Série Flowlysis · Outils & principes · Fiche N° O-73

LES FOURNISSEURS CRITIQUES

On place chaque fournisseur numérique sous l'étape du service qu'il sert, et on le classe sur ce que coûterait son arrêt. L'examen complet et les clauses négociées vont aux fournisseurs critiques, au lieu d'un même questionnaire pour tous.

Aussi appelécarte des dépendances, risque des tiers, third-party risk management Principe qu'il appliquele coût du retard, fiche P-07 Se prépare enune semaine, factures et contrats en main Se fait en3 à 4 semaines, puis une revue par an Levier principalCoût du retard
flowlysis.
Ce que ça rapporte
Impact sur le TTM
Faible
Impact sur la qualité (FTR)
Moyen
Impact sur l'Opex / Capex
Moyen
Ce que ça coûte
Coût d'implémentation
Faible
Difficulté d'implémentation
Moyen
Difficulté de maintien
Moyen
Faible Moyen Élevé N/A (sans objet)
1

Le problème auquel ça s'appliqueEt ce qu'il vous coûte chaque année

Ce que vous voyez déjà
  • « On ne sait pas lesquels de nos prestataires peuvent nous arrêter. »
  • Le même questionnaire part chez l'éditeur de sondages et chez celui de la paie.
  • Le contrat du portail client ne dit pas comment les données reviennent.
Où part l'argent

L'effort d'évaluation suit le nombre de fournisseurs, pas le coût de leur arrêt. Celui qui peut bloquer trois étapes n'est sur aucune liste.

L'ordre de grandeur, à la louche

Comptez-le sur vos chiffres. Un ordre de grandeur suffit pour décider d'essayer.

Combien de fois / anfournisseurs questionnés par an
×
Ce que ça coûte à chaque foisheures × coût horaire
×
Part qu'on évitepart nette rendue
=
Dépense évitée / anau crayon, après la carte
Ce que disent les textes
  • NIS2 cite la sécurité de la chaîne d'approvisionnement parmi les mesures à prendre « au moins » (art. 21.2 d).
  • Sous DORA, la carte alimente le registre d'informations (art. 28.3), où « critique » vise la fonction (art. 3, point 22). Faites vérifier si l'un des deux vous concerne.
Quand ça ne sert à rien

Quand le service tourne sur trois ou quatre outils connus de tous.

2

Comment ça marcheLa mécanique, en clair

L'idée en une phrase

Un fournisseur est critique par l'étape qu'il porte, pas par le montant de sa facture. L'examen complet va à ceux qui passent la barre.

Les gestes, dans l'ordre
  1. Partir des factures, puis demander aux équipes ce qu'elles utilisent sans contrat (fiche O-59).
  2. Poser chaque fournisseur sous l'étape du blueprint qu'il sert (fiche O-01).
  3. Demander à chaque éditeur qui l'héberge. Marquer les noms qui reviennent sous plusieurs étapes.
  4. Noter les quatre critères du schéma. Critique dès deux critères au rouge.
  5. Pour les critiques, négocier quatre clauses : notification d'incident, sortie et réversibilité, sous-traitance, droit d'audit. Ce que la loi impose déjà, critique ou non, reste dû (RGPD art. 28, DORA art. 30.2).
  6. Relier chaque critique au mode dégradé de son étape (fiche O-70).
Ce qu'il faut avoir sous la main

Le blueprint, les factures, les contrats, une heure avec chaque responsable d'étape.

Le signe que ça a marché

En comité, « si cet hébergeur s'arrête demain, qu'est-ce qui tombe ? » se lit sur la carte, en euros par jour.

3

Les pièges de l'implémentationCe qui fait rater, et ce qu'on fait à la place

Au lancementPartir du seul registre des achats

Ni les outils payés par carte ou gratuits, ni l'hébergeur de l'éditeur n'y sont.

Demander aux équipes ce qu'elles ouvrent le matin, et aux éditeurs qui les héberge.

Au lancementClasser au montant de la facture

L'outil à 3 000 € par an qui porte la paie passe après la flotte de téléphones.

Classer sur le coût d'un jour d'arrêt de l'étape servie (fiche P-07).

PendantLe même questionnaire pour tous

Plusieurs centaines de questions pour cent fournisseurs. Les réponses reviennent cochées, sans lecteur.

L'examen complet pour les critiques, une fiche d'une page pour les autres.

