Tableurs, emails et silos : pourquoi votre gestion des risques fournisseurs est plus fragile que vous ne le croyez

Tableurs, emails et silos : pourquoi votre gestion des risques fournisseurs est plus fragile que vous ne le croyez

Il existe dans presque toutes les organisations une même scène, répétée à l’infini dans les directions Achats, les pôles Contrôle interne et les équipes Compliance : un acheteur ouvre un tableur Excel, met à jour une colonne « statut fournisseur », envoie un email de relance pour un document manquant, et classe la réponse dans un dossier partagé dont lui seul connaît vraiment l’arborescence.

Ce scénario est rassurant parce qu’il est familier. L’acheteur maîtrise ses outils. Il connaît ses fournisseurs. Il sait où sont les documents. Tout semble sous contrôle.

Le problème est précisément là : tout semble sous contrôle. Mais la gestion des risques fournisseurs fondée sur des tableurs, des emails et des silos organisationnels n’est pas un système de contrôle c’est une accumulation de routines individuelles dont la robustesse dépend entièrement de la vigilance et de la disponibilité de quelques personnes. Et les routines individuelles, aussi consciencieuses soient-elles, ne résistent pas aux absences, aux départs, aux montées en charge, ni aux tentatives de fraude sophistiquées.

Cet article propose un diagnostic sans complaisance de ce que cette fragilité coûte réellement et de ce que les organisations qui ont résolu le problème ont fait différemment.

Pourquoi Excel fragilise la gestion des risques fournisseurs

Le tableur est l’outil de gestion des risques fournisseurs le plus répandu dans le monde. Il est gratuit, flexible, immédiatement compréhensible, et ne nécessite aucune formation. C’est aussi l’outil qui concentre le plus de vulnérabilités structurelles dans la gestion des risques tiers.

Vulnérabilité 1 : une donnée non partagée par construction

Un tableur Excel est, par nature, un document individuel ou au mieux de petite équipe. Même partagé sur un drive commun, il ne crée pas un référentiel il crée une version partagée d’un document dont la mise à jour dépend de la discipline de chaque contributeur. Les conflits de version, les cellules écrasées, les mises à jour oubliées : dans un portefeuille de plusieurs centaines de fournisseurs, ces incidents sont la règle, pas l’exception.

Hutchinson en a fait l’expérience à grande échelle. Avec quinze bases fournisseurs non synchronisées entre Achats, Finance et systèmes industriels, le groupe disposait de données contradictoires sur les mêmes fournisseurs selon le département interrogé. Ce n’était pas un problème de bonne volonté c’était un problème structurel : des tableurs ne peuvent pas créer un référentiel de données partagé et cohérent à l’échelle d’un groupe de 40 000 collaborateurs.

Vulnérabilité 2 : aucune alerte proactive, aucune surveillance continue

Un tableur enregistre des états à un instant t. Il ne surveille pas les évolutions dans le temps. Une attestation fiscale qui expire dans trois semaines ne déclenche aucune alerte dans un Excel sauf si quelqu’un a pensé à créer une formule de date conditionnelle, à la maintenir à jour, et à la consulter régulièrement.

Dans la pratique, les expiration de documents passent inaperçues. Des fournisseurs actifs travaillent avec des certifications expirées. Des contrats se poursuivent avec des prestataires dont le statut légal a changé. Et personne ne le sait jusqu’au prochain audit, ou jusqu’à l’incident.

C’est exactement le type de risque qu’Aprovall traite en temps réel pour l’UPEC : des alertes automatiques dès qu’un changement de situation est détecté sur un fournisseur, sans que personne n’ait à vérifier manuellement. Le pôle achats de l’UPEC quatre personnes pour 250 tiers ne pourrait pas maintenir cette vigilance manuellement. L’automatisation n’est pas un confort supplémentaire : c’est la condition de la surveillance effective.

