Points cl\u00e9s<\/p>\n
- \n
- L\u2019audit individuel ne r\u00e9v\u00e8le pas le sch\u00e9ma.<\/strong> La gestion des tiers \u00e9value chaque fournisseur s\u00e9par\u00e9ment. Le risque de concentration n\u2019appara\u00eet qu\u2019\u00e0 l\u2019\u00e9chelle du portefeuille global, l\u00e0 o\u00f9 de nombreuses routes m\u00e8nent au m\u00eame prestataire.<\/li>\n
- La quatri\u00e8me partie est absente du contrat.<\/strong> Le prestataire de votre prestataire \u2013 son centre de donn\u00e9es, son fournisseur de r\u00e9seau \u2013 prolonge la cha\u00eene avec des maillons que personne n\u2019a sign\u00e9s.<\/li>\n
- DORA montre l\u2019exemple.<\/strong> Le secteur financier doit \u00e9valuer sa d\u00e9pendance \u00e0 l\u2019\u00e9gard de quelques prestataires irrempla\u00e7ables et cartographier l\u2019ensemble de la cha\u00eene des sous-traitants. Ce mod\u00e8le s\u2019applique bien au-del\u00e0 de la finance.<\/li>\n
- Le conseil d\u2019administration pilote, pas la check-list.<\/strong> La concentration doit \u00eatre visible au niveau du portefeuille : substituabilit\u00e9, capacit\u00e9 de sortie, strat\u00e9gie multi-fournisseurs, test de r\u00e9sistance en cas de d\u00e9faillance d\u2019un n\u0153ud.<\/li>\n<\/ul>\n<\/div>\n
Contenu associ\u00e9 :<\/strong> Cinq indicateurs que le conseil d\u2019administration comprend vraiment<\/a> · L\u2019AI Act est en r\u00e9alit\u00e9 une loi sur la cybers\u00e9curit\u00e9<\/a><\/p>\n
Pourquoi les audits individuels ignorent le risque de concentration<\/h2>\n
La gestion des risques li\u00e9s aux tiers \u00e9value chaque fournisseur de mani\u00e8re isol\u00e9e : certificats, questionnaires, un score. \u00c0 l\u2019issue, une lumi\u00e8re verte. Id\u00e9alement, tous sont au vert. Pourtant, le risque ne r\u00e9side pas dans un fournisseur en particulier. Il se situe dans la somme. Si vingt fournisseurs not\u00e9s verts d\u00e9pendent tous du m\u00eame prestataire cloud, du m\u00eame service d\u2019identit\u00e9 ou de la m\u00eame r\u00e9gion, une panne chez l\u2019un d\u2019eux entra\u00eene les vingt autres simultan\u00e9ment. L\u2019\u00e9valuation individuelle ne peut tout simplement pas r\u00e9v\u00e9ler cette structure.<\/p>\n
Le r\u00e9gulateur a pr\u00e9cis\u00e9ment identifi\u00e9 cette faille. Dans le cadre de DORA, il exige une \u00e9valuation de la concentration au niveau du portefeuille. Les scores individuels des prestataires ne sont plus accept\u00e9s. L\u2019approche pour 2026 est r\u00e9solument orient\u00e9e vers l\u2019application stricte, et non plus consultative.<\/p>\n
Le pass\u00e9 r\u00e9cent illustre ce sch\u00e9ma sans qu\u2019il soit besoin de pointer du doigt. Plusieurs pannes majeures de services cloud et CDN ont montr\u00e9 comment la d\u00e9faillance d\u2019un seul prestataire peut paralyser des centaines de services apparemment ind\u00e9pendants en m\u00eame temps, de l\u2019application de paiement au site web d\u2019une administration. Aucun de ces services ne comptait un mauvais fournisseur. Ils partageaient le m\u00eame.<\/p>\n
\nD\u00e9finition · Risque de quatri\u00e8me partie<\/p>\n
Le risque li\u00e9 aux sous-traitants de son propre fournisseur. Le prestataire cloud de son fournisseur, son centre de donn\u00e9es, son op\u00e9rateur r\u00e9seau forment une cha\u00eene qui n\u2019appara\u00eet souvent pas dans son propre contrat, mais dont les cons\u00e9quences en cas de panne sont bien r\u00e9elles.<\/p>\n<\/div>\n
\n\n30 prestataires<\/div>\nconcentrent la moiti\u00e9 des d\u00e9penses critiques d\u2019externalisation des grandes banques europ\u00e9ennes (BCE 2024)<\/p>\n<\/div>\n
\n19<\/div>\nprestataires IT critiques ont \u00e9t\u00e9 identifi\u00e9s par les autorit\u00e9s europ\u00e9ennes de supervision en novembre 2025<\/p>\n<\/div>\n
