# Solution logicielle pour la gestion des risques liés aux tiers (TPRM)

> Swiss GRC propose avec la plateforme SwissGRC® un module TPRM pour recenser, évaluer et surveiller les fournisseurs et prestataires. Il s'adresse aux organisations qui doivent maîtriser leur risque tiers, de l'intégration à la sortie, avec preuves pour l'audit.

- URL: https://swissgrc.com/fr/tprm-software/
- Éditeur: SwissGRC®
- Publié: 2025-06-11
- Dernière mise à jour: 2026-09-10

## Points clés

- Le module TPRM de Swiss GRC couvre le cycle de vie des tiers en cinq étapes : intégration et enregistrement, évaluation et classification, surveillance continue, reporting automatisé, actions et sortie.
- Les cinq étapes se décomposent en neuf phases, dont chacune a un responsable, une échéance et un résultat présentable à un auditeur.
- Le module se connecte à des sources de données externes : Prospero, SecurityScorecard, BitSight et Synesgy de CRIF.
- Le Third-Party Intelligence Center filtre chaque tiers pour les sanctions, les PPE et les médias négatifs, sur trois niveaux d'analyse.
- Le module s'appuie sur les attentes réglementaires en matière d'externalisation : DORA art. 28 à 30, Circ. FINMA 2018/3, lignes directrices EBA et ISO/IEC 27036.
- Les évaluations suivent un workflow avec rappels, escalade et réponse documentée, et les preuves sont enregistrées avec date et personne.

Gestion des risques tiers

# Vous connaissez vos tiers. Connaissez-vous vos dépendances ?

Recensez vos fournisseurs et prestataires, classez-les par criticité, surveillez-les en continu et rapportez avec preuves à l'appui : Swiss GRC rend votre risque tiers maîtrisable. **Sur l'ensemble du cycle de vie**, de l'intégration à la sortie.

Demander une démo Voir comment ça fonctionne

Ils nous font confiance

Ce qui compte

## D'une liste de fournisseurs à un portefeuille pilotable

Chaque organisation dispose d'un registre de contrats. Ce qui les distingue, c'est qu'il se transforme en une vue des risques qui reste valable aujourd'hui.

Le point de départ habituel

### Contrats connus, risques estimés

Les prestataires se trouvent dans des tableurs, les questionnaires reviennent par courrier, les revues ont lieu au renouvellement du contrat. Qui dépend de qui ne se révèle qu'en cas de panne.

- Liste de fournisseurs dans des tableurs, services non attribués
- Questionnaires par courrier, réponses sans preuves
- Évaluation à l'entrée, aucune réévaluation par la suite
- Concentrations et sous-traitants invisibles

Avec la plateforme SwissGRC®

### Un registre qui suit le rythme

Prestataires, services, contrats, risques et contrôles sont liés entre eux. Les évaluations ont des échéances, les signaux externes arrivent, les constats se transforment en actions.

- Prestataires et services liés dans un seul registre
- Évaluations avec workflow, échéance et preuves
- Surveillance continue plutôt qu'une photographie ponctuelle
- Externalisations critiques documentées à tout moment

Comment ça fonctionne

## Cinq étapes, une boucle fermée

De la première demande à l'action, puis retour vers l'évaluation suivante. Choisissez une étape.

Continu, pas ponctuel

01*/05* Intégration et enregistrement *Phases*Cadrage*·*Identification*·*Classification de l'externalisation

### Chaque tiers enregistré, chaque service attribué

Fournisseurs, prestataires et leurs services entrent dans le registre via un parcours de demande guidé. La classification par catégorie de service, région et criticité se fait en chemin, pas des mois plus tard.

