prestataire – son centre de données, son fournisseur de réseau – prolonge la chaîne avec des maillons que personne n’a signés.
DORA montre l’exemple. Le secteur financier doit évaluer sa dépendance à l’égard de quelques prestataires irremplaçables et cartographier l’ensemble de la chaîne des sous-traitants. Ce modèle s’applique bien au-delà de la finance.
Le conseil d’administration pilote, pas la check-list. La concentration doit être visible au niveau du portefeuille : substituabilité, capacité de sortie, stratégie multi-fournisseurs, test de résistance en cas de défaillance d’un nœud.

Contenu associé : Cinq indicateurs que le conseil d’administration comprend vraiment · L’AI Act est en réalité une loi sur la cybersécurité

Pourquoi les audits individuels ignorent le risque de concentration

La gestion des risques liés aux tiers évalue chaque fournisseur de manière isolée : certificats, questionnaires, un score. À l’issue, une lumière verte. Idéalement, tous sont au vert. Pourtant, le risque ne réside pas dans un fournisseur en particulier. Il se situe dans la somme. Si vingt fournisseurs notés verts dépendent tous du même prestataire cloud, du même service d’identité ou de la même région, une panne chez l’un d’eux entraîne les vingt autres simultanément. L’évaluation individuelle ne peut tout simplement pas révéler cette structure.

Le régulateur a précisément identifié cette faille. Dans le cadre de DORA, il exige une évaluation de la concentration au niveau du portefeuille. Les scores individuels des prestataires ne sont plus acceptés. L’approche pour 2026 est résolument orientée vers l’application stricte, et non plus consultative.

Le passé récent illustre ce schéma sans qu’il soit besoin de pointer du doigt. Plusieurs pannes majeures de services cloud et CDN ont montré comment la défaillance d’un seul prestataire peut paralyser des centaines de services apparemment indépendants en même temps, de l’application de paiement au site web d’une administration. Aucun de ces services ne comptait un mauvais fournisseur. Ils partageaient le même.

Définition · Risque de quatrième partie

Le risque lié aux sous-traitants de son propre fournisseur. Le prestataire cloud de son fournisseur, son centre de données, son opérateur réseau forment une chaîne qui n’apparaît souvent pas dans son propre contrat, mais dont les conséquences en cas de panne sont bien réelles.

30 prestataires

concentrent la moitié des dépenses critiques d’externalisation des grandes banques européennes (BCE 2024)

prestataires IT critiques ont été identifiés par les autorités européennes de supervision en novembre 2025

Art. 30(5)

DORA réglemente explicitement la chaîne des sous-traitants

Le quatrième acteur : l’entité manquante dans le contrat

Le fournisseur direct est la troisième partie. Son prestataire cloud, son centre de données, son fournisseur réseau sont respectivement les quatrième, cinquième et sixième acteurs. Cette chaîne est rarement mentionnée dans le contrat, et encore plus rarement dans le registre des risques. Le règlement DORA (Digital Operational Resilience Act) cible précisément cette profondeur cachée : pour les fonctions critiques, le prestataire doit obtenir l’accord écrit du client avant de sous-traiter des éléments essentiels. Toute modification de la pile de sous-traitance doit être signalée à l’avance.

Dans la pratique, cela signifie une seule chose : l’audit ne peut s’arrêter au partenaire contractuel. Qui ignore l’existence du quatrième acteur méconnaît son véritable risque de défaillance. La phrase rassurante « Nous utilisons un prestataire cloud leader » peut, en réalité, décrire un point de défaillance unique partagé.

> 30 %

des budgets d’externalisation des grandes banques de l’UE sont concentrés sur seulement dix prestataires

Source : analyse de la BCE, 2024

Ce que DORA enseigne au reste de l’économie

Le DORA (Digital Operational Resilience Act) s’applique au secteur financier. Le plus grand bloc réglementaire de cette réglementation concerne la gestion des tiers IT. Deux obligations en découlent sont particulièrement instructives pour tous les secteurs. Premièrement, l’évaluation explicite du risque de dépendance excessive à un nombre restreint ou à des fournisseurs irremplaçables. Deuxièmement, la tenue d’un registre de tous les contrats avec des prestataires IT, incluant l’intégralité de la chaîne des sous-traitants. Sur cette base, les autorités européennes de surveillance identifient les fournisseurs critiques et les placent sous supervision directe.

