Directions Achats : comment devenir le nouveau pare-feu de l’organisation face aux risques tiers ?

Transformation de la fonction Achats | TPRM | Contrôle interne | Gouvernance

Introduction : la direction Achats à la croisée des chemins

Il fut un temps où la direction Achats était évaluée sur deux critères simples : le prix et la disponibilité. Négocier les meilleurs tarifs, sécuriser les approvisionnements, livrer dans les délais. Un rôle opérationnel précieux, mais dont le périmètre de responsabilité s’arrêtait assez clairement à la transaction.

Ce temps est révolu. Sous la pression conjuguée de la réglementation devoir de vigilance, Sapin 2, CSRD, loi LME, et d’un environnement économique de plus en plus instable, la direction Achats est devenue la première ligne de défense de l’organisation face aux risques tiers. C’est elle qui qualifie les fournisseurs, qui collecte les documents de conformité, qui surveille les évolutions de statut légal, qui gère la chaîne de paiement, qui remonte les alertes. C’est elle qui sait ou devrait savoir ce qui se passe dans la chaîne d’approvisionnement avant que les autres fonctions ne l’apprennent.

En d’autres termes : la direction Achats est le pare-feu naturel de l’organisation contre les risques fournisseurs. La question n’est plus de savoir si elle doit jouer ce rôle c’est déjà le cas, qu’elle le revendique ou non. La question est de savoir si elle dispose des outils, des processus et de la posture pour l’exercer efficacement.

Ce que le rôle de pare-feu implique concrètement

Être le pare-feu de l’organisation face aux risques tiers, ce n’est pas seulement vérifier des documents. C’est exercer une surveillance active, structurée et continue sur l’ensemble du portefeuille fournisseurs et transformer les signaux détectés en décisions de gestion.

Ce rôle se décline sur quatre dimensions simultanées.

La qualification à l’entrée. Avant toute relation contractuelle, la direction Achats évalue la solidité financière du fournisseur, sa conformité réglementaire, son profil de risque ESG, son historique d’incidents. C’est la première barrière, celle qui détermine avec qui l’organisation décide de travailler.

La surveillance en cours de relation. Un fournisseur qualifié aujourd’hui peut présenter un profil de risque très différent dans six mois. Défaillance financière, perte de certification, changement de dirigeants, mise en examen pour corruption : ces événements surviennent entre deux évaluations périodiques. Le pare-feu ne fonctionne que s’il surveille en continu.

La sécurisation des flux financiers. La chaîne de paiement est l’une des surfaces d’attaque les plus exposées de l’organisation. La vérification des coordonnées bancaires, la détection des changements de RIB, la séparation des tâches dans les processus d’approbation : ces contrôles sont au cœur du rôle de pare-feu financier que la direction Achats exerce ou devrait exercer.

La traçabilité pour l’audit et le contrôle. Être un pare-feu efficace ne suffit pas si on ne peut pas le démontrer. La traçabilité des contrôles effectués, des documents collectés, des décisions prises et des alertes traitées est la preuve que le pare-feu fonctionne — celle que les auditeurs, les régulateurs, et les dirigeants demandent.

La SPL Lyon Part-Dieu : le cas d’école du pare-feu sous contrainte

Peu de cas illustrent aussi directement ce que signifie être un pare-feu organisationnel avec des ressources limitées que celui de la SPL Lyon Part-Dieu.

Société publique locale chargée de l’aménagement du quartier d’affaires de la Part-Dieu pour la Métropole de Lyon et la Ville de Lyon, la SPL opère dans un contexte de commande publique exigeant, avec une équipe de 28 personnes dont seulement 5 collaborateurs dédiés à la gestion administrative et financière de plus de 600 fournisseurs. Le ratio est éloquent : un collaborateur pour 120 fournisseurs, dans un environnement où chaque erreur de conformité ou de contrôle bancaire peut avoir des conséquences financières et réputationnelles significatives.

Avant la mise en place d’une architecture TPRM structurée, la réalité opérationnelle de cette petite équipe illustrait parfaitement les limites du pare-feu artisanal : collecte documentaire manuelle chronophage, absence de séparation des tâches dans la chaîne de paiement, et aucun contrôle automatisé des coordonnées bancaires fournisseurs.