\nArt. 30(5)<\/div>\nDORA r\u00e9glemente explicitement la cha\u00eene des sous-traitants<\/p>\n<\/div>\n<\/div>\n
Le quatri\u00e8me acteur : l\u2019entit\u00e9 manquante dans le contrat<\/h2>\n
Le fournisseur direct est la troisi\u00e8me partie. Son prestataire cloud, son centre de donn\u00e9es, son fournisseur r\u00e9seau sont respectivement les quatri\u00e8me, cinqui\u00e8me et sixi\u00e8me acteurs. Cette cha\u00eene est rarement mentionn\u00e9e dans le contrat, et encore plus rarement dans le registre des risques. Le r\u00e8glement DORA (Digital Operational Resilience Act) cible pr\u00e9cis\u00e9ment cette profondeur cach\u00e9e : pour les fonctions critiques, le prestataire doit obtenir l\u2019accord \u00e9crit du client avant de sous-traiter des \u00e9l\u00e9ments essentiels. Toute modification de la pile de sous-traitance doit \u00eatre signal\u00e9e \u00e0 l\u2019avance.<\/p>\n
Dans la pratique, cela signifie une seule chose : l\u2019audit ne peut s\u2019arr\u00eater au partenaire contractuel. Qui ignore l\u2019existence du quatri\u00e8me acteur m\u00e9conna\u00eet son v\u00e9ritable risque de d\u00e9faillance. La phrase rassurante \u00ab Nous utilisons un prestataire cloud leader \u00bb peut, en r\u00e9alit\u00e9, d\u00e9crire un point de d\u00e9faillance unique partag\u00e9.<\/p>\n
\n> 30 %<\/div>\ndes budgets d\u2019externalisation des grandes banques de l\u2019UE sont concentr\u00e9s sur seulement dix prestataires<\/p>\n
Source : analyse de la BCE, 2024<\/p>\n<\/div>\n
Ce que DORA enseigne au reste de l’\u00e9conomie<\/h2>\n
Le DORA (Digital Operational Resilience Act) s’applique au secteur financier. Le plus grand bloc r\u00e9glementaire de cette r\u00e9glementation concerne la gestion des tiers IT. Deux obligations en d\u00e9coulent sont particuli\u00e8rement instructives pour tous les secteurs. Premi\u00e8rement, l’\u00e9valuation explicite du risque de d\u00e9pendance excessive \u00e0 un nombre restreint ou \u00e0 des fournisseurs irrempla\u00e7ables. Deuxi\u00e8mement, la tenue d’un registre de tous les contrats avec des prestataires IT, incluant l’int\u00e9gralit\u00e9 de la cha\u00eene des sous-traitants. Sur cette base, les autorit\u00e9s europ\u00e9ennes de surveillance identifient les fournisseurs critiques et les placent sous supervision directe.<\/p>\n
Ce registre n’est pas qu’une simple formalit\u00e9 administrative. Il s’agit du seul outil capable de rendre la concentration mesurable. Ce n’est qu’une fois tous les contrats, fonctions et prestataires secondaires centralis\u00e9s en un m\u00eame endroit que l’on peut r\u00e9pondre \u00e0 la question : combien de processus critiques d\u00e9pendent en r\u00e9alit\u00e9 d’un seul fournisseur ? Sans cette vision d’ensemble, toute affirmation sur la concentration reste une simple hypoth\u00e8se.<\/p>\n
Le secteur financier n’est pas un cas isol\u00e9, mais un pr\u00e9curseur. La concentration dans le cloud, un service d’identit\u00e9 dominant ou une r\u00e9gion surcharg\u00e9e : ces m\u00eames sch\u00e9mas s’observent dans l’industrie, le commerce et l’administration publique. DORA fournit surtout une feuille de route pour rendre visible la concentration avant qu’elle ne provoque une panne.<\/p>\n
Ce qu\u2019un conseil d\u2019administration doit piloter d\u00e8s maintenant<\/h2>\n
Le risque de concentration rel\u00e8ve de la responsabilit\u00e9 de la direction, et non d\u2019un d\u00e9tail op\u00e9rationnel dans les achats. Quatre leviers doivent figurer \u00e0 l\u2019ordre du jour du comit\u00e9 ex\u00e9cutif. Aucun d\u2019eux ne peut \u00eatre d\u00e9l\u00e9gu\u00e9 \u00e0 une simple liste de fournisseurs.<\/p>\n
- \n