PendantPas de sortie écrite pour l'irremplaçable

Le contrat ne dit ni dans quel délai ni sous quel format les données reviennent.

Écrire la sortie et la réversibilité avant de signer, ou au renouvellement.

Dans la duréeOublier les sous-traitants du fournisseur

L'éditeur change d'hébergeur, et trois étapes dépendent d'un tiers que personne n'a choisi.

Exiger la liste des sous-traitants et l'avis de tout changement.

4

ExempleCas type du tertiaire, du constat au résultat

La situation de départ
L'objet

Les fournisseurs numériques d'un bailleur social de 240 personnes, de la demande de logement au suivi du bail.

Ce qui cloche

Une panne de quatre heures a coupé le même jour la messagerie et la signature des baux. Personne ne savait dire pourquoi les deux.

Ce qu'ils regardaient avant

Le nombre de questionnaires retournés, 88 sur 96. Il ne disait pas lesquels comptaient.

Les chiffres de départ, tirés des achats
96fournisseurs au registre, tous questionnés chaque année 220questions, le même questionnaire pour tous 6 hpar fournisseur, envoi, relances et lecture 42 €l'heure, coût complet
Ce qu'ils ont fait Quatre semaines pour placer chaque fournisseur sur le blueprint, puis un classement sur quatre critères.
Le déclencheurLa panne de quatre heures, et un comité qui demande qui d'autre peut arrêter le service.
▶
Le gesteChaque fournisseur posé sous son étape. 22 de plus trouvés hors du registre.
▶
Ce qu'ils ont vuLa paie, la signature et la messagerie tournent chez un même hébergeur, absent du registre.
▶
La décisionQuatre clauses pour les critiques, l'hébergeur par ses trois éditeurs. Une fiche d'une page pour les autres.
Ce que ça a donné
14 sur 118

Les critiques : 96 au registre, 22 trouvés hors registre. 14 passent la barre (12 %), dont l'hébergeur et un outil payé par carte.

576 → 328 h

L'effort par an : 96 × 6 h avant, 14 × 16 h + 104 × 1 h après. 248 h rendues, soit 10 400 € à 42 €.

12,5 → 68 %

La part sur les critiques : les 12 du registre × 6 h = 72 h sur 576 avant, 224 h sur 328 après.

11 900 à 18 900 €

Un jour d'arrêt de l'hébergeur, hors semaine de paie : 1 176 + 95 + 10 584 à 17 640 €, calculés au schéma.

Refaites-le avec vos factures : chaque fournisseur sous son étape du blueprint. Ceux qui reviennent sous plusieurs étapes passent en premier.

1 · CHAQUE FOURNISSEUR SOUS L'ÉTAPE QU'IL SERT Le client Les équipes Les systèmes Les fournisseurs fait sa demande envoie ses pièces signe pose une question enregistre instruit fait signer répond portail outil de gestion signature en ligne messagerie éditeur A sous contrat éditeur B + formulaire gratuit éditeur C sous contrat outil de l'ombre payé par carte Puis, pour chacun : qui l'héberge, et à qui il sous-traite. QUATRE CRITÈRES, SEUILS FIXÉS AVANT DE NOTER L'arrêt coût d'un jour d'arrêt de l'étape (P-07) Le remplacement délai pour en changer sans arrêter le service Les données ce qu'il voit ou garde des clients, du personnel La concentration étapes qui dépendent de lui ou de son hébergeur CRITIQUE DÈS DEUX CRITÈRES AU ROUGE : QUATRE CLAUSES NÉGOCIÉES notification d'incident sortie et réversibilité sous-traitance droit d'audit 2 · LE CAS : TROIS ÉTAPES, UN HÉBERGEUR coût d'un jour d'arrêt de l'étape, hors semaine de paie Paie 4 gestionnaires × 7 h × 42 € = 1 176 € Signature des baux 5 baux reportés × 19 € de loyer = 95 € Messagerie 240 × 7 h × 42 € × 15 à 25 % empêchés éditeur de paie éditeur de signature éditeur de messagerie Un même hébergeur aucun contrat, absent du registre 11 900 à 18 900 € pour un jour d'arrêt de l'hébergeur : les trois étapes à la fois 118 FOURNISSEURS, 14 CRITIQUES (12 %) 14 × 16 h d'examen complet = 224 h 104 × 1 h de fiche = 104 h

À gauche la carte, outils de l'ombre compris, les quatre critères et les quatre clauses. À droite le cas : trois éditeurs, un seul hébergeur.