Vulnérabilité 3 : une traçabilité reconstituée, jamais produite

Quand un auditeur demande la preuve que tel fournisseur était bien en conformité à telle date, la recherche commence. On fouille les emails. On cherche les pièces jointes. On reconstitue un historique à partir de fragments épars. C’est chronophage, souvent incomplet, et juridiquement fragile parce qu’une traçabilité reconstituée après coup n’a pas la même valeur probatoire qu’une traçabilité produite en temps réel par un système automatisé.

Dans un contexte de devoir de vigilance ou de loi Sapin 2, cette différence n’est pas anodine. Elle peut faire la différence entre une organisation capable de démontrer sa diligence raisonnable et une organisation incapable de prouver qu’elle a fait ce qu’elle prétend avoir fait.

Les limites de l’email dans la gestion des risques fournisseurs

L’email est le deuxième pilier de la gestion des risques fournisseurs artisanale. On demande des documents par email. On reçoit les réponses par email. On relance par email. On archive ou on n’archive pas par email.

Ce mode de fonctionnement a des coûts que personne ne mesure vraiment, parce qu’ils sont invisibles dans les systèmes de suivi.

Le coût de la relance

Combien de temps un acheteur passe-t-il à relancer des fournisseurs pour des documents manquants ? Dans les organisations qui ont mesuré ce temps, les chiffres surprennent. Hutchinson économise 784 jours de travail par an après avoir automatisé ce processus. C’est la face visible du coût de la relance manuelle la face invisible est l’énergie mentale consommée, les délais introduits dans les processus de qualification, et les relations fournisseurs dégradées par des échanges répétitifs sans valeur ajoutée.

Le coût de la dispersion

Un document reçu par email et stocké dans la boîte personnelle d’un acheteur n’est pas dans le référentiel fournisseurs de l’organisation. Il est dans la boîte d’une personne. Si cette personne change de poste, part en congé prolongé, ou quitte l’organisation, le document disparaît avec elle ou du moins, il devient très difficile à retrouver au moment où on en a besoin.

Le coût du risque de fraude

L’email est le vecteur privilégié des fraudes aux coordonnées bancaires et des usurpations d’identité fournisseurs. Un email frauduleux imitant un fournisseur légitime, demandant la mise à jour d’un RIB, peut être indiscernable d’un email authentique pour un acheteur non équipé. La SPL Lyon Part-Dieu a failli en faire les frais avec une tentative de fraude de 1,7 million d’euros. Ce n’est pas un cas isolé les statistiques sur la fraude au virement bancaire sont en hausse constante, et le canal email est systématiquement impliqué.

Comment les silos organisationnels augmentent les risques fournisseurs

Au-delà des outils, la gestion des risques fournisseurs souffre d’une fragmentation organisationnelle qui démultiplie les vulnérabilités des tableurs et des emails.

Dans la plupart des organisations, la donnée fournisseur est éparpillée entre plusieurs fonctions qui ne se coordonnent pas systématiquement : les Achats gèrent les performances et les contrats, la Finance gère les données de paiement et les RIB, le Juridique gère les contrats et les obligations réglementaires, le Contrôle interne gère les audits et les certifications. Chacun a sa propre vue, ses propres outils, ses propres priorités.

Cette fragmentation fonctionnelle crée trois types de risques.

Des risques non vus parce que non croisés

Un fournisseur qui présente simultanément une dégradation de ses ratios financiers, un retard dans le renouvellement de ses certifications, et des changements dans ses équipes dirigeantes constitue un signal d’alarme composite que seul un système capable de croiser ces trois dimensions peut détecter. Dans un environnement siloisé, chaque signal reste dans son silo et personne ne voit le tableau d’ensemble.

Des décisions incohérentes sur les mêmes fournisseurs

Sans vision partagée, les Achats peuvent décider de renouveler un contrat avec un fournisseur que le Juridique a identifié comme présentant des risques de conformité émergents simplement parce que les deux fonctions ne travaillent pas sur la même information. Ces incohérences sont coûteuses à corriger et potentiellement compromettantes si elles sont identifiées lors d’un audit.

