Selon Gartner, 60 % des organisations ayant subi une violation de données liée à un tiers admettent n'avoir eu aucune visibilité réelle sur leurs prestataires au moment de l'incident. NIS2 et DORA ont rendu la gestion des risques tiers — le TPRM (Third-Party Risk Management) — obligatoire pour des milliers d'entités européennes. Pourtant, la majorité des programmes TPRM échouent non pas faute d'ambition, mais faute d'une cartographie initiale solide. Dans cet article, vous découvrirez les 7 pièges les plus fréquents au démarrage d'un programme de cartographie tiers, et comment les anticiper avant que votre évaluation ne porte sur un périmètre mal défini.
Pourquoi la cartographie tiers est devenue une priorité non négociable en 2026
DORA, entré en application en janvier 2025, impose à toutes les entités financières couvertes une documentation exhaustive de leurs prestataires ICT tiers critiques — avec une revue contractuelle conforme à son article 28, un registre des incidents liés aux tiers, et une évaluation de concentration des risques. NIS2, applicable depuis octobre 2024, exige quant à elle une gestion documentée de la chaîne d'approvisionnement numérique pour toutes les entités "essentielles" et "importantes". Ces obligations ne se superposent pas simplement aux pratiques existantes : elles nécessitent un inventaire exhaustif, une classification par niveau de criticité, et des processus d'évaluation récurrents.
Le problème : beaucoup d'organisations démarrent leur programme TPRM dans l'urgence réglementaire, sans disposer d'une méthodologie robuste pour la première étape — identifier précisément qui sont leurs tiers, ce qu'ils font, et quelle est leur exposition. Les pièges qui suivent naissent tous de cette précipitation.
Les 7 pièges les plus fréquents
1. Confondre "fournisseur" et "tiers à risque"
Le premier piège est de lancer la cartographie sur la base du fichier fournisseurs du service achats. Résultat : un inventaire qui mélange prestataire de nettoyage, hébergeur cloud critique et prestataire de développement logiciel dans une même liste sans distinction. La cartographie TPRM n'est pas une liste de fournisseurs — c'est une liste de relations exposant l'organisation à un risque identifiable. La question à poser pour chaque entrée : "si ce tiers tombe, qu'est-ce que ça casse ?"
2. Adopter une classification binaire (critique / non critique)
La classification en deux niveaux est intuitive mais insuffisante. Elle crée une illusion de maîtrise : les tiers "non critiques" ne font l'objet d'aucune surveillance, alors que beaucoup d'entre eux accèdent à des données sensibles ou participent à des processus importants. Une classification en trois ou quatre niveaux (critique, important, standard, marginal) avec des critères formalisés — volumétrie de données traitées, irremplaçabilité, délai de substitution, exposition réglementaire — est la base minimale d'un programme TPRM opérationnel.
3. Ignorer les sous-traitants de vos tiers directs
DORA introduit explicitement la notion de "concentration de risque tiers" et exige une visibilité sur les chaînes de sous-traitance ICT. Un hébergeur cloud qui sous-traite ses sauvegardes à un prestataire inconnu introduit un risque que votre cartographie tiers directe ne capte pas. La règle minimale : pour tous vos tiers de niveaux "critique" et "important", inclure une clause contractuelle obligeant la notification de tout changement de sous-traitant significatif et l'accès à la liste de leurs propres prestataires ICT.
4. Lancer un questionnaire de 150 questions pour commencer
C'est l'erreur la plus courante dans les programmes débutants. L'organisation produit un questionnaire d'évaluation exhaustif — inspiré de frameworks comme CAIQ de CSA ou SIG de Shared Assessments — et l'envoie à l'ensemble de ses tiers dès le démarrage. Taux de retour : souvent inférieur à 40 %. Temps de traitement des réponses : non planifié. Le questionnaire long est utile pour l'évaluation approfondie des tiers critiques, pas pour la qualification initiale d'un inventaire de 200 prestataires. Commencez par un questionnaire de qualification court — 10 à 15 questions — pour identifier les tiers nécessitant une évaluation complète.
5. Ne pas impliquer les métiers dans l'inventaire initial
La cartographie pilotée uniquement par la DSI ou la conformité produira systématiquement un inventaire incomplet. Les directions métier (finance, RH, commercial, opérations) ont leurs propres outils SaaS, leurs propres intégrations API, leurs propres prestataires de services externalisés — souvent inconnus de la DSI centrale. L'inventaire initial doit inclure un atelier de collecte avec chaque direction métier : 90 minutes, animé par l'équipe GRC, avec une liste de questions simples sur les outils et services utilisés, les données traitées, et les accès accordés à des tiers.
6. Confondre cartographie et évaluation
Beaucoup de programmes TPRM tentent de cartographier et d'évaluer simultanément. Le résultat est une paralysie par perfectionnisme : on ne peut pas valider la cartographie tant que l'évaluation n'est pas complète, et on ne peut pas commencer l'évaluation tant que la cartographie n'est pas stabilisée. Ces deux étapes doivent être séquencées. La cartographie produit un inventaire classifié. L'évaluation commence ensuite, en priorité sur les tiers critiques. Les deux processus ont des rythmes différents — la cartographie se met à jour en continu, l'évaluation se conduit sur un cycle annuel ou à chaque renouvellement contractuel.
7. Ne pas définir de processus de mise à jour dès le départ
Une cartographie tiers est périmée en moins de six mois si aucun processus de maintien n'est défini dès le départ. Les tiers changent : acquisitions, changements de périmètre, fin de contrat, nouveaux prestataires intégrés par les métiers sans validation GRC. Le processus de mise à jour doit être conçu en même temps que la cartographie initiale : qui déclenche une mise à jour, à quelle occasion (onboarding nouveau tiers, renouvellement contractuel, incident, audit), et qui en est responsable. Sans ce processus, votre cartographie devient un document figé qui crée une fausse assurance.
Comment évaluer votre niveau de maturité TPRM actuel
Presidio intègre un module TPRM structuré autour d'un registre des tiers classifiés, d'un cycle d'évaluation configurable par niveau de criticité, et d'une traçabilité complète des échanges contractuels. Avant d'envisager un outil, posez ces trois questions à votre organisation.
Disposez-vous d'un inventaire exhaustif de vos tiers, avec une classification formalisée par niveau de criticité ? Si la réponse est "en partie" ou "non", la priorité est la cartographie — pas l'évaluation.
Vos contrats avec les tiers critiques incluent-ils les clauses DORA article 28 (droit d'audit, sous-traitance, réversibilité, niveau de service) ? Si non, vous êtes en non-conformité DORA pour toute entité financière soumise au texte.
Avez-vous un processus formalisé pour intégrer un nouveau tiers dans votre registre avant l'onboarding opérationnel ? Sans ce processus en amont, votre inventaire sera toujours en retard sur la réalité.
Lire aussi notre analyse sur la gouvernance tiers sous NIS2 en 2026, ou contacter notre équipe pour un cadrage TPRM adapté à votre contexte.
Conclusion
La cartographie tiers est la fondation de tout programme TPRM. Les 7 pièges décrits ici partagent un point commun : ils naissent d'une précipitation compréhensible dans un contexte réglementaire sous pression. Prendre deux semaines supplémentaires pour définir le périmètre, impliquer les métiers, et séquencer cartographie et évaluation produit un programme infiniment plus solide que six mois de travail sur une base mal posée. En 2026, avec NIS2 et DORA en vigueur, la question n'est pas de savoir si vous avez besoin d'un programme TPRM — c'est de savoir si le vôtre repose sur des fondations fiables.