Risques d'externalisation et contrôle des entrepreneurs

1) Pourquoi l'externalisation = risque accru

L'externalisation accélère le démarrage et réduit les coûts, mais élargit la surface de risque : vos processus, vos données et vos clients sont accessibles par des équipes externes et leurs sous-traitants. La gestion des risques est une combinaison de mesures contractuelles, organisationnelles et techniques assorties de mesures de mesurabilité et d'audit.

2) Carte des risques (typologie)

Juridique : absence de licences appropriées, garanties contractuelles faibles, droits de propriété intellectuelle/copyright, conflits de juridiction.
Réglementation/conformité : incohérence GDPR/AML/PCI DSS/SOC 2, etc. ; l'absence de DPA/SCC ; violation des délais de déclaration.
Sécurité des informations : fuites/exfiltration, faible gestion des accès, absence de journalisation et de chiffrement.
Vie privée : Traitement PI excessif, violation de la rétraction/suppression, ignorer Legal Hold et DSAR.
Opérationnel : faible résilience du service, faible BCP/DR, absence 24 × 7, violations de SLO/SLA.
Financier : précarité du fournisseur, dépendance à un seul client/région, coûts cachés de sortie.
Réputation : incidents/scandales, conflits d'intérêts, marketing toxique.
Chaîne d'approvisionnement : sous-processeurs opaques, emplacements de stockage non contrôlés.

3) Rôles et responsabilités (RACI)

(R — Responsible; A — Accountable; C — Consulted; I — Informed)

4) Cycle de vie du contrôle des entrepreneurs

1. Planification : objectif d'externalisation, criticité, catégories de données, juridictions, évaluation des alternatives (build/buy/partner).
2. Due Diligence : questionnaires, artefacts (certificats, politiques), tests techniques/RoS, scoring des risques et gap list.
3. Contrat : DPA/SLA/droit d'audit, responsabilité et sanctions, sous-traitants, plan de sortie (exit) et délais de suppression des données.
4. Onbording : SSO et rôles (moins de privilèges), répertoires de données, isolation des environnements, journalisation et alertes.
5. Opérations et surveillance : KPI/SLA, incidents, modifications des sous-processeurs/emplacements, révisions annuelles et contrôle des preuves.
6. Révision/remédiation : correction des haps avec les deblines, procédure waiver avec date d'expiration.
7. Offboard : révocation des accès, exportation, suppression/anonymisation, confirmation de destruction, archive evidence.

5) Contractuel « must-have »

DPA (annexe au contrat) : rôles (controller/processeur), finalités du traitement, catégories de données, rétention/suppression, Legal Hold, assistance avec DSAR, sites de stockage et de transfert (SCC/BCR si nécessaire).
SLA/SLO : niveaux de disponibilité, temps de réaction/élimination (niveaux sev), crédit/pénalité pour les infractions, RTO/RPO, 24 × 7/Follow-the-sun.
Security Annex : cryptage en transit, gestion des clés (KMS/HSM), gestion des secrets, journalisation (WORM/Object Lock), pentestes/scans, gestion des vulnérabilités.
Droits d'audit et d'évaluation : questionnaires réguliers, établissement de rapports (SOC 2/ISO/PCI), droit d'audit/site internet/revues de loges.
Sous-traitants : liste, notification/négociation des changements, responsabilité de la chaîne.
Breach Notification : les délais (par ex., ≤24-72), le format, la coopération dans l'enquête.
Exit/Deletion : format d'exportation, délais, confirmation de destruction, soutien à la migration, cap sur le coût de sortie.
Liability/Indemnity : limites, exceptions (fuite de PI, sanctions réglementaires, violations de la propriété intellectuelle).
Changement de contrôle : notifications de changements importants dans le service/les emplacements/les contrôles.

6) Contrôles techniques et organisationnels

Accès et identités : SSO, principe du moindre privilège, SoD, campagne de re-certification, accès JIT/temporel, MFA obligatoire.
Isolation et réseaux : tenant-isolation, segmentation, flux privés, allow-lists, restriction egress.
Cryptage : TLS obligatoire, cryptage sur support, gestion des clés et rotation, interdiction de la cryptographie artisanale.
Journal et preuves : Logs centralisés, WORM/Object Lock, hachage des rapports, annuaires evidence.
Données et vie privée : masquage/pseudonyme, contrôle de la rétraction/TTL, Legal Hold override, contrôle des exportations de données.
DevSecOps : SAST/DAST/SCA, scan secret, SBOM, licences OSS, gates en CI/CD, politique de sortie (bleu-vert/canary).
Durabilité : tests DR/BCP, objectifs RTO/RPO, planification capacite, suivi SLO.
Opérations : incidents de playbooks, on-call, tickets ITSM avec SLA, gestion du changement.
Formation et admissions : cours obligatoires du fournisseur sur l'IB/vie privée, vérification du personnel (where lawful).