Une fatigue fournisseur amplifiée

Un fournisseur qui reçoit des demandes d’information séparées de la part des Achats, du Juridique et du Contrôle interne d’une même organisation, sur des sujets qui se recoupent, vit une expérience désorganisée qui dégrade la relation. Moët Hennessy l’a résolu en construisant une plateforme KYS qui centralise les questionnaires ESG, carbone et juridiques en un parcours unique, partagé entre toutes les fonctions. Le résultat : une limitation significative des sollicitations fournisseurs et une meilleure qualité des données collectées.

Le coût réel d’une gestion des risques fournisseurs fragmentée

Les coûts de la gestion artisanale des risques fournisseurs sont rarement comptabilisés parce qu’ils sont diffus, parce qu’ils se matérialisent sous des formes variées, et parce qu’ils ne font pas l’objet d’une ligne budgétaire identifiable.

Le coût direct de la fraude

1,7 million d’euros pour la SPL Lyon Part-Dieu heureusement évités. D’autres organisations n’ont pas eu cette chance. Les statistiques de la fraude au virement bancaire dans les entreprises françaises sont éloquentes : le montant moyen des tentatives de fraude détectées dépasse régulièrement le million d’euros.

Le coût des sanctions réglementaires

Une organisation incapable de démontrer sa conformité fournisseurs lors d’un contrôle s’expose à des sanctions financières et réputationnelles. Ces sanctions sont difficiles à anticiper mais leur coût dépasse généralement très largement celui de la mise en place d’un système de gestion structuré.

Le coût de l’inefficacité opérationnelle

784 jours par an chez Hutchinson. Une à deux heures par marché à l’UPEC. Ces chiffres représentent du temps soustrait aux activités à valeur ajoutée de l’analyse stratégique non faite, des relations fournisseurs non développées, des risques émergents non détectés.

Le coût de l’opacité décisionnelle

Les décisions prises sur des données incomplètes ou fragmentées sont des décisions sous-optimales. Les contrats renouvelés sans vérification de conformité récente. Les nouveaux fournisseurs qualifiés sur la base de données non mises à jour. Les dépendances critiques non identifiées. Ces décisions ne génèrent pas d’incidents visibles immédiatement mais elles fragilisent progressivement la chaîne d’approvisionnement.

Les signaux qui indiquent que votre modèle atteint ses limites

La difficulté avec les modèles de gestion des risques fournisseurs fondés sur des tableurs, des emails et des processus dispersés est qu’ils continuent généralement à fonctionner jusqu’au jour où ils ne fonctionnent plus.

La fragilité est rarement visible au quotidien. Elle se manifeste par des signaux faibles que les organisations finissent souvent par considérer comme normaux : quelques relances supplémentaires, un document difficile à retrouver, une information contradictoire entre deux services. Pris isolément, aucun de ces événements n’est alarmant. Ensemble, ils révèlent souvent que le modèle a atteint ses limites.

Certaines situations devraient ainsi être considérées comme des alertes organisationnelles.

Vous maintenez plusieurs bases fournisseurs qui ne racontent pas la même histoire

Les Achats disposent de leur fichier. La Finance du sien. Le Juridique conserve ses propres informations. Lorsqu’il devient difficile de déterminer quelle version est la bonne, le problème n’est plus la qualité de la donnée : c’est l’absence de référentiel partagé.

Les relances documentaires occupent une part significative du temps des équipes

Lorsqu’une partie importante de l’activité consiste à envoyer des emails de suivi, vérifier la réception de documents ou mettre à jour manuellement des statuts, les équipes consacrent davantage de temps à faire circuler l’information qu’à analyser les risques eux-mêmes.

Les audits déclenchent systématiquement des recherches d’urgence

Si la préparation d’un audit implique de parcourir des boîtes mail, de rechercher des pièces jointes anciennes ou de reconstituer un historique documentaire à partir de plusieurs sources, la traçabilité existe peut-être mais elle n’est pas maîtrisée.

Les fournisseurs reçoivent plusieurs demandes similaires de différentes équipes

Lorsqu’un même fournisseur transmet plusieurs fois les mêmes informations à des interlocuteurs différents, ce n’est généralement pas un problème fournisseur. C’est le symptôme d’une organisation qui collecte la donnée sans la partager.

