1,7 M€ de fraude évités avec seulement 5 collaborateurs : les bons enseignements d’une solution de TPRM

Introduction : quand la taille d’une équipe ne doit pas dicter le niveau de risque accepté

Il existe une idée reçue tenace dans la gestion des risques fournisseurs : le TPRM serait l’affaire des grandes organisations, dotées de directions Achats structurées, d’équipes Risk Management dédiées et de budgets à la hauteur de l’enjeu. Les structures de taille modeste — collectivités, sociétés publiques locales, ETI — s’en remettraient à des contrôles manuels, des fichiers Excel et la vigilance de quelques collaborateurs.

Le cas de la SPL Lyon Part-Dieu vient contredire frontalement cette idée. Avec seulement 28 personnes au total et 5 collaborateurs dédiés à la gestion administrative et financière de plus de 600 fournisseurs, cette société publique locale chargée d’aménager le quartier d’affaires de la Part-Dieu à Lyon a réussi un tour de force : structurer un dispositif de TPRM efficace, se conformer aux exigences strictes de la commande publique — et déjouer une tentative de fraude au virement de 1,7 million d’euros.

Ce cas n’est pas seulement une success story technologique. C’est un enseignement de fond sur ce que le Third-Party Risk Management peut — et doit — apporter à des organisations pour lesquelles chaque risque non maîtrisé a un coût disproportionné.

Le contexte : une équipe restreinte face à des exigences hors normes

La SPL Lyon Part-Dieu n’est pas une organisation ordinaire. Créée en 2015, détenue à 90 % par la Métropole de Lyon et à 10 % par la Ville de Lyon, elle pilote l’un des plus grands projets d’aménagement urbain de France : la transformation du quartier Part-Dieu, deuxième quartier d’affaires du pays. Les chantiers sont multiples, les fournisseurs nombreux, les contrats significatifs.

Or, qui dit commande publique dit obligations réglementaires denses : collecte de documents justificatifs (attestations fiscales et sociales, assurances, Kbis, certificats de qualification), vérification de la régularité des fournisseurs, séparation des tâches dans la chaîne de paiement, traçabilité documentaire complète. Des exigences conçues pour des directions Achats de plusieurs dizaines de personnes — appliquées ici par une équipe de 5.

Avant la mise en place d’outils dédiés, la réalité opérationnelle était celle que connaissent beaucoup de structures similaires : collecte documentaire manuelle par email, suivi sur tableur, relances chronophages, et une chaîne de paiement insuffisamment cloisonnée. Le risque n’était pas théorique — il était structurel.

Quelles sont les trois vulnérabilités identifiées par le diagnostic TPRM ?

Analyser le cas de la SPL Lyon Part-Dieu à travers le prisme du TPRM permet d’identifier précisément les points de fragilité qui ont conduit à la mise en place d’une solution outillée.

La solution : un trio d’outils au service du contrôle interne

Pour répondre à ces trois vulnérabilités, la SPL Lyon Part-Dieu a structuré son dispositif autour d’une combinaison de trois solutions intégrées : Go7 (ERP métier), Aprovall (gestion documentaire et conformité fournisseurs) et Sis ID (vérification des coordonnées bancaires).

Go7 × Aprovall : automatiser la conformité documentaire

La plateforme Aprovall, connectée nativement à l’ERP Go7, permet de centraliser l’ensemble de la gestion documentaire fournisseurs. Dès la création d’un tiers, un parcours de collecte est automatiquement déclenché : les fournisseurs reçoivent une demande structurée, déposent leurs documents sur la plateforme, et les équipes de la SPL sont alertées en cas de non-réception, d’expiration imminente ou de non-conformité.

Le système versionne et archive les documents, adapte les parcours selon le profil de risque de chaque fournisseur, et élimine l’essentiel des relances manuelles. Résultat : les collaborateurs ne courent plus après des justificatifs — ils pilotent des exceptions.

Pour Antoine Nourri, Responsable Administratif et Financier de la SPL Lyon Part-Dieu :

Ce que nous cherchions avant tout, c’était à réduire les risques liés à la gestion des fournisseurs, notamment dans un contexte de petite équipe et de commande publique. L’intégration des outils comme Aprovall et Sis ID dans notre ERP nous a permis d’automatiser un grand nombre de contrôles critiques. On limite désormais considérablement les tâches humaines tout en gagnant en sérénité.