Le résultat potentiel de ces lacunes ? Une tentative de fraude au virement de 1,7 million d’euros qui n’a pas abouti, mais qui aurait pu. Antoine Nourri, Responsable Administratif et Financier, en tire la leçon la plus directe qui soit :

« Grâce au contrôle des coordonnées bancaires via Sis ID & Aprovall, nous avons pu détecter et éviter une tentative de fraude de 1,7 million d’euros. Sans cette vérification en amont, la chaîne de paiement aurait pu être vulnérable. Ce type d’incident montre à quel point il est essentiel de s’appuyer sur des outils fiables afin de sécuriser nos processus. »

La leçon de ce cas ne tient pas à la sophistication de la solution déployée. Elle tient à une réalité simple : un pare-feu humain, même consciencieux, ne peut pas surveiller en permanence tous les vecteurs de risque simultanément. Le pare-feu organisationnel efficace repose sur des processus automatisés qui prennent en charge la vigilance systématique et libèrent les collaborateurs pour le jugement sur les cas complexes.

Les quatre caractéristiques d’une direction Achats qui joue vraiment son rôle de pare-feu

L’analyse des cas documentés dans cette série permet de dégager quatre caractéristiques communes aux directions Achats qui exercent efficacement leur rôle de première ligne face aux risques tiers.

Elles ont automatisé les contrôles critiques

La première caractéristique est l’automatisation des contrôles qui, par nature, doivent être systématiques et sans faille. Vérification des documents légaux à l’onboarding, alerte sur les expirations, contrôle des coordonnées bancaires à chaque modification, screening anticorruption des nouveaux tiers : ces contrôles ne peuvent pas dépendre de la vigilance individuelle ils doivent être déclenchés automatiquement, tracés systématiquement, et inattaquables en cas d’audit.

Naos a automatisé entièrement la collecte documentaire et réglementaire via Aprovall, connecté à son SRM Oxalys et à SAP. Le résultat est radical : 19 acheteurs libérés de la gestion administrative fournisseurs, réduite à une seule personne. Ce n’est pas une réduction de vigilance c’est une automatisation de la vigilance systématique, qui libère les humains pour la vigilance contextuelle.

L’UPEC a automatisé les vérifications réglementaires de ses titulaires de marchés via le seul numéro SIRET de l’attributaire. En une connexion, l’ensemble des contrôles s’exécute de manière sécurisée et tracée. Ce niveau de rigueur serait impossible à maintenir manuellement avec un pôle de quatre personnes gérant 250 tiers.

Elles ont intégré les outils dans les workflows métier existants

La deuxième caractéristique est l’intégration. Un outil de gestion des risques fournisseurs qui vit en dehors des processus d’achat n’est pas utilisé il est contourné. Les directions Achats qui fonctionnent comme un pare-feu efficace ont fait de la conformité et de la gestion des risques une composante naturelle du processus d’achat, pas une étape supplémentaire.

La SPL Lyon Part-Dieu illustre cette logique avec son architecture Go7 × Aprovall × Sis ID : la création d’un tiers dans l’ERP déclenche automatiquement la collecte documentaire et la vérification bancaire. Le processus de conformité ne vient pas s’ajouter au processus d’achat il en fait partie.

Hutchinson a fait de l’intégration Ivalua × Aprovall le cœur de son architecture : « L’intégration d’Aprovall directement dans notre outil achats Ivalua nous permet de sécuriser nos processus sans changer les habitudes des équipes. » Le pare-feu ne perturbe pas le flux — il le sécurise de l’intérieur.

Elles ont étendu leur périmètre de surveillance au-delà du Tier 1

La troisième caractéristique est l’extension du périmètre. Un pare-feu qui ne surveille que les fournisseurs directs laisse passer les risques qui viennent des profondeurs de la chaîne d’approvisionnement — et ce sont souvent les plus coûteux.

TAG Heuer a étendu sa surveillance jusqu’aux rangs 4 et 5 de sa chaîne de valeur, là où les émissions carbone et les risques de conformité se concentrent sans que personne ne les ait cartographiés. La direction Achats n’est plus seulement le garde du Tier 1 elle est le radar de l’ensemble de la chaîne.

Le Département de la Vendée a étendu son évaluation jusqu’aux marchés de 5 000 euros là où se trouvent les fournisseurs les plus petits, les moins instrumentés, et souvent les moins visibles. Un pare-feu qui ignore les petits montants ignore une grande partie du risque réel.

Elles ont partagé la donnée entre les fonctions

La quatrième caractéristique est la transversalité. Un pare-feu isolé dans la direction Achats ne protège pas l’organisation il protège un silo. La valeur du TPRM se démultiplie quand la donnée fournisseur est accessible simultanément aux Achats, au Juridique, à la Finance et au Contrôle interne.