- Cartographier les concentrations.<\/strong> Identifier, \u00e0 travers l\u2019ensemble du portefeuille, les zones o\u00f9 de nombreux fournisseurs d\u00e9pendent d\u2019un m\u00eame prestataire, d\u2019une m\u00eame r\u00e9gion ou d\u2019un m\u00eame service.<\/li>\n
- \u00c9valuer la substituabilit\u00e9.<\/strong> Pour chaque fonction critique, d\u00e9terminer \u00e0 quelle vitesse un fournisseur alternatif pourrait prendre le relais.<\/li>\n
- Pr\u00e9parer une sortie.<\/strong> Structurer les contrats et l\u2019architecture technique de mani\u00e8re \u00e0 permettre un changement de prestataire avant m\u00eame que cela ne devienne n\u00e9cessaire.<\/li>\n
- Strat\u00e9gie multi-fournisseurs.<\/strong> R\u00e9partir d\u00e9lib\u00e9r\u00e9ment les fonctions critiques entre plusieurs prestataires, plut\u00f4t que de miser sur une monoculture de l\u2019efficacit\u00e9.<\/li>\n
- Simuler les d\u00e9faillances.<\/strong> Le test de r\u00e9sistance ne doit pas se demander si un fournisseur peut faire d\u00e9faut, mais ce qui se produit lorsque c\u2019est un n\u0153ud de concentration qui s\u2019effondre.<\/li>\n<\/ul>\n
Un portefeuille \u00ab vert \u00bb ne rime pas avec r\u00e9silience.<\/p>\n
Le risque de concentration ne dispara\u00eet pas simplement parce que chaque indicateur individuel affiche un feu vert. Il ne devient visible que lorsque quelqu\u2019un pose la question que nul audit fournisseur ne soul\u00e8ve : quelles parties de nos achats sont en r\u00e9alit\u00e9 suspendues au m\u00eame fil ?<\/p>\n
Foire aux questions<\/h2>\n
Chaque question est verrouill\u00e9e. Un clic d\u00e9verrouille la r\u00e9ponse.<\/p>\n
\nQu\u2019est-ce que le risque de concentration dans la cha\u00eene d\u2019approvisionnement ?<\/strong><\/summary>\n
La d\u00e9pendance dangereuse \u00e0 l\u2019\u00e9gard de quelques fournisseurs ou de fournisseurs irrempla\u00e7ables. Elle ne se manifeste pas avec un seul partenaire, mais \u00e0 travers l\u2019ensemble du portefeuille, lorsque de nombreux fournisseurs s\u2019appuient sur le m\u00eame prestataire, la m\u00eame r\u00e9gion ou le m\u00eame service.<\/p>\n<\/details>\n
\nQuelles sont les diff\u00e9rences avec un audit classique des fournisseurs ?<\/strong><\/summary>\n
L\u2019audit \u00e9value chaque fournisseur individuellement. Le risque de concentration ne se r\u00e9v\u00e8le qu\u2019\u00e0 l\u2019\u00e9chelle du portefeuille. C\u2019est pourquoi, dans le cadre du r\u00e8glement DORA (Digital Operational Resilience Act), le r\u00e9gulateur exige une \u00e9valuation au niveau du portefeuille et n\u2019accepte explicitement pas les scores individuels des prestataires.<\/p>\n<\/details>\n
\nQue signifie le risque de \u00ab quatri\u00e8me partie \u00bb (Vierte-Partei-Risiko) ?<\/strong><\/summary>\n
Le risque li\u00e9 aux sous-traitants de son propre fournisseur. Si le prestataire s\u2019appuie lui-m\u00eame sur un hyperscaler, un centre de donn\u00e9es ou un op\u00e9rateur r\u00e9seau, la cha\u00eene s\u2019allonge de maillons qui ne figurent g\u00e9n\u00e9ralement pas dans son propre contrat.<\/p>\n<\/details>\n
\nDORA s\u2019applique-t-il \u00e9galement en dehors du secteur financier ?<\/strong><\/summary>\n
Sur le plan juridique, le r\u00e8glement DORA impose des obligations strictes au secteur financier. Cependant, le principe d\u2019\u00e9valuer la concentration au niveau du portefeuille et de superviser la cha\u00eene des sous-traitants peut s\u2019appliquer \u00e0 d\u2019autres domaines, tels que l\u2019industrie, le commerce ou l\u2019administration. DORA fournit ainsi une feuille de route, et non une limite.<\/p>\n<\/details>\n
\nQuelle est la premi\u00e8re \u00e9tape pour un conseil d\u2019administration ?<\/strong><\/summary>\n
