Vérification tiers haut risque : méthode pas à pas pour une due diligence renforcée

Un fournisseur est identifié comme à haut risque — pays exposé, structure actionnariale opaque, secteur sensible, rôle d’intermédiaire. Jusque-là, la plupart des dispositifs d’évaluation des tiers (TPRM) savent faire. Ce qui manque presque toujours, c’est l’étape d’après : quelles sources consulter concrètement, jusqu’où pousser l’investigation, et comment documenter la décision de travailler ou non avec ce tiers de façon à ce qu’elle résiste à un contrôle.

Quels sont les 5 critères qui déclenchent une vérification renforcée ?

Cinq critères, pris isolément ou combinés, doivent déclencher une évaluation approfondie plutôt qu’une vérification standard. L’implantation géographique à risque, d’abord : un tiers situé, ou dont la prestation se déroule, dans une zone exposée au risque de corruption, à l’évasion fiscale ou dans une juridiction non coopérative. La structure actionnariale opaque, ensuite : impossibilité d’identifier les bénéficiaires effectifs, recours à des structures juridiques empilées (trusts, fiduciaires, sociétés écrans), ou changements fréquents et inexpliqués dans l’actionnariat. Le secteur d’activité sensible, troisièmement : construction et travaux publics, extractif, défense, santé — des secteurs où les enquêtes de l’AFA et la littérature judiciaire montrent une exposition disproportionnée aux atteintes à la probité. Le rôle d’intermédiaire, quatrièmement : apporteur d’affaires, agent commercial, consultant chargé de faciliter l’obtention d’un contrat — une catégorie que les contrôles de l’AFA identifient de façon récurrente comme sous-évaluée par rapport à son niveau de risque réel. Cinquièmement, l’interaction du tiers avec des agents publics ou des personnes politiquement exposées, en particulier dans un pays à risque, qui multiplie l’exposition à un conflit d’intérêts ou à une pression informelle.

Un seul de ces critères ne signifie pas automatiquement un risque élevé avéré, mais chacun doit suffire à faire basculer le tiers hors du parcours d’évaluation standard.

Quelles sont les 4 couches d’une vérification renforcée ?

Une due diligence renforcée se construit en quatre couches cumulatives, chacune corrigeant les limites de la précédente.

La couche documentaire rassemble ce que le tiers fournit lui-même : extrait Kbis ou équivalent local, états financiers, document d’enregistrement universel le cas échéant, liste de ses propres sous-traitants, et documentation de son dispositif anticorruption interne — code de conduite, politique cadeaux et invitations, cartographie des risques s’il en a une. Cette couche est nécessaire mais insuffisante seule : les données qu’elle contient sont déclaratives, et rien ne garantit qu’elles reflètent la réalité.

La couche bases de données croise ces déclarations avec des sources externes : listes de sanctions financières et internationales, bases de personnes politiquement exposées, informations défavorables en sources ouvertes recherchées dans plusieurs langues, et bases spécialisées proposées par des prestataires externes en intelligence économique. C’est la couche qui révèle les incohérences entre ce que le tiers déclare et ce que des sources indépendantes indiquent.

La couche humaine ajoute ce qu’aucune base de données ne peut fournir : entretiens directs avec les dirigeants du tiers, visite ou audit sur site pour vérifier que les moyens humains et matériels déclarés existent réellement, et vérification de références professionnelles. C’est souvent la couche la plus coûteuse en temps, et donc celle qu’on réserve légitimement aux tiers les plus risqués plutôt qu’à l’ensemble du portefeuille.

La couche comportementale, enfin, ne se joue pas au moment du screening initial mais tout au long de la relation : cohérence des modalités de paiement demandées, réticence à transmettre des pièces justificatives, changements de sous-traitants non déclarés, ou apparition d’un signal d’alerte après l’entrée en relation. Cette couche transforme la vérification renforcée d’un événement ponctuel en un dispositif de surveillance continue.