Moët Hennessy a construit sa plateforme KYS précisément sur ce principe : données financières, extra-financières et légales compilées dans un dashboard partagé entre toutes les fonctions. Un fournisseur qui présente simultanément une alerte financière, un retard de certification et une anomalie dans ses réponses ESG déclenche une réaction coordonnée pas trois réactions séparées et désynchronisées.

Ce que la posture de pare-feu change pour la direction Achats

Assumer pleinement le rôle de pare-feu a des implications organisationnelles que les directions Achats doivent anticiper.

Elle repositionne la fonction dans les arbitrages stratégiques. Une direction Achats qui gère activement les risques tiers qui détecte les fraudes, qui démontre la conformité Sapin 2, qui remonte les alertes de défaillance fournisseur n’est plus une fonction support. Elle est une fonction de protection stratégique dont la valeur est mesurable en risques évités, en sanctions régulementaires non encourues, en continuité d’activité préservée.

Elle modifie le profil des compétences requises. Les acheteurs d’un pare-feu efficace ne sont pas seulement des négociateurs ce sont des analystes risques, capables de lire un bilan, d’interpréter une alerte ESG, de comprendre une obligation réglementaire et d’en tirer des conséquences opérationnelles. Cette évolution du profil est une opportunité pour les équipes Achats qui souhaitent monter en compétences et en visibilité.

Elle impose une infrastructure de données. On ne peut pas être un pare-feu sans données fiables. La direction Achats qui veut jouer ce rôle a besoin d’un référentiel fournisseurs centralisé, d’une collecte documentaire automatisée, d’alertes en temps réel, et d’une traçabilité irréprochable. Ce n’est pas un investissement optionnel c’est la condition de l’exercice du rôle.

Le pare-feu n’est pas une contrainte : c’est une élévation du rôle

Il existe une résistance, dans certaines directions Achats, à ce repositionnement. La gestion des risques est perçue comme une charge supplémentaire une couche de complexité qui s’ajoute à un métier déjà dense. Cette résistance est compréhensible, mais elle repose sur un malentendu.

Le TPRM bien déployé ne complexifie pas le travail des acheteurs il le simplifie, en automatisant les tâches administratives et en leur restituant du temps pour ce qu’ils savent faire. Naos en a fait l’expérience : 18 acheteurs libérés de l’administratif fournisseurs. La SPL Lyon Part-Dieu en a fait l’expérience : une équipe de 5 qui gère 600 fournisseurs avec une sérénité que la gestion manuelle ne permettait pas.

« On limite désormais considérablement les tâches humaines tout en gagnant en sérénité », résume Antoine Nourri. La sérénité n’est pas un bénéfice secondaire. C’est le signe que le pare-feu fonctionne que les contrôles critiques sont assurés, que les alertes arrivent au bon moment, et que l’organisation est protégée sans que les équipes aient à tout porter sur leurs épaules.

Conclusion : le pare-feu de demain se construit aujourd’hui

La direction Achats qui joue pleinement son rôle de première ligne face aux risques tiers ne se construit pas en un jour. Elle se construit par couches successives : d’abord la centralisation des données, puis l’automatisation des contrôles critiques, puis l’extension de la surveillance au-delà du Tier 1, puis l’intégration de la donnée fournisseur dans les décisions stratégiques.

Chaque cas documenté dans cette série représente une étape de cette construction. La SPL Lyon Part-Dieu qui sécurise sa chaîne de paiement. L’UPEC qui automatise ses vérifications réglementaires. Naos qui libère ses acheteurs. Hutchinson qui crée son référentiel groupe. TAG Heuer qui remonte jusqu’au rang 5. La Société des Grands Projets qui rend ses inspections auditables. Le Département de la Vendée qui évalue jusqu’à 5 000 euros. Moët Hennessy qui partage la données entre 27 maisons.

Ces organisations n’ont pas attendu la prochaine réglementation pour agir. Elles ont compris que le risque tiers ne se gère pas en réaction il se gère en anticipation. Et que la direction Achats, bien équipée et bien positionnée, est l’organisation la mieux placée pour le faire.

Cet article s’inscrit dans une série consacrée à la transformation des pratiques de gestion des risques fournisseurs. Pour en savoir plus sur la plateforme Aprovall et les solutions de TPRM intégrées : www.aprovall.com