Voir toutes les phases

1. Inventaire central des prestataires et services
2. Parcours de demande et d'approbation guidé
3. Cadrage et identification
4. Classification de l'externalisation
5. Lié aux contrats et responsables
6. Import des listes de fournisseurs existantes

02*/05* Évaluation et classification *Phases*Analyse des risques*·*Due diligence

### Du risque inhérent à une criticité démontrée

Sécurité, conformité, continuité d'activité et stabilité financière dans un seul jeu de questionnaires. Les réponses produisent un profil de risque par prestataire et par service, pas seulement par contrat.

Voir toutes les phases

1. Analyse et évaluation des risques
2. Due diligence complète
3. Questionnaires avec auto-attestation du prestataire
4. Évaluation par service et par prestataire
5. Externalisations critiques identifiées
6. Lié aux risques et contrôles

03*/05* Surveillance continue *Phases*Surveillance*·*Gestion des contrats

### Le statut de risque ne vieillit pas

Signaux externes et échéances internes se rejoignent. Si la notation cyber, la situation en matière de sanctions ou la situation financière d'un prestataire évolue, le registre le signale de lui-même.

Voir le filtrage

1. Revue continue du statut de risque
2. Sources de données externes connectées
3. Alertes en cas de changements critiques
4. Réévaluations récurrentes selon le niveau de risque
5. Conditions contractuelles et échéances suivies
6. Réévaluations planifiées et documentées

04*/05* Reporting automatisé *Phases*Reporting*·*Analyse

### Prêt pour l'audit sans semaine de préparation

Portefeuille, concentrations et externalisations critiques dans une seule analyse. Ce que les autorités de surveillance veulent voir est déjà réuni, pas encore à assembler.

Découvrir le produit en détail

1. Tableaux de bord sur la performance et le risque
2. Analyses pour les autorités de surveillance et l'audit
3. Vue des concentrations et dépendances
4. Registre d'informations sur les externalisations critiques
5. Reporting par unité et par prestataire
6. Preuves avec date et personne

05*/05* Actions et sortie *Phases*Actions*·*Planification de la sortie et de la transition

### Les constats se transforment en action

Chaque constat donne lieu à une action avec un responsable et une échéance. Et lorsqu'une relation prend fin, la sortie est planifiée avant d'en avoir besoin.

Demander une démo

1. Actions avec responsable et échéance
2. Attribution automatique des tâches
3. Escalade en cas de retard
4. Planification de la sortie et de la transition
5. Alternatives et dépendances documentées
6. Efficacité des actions démontrée

À l'intérieur du produit

## Ce que vous voyez en premier le matin

Aucun chemin de clics à travers des menus, trois vues qui répondent en quelques secondes à l'état de votre portefeuille de tiers.

![Vues du module TPRM de la plateforme SwissGRC : tableau de bord des risques, catalogue de services et notation de criticité](https://swissgrc.com/wp-content/uploads/2025/04/Isometric-screenshots-net-background.png)

01

#### Portefeuille en un coup d'œil

Nombre de prestataires critiques, répartition des classes de risque et revues en cours, agrégés sur l'ensemble du registre.

02

#### Des services, pas seulement des prestataires

Le registre montre quel service dépend de quel prestataire, et quel processus métier en dépend.

03

#### Criticité et conformité

Statut, criticité et notation de conformité côte à côte par service, filtrables par unité et région.

Connecté à des **sources de données externes** pour que les évaluations ne reposent pas uniquement sur l'auto-déclaration. Les signaux de ces sources alimentent la surveillance de vos tiers.

![Prospero](https://swissgrc.com/wp-content/uploads/2025/07/Prospero-Logo-pos-rgb.png)

Analyse prédictive et aide à la décision basées sur l'IA.

![SecurityScorecard](https://swissgrc.com/wp-content/uploads/2025/04/SecurityScorecard.png)

Notation systématique de la posture de cybersécurité des prestataires.

![BitSight](https://swissgrc.com/wp-content/uploads/2025/07/Bitsight-Logo.png)

Analyse et notation du risque cyber à partir de signaux externes.

![Synesgy von CRIF](https://swissgrc.com/wp-content/uploads/2023/12/criflogo.png)

Synesgy de CRIF, spécialisé dans les notations ESG des entreprises.