Une carte de concentration couvrant l\u2019ensemble du portefeuille fournisseurs. Elle r\u00e9v\u00e8le les zones o\u00f9 de nombreuses voies convergent vers le m\u00eame prestataire. Ce n\u2019est qu\u2019ensuite que l\u2019on peut piloter efficacement la substituabilit\u00e9, les strat\u00e9gies de sortie ou la diversification des fournisseurs.<\/p>\n<\/details>\n
<\/p>\n
Les choix de la r\u00e9daction<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/tprm-lieferkettenrisiko-nis2-dora-programm-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Le risque de la cha\u00eene d\u2019approvisionnement est un programme, pas une liste d\u2019audit<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/was-ist-dora-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Qu\u2019est-ce que DORA ? D\u00e9finition, obligations et d\u00e9lais<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/kritis-lieferkette-zulieferer-resilienz-cover-hero-250x143.jpg\")
<\/span>\u00c0 lire<\/span>Le plus faible des fournisseurs ouvre l\u2019installation critique<\/span><\/span><\/a><\/p>\nPlus du r\u00e9seau MBF Media<\/h3>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-geopolitik-datacenter-roadmap-lieferkett-8054517-250x143.jpg\")
<\/span>Digital Chiefs<\/span>G?opolitique et datacenters : ce que les DSI s?curisent<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-eu-ai-act-2026-kennzeichnungspflichten-m-35346140-250x143.jpg\")
<\/span>MyBusinessFuture<\/span>AI Act de l\u2019UE \u00e0 partir d\u2019ao\u00fbt 2026 : ce que les PME doivent \u00e9tiqueter maintenant<\/span><\/span><\/a>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/net-xfs4iot-cloud-geldautomat-plattform-syna-61345494.jpg\")
<\/span>cloudmagazin<\/span>XFS4IoT rencontre le Cloud : le distributeur automatique de billets devient une plateforme<\/span><\/span><\/a><\/p>\n","protected":false},"excerpt":{"rendered":"Pourquoi les audits individuels n\u00e9gligent le risque de cluster et comment un conseil contr\u00f4le les risques de concentration et de tiers. DORA et le r\u00f4le du conseil.","protected":false},"author":55,"featured_media":22060,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"risque de cluster cha\u00eene d'approvisionnement","_yoast_wpseo_title":"Le risque de cluster que les audits de fournisseurs ne voient pas","_yoast_wpseo_metadesc":"Dix fournisseurs v\u00e9rifi\u00e9s, un \u00e9chec : le risque de cluster et de tiers n\u2019est pas d\u00e9tect\u00e9 par un audit individuel. DORA et le contr\u00f4le du conseil.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[260],"tags":[],"class_list":["post-22557","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-fr"],"evm_reading_time_minutes":9,"wpml_language":"fr","wpml_translation_of":22059,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22557","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=22557"}],"version-history":[{"count":1,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22557\/revisions"}],"predecessor-version":[{"id":22560,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/22557\/revisions\/22560"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/22060"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=22557"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=22557"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=22557"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}} - \u00c9valuer la substituabilit\u00e9.<\/strong> Pour chaque fonction critique, d\u00e9terminer \u00e0 quelle vitesse un fournisseur alternatif pourrait prendre le relais.<\/li>\n
- La quatri\u00e8me partie est absente du contrat.<\/strong> Le prestataire de votre prestataire \u2013 son centre de donn\u00e9es, son fournisseur de r\u00e9seau \u2013 prolonge la cha\u00eene avec des maillons que personne n\u2019a sign\u00e9s.<\/li>\n