Vous découvrez les changements au lieu d’en être informé

Une certification expirée, un changement de dirigeant, une modification de coordonnées bancaires ou une évolution du statut juridique d’un fournisseur ne devraient pas être découverts par hasard. Lorsqu’aucun mécanisme d’alerte n’existe, la surveillance repose entièrement sur la vigilance humaine.

Aucun de ces signaux n’est problématique en lui-même. En revanche, leur accumulation indique souvent que la gestion des risques fournisseurs dépend davantage d’efforts individuels que d’un système structuré. Et lorsqu’un modèle repose principalement sur les personnes, sa robustesse devient aussi fragile que leur disponibilité.

Comment moderniser la gestion des risques fournisseurs : ce qui change, et ce qui ne change pas

La bonne nouvelle est que la transformation de la gestion des risques fournisseurs ne requiert pas une révolution organisationnelle. Elle requiert trois changements ciblés qui produisent des résultats mesurables rapidement.

Remplacer le tableur par un référentiel unique

Pas nécessairement le plus sophistiqué du marché mais un système qui centralise les données, gère les versions, déclenche des alertes et produit une traçabilité automatique. L’UPEC l’a fait en deux semaines. Eiffage a déployé son dispositif sur 11 000 tiers en trois mois. La mise en œuvre n’est pas le frein c’est souvent la décision de commencer qui l’est.

Intégrer la collecte documentaire aux processus métiers

L’erreur à éviter est de créer un outil de gestion des risques fournisseurs déconnecté des workflows métier. La valeur du modèle Hutchinson × Ivalua × Aprovall, ou du modèle Eiffage × Ivalua × Aprovall, est précisément que la collecte documentaire se déclenche naturellement dans les processus d’achat existants sans créer de rupture, sans imposer de formation longue, sans générer de résistance au changement.

Partager la donnée entre Achats, Finance et Conformité

La vision à 360° que Moët Hennessy a construite compilant données financières, extra-financières et légales, accessible à Achats, Juridique et Contrôle interne n’est pas un luxe réservé aux grandes organisations. C’est une condition d’une gestion des risques fournisseurs qui fonctionne. La donnée partagée est la condition de la décision cohérente.

Conclusion : la fragilité ne se voit pas jusqu’au jour où elle se manifeste

Le tableur Excel, l’email de relance, le dossier partagé dont vous êtes le seul à maîtriser l’arborescence : ces outils fonctionnent, dans un certain sens. Ils permettent de gérer le quotidien, de maintenir un semblant de suivi, de répondre aux demandes immédiates.

Mais ils ne constituent pas un système de gestion des risques fournisseurs. Ils constituent une organisation informelle dont la robustesse dépend de la continuité des mêmes personnes, de l’absence d’incidents, et de la bienveillance des auditeurs.

La fragilité de ce modèle ne se voit pas dans les périodes normales. Elle se révèle au moment le moins opportun : lors d’un contrôle réglementaire, d’une tentative de fraude, d’une défaillance fournisseur critique, ou du départ de la personne qui maintenait le tout en ordre dans sa tête.

Les organisations qui ont fait la transition Hutchinson, Eiffage, SPL Lyon Part-Dieu, UPEC, TAG Heuer, Moët Hennessy n’ont pas attendu l’incident pour agir. Elles ont reconnu la fragilité structurelle de leurs processus, et elles ont décidé de la corriger avant qu’elle ne se manifeste.

C’est précisément ça, une politique de gestion des risques fournisseurs mature : ne pas attendre de voir la fragilité pour la prendre au sérieux.

Cet article s’inscrit dans une série consacrée à la transformation des pratiques de gestion des risques fournisseurs. Les cas Hutchinson, Eiffage, SPL Lyon Part-Dieu, UPEC, TAG Heuer et Moët Hennessy illustrent, à des échelles et dans des contextes différents, les bénéfices concrets d’une gestion structurée et outillée des risques tiers.