Mettre en place un dispositif de gestion des risques fournisseurs - Decision-achats.fr

Accueil / #Stratégie achats / #Relation Fournisseurs Étape 1 – Cartographier les fournisseurs critiques La première étape d’un dispositif de risk management fournisseur est la cartographie des fournisseurs critiques . Sans cette segmentation, le suivi se dilue et n’atteint personne. Sur un panel typique de 5 000 fournisseurs actifs, on retrouve généralement entre 50 et 200 fournisseurs critiques sur lesquels concentrer le dispositif. Cinq critères structurent cette cartographie. Le poids dans la dépense  : le top 80/20 ou top 95/20 du panel doit être identifié. La criticité opérationnelle  : sans ce fournisseur, l’activité est-elle interrompue ? Combien de jours avant qu’un substitut soit qualifié ? L’ absence de redondance  : combien de fournisseurs alternatifs sont disponibles ? Le niveau d’exposition externe  : le fournisseur opère-t-il dans une zone géopolitique sensible, dans un secteur sous tension, sous sanctions ? Et la dépendance réciproque  : le donneur d’ordre représente-t-il plus de 30 % du chiffre d’affaires du fournisseur (signal de fragilité documenté par le cas Carillion) ? Lire aussi : Face au stress hydrique, Bel repense sa chaîne d'approvisionnement Cette cartographie se construit en quelques semaines avec les acheteurs catégoriels, les métiers prescripteurs, la direction des risques et la direction financière. Elle produit une liste hiérarchisée des fournisseurs à suivre, et un niveau de risque cible par fournisseur, qui détermine la fréquence de surveillance et les seuils d’alerte. Elle se révise annuellement, ou à chaque changement significatif du panel. Étape 2 – Choisir les indicateurs et les sources La deuxième étape consiste à définir les indicateurs et les sources par typologie de risque. Sur le risque financier , les indicateurs classiques sont la santé financière (score Altares D&B ou Creditsafe), les délais de paiement aux fournisseurs ( proxy de tension de trésorerie), les évolutions de chiffre d’affaires et d’effectif. Les sources publiques (BODACC, INPI, URSSAF) sont alimentées en temps réel par les agrégateurs de données comme Altares Dun & Bradstreet . Sur le risque ESG , le scoring EcoVadis est devenu la référence transverse. Il couvre quatre dimensions – environnement, social, éthique, achats responsables – et fournit un score pondéré opposable. Sur le risque opérationnel et géopolitique , les plateformes de monitoring continu comme Sphera et Prewave agrègent des centaines de sources (médias mondiaux, indices météo, registres de sanctions, indices géopolitiques) et produisent des alertes hiérarchisées. Sur le risque réglementaire , les indicateurs cibles dépendent de l’obligation : KYC et bénéficiaires effectifs pour Sapin II, scoring sanctions pour les embargos, statut PPE (Personnes Politiquement Exposées) pour l’anti-corruption, plan de vigilance documenté pour la loi française. Provigis centralise ces vérifications documentaires pour environ 1 300 grands donneurs d’ordre en France, avec un mécanisme de collecte probatoire opposable. Sur le risque cyber , les scores SecurityScorecard ou BitSight évaluent la posture cyber des fournisseurs externes ; Trustpair sécurise les coordonnées bancaires contre la fraude au virement. Chaque typologie a sa source de référence : la sélection des sources structure la qualité du dispositif. Étape 3 – Automatiser le monitoring et les alertes La troisième étape – automatiser le monitoring – est ce qui distingue une démarche risk moderne d’une démarche manuelle. Trois capacités sont désormais standard. La surveillance continue des sources publiques et privées en mode temps réel ou quasi temps réel. La détection automatique d’événements pertinents (défaillance, sanction, incident, scandale, accident, modification de coordonnées bancaires). Le scoring dynamique qui ajuste le niveau de risque en fonction des événements détectés. Les plateformes leaders ont fait