La réglementation sur la criminalité financière a été conçue pour les banques, mais l'exposition ne s'arrête pas au secteur bancaire. Toute entreprise ayant des fournisseurs, des distributeurs, des agents ou des clients supporte un risque lié à ces relations. Une entité sanctionnée dissimulée derrière une société écran, un fournisseur visé par une enquête pour exploitation de la main-d'œuvre, un distributeur réacheminant discrètement des marchandises vers des marchés sous embargo : chacun constitue un risque lié aux tiers, et chacun peut coûter à une entreprise des contrats, des relations bancaires et sa réputation.
Ce guide explique ce que recouvre la gestion des risques liés aux tiers (TPRM), en quoi consiste la due diligence des tiers, pourquoi le cadre réglementaire évolue pour les entreprises européennes et comment choisir entre les deux catégories d'outils très différentes présentes sur le marché.
Qu'est-ce que la gestion des risques liés aux tiers ? (définition du TPRM)
La gestion des risques liés aux tiers, couramment abrégée en TPRM, est le processus d'identification, d'évaluation et de surveillance des risques découlant des relations d'affaires d'une organisation : fournisseurs, prestataires, distributeurs, agents, partenaires de coentreprise et clients. Alors que le TPRM portait traditionnellement sur les risques opérationnels et informatiques, la dimension qui progresse le plus vite est le risque d'intégrité : criminalité financière, exposition aux sanctions, corruption et manquements ESG liés aux partenaires commerciaux.
La question centrale à laquelle répond le TPRM est trompeusement simple : savons-nous réellement avec qui nous faisons affaire, et continuerions-nous à travailler avec eux si nous le savions ?
Pourquoi le risque lié aux tiers gagne en importance dans les priorités des entreprises
Trois forces convergent sur les entreprises européennes :
Les sanctions s'appliquent à tous. Les sanctions de l'UE s'imposent directement à toutes les entreprises de l'UE, et pas seulement aux institutions financières. Depuis 2022, les régimes de sanctions se sont considérablement élargis et l'attention des autorités s'est portée sur le contournement : marchandises et paiements réacheminés via des pays tiers. Une entreprise qui ne contrôle pas ses contreparties peut commettre une violation des sanctions sans jamais traiter directement avec un nom sanctionné, car le risque se situait un niveau de détention plus bas.
Le périmètre de conformité s'élargit. Le nouveau paquet LCB-FT de l'UE étend le statut d'entité assujettie au-delà des banques à des activités telles que les négociants en biens de grande valeur, les plateformes de financement participatif et même les clubs de football professionnels. Même les entreprises qui restent hors du périmètre formel en ressentent indirectement les effets : leurs banques, soumises à des règles plus strictes, exigent davantage de documentation et de meilleures réponses sur les contreparties, et mettent fin aux relations qui ne peuvent pas les fournir.
Les obligations de due diligence deviennent contraignantes. La directive sur le devoir de vigilance des entreprises en matière de durabilité (CSDDD), telle que modifiée en février 2026, impose aux plus grandes entreprises opérant dans l'UE de mener une due diligence fondée sur les risques en matière de droits humains et d'environnement dans l'ensemble de leurs chaînes d'activités, avec une mise en conformité à partir de 2029. Sa portée dépasse les entreprises formellement concernées : les attentes en matière de due diligence se répercutent sur les chaînes d'approvisionnement via les exigences des clients et les clauses contractuelles. Des régimes voisins, comme le règlement européen sur la déforestation (à partir de décembre 2026) et le règlement sur le travail forcé (à partir de décembre 2027), vont dans le même sens : une conformité des tiers continue et documentée devient la norme.