Le cycle de vie en détail

## Neuf phases, neuf résultats démontrés

Les cinq étapes se décomposent en neuf phases. Chacune a un responsable, une échéance et un résultat qui peut être présenté à un auditeur.

Étape 1 . phases 01 à 03

Prise en charge et cadrage

Qui entre seulement en ligne de compte ?

1. #### Inventaire des tiers et des services Fournisseurs, prestataires et leurs services enregistrés de manière centralisée et liés aux responsables, contrats et risques associés. *Résultat***Registre des prestataires et services**, exploitable à tout moment pour le reporting
2. #### Cadrage et identification Définissez le périmètre de la gestion des risques tiers et identifiez les prestataires et services concernés. *Résultat***Périmètre documenté** avec justification
3. #### Classification de l'externalisation Catégorisez les externalisations et distinguez celles qui sont significatives de celles qui ne le sont pas, selon des critères documentés. *Résultat***Évaluation de la matérialité** par externalisation

Étape 2 . phases 04 à 06

Évaluation et contrat

Quelle est l'ampleur réelle du risque ?

1. #### Analyse et évaluation des risques Déterminez le profil de risque par prestataire et par service, inhérent et après effet des contrôles convenus. *Résultat***Profil de risque brut et net** par service
2. #### Due diligence complète Examinez les pratiques commerciales, la conformité et les normes de sécurité de vos prestataires, avec questionnaire, preuves et approbation. *Résultat***Dossier de due diligence** avec preuves
3. #### Gestion des contrats Surveillez les conditions contractuelles, les délais de résiliation et les obligations convenues, et détectez les lacunes tôt. *Résultat***Vue d'ensemble des contrats** avec échéances et obligations

Étape 3 . phases 07 à 09

Exploitation et résiliation

Cela reste-t-il maîtrisé ?

1. #### Surveillance continue Maintenez le statut de risque à jour, intégrez les signaux externes et réagissez aux écarts plutôt qu'au renouvellement. *Résultat***Statut de risque actuel** et les alertes qu'il a déclenchées
2. #### Reporting et analyse Performance et risque des prestataires dans des tableaux de bord, adaptés à l'unité, à l'audit interne et au conseil d'administration. *Résultat***Rapport pour le conseil et les autorités de surveillance** à la demande
3. #### Planification de la sortie et de la transition Planifiez les sorties de manière structurée, documentez les alternatives et effectuez les transitions sans interrompre les processus. *Résultat***Plan de sortie** avec étapes de transition et alternatives

Construit sur les **attentes réglementaires en matière d'externalisation**, du test de matérialité jusqu'à la preuve.

DORA art. 28 à 30 Circ. FINMA 2018/3 Lignes directrices EBA ISO/IEC 27036

Third-Party Intelligence Center

Filtrage propulsé par l'IA pour l'ensemble de votre registre

Une couverture large, une profondeur ciblée : l'Intelligence Center filtre chaque tiers pour les sanctions, les PPE et les médias négatifs, et n'escalade vers une due diligence plus poussée que lorsqu'un signal le justifie.

**Niveau 1**Analyse rapide **Niveau 2**Douze catégories de risque **Niveau 3**Réseau et quatrièmes parties

[Découvrir l'Intelligence Center](https://swissgrc.com/fr/third-party-intelligence/)

Qui en profite

## Pour qui notre module TPRM fait la différence

Le risque lié aux tiers concerne plusieurs fonctions à la fois. Chaque rôle dispose de sa propre vue, tous travaillent sur le même registre et ne posent la même question qu'une seule fois.

#### Conformité

Surveillez les sanctions et les exigences anti-corruption par prestataire et évitez les relations d'affaires à risque avant qu'elles ne débutent.

#### ESG

Intégrez les critères environnementaux, sociaux et de gouvernance dans l'évaluation des fournisseurs et suivez les évolutions via des sources externes.