Antoine Nourri

Responsable Administratif et Financier de la SPL Lyon Part-Dieu

Sis ID : sécuriser la chaîne de paiement

La fintech Sis ID, spécialisée dans la lutte contre la fraude financière et créée en 2016, apporte la couche de vérification bancaire manquante. Intégrée au dispositif, elle permet de contrôler automatiquement la fiabilité des RIB fournisseurs avant tout paiement : détection des anomalies, rapprochement avec les bases de données bancaires, alertes en temps réel en cas de suspicion.

C’est précisément cette brique qui a permis à la SPL d’identifier et de bloquer la tentative de fraude au virement.

Le moment critique : 1,7 M€ ne partent pas

Le chiffre est éloquent. Une tentative de fraude au virement de 1,7 million d’euros a été détectée et neutralisée grâce au contrôle automatisé des coordonnées bancaires opéré par Sis ID, intégré dans le flux Aprovall.

La mécanique de ce type de fraude est bien connue des spécialistes du contrôle interne : un fraudeur usurpe l’identité d’un fournisseur légitime, transmet de faux relevés d’identité bancaire, et attend que le virement soit exécuté. Sans vérification automatisée, la chaîne humaine — surtout dans une petite équipe sous pression — peut laisser passer l’anomalie.

Ici, le système a fonctionné comme prévu. Antoine Nourri l’exprime sans détour :

Grâce au contrôle des coordonnées bancaires via Sis ID & Aprovall, nous avons pu détecter et éviter une tentative de fraude de 1,7 million d’euros. Sans cette vérification en amont, la chaîne de paiement aurait pu être vulnérable. Ce type d’incident montre à quel point il est essentiel de s’appuyer sur des outils fiables afin de sécuriser nos processus.

Antoine Nourri

Responsable Administratif et Financier de la SPL Lyon Part-Dieu

Au-delà du montant évité, c’est la nature systémique de la détection qui importe. Ce n’est pas un collaborateur particulièrement vigilant qui a repéré l’anomalie — c’est le processus lui-même, automatisé et désensibilisé aux facteurs humains, qui a produit l’alerte. C’est exactement ce que le TPRM promet : transformer la vigilance individuelle en contrôle organisationnel.

Ce que le secteur public peut apprendre du secteur privé et inversement

Le cas de la SPL Lyon Part-Dieu ouvre une réflexion plus large sur la convergence des pratiques TPRM entre secteur public et secteur privé.

Le secteur public est soumis à des contraintes réglementaires particulièrement strictes — code de la commande publique, contrôle de légalité, obligation de traçabilité — qui rendent le TPRM structurant, mais aussi plus complexe à outiller. Les solutions doivent s’adapter à des processus spécifiques, intégrer des référentiels réglementaires particuliers, et fonctionner dans des environnements où la DSI n’est pas toujours un interlocuteur disponible.

Ce que montre l’expérience de la SPL, c’est qu’avec les bons connecteurs et une approche pragmatique centrée sur les besoins métier, ces contraintes ne sont pas des obstacles insurmontables. Elles deviennent même des leviers : la rigueur imposée par la commande publique, une fois automatisée, se transforme en avantage compétitif en matière de contrôle interne.

Pour le secteur privé, l’enseignement symétrique est tout aussi précieux : une organisation qui gère des fournisseurs sans processus structuré de vérification documentaire et bancaire — quelle que soit sa taille — s’expose à des risques que la complexité des flux financiers contemporains rend de plus en plus probables.

Conclusion : le TPRM n’est pas une question de moyens, c’est une question de priorité

La SPL Lyon Part-Dieu a montré qu’avec 5 collaborateurs, 600 fournisseurs et les bons outils, il est possible de structurer un dispositif de gestion des risques tiers robuste, conforme aux exigences réglementaires les plus strictes — et capable de bloquer une fraude d’1,7 million d’euros.

Ce cas démontre que le TPRM n’est pas réservé aux grandes entreprises dotées de directions Risk Management dédiées. Il est accessible, scalable, et surtout nécessaire à toute organisation qui dépend de tiers pour fonctionner — ce qui, aujourd’hui, signifie à peu près toutes les organisations.

La vraie question n’est pas « avons-nous les moyens de mettre en place un TPRM ? » mais « pouvons-nous nous permettre de ne pas en avoir un ? »