Les risques liés aux tiers les plus déterminants
Pour la plupart des entreprises, le risque d'intégrité lié aux tiers se concentre sur cinq domaines :
- Exposition aux sanctions et aux mesures coercitives : contreparties inscrites sur une liste, détenues par des parties listées ou liées à des mesures coercitives
- Opacité de l'actionnariat : sociétés écrans et structures complexes qui dissimulent qui bénéficie en dernier ressort d'une relation
- Fraude et difficultés financières : contreparties impliquées dans des allégations de fraude, des litiges ou des procédures d'insolvabilité qui menacent la continuité et le paiement
- Corruption : agents et intermédiaires, en particulier sur les marchés à haut risque, dont la conduite peut engager la responsabilité de l'entreprise qu'ils représentent
- Risque ESG et réputationnel : infractions environnementales, exploitation de la main-d'œuvre et atteintes aux droits humains dans la chaîne d'approvisionnement, qui entraînent de plus en plus des conséquences réglementaires autant que réputationnelles
Ces risques ont une caractéristique commune : ils se manifestent rarement d'abord par les canaux officiels. Ils apparaissent dans la presse en langue locale, les décisions de justice et les registres, souvent des mois voire des années avant qu'une liste officielle ne les recense.
Qu'est-ce que la due diligence des tiers ?
La due diligence des tiers est le volet d'investigation du TPRM : les vérifications effectuées sur un partenaire commercial avant l'entrée en relation et tout au long de celle-ci. Un processus de due diligence proportionné et fondé sur les risques couvre généralement :
Vérification de l'entité et actionnariat. Confirmez que la contrepartie existe, qu'elle est en règle et, surtout, qui la détient et la contrôle en dernier ressort. Le risque se cache dans les réseaux : un fournisseur apparemment irréprochable peut être détenu par une personne sanctionnée deux niveaux plus haut. C'est là qu'interviennent les données sur la structure des entreprises et les UBO : le risque est évalué sur l'ensemble de la chaîne de détention et non au seul niveau de l'entité.
Contrôle. Contrôlez chaque nouveau partenaire commercial au regard des données sur les sanctions, les mesures coercitives et les PEP, ainsi que des adverse media. Les listes officielles sont des indicateurs retardés ; l'actualité est un indicateur avancé. La veille Adverse media dans les sources en langue locale permet de détecter l'enquête pour corruption ou la sanction environnementale qu'un contrôle limité aux listes manquerait totalement.
Profondeur fondée sur le risque. Tous les tiers ne justifient pas le même niveau d'examen. Une approche fondée sur les risques applique une due diligence renforcée aux relations à haut risque (intermédiaires sur des marchés à haut risque, actionnariat complexe, contrats de valeur élevée) et des contrôles allégés ailleurs, en documentant la justification retenue.
Surveillance continue. Le risque lié aux tiers est dynamique. Changements d'actionnariat, mesures coercitives et dépôts de bilan surviennent en cours de relation, et un cycle de revue annuel revient à avancer à l'aveugle onze mois par an. La surveillance continue des risques liés aux tiers remplace rapidement la revue périodique comme standard attendu.
Documentation. Qu'il s'agisse d'un audit client, de l'équipe KYC d'une banque ou d'un régulateur, l'exigence commune aux sanctions, à la CSDDD et aux lois sur la chaîne d'approvisionnement est la preuve : qu'avez-vous vérifié, qu'avez-vous trouvé et pourquoi avez-vous poursuivi la relation ?
Plateformes TPRM et informations sur les risques liés aux tiers : deux outils différents
Lorsqu'on recherche un « logiciel de gestion des risques liés aux tiers », on trouve deux catégories de produits fondamentalement différentes, et de nombreux processus d'achat échouent en les confondant.
Les plateformes TPRM constituent la couche de workflow. Elles hébergent votre inventaire de tiers, gèrent les questionnaires d'évaluation, les contrats et les actions correctives, et suivent le cycle de vie de chaque relation. Ce sont des systèmes de référence : elles organisent le processus, mais ne connaissent que ce que vous ou vos fournisseurs y saisissez.
Les informations sur les risques liés aux tiers constituent la couche d'information. Elles répondent à la question à laquelle la couche de workflow ne peut pas répondre : que se passe-t-il réellement autour de cette contrepartie dans le monde extérieur ? Inscriptions sur des listes de sanctions, mesures coercitives, adverse media, changements d'actionnariat, procédures d'insolvabilité. Sans cette couche, un programme TPRM n'est qu'une collection bien organisée de questionnaires déclaratifs.