7) Surveillance continue du fournisseur

Performance/SLA : disponibilité, temps de réaction/élimination, crédits.
Certifications/rapports : pertinence SOC/ISO/PCI, scope et exceptions.
Incidents et changements : fréquence/gravité, leçons, changements de sous-processeurs/emplacements.
Dérive des contrôles : écarts par rapport aux exigences contractuelles (cryptage, journal, tests DR).
Viabilité financière : signaux publics, M&A, changement de bénéficiaires.
Compétences et sanctions : nouvelles restrictions, liste des pays/nuages/centres de données.

8) Métriques et dashboards Vendor Risk & Outsourcing

Dashboards : Heatmap des risques par fournisseur, SLA Center, Incidents & Findings, Evidence Read...., Subprocessor Map.

9) Procédures (SOP)

SOP-1 : Connexion de l'entrepreneur

1. Classification des risques du service → 2) DD + PoC → 3) annexes contractuelles → 4) onbording accès/logs/cryptage → 5) métriques de démarrage et dashbords.

SOP-2 : Gestion des changements par l'entrepreneur

1. Carte de changement (emplacement/sous-traitement/architecture) → 2) Évaluation des risques/Avocat → 3) Mise à jour du DPA/SLA → 4) Communication et délais de mise en œuvre → 5) Vérification de l'évidence.

SOP-3 : Incident chez l'entrepreneur

Detect → Triage (sev) → Notify (fenêtres temporelles du contrat) → Contain → Eradicate → Recover → Post-mortem (leçons, mises à jour du contrat) → Evidence dans WORM.

SOP-4 : Offboard

1. Intégrations Freeze → 2) exportation de données → 3) suppression/anonymisation + confirmation → 4) révocation de tous les accès/clés → 5) rapport de clôture.

10) Gestion des exceptions (waivers)

Demande formelle avec date d'expiration, évaluation des risques et contrôles compensatoires.
Visibilité à la GRC/dashboards, auto-rappels, interdiction des exceptions « éternelles ».
Escalade par comité en cas de retard/risque critique.

11) Exemples de modèles

Chèque de l'entrepreneur

• DD terminé ; Scoring/catégorie de risque approuvée
• Droits DPA/SLA/audit signés ; Sécurité Annex convenu
• La liste des sous-processeurs a été reçue ; sites de stockage confirmés
• Les SSO/MFA sont configurés ; les rôles sont minimisés ; SoD vérifié
• Logs connectés ; WORM/Object Lock est configuré ; les alertes sont mises en place
• Les objectifs du DR/BCP sont convenus ; la date du test a été fixée
• Les procédures DSAR/Legal Hold sont intégrées
• Dashboards et métriques de surveillance inclus

Mini-modèle d'exigence de SLA

Temps de réaction : Sev1 ≤ 15 min, Sev2 ≤ 1 h, Sev3 ≤ 4 h

Temps de récupération : Sev1 ≤ 4 h, Sev2 ≤ 24 h

Disponibilité : ≥ 99. 9 %/mois ; crédits en cas d'infraction

Notification d'incident : ≤ 24 h, apdates intermédiaires toutes les 4 h (Sev1)

12) Anti-modèles

Contrôle « papier » sans logs, télémétrie et droits d'audit.
Pas de plan de sortie : cher/long export, dépendance aux formats propriétaires.
Accès éternel de l'entrepreneur, pas de re-certification.
Ignorer les sous-processeurs et les emplacements de stockage.
KPI sans propriétaire/escalade et zones « vertes » dans les faits rouges.
L'absence de WORM/immutabilité pour evidence est un problème d'audit.

13) Modèle de maturité de la gestion de l'externalisation (M0-M4)

M0 Dispersé : contrôles ponctuels, contrat « comme tout le monde ».
M1 Catalogue : registre des entrepreneurs, SLA de base et questionnaires.
M2 Contrôlable : DD par risque, DPA/SLA standard, logs et dashboards connectés.
M3 Intégré : monitoring continu, policy-as-code, auto-evidence, tests DR réguliers.
M4 Assured : « audit-ready by the button », risques prévisionnels de la chaîne d'approvisionnement, escalades automatiques et scénarios off-ramp.

14) Articles wiki liés

Diligence raisonnable lors de la sélection des fournisseurs

Automatisation de la conformité et des rapports

Surveillance continue de la conformité (CCM)

Legal Hold et le gel des données

Cycle de vie des politiques et procédures

KYC/KYB et dépistage des sanctions

Plan de continuité (PCA) et PRD

Résultat

Le contrôle de l'externalisation est un système et non une checklist : sélection axée sur les risques, garanties contractuelles rigoureuses, accès minimaux et observables, surveillance continue, offboard rapide et base de preuves. Dans un tel système, les entrepreneurs augmentent la vitesse de l'entreprise, sans augmenter votre vulnérabilité.