Une politique de gestion des fournisseurs pour le secteur de l'installation est un aperçu des parties avec lesquelles vous travaillez vous-même — sous-traitants, prestataires indépendants, fournisseurs de logiciels pour votre planification ou vos systèmes de gestion de bâtiment — avec pour chaque partie une évaluation du risque qu'ils représentent. Pour les entreprises d'installation, l'accent est souvent mis non seulement sur l'accès numérique, mais aussi sur l'accès physique : qui obtient une clé, un badge d'accès ou une connexion au système de gestion de votre client.
Cela fait du secteur de l'installation un cas particulier. Alors qu'une entreprise de logiciels se concentre principalement sur qui peut accéder au code source, une entreprise d'installation examine qui se trouve dans le bâtiment du client, quel câblage est utilisé et quelles données sur ce bâtiment — plans d'étage, codes d'alarme, journaux d'accès — sont transmises à un sous-traitant. Une politique de gestion des fournisseurs réunit ces deux mondes, physique et numérique, dans un seul aperçu.
Pourquoi c'est aussi pertinent sans obligation propre
Les entreprises d'installation ne sont généralement pas elles-mêmes soumises à l'obligation de diligence de la loi sur la cybersécurité. Mais le donneur d'ordre qui est soumis à l'obligation — un hôpital, une entreprise énergétique, une municipalité — doit évaluer sa propre chaîne d'approvisionnement, ce qui signifie qu'il examine aussi qui vous engagez à votre tour. Un sous-traitant avec un ordinateur portable non sécurisé qui se connecte au système de gestion de bâtiment d'un hôpital constitue un risque pour ce donneur d'ordre, même si le contrat est formellement conclu avec vous. Une politique de gestion des fournisseurs montre que vous connaissez et maîtrisez cette chaîne de transmission, plutôt que de rester sans réponse dès que la question se pose. Vous pouvez en savoir plus sur ce que le donneur d'ordre est exactement autorisé à demander dans l'aperçu des sujets par secteur.
Ce qui concrètement doit figurer dans la politique
Une politique de gestion des fournisseurs fonctionnelle commence par une liste : qui travaille pour vous, avec quel accès, et quelle est la nature de cette relation. Pour les entreprises d'installation, ce sont généralement trois catégories. Les sous-traitants et prestataires indépendants qui travaillent sur site et obtiennent un accès physique aux bâtiments, aux armoires à clés ou aux salles serveurs. Les fournisseurs de logiciels de planification, de facturation ou de gestion de bâtiment qui surveillent ou participent à distance. Et les fournisseurs de matériaux ou d'équipements qui ont parfois besoin de leurs propres identifiants de connexion, par exemple pour l'enregistrement de garantie à distance.
Pour chaque partie, la question est de savoir quel contrôle est raisonnable : une déclaration selon laquelle les mots de passe ne sont pas partagés entre les employés, un accord sur ce qui advient des codes d'accès après la fin d'un travail, ou simplement un contact que vous pouvez joindre en cas de problème. Tous les fournisseurs ne demandent pas le même niveau de détail — un fournisseur de vis demande quelque chose de différent d'un sous-traitant qui se connecte avec votre compte au système de gestion de bâtiment d'un hôpital.
Sous-traitants et accès : le point où les choses tournent souvent mal
Dans le secteur de l'installation, on travaille beaucoup avec des sous-traitants variables, parfois pour un seul travail, parfois de manière structurelle. Cela rend la gestion des accès plus difficile que dans une entreprise avec une équipe fixe. Un point de départ pratique est une question simple pour chaque sous-traitant : cette personne reçoit-elle son propre badge d'accès ou sa clé, ou travaille-t-on avec un code partagé ? Cet accès est-il révoqué dès que le travail est terminé, ou reste-t-il actif jusqu'à ce que quelqu'un pense à le bloquer ? Et qui au sein de votre entreprise est responsable de cette révocation ?
Ces questions semblent organisationnelles, non techniques, mais c'est exactement ce dont traite une politique de gestion des fournisseurs : non pas de pare-feu, mais de qui entre où et pourquoi. Pour les mesures plus larges autour de la gestion des accès au sein de votre propre entreprise, il existe un approfondissement séparé ; cet article traite spécifiquement des parties en dehors de votre entreprise que vous engagez vous-même.
Comment commencer sans en faire un projet d'un an
Une politique de fournisseurs n'a pas besoin d'être complète d'emblée. Un ordre de travail efficace consiste à : commencer par les parties qui ont accès aux environnements les plus sensibles — systèmes de gestion de bâtiments chez les clients des secteurs vitaux, ou logiciels qui surveillent à distance. Pour chaque partie, documentez ce que vous savez, ce que vous devez encore vérifier et qui s'en charge. Élargissez ensuite cet aperçu au reste de la chaîne d'approvisionnement.
La pertinence de ceci pour votre entreprise dépend des secteurs dans lesquels vos clients opèrent et de la nature de vos propres services. Une vérification rapide montre où votre entreprise se situe dans la chaîne d'approvisionnement, et la base de connaissances sur secria.eu indique par sujet quelle source dans le texte officiel y correspond. La manière dont nous tenons à jour ces sources est expliquée sur la page sur nos méthodes.
Ce que cet article ne remplace pas
Une politique de fournisseurs est un document organisationnel, non un avis juridique sur vos contrats spécifiques ou votre responsabilité envers les sous-traitants. Pour des questions à ce sujet, un juriste ou l'organisation professionnelle est le point de contact approprié. Les questions fréquemment posées sur la portée de la loi et le rôle des fournisseurs sont rassemblées sur la page des questions fréquemment posées.
Vous souhaitez savoir où votre propre entreprise se situe et quels fournisseurs de votre chaîne méritent d'abord attention? Le scan rapide est gratuit et donne en quelques minutes une première indication, sans que vous ayez besoin d'un compte.