Les programmes matures combinent les deux : une plateforme de workflow comme système de référence, alimentée en continu par des informations externes sur les risques via une API. Pour évaluer la couche d'information, privilégiez :
- L'étendue des données : sanctions, mesures coercitives, adverse media, structure des entreprises et UBO auprès d'une seule source, et non de cinq fournisseurs
- La couverture linguistique : des signaux de risque sur les marchés où vos fournisseurs opèrent réellement
- L'échelle du portefeuille : une surveillance continue de milliers d'entités sans limite par import
- La maîtrise du bruit : un filtrage par matérialité et une correspondance précise des entités, pour que les alertes aient du sens
- L'intégration et l'auditabilité : une connectivité API vers votre plateforme TPRM ou votre système d'achats, chaque signal restant traçable jusqu'à sa source
Comment Business Radar s'intègre à votre programme TPRM
Business Radar est une plateforme d'informations sur les risques liés aux tiers, et non un outil de workflow : ce choix est délibéré, car elle se connecte au système TPRM que vous utilisez déjà et lui apporte les signaux externes qui lui manquent. La plateforme analyse chaque jour 17M+ de sources d'actualité issues de 100,000+ médias validés, classées en 210+ types de risques, ainsi que 350+ listes de sanctions et de mesures coercitives. Grâce au partenariat avec Dun & Bradstreet, les structures d'entreprise et les bénéficiaires effectifs sont cartographiés en parallèle des signaux de risque, de sorte que l'exposition est visible sur l'ensemble de la chaîne de détention, y compris les dirigeants, les filiales et les entités liées.
Les équipes importent des portefeuilles entiers de fournisseurs ou de contreparties via Excel, CSV ou API et appliquent une surveillance continue à des portefeuilles de toute taille. L'indicateur de matérialité distingue les événements significatifs du bruit, et la chronologie des événements montre quand et pourquoi le risque d'une contrepartie s'est aggravé : les analystes examinent les pics, et non l'ensemble des signaux. Chaque signal est explicable et relié à sa source, ce qui fait de la documentation un sous-produit du workflow plutôt qu'une tâche distincte. En pratique, le gain de visibilité est important : 9 équipes de conformité sur 10 identifient des risques critiques que les outils de contrôle traditionnels n'avaient pas détectés, et les utilisateurs font état d'un gain d'efficacité moyen de 32 % par rapport aux outils de contrôle traditionnels.
Questions fréquentes
Que signifie TPRM ? TPRM désigne la gestion des risques liés aux tiers : le processus d'identification, d'évaluation et de surveillance des risques découlant des fournisseurs, prestataires et autres partenaires commerciaux.
Qu'est-ce que la due diligence des tiers ? La due diligence des tiers est l'ensemble des vérifications effectuées sur un partenaire commercial : vérification de l'entité, actionnariat, contrôle des sanctions et des adverse media, et surveillance continue, avant l'entrée en relation et tout au long de celle-ci.
Les sanctions de l'UE s'appliquent-elles aux entreprises non financières ? Oui. Les sanctions de l'UE s'imposent à toutes les personnes et entreprises de l'UE. Les entreprises peuvent enfreindre les sanctions via des contreparties détenues ou contrôlées par des parties listées, même sans traiter directement avec un nom listé.
Quelle est la différence entre une plateforme TPRM et les informations sur les risques liés aux tiers ? Une plateforme TPRM gère le workflow : inventaires, évaluations, contrats et actions correctives. Les informations sur les risques liés aux tiers fournissent les données externes (sanctions, adverse media, actionnariat, mesures coercitives) que la couche de workflow ne peut pas produire elle-même. Les programmes matures utilisent les deux, reliés par API.
La CSDDD s'applique-t-elle toujours après les modifications Omnibus de 2026 ? Oui. Le champ d'application a été restreint aux plus grandes entreprises (5,000+ salariés et 1.5 milliard d'euros de chiffre d'affaires) et le calendrier reporté à 2029, mais l'obligation centrale demeure : une due diligence fondée sur les risques en matière de droits humains et d'environnement sur l'ensemble de la chaîne de valeur, avec des attentes qui se répercutent tout au long des chaînes d'approvisionnement.