Ce registre n’est pas qu’une simple formalité administrative. Il s’agit du seul outil capable de rendre la concentration mesurable. Ce n’est qu’une fois tous les contrats, fonctions et prestataires secondaires centralisés en un même endroit que l’on peut répondre à la question : combien de processus critiques dépendent en réalité d’un seul fournisseur ? Sans cette vision d’ensemble, toute affirmation sur la concentration reste une simple hypothèse.

Le secteur financier n’est pas un cas isolé, mais un précurseur. La concentration dans le cloud, un service d’identité dominant ou une région surchargée : ces mêmes schémas s’observent dans l’industrie, le commerce et l’administration publique. DORA fournit surtout une feuille de route pour rendre visible la concentration avant qu’elle ne provoque une panne.

Ce qu’un conseil d’administration doit piloter dès maintenant

Le risque de concentration relève de la responsabilité de la direction, et non d’un détail opérationnel dans les achats. Quatre leviers doivent figurer à l’ordre du jour du comité exécutif. Aucun d’eux ne peut être délégué à une simple liste de fournisseurs.

Cartographier les concentrations. Identifier, à travers l’ensemble du portefeuille, les zones où de nombreux fournisseurs dépendent d’un même prestataire, d’une même région ou d’un même service.
Évaluer la substituabilité. Pour chaque fonction critique, déterminer à quelle vitesse un fournisseur alternatif pourrait prendre le relais.
Préparer une sortie. Structurer les contrats et l’architecture technique de manière à permettre un changement de prestataire avant même que cela ne devienne nécessaire.
Stratégie multi-fournisseurs. Répartir délibérément les fonctions critiques entre plusieurs prestataires, plutôt que de miser sur une monoculture de l’efficacité.
Simuler les défaillances. Le test de résistance ne doit pas se demander si un fournisseur peut faire défaut, mais ce qui se produit lorsque c’est un nœud de concentration qui s’effondre.

Un portefeuille « vert » ne rime pas avec résilience.

Le risque de concentration ne disparaît pas simplement parce que chaque indicateur individuel affiche un feu vert. Il ne devient visible que lorsque quelqu’un pose la question que nul audit fournisseur ne soulève : quelles parties de nos achats sont en réalité suspendues au même fil ?

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.

Qu’est-ce que le risque de concentration dans la chaîne d’approvisionnement ?

La dépendance dangereuse à l’égard de quelques fournisseurs ou de fournisseurs irremplaçables. Elle ne se manifeste pas avec un seul partenaire, mais à travers l’ensemble du portefeuille, lorsque de nombreux fournisseurs s’appuient sur le même prestataire, la même région ou le même service.

Quelles sont les différences avec un audit classique des fournisseurs ?

L’audit évalue chaque fournisseur individuellement. Le risque de concentration ne se révèle qu’à l’échelle du portefeuille. C’est pourquoi, dans le cadre du règlement DORA (Digital Operational Resilience Act), le régulateur exige une évaluation au niveau du portefeuille et n’accepte explicitement pas les scores individuels des prestataires.

Que signifie le risque de « quatrième partie » (Vierte-Partei-Risiko) ?

Le risque lié aux sous-traitants de son propre fournisseur. Si le prestataire s’appuie lui-même sur un hyperscaler, un centre de données ou un opérateur réseau, la chaîne s’allonge de maillons qui ne figurent généralement pas dans son propre contrat.

DORA s’applique-t-il également en dehors du secteur financier ?

Sur le plan juridique, le règlement DORA impose des obligations strictes au secteur financier. Cependant, le principe d’évaluer la concentration au niveau du portefeuille et de superviser la chaîne des sous-traitants peut s’appliquer à d’autres domaines, tels que l’industrie, le commerce ou l’administration. DORA fournit ainsi une feuille de route, et non une limite.

Quelle est la première étape pour un conseil d’administration ?

Une carte de concentration couvrant l’ensemble du portefeuille fournisseurs. Elle révèle les zones où de nombreuses voies convergent vers le même prestataire. Ce n’est qu’ensuite que l’on peut piloter efficacement la substituabilité, les stratégies de sortie ou la diversification des fournisseurs.

Les choix de la rédaction

Plus du réseau MBF Media

Digital ChiefsG?opolitique et datacenters : ce que les DSI s?curisent MyBusinessFutureAI Act de l’UE à partir d’août 2026 : ce que les PME doivent étiqueter maintenant cloudmagazinXFS4IoT rencontre le Cloud : le distributeur automatique de billets devient une plateforme

Traduit de l’original allemand par intelligence artificielle. La version allemande fait foi.