de cette automatisation leur cœur de proposition. Sphera (ex-riskmethods, acquis en octobre 2022 par le groupe Sphera basé à Chicago) monitore en continu les fournisseurs à travers des centaines de sources mondiales et alerte ses clients avant l’impact business, avec une couverture multi-tier (N-Tier) revendiquée à 99,8 % de précision sur ses alertes. Prewave analyse plus de 140 catégories de risque dans plus de 400 langues , avec un focus sur la conformité CSDDD et German Supply Chain Act. EcoVadis alerte en temps réel sur les actualités négatives significatives (procès, scandale, incident industriel) des entreprises évaluées. Trois principes guident la configuration des alertes. La hiérarchisation  : toutes les alertes ne se valent pas, et un flux mal calibré sature les équipes au point d’être ignoré. La contextualisation  : un score brut sans contexte n’est pas actionnable ; les bons outils proposent une analyse de l’événement et des actions recommandées. L’ intégration au SRM  : les alertes doivent remonter dans l’outil opérationnel de l’acheteur (SRM ou suite S2P), pas dans une boîte mail dédiée que personne ne consulte. Étape 4 – Déclencher des plans de mitigation actionnables La quatrième étape – la plus déterminante – est l’ opérationnalisation de la mitigation . Une alerte n’a de valeur que si elle déclenche une action documentée. Pour chaque typologie de risque, le dispositif doit prévoir un plan de mitigation prédéfini  : qui est alerté, dans quels délais, quelles actions sont engagées, comment est tracée la décision. Lire aussi : Top 5 des outils de gestion des risques fournisseurs Quatre familles d’actions structurent la réponse. La demande de remédiation au fournisseur (collecte de documents complémentaires, audit, plan de progrès partagé). La diversification  : qualifier un fournisseur alternatif, basculer une partie du volume, sécuriser un stock tampon. La renégociation  : ajuster les clauses contractuelles (force majeure, partage tarifaire, garanties), insérer des clauses de revue, conditionner les volumes. La rupture maîtrisée dans les cas où la mitigation est impossible : préavis, transition organisée, suppression du référencement. Cette opérationnalisation passe par trois conditions. D’abord, un propriétaire clair par typologie de risque (achats sur l’opérationnel et le tarifaire, finance sur le financier, conformité sur le réglementaire, RSE sur l’ESG, IT sur le cyber). Ensuite, des seuils d’alerte calibrés par segment de fournisseur : on n’agit pas avec la même rapidité sur un fournisseur stratégique et sur un fournisseur standard. Enfin, une traçabilité des décisions  : qui a vu l’alerte, qui a décidé d’agir, qu’a-t-il fait, avec quel résultat ? Cette traçabilité alimente la piste d’audit opposable aux régulateurs et permet l’apprentissage continu du dispositif. Enfin, le dispositif se pilote par des indicateurs synthétiques  : nombre d’alertes générées, taux de traitement dans les délais, nombre de mitigations engagées, économies évitées, fournisseurs sortis du panel à risque. Un comité risk trimestriel – réunissant achats, finance, conformité, RSE et IT – fait vivre ces indicateurs et arbitre les évolutions du dispositif. C’est cette discipline managériale, plus que la sophistication des outils, qui distingue les organisations résilientes des autres. Une dernière dimension mérite attention dans la durée : la boucle d’apprentissage . Chaque incident – défaillance fournisseur, sanction, scandale, rupture – est une occasion d’affiner les seuils d’alerte, d’enrichir la cartographie et d’ajuster les plans de mitigation. Les organisations qui institutionnalisent un retour d’expérience post-incident systématique transforment progressivement leur dispositif risk en avantage compétitif : à panel équivalent, elles anticipent davantage et réagissent plus vite. C’est ce capital de connaissance accumulée, plus que l’outillage, qui fait la différence à trois ou cinq ans. Ce contenu est publié par Mentioned