#### Achats et gestion des fournisseurs

Accélérez l'intégration des nouveaux fournisseurs grâce à une évaluation des risques et surveillez les fournisseurs existants pour détecter les changements qui touchent la chaîne d'approvisionnement.

#### Cybersécurité et protection des données

Vérifiez la posture de sécurité des prestataires TIC par rapport à vos exigences, repérez les faiblesses et contrôlez les flux de données vers les tiers.

#### Résilience opérationnelle

Évaluez le risque tiers pesant sur les fonctions critiques et démontrez que les prestataires critiques disposent de plans de continuité opérationnels.

#### Audit interne et conseil d'administration

Consultez les externalisations critiques, les concentrations et les constats ouverts sans analyse spéciale, toujours sur le même statut.

Avantages et bénéfices

## Moins d'effort par prestataire, plus de vue d'ensemble sur tous

Le module retire du processus le travail récurrent et vous laisse le jugement.

- **Les tiers critiques repérés tôt**La matérialité et la criticité découlent de la classification, pas d'un ressenti isolé dans chaque unité.
- **Des évaluations sans échanges de courriels**Les questionnaires se déroulent en workflow, avec rappels, escalade et réponse documentée, au lieu de pièces jointes dans une boîte mail.
- **Une surveillance plutôt qu'une photographie ponctuelle**Des réévaluations récurrentes selon le niveau de risque et des signaux issus de sources externes maintiennent le statut à jour.
- **Les dépendances deviennent visibles**Les concentrations sur un seul prestataire, une région ou des sous-traitants apparaissent dans le portefeuille, pas dans l'incident.
- **Des preuves à la demande**L'évaluation, l'approbation et la revue sont enregistrées avec date, personne et preuves, et produites en quelques minutes.
- **Un seul processus pour chaque fonction**Conformité, achats, sécurité et résilience travaillent sur le même registre sans jamais poser deux fois la même question.

Contact et démo

## Nous vous montrons le module TPRM en direct

Lors d'une démo personnalisée, nous vous présentons l'ensemble du cycle de vie : intégration, classification, due diligence, surveillance, reporting et sortie. Sur un exemple concret de bout en bout, sans aucune préparation nécessaire de votre part.

[Demander une démo](https://swissgrc.com/fr/demo) [Contacter les ventes](https://swissgrc.com/fr/sales)

## Questions fréquentes

### Qu'est-ce que le module TPRM de SwissGRC ?

C'est un module de la plateforme SwissGRC® qui permet de recenser les fournisseurs et prestataires, de les classer par criticité, de les surveiller en continu et de rapporter avec preuves. Il couvre l'ensemble du cycle de vie, de l'intégration à la sortie.

### Quelles sont les étapes de la gestion des risques tiers avec SwissGRC ?

Il y a cinq étapes : intégration et enregistrement, évaluation et classification, surveillance continue, reporting automatisé, puis actions et sortie. Elles se décomposent en neuf phases, de l'inventaire des tiers à la planification de la sortie et de la transition.

### Quelles sources de données externes le module TPRM utilise-t-il ?

Le module est connecté à Prospero (analyse prédictive basée sur l'IA), SecurityScorecard et BitSight (notation du risque cyber) ainsi qu'à Synesgy de CRIF (notations ESG). Leurs signaux alimentent la surveillance des tiers.

### Quelles exigences réglementaires le module TPRM prend-il en compte ?

Il est construit sur les attentes réglementaires en matière d'externalisation, du test de matérialité jusqu'à la preuve. Sont cités DORA art. 28 à 30, la Circ. FINMA 2018/3, les lignes directrices EBA et ISO/IEC 27036.

### Que fait le Third-Party Intelligence Center ?

Il filtre chaque tiers de votre registre pour les sanctions, les PPE et les médias négatifs. Il n'escalade vers une due diligence plus poussée que lorsqu'un signal le justifie, sur trois niveaux d'analyse.