Les sources de données à utiliser — et celles que vous ne pouvez pas faire sans

Certaines sources sont incontournables pour tout tiers classé à haut risque : les listes de sanctions financières et internationales (Union européenne, Nations unies, OFAC selon l’exposition géographique du tiers), une recherche d’informations défavorables menée dans la langue du pays d’implantation du tiers et pas seulement en français ou en anglais, et une vérification de l’identité des bénéficiaires effectifs en remontant la chaîne actionnariale jusqu’à la personne physique. Un point que les contrôles de l’AFA soulignent régulièrement : un questionnaire interne ou externe rempli par le tiers lui-même, même complet, ne suffit jamais seul, précisément parce que son contenu reste déclaratif et invérifiable en l’état.

D’autres sources sont utiles mais secondaires selon le profil du tiers : les registres publics d’enregistrement des sociétés, les bases de données spécialisées en risque pays, les registres de représentants d’intérêts lorsque le tiers agit comme intermédiaire auprès d’acteurs publics, et les rapports d’audit réalisés par des tiers indépendants lorsque le montant et la durée de la relation le justifient. La règle pratique : plus le tiers cumule de critères de risque élevé, plus il faut mobiliser de sources indépendantes du tiers lui-même — l’inverse d’une évaluation standard, où le questionnaire interne peut suffire pour un tiers à faible risque.

Quelle décision prendre après le screening ? La matrice de décision

Le résultat d’une vérification renforcée doit déboucher sur une décision parmi quatre, jamais sur un score isolé sans suite. Approuver sans condition, lorsque l’investigation ne révèle aucun signal d’alerte significatif malgré les critères de risque initiaux. Approuver sous mesures de remédiation renforcées, lorsque des signaux existent mais restent maîtrisables — audit périodique obligatoire, plafond de transaction, validation systématique de chaque facture par un responsable désigné. Suspendre l’entrée en relation dans l’attente de vérifications complémentaires, lorsque l’investigation initiale ne permet pas de trancher — typiquement quand le tiers refuse de communiquer des pièces justificatives demandées. Écarter le tiers, lorsque les signaux d’alerte sont trop nombreux, trop graves, ou touchent directement à un montage susceptible de constituer une infraction pénale — schéma de rémunération opaque, proposition explicite de facilitation de contrat contre commission occulte.

Cette décision doit être documentée avec la même rigueur que l’investigation elle-même : qui a décidé, sur la base de quels éléments précis, et avec quelle date. Une décision d’approbation sans trace des signaux examinés vaut, en cas de contrôle, à peu près autant qu’une absence d’évaluation.

Ce que donne cette méthode appliquée à grande échelle

Sur un portefeuille de quelques dizaines de tiers, cette rigueur documentaire reste gérable à la main. Elle devient une autre affaire dès que le nombre de tiers à haut risque se compte en centaines, répartis dans plusieurs filiales ou zones géographiques. Antoine Beaume-Dessertaine, directeur du contrôle interne et de la conformité chez Antin Résidences, décrit ce que produit une méthode structurée à cette échelle : « Sur nos 2000 tiers, nous avons pu cartographier les risques, automatiser les contrôles, et intégrer les rapports de probité. Cette mise en place marque un véritable cap de maturité pour Antin Résidences. » Ce témoignage illustre un principe qui vaut spécifiquement pour les tiers à haut risque : la matrice de décision décrite plus haut n’a de valeur que si chaque étape qui la précède — collecte documentaire, criblage, rapport de probité — est réellement tracée et rattachée au tiers concerné, et non reconstituée de mémoire au moment du contrôle.

Quelles clauses contractuelles prévoir pour un tiers haut risque ?

