Qu’entendons-nous par tiers sensible ?
Il n’est plus une société qui ne recoure à un tiers pour sous-traiter certaines de ses
activités. Cette sous-traitance couvre généralement des fonctions de support, qui ne sont
pas au centre de l’activité de l’entreprise. Il est toutefois de plus en plus courant de soustraiter des activités métier critiques. Les sous-traitants ne sont pas les uniques tiers de
l’entreprise. Par exemple, les partenaires collaborant avec l’entreprise pour des projets
précis sont aussi des tiers. Enfin, de plus en plus de clients interagissent directement dans
les processus métier de leurs fournisseurs. On constate donc que les tiers sont très
nombreux.
Indépendamment de l’importance que les tiers peuvent avoir pour l’entreprise, certains
peuvent être considérés comme sensibles en matière de SI, et d’autres pas. La sensibilité
d’un tiers est indépendante du caractère stratégique de ce dernier. Concrètement, ce n’est
pas parce qu’un sous-traitant est essentiel pour une activité clé de l’entreprise qu’il sera
considéré pour autant comme un tiers sensible pour le SI. Inversement, nous trouvons
très régulièrement des tiers quasiment insignifiants en matière d’enjeu métier et qui,
pourtant, sont capitaux en matière de SI. La notion de tiers sensible est donc
indépendante du caractère stratégique de l’activité fournie par ce dernier. Elle est aussi
indépendante du chiffre d’affaires réalisé. L’exemple ci-après illustre ce que peut être un
tiers non sensible.
Exemple
Une société fournissant des intérimaires à une entreprise de manutention est un tiers très important.
Pourtant, dans la mesure où ces intérimaires n’ont pas besoin d’utiliser des moyens informatiques dans
leur travail, cette société d’intérim n’est pas un tiers sensible du point de vue du système d’information.
À l’opposé, les exemples suivants illustrent ce que l’on entend par tiers sensible pour le
SI.
Exemple
Le fournisseur d’une solution de CRM en mode SaaS détient des informations très importantes pour son
client. Il ne fait aucun doute que ce fournisseur est un tiers sensible.
Les tiers sensibles ne se limitent pas aux fournisseurs d’applications. D’autres types de
sous-traitants peuvent être considérés comme des tiers sensibles.
Exemple
Une société spécialisée dans des centres d’appel et assistant le centre de relation clientèle de son client
peut être considérée comme un tiers sensible si les employés de ce fournisseur sont amenés à utiliser les
applications de leur client, accédant ainsi à des données à caractère personnel.
Enfin, nous avons dit plus haut que le chiffre d’affaires réalisé par un tiers n’a aucun
rapport avec la notion de tiers sensible. L’exemple suivant illustre ce propos.
Exemple
Il n’est plus une société qui ne recoure à un tiers pour sous-traiter certaines de ses
activités. Cette sous-traitance couvre généralement des fonctions de support, qui ne sont
pas au centre de l’activité de l’entreprise. Il est toutefois de plus en plus courant de soustraiter des activités métier critiques. Les sous-traitants ne sont pas les uniques tiers de
l’entreprise. Par exemple, les partenaires collaborant avec l’entreprise pour des projets
précis sont aussi des tiers. Enfin, de plus en plus de clients interagissent directement dans
les processus métier de leurs fournisseurs. On constate donc que les tiers sont très
nombreux.
Indépendamment de l’importance que les tiers peuvent avoir pour l’entreprise, certains
peuvent être considérés comme sensibles en matière de SI, et d’autres pas. La sensibilité
d’un tiers est indépendante du caractère stratégique de ce dernier. Concrètement, ce n’est
pas parce qu’un sous-traitant est essentiel pour une activité clé de l’entreprise qu’il sera
considéré pour autant comme un tiers sensible pour le SI. Inversement, nous trouvons
très régulièrement des tiers quasiment insignifiants en matière d’enjeu métier et qui,
pourtant, sont capitaux en matière de SI. La notion de tiers sensible est donc
indépendante du caractère stratégique de l’activité fournie par ce dernier. Elle est aussi
indépendante du chiffre d’affaires réalisé. L’exemple ci-après illustre ce que peut être un
tiers non sensible.
Exemple
Une société fournissant des intérimaires à une entreprise de manutention est un tiers très important.
Pourtant, dans la mesure où ces intérimaires n’ont pas besoin d’utiliser des moyens informatiques dans
leur travail, cette société d’intérim n’est pas un tiers sensible du point de vue du système d’information.
À l’opposé, les exemples suivants illustrent ce que l’on entend par tiers sensible pour le
SI.
Exemple
Le fournisseur d’une solution de CRM en mode SaaS détient des informations très importantes pour son
client. Il ne fait aucun doute que ce fournisseur est un tiers sensible.
Les tiers sensibles ne se limitent pas aux fournisseurs d’applications. D’autres types de
sous-traitants peuvent être considérés comme des tiers sensibles.
Exemple
Une société spécialisée dans des centres d’appel et assistant le centre de relation clientèle de son client
peut être considérée comme un tiers sensible si les employés de ce fournisseur sont amenés à utiliser les
applications de leur client, accédant ainsi à des données à caractère personnel.
Enfin, nous avons dit plus haut que le chiffre d’affaires réalisé par un tiers n’a aucun
rapport avec la notion de tiers sensible. L’exemple suivant illustre ce propos.
Exemple