Critique, important, ordinaire
Le test de criticité
Un fournisseur est critique si son indisponibilité empêche l'organisation de fournir un produit ou service prioritaire dans les délais fixés par le BIA.
Ce test ne mentionne ni le montant, ni l'ancienneté, ni la taille du fournisseur. Trois exemples le montrent :
- Un prestataire de nettoyage à 900 000 € par an : important en volume, non critique. Son absence est gênante pendant deux semaines.
- Un éditeur de logiciel de paie à 40 000 € par an : critique. Son indisponibilité arrête la paie, dont le MTPD est de 48 heures.
- Un laboratoire d'analyse unique agréé pour un contrôle réglementaire à 15 000 € par an : critique. Sans lui, la production ne peut pas être libérée.
Le deuxième et le troisième cas échappent systématiquement aux dispositifs fondés sur le montant d'achat — et ce sont eux qui provoquent les interruptions.
La segmentation à trois niveaux
| Niveau | Critère | Dispositif |
|---|---|---|
| Critique | Arrête une activité prioritaire dans son MTPD | Due diligence approfondie, clauses renforcées, test conjoint, stratégie de sortie testée |
| Important | Impact significatif mais contournable | Due diligence standard, clauses de continuité, suivi annuel |
| Ordinaire | Substituable rapidement | Contrat standard, aucune exigence spécifique |
Dans la plupart des organisations, le niveau critique représente entre 3 % et 8 % du nombre de fournisseurs. Concentrer l'effort sur ces 5 % produit plus de résilience que d'envoyer un questionnaire à tous.
La responsabilité résiduelle
Externaliser une activité transfère son exécution. Cela ne transfère ni la responsabilité réglementaire, ni la responsabilité contractuelle envers le client, ni la responsabilité réputationnelle.
Ce principe est explicite dans les orientations de l'EBA, dans DORA et dans le régime britannique de résilience opérationnelle. Il a une conséquence pratique : le plan de continuité doit couvrir le scénario de défaillance du prestataire, et pas seulement s'appuyer sur le plan du prestataire.
Le rang 2
La question à poser à chaque fournisseur critique est simple, et elle est rarement posée : « sur qui vous appuyez-vous pour rendre ce service ? »
Les réponses révèlent régulièrement :
- Deux fournisseurs apparemment indépendants hébergés chez le même opérateur cloud, dans la même région ;
- Un prestataire dont l'activité repose sur un unique sous-traitant offshore ;
- Un éditeur dont le service de support dépend d'un partenaire en cours de rachat.
Cette information ne s'obtient que si le contrat l'exige ou si la relation permet de la demander. Elle doit figurer dans la cartographie au même titre que les dépendances internes.
À retenir
- Un fournisseur est critique si son absence arrête une activité prioritaire
- Le montant du contrat n'est pas un indicateur de criticité
- La sous-traitance ne transfère jamais la responsabilité