Un tiers classé à haut risque justifie des clauses contractuelles que l’on n’impose pas systématiquement au reste du portefeuille : une déclaration et garantie anticorruption engageant le tiers sur le respect des législations applicables, un droit d’audit renforcé permettant à l’entreprise ou à un auditeur désigné de vérifier sur place le dispositif du tiers, une clause de résiliation immédiate en cas de manquement avéré à ces engagements, l’obligation pour le tiers d’évaluer lui-même ses propres sous-traitants selon des critères comparables, l’interdiction de recourir à un sous-intermédiaire non déclaré, et un engagement de mise à jour périodique des informations sur ses bénéficiaires effectifs. Ces clauses doivent être négociées avant la signature, pas ajoutées après coup : une fois le contrat signé sans ces garanties, le rapport de force pour les obtenir s’inverse complètement.

Quelle fréquence de réévaluation pour un tiers haut risque ?

Un tiers à haut risque ne le reste pas nécessairement, et un tiers jugé maîtrisé peut basculer en cours de relation. La réévaluation doit donc combiner une fréquence programmée — plus courte que pour le reste du portefeuille, généralement annuelle pour les tiers à risque élevé — et des déclencheurs événementiels qui priment sur le calendrier : changement dans l’actionnariat ou les bénéficiaires effectifs, apparition d’une information défavorable, incident ou condamnation touchant le tiers, évolution significative de la relation commerciale (un contrat ponctuel qui devient une relation de long terme représentant une part importante du chiffre d’affaires du tiers), ou refus soudain de transmettre des informations auparavant fournies sans difficulté. Un dispositif qui se contente de la fréquence programmée laisse, par construction, un tiers qui se dégrade en cours d’année sans surveillance jusqu’à la prochaine échéance.

Ce que votre outil TPRM doit faire pour les tiers haut risque

Mener ces quatre couches de vérification manuellement, tiers par tiers, n’est pas soutenable au-delà d’une poignée de dossiers par an — c’est pourtant précisément sur les tiers à haut risque que la rigueur ne peut pas être sacrifiée à la charge de travail. Un outil de gestion des risques tiers (TPRM) doit remplir un rôle précis sur ce segment du portefeuille : automatiser en continu la couche bases de données — criblage sanctions, PPE et informations défavorables multilingues — pour que cette vérification ne dépende plus d’une recherche manuelle relancée à chaque échéance ; centraliser dans un dossier unique, daté et horodaté, les pièces de la couche documentaire, les résultats de la couche bases de données et les comptes rendus de la couche humaine, pour qu’aucun élément ne reste dispersé entre plusieurs boîtes mail ; déclencher automatiquement une alerte de réévaluation dès qu’un des événements de la couche comportementale survient, plutôt que d’attendre l’échéance annuelle ; et tracer, pour chaque tiers à haut risque, la matrice de décision retenue — approuvé, sous remédiation, suspendu, écarté — avec la date et l’auteur de l’arbitrage. Ce que l’outil ne doit jamais faire, en revanche, c’est prendre la décision à la place de la Conformité : sur un tiers à haut risque, l’arbitrage final — approuver, remédier, suspendre ou écarter — reste un jugement humain que l’outil documente, sans jamais s’y substituer.

David Fornili, Operation Manager chez Africa Global Logistics (AGL), une entreprise de transport et de logistique opérant dans des géographies souvent classées à risque, illustre ce que cette fiabilité change concrètement pour des équipes qui gèrent au quotidien une population d’intermédiaires et de transporteurs : « Je me considère comme un véritable fan d’Aprovall, car la plateforme apporte à la fois stabilité, ergonomie et simplicité, ce qui change radicalement notre manière de travailler avec les transporteurs. » Il ajoute : « L’absence totale de bug et la fluidité d’utilisation sont pour moi une fonctionnalité majeure : nous pouvons enfin compter sur une solution fiable, stable et parfaitement alignée à nos processus. » Sur un portefeuille de tiers à haut risque, c’est exactement cette fiabilité — un outil qui ne faillit jamais sur la collecte et la traçabilité — qui libère le temps des équipes pour l’analyse humaine que les cas les plus sensibles exigent réellement.