Risques tiers secteur public : contraintes spécifiques et solutions

Risques tiers et service public se rencontrent sur un terrain exigeant. Les administrations s’appuient sur des prestataires numériques, des délégataires, des opérateurs de maintenance et des partenaires de marchés publics pour faire fonctionner des services essentiels. Dans ce contexte, un incident chez un tiers peut rapidement devenir un incident de continuité de service, un incident de conformité, ou un incident de confiance vis-à-vis des citoyens.

Cet article propose une méthode concrète pour structurer la gestion des risques tiers dans le secteur public. L’objectif est de rester proportionné, d’éviter la surcharge documentaire et, surtout, de pouvoir démontrer des preuves traçables en cas d’audit.

Risques tiers : définir le périmètre dans le secteur public

Dans le secteur public, la notion de tiers dépasse le « fournisseur » au sens classique. Elle inclut les prestataires IT, les éditeurs de logiciels métiers, les hébergeurs, les sous-traitants de rang inférieur, ainsi que certains partenaires qui participent à l’exécution de missions de service public.

Cette diversité crée un enjeu de cartographie. Une administration peut avoir un portefeuille de tiers très étendu, mais seuls certains acteurs sont réellement critiques. Sans segmentation, le dispositif devient soit trop léger sur les tiers critiques, soit trop lourd sur les tiers à faible exposition.

Risques tiers secteur public : contraintes spécifiques

Exigence de continuité et responsabilité vis-à-vis des citoyens

La continuité de service public impose une logique d’impact. L’évaluation doit partir de la question suivante : quels services deviennent indisponibles si ce prestataire tombe, et dans quel délai l’administration doit-elle rétablir le service.

Cette approche conduit à identifier des tiers critiques, puis à documenter des mesures de résilience proportionnées, notamment des plans de secours, des procédures de réversibilité et des tests réguliers.

Contraintes de commande publique et gouvernance contractuelle

Les relations contractuelles sont encadrées par des règles de transparence, de mise en concurrence et de proportionnalité. La gestion des risques tiers doit donc être intégrée au cycle achat, dès la rédaction du besoin, pour éviter d’ajouter des exigences tardives difficiles à appliquer.

L’enjeu est de traduire le risque en clauses opérationnelles. Cela inclut les exigences de sécurité, les obligations de notification, les droits d’audit selon contexte, ainsi que des conditions de réversibilité qui soient réellement activables.

Sous-traitance et angles morts de la chaîne de valeur

Les tiers visibles ne sont pas toujours ceux qui portent le risque principal. Un éditeur peut dépendre d’un hébergeur, qui s’appuie sur un autre acteur pour ses infrastructures. Sans transparence sur la sous-traitance, l’administration perd de la visibilité sur des dépendances qui peuvent concentrer le risque.

Une gouvernance robuste impose donc une exigence de déclaration de sous-traitance et un mécanisme de contrôle proportionné sur les rangs critiques.

RGPD et cybersécurité : deux piliers de contrôle

RGPD : preuves de diligence sur les sous-traitants

Lorsqu’un prestataire traite des données personnelles, l’administration doit être capable de démontrer des contrôles concrets. La logique « déclarative » ne suffit pas. Une diligence utile s’appuie sur des preuves, par exemple une description claire des traitements, des mesures de sécurité, des procédures de notification d’incident et, selon contexte, des garanties sur les transferts hors UE.

La bonne question opérationnelle est la suivante : si un incident survient, l’administration peut-elle prouver ce qui a été exigé, ce qui a été vérifié, et ce qui a été corrigé.

Cybersécurité : segmenter selon l’exposition et tracer les accès

La cybersécurité des tiers est plus défendable lorsqu’elle est segmentée. Un prestataire sans accès au SI et sans données sensibles ne justifie pas le même niveau d’exigence qu’un prestataire ayant des accès distants ou des droits élevés.

Pour les tiers exposés, les preuves attendues portent souvent sur la gestion des accès, la supervision, la réponse aux incidents et la continuité. L’important est de conserver une traçabilité simple et exploitable.

Méthodologie : évaluer, suivre, remédier

Due diligence au moment du marché

Une évaluation précontractuelle utile examine la criticité, la conformité et les risques majeurs selon contexte. Elle doit rester proportionnée, et produire des livrables réutilisables pendant l’exécution du contrat.

Monitoring continu et indicateurs (KPI/KRI)

Un dispositif crédible suit les tiers dans le temps, à une fréquence alignée sur la criticité. Les indicateurs doivent rester limités, mais stables, et reliés à des actions. Un tiers dont la performance se dégrade, dont les incidents augmentent ou dont les certifications arrivent à échéance doit déclencher un mécanisme de revue.

Remédiation et piste d’audit

La remédiation n’est pas un point annexe. C’est le cœur de la démonstration de maîtrise. Lorsqu’un écart est identifié, il doit être assigné, suivi, clôturé et tracé. Une piste d’audit claire protège l’administration et facilite la gouvernance.

Conclusion

• La gestion des risques tiers secteur public exige une cartographie claire et une segmentation des tiers critiques.
• Les contraintes de commande publique et de continuité imposent une gouvernance contractuelle et des plans de réversibilité activables.
• Un dispositif solide repose sur des preuves traçables, du suivi dans le temps et une remédiation documentée.

Des plateformes comme Aprovall centralisent les informations tiers et la piste d’audit dans un référentiel unique, ce qui facilite le pilotage des risques tiers dans le secteur public.