Au-delà de l’ESG : les risques fournisseurs qui peuvent aussi bloquer votre activité

Pourquoi les données environnementales, sociales et de gouvernance sont nécessaires, mais insuffisantes pour protéger la continuité opérationnelle, la sécurité et la réputation d’une entreprise.

Une chaîne d’approvisionnement peut présenter de bons indicateurs ESG et, malgré cela, faire faillite demain.

La pression réglementaire, portée par des cadres tels que la CSRD et la CSDDD, la nécessité d’effectuer des analyses de double matérialité, de rendre compte des émissions du scope 3 et de répondre aux attentes des clients et des investisseurs, a accéléré l’adoption d’outils d’analyse ESG. Ce progrès est nécessaire : il permet d’organiser les informations sur la durabilité, de comparer les fournisseurs et d’améliorer la qualité des rapports.

Le problème surgit lorsque ces informations sont interprétées comme une photographie complète du risque fournisseur. Un fournisseur peut avoir des politiques environnementales solides et, en même temps, subir une crise de liquidité. Il peut disposer d’un code d’éthique tout en maintenant une vulnérabilité critique dans le logiciel avec lequel il accède à vos systèmes. Il peut déclarer ses émissions et échouer aux contrôles de qualité, de sécurité industrielle ou de capacité opérationnelle.

Les données récentes montrent pourquoi cette distinction est importante. En 2026, 65 % des grandes entreprises interrogées par le Forum Économique Mondial ont désigné les vulnérabilités des tierces parties et de la chaîne d’approvisionnement comme le principal obstacle à la cyber-résilience. Allianz a classé les incidents informatiques comme le principal risque d’entreprise mondial pour la cinquième année consécutive, avec 42 % des réponses.

1. Ce qu’une évaluation ESG montre et ce qu’elle peut laisser de côté

Les outils d’analyse ESG apportent une structure à des données qui ont été dispersées pendant des années : politiques environnementales, émissions, droits du travail, éthique des affaires, diversité ou gouvernance. Ils aident également à préparer des rapports, à identifier des lacunes et à progresser vers une chaîne d’approvisionnement durable.

Toutefois, le risque fournisseur ne se divise pas en compartiments étanches. Certains facteurs, comme la santé et la sécurité ou la cybersécurité, peuvent faire partie d’un cadre ESG large, mais leur gestion opérationnelle exige beaucoup plus de profondeur qu’un indicateur général ou qu’une auto-déclaration périodique.

La différence ne réside pas dans le choix entre l’ESG ou la gestion des fournisseurs. Elle réside dans l’intégration des deux approches au sein d’un modèle multirisque, avec des données vérifiées, une segmentation par criticité et un suivi continu.

2. Risque financier : un fournisseur durable peut aussi se retrouver sans liquidités

La stabilité financière est l’un des angles morts les plus évidents d’une évaluation centrée uniquement sur l’ESG. L’insolvabilité, la détérioration du flux de trésorerie, la dépendance vis-à-vis de quelques clients ou le manque d’assurances peuvent empêcher un fournisseur de livrer, de maintenir son personnel ou de remplir ses engagements, même si ses politiques de durabilité sont correctes.

CAS RÉEL | Carillion : quand l’insolvabilité se transforme en interruption opérationnelle

Ce qui s’est passé. Le groupe britannique Carillion est entré en liquidation en janvier 2018. Son effondrement a obligé le gouvernement du Royaume-Uni à activer des mesures de continuité pour de nombreux services et a interrompu les travaux sur des contrats de construction, y compris deux hôpitaux. Ce que cela démontre. L’homologation et les critères ESG ne remplacent pas le suivi de la solvabilité, de la liquidité, de la concentration des revenus, des assurances et des signes de détérioration. Sans ces informations, le risque financier peut se matérialiser avant que les achats n’aient une alternative prête.

Pour anticiper ce type d’exposition, la gestion des risques de la chaîne d’approvisionnement devrait surveiller, au minimum :

• Les changements dans les notations financières, les bilans annuels et le comportement de paiement.
• La dépendance économique vis-à-vis d’un client, d’un contrat ou d’un marché.
• Les avis d’insolvabilité, les litiges, les saisies ou les changements de structure sociale.
• La validité et l’adéquation des assurances.
• L’existence de fournisseurs alternatifs et d’un plan de contingence.

3. Risque informatique : chaque tierce partie connectée élargit la surface d’attaque

La numérisation de la chaîne d’approvisionnement a multiplié les connexions entre acheteurs, fournisseurs, plateformes, opérateurs logistiques et prestataires technologiques. Cette efficacité crée aussi des dépendances : une tierce partie ayant accès à des données, des systèmes ou des identifiants peut devenir le point d’entrée d’un incident.

CAS RÉEL | SolarWinds : un fournisseur fiable transformé en vecteur d’attaque

Ce qui s’est passé. En 2020, l’Agence pour la cybersécurité et la sécurité des infrastructures des États-Unis a confirmé l’exploitation active de versions compromises de la plateforme SolarWinds Orion. L’attaque a utilisé des mises à jour logicielles distribuées par un fournisseur légitime pour accéder aux organisations clientes.

Ce que cela démontre. La cybersécurité des tierces parties ne peut pas être évaluée uniquement au début de la relation. Il est nécessaire de connaître les accès, les dépendances technologiques, les sous-traitants, les contrôles de mise à jour, la réponse aux incidents et les changements dans le niveau d’exposition.

Un questionnaire ESG peut demander des informations sur les politiques de protection des données. Une gestion efficace des risques doit aller plus loin :

• Identifier quels fournisseurs accèdent aux systèmes, aux réseaux ou aux informations sensibles.
• Évaluer les contrôles, les certifications, les vulnérabilités et l’historique des incidents.
• Limiter les privilèges et réviser les accès périodiquement.
• Analyser les dépendances vis-à-vis des logiciels, du cloud et des fournisseurs de quatrième niveau.
• Définir des protocoles de notification, de récupération et de continuité.

4. Qualité, capacité et sécurité : respecter les politiques ne garantit pas une bonne exécution

La continuité opérationnelle dépend aussi de la capacité réelle d’un fournisseur à produire, installer, maintenir ou fournir un service avec la qualité et la sécurité requises. Ici comptent la compétence technique, la traçabilité, le contrôle des modifications, la formation, la maintenance, la supervision et l’historique des incidents.

CAS RÉEL | Alaska Airlines 1282 : le coût de la perte de traçabilité et du contrôle du processus

Ce qui s’est passé. En janvier 2024, le bouchon de porte d’un Boeing 737-9 s’est détaché en plein vol. Le rapport final du NTSB a conclu qu’il manquait les boulons de fixation et a identifié comme cause probable le manque de formation, d’orientation et de supervision adéquates de la part de Boeing. Le composant avait parcouru une chaîne de production et de reprise à laquelle plusieurs organisations et équipes ont participé.

Ce que cela démontre. Les risques de qualité et de sécurité exigent des preuves opérationnelles : traçabilité des composants, contrôles des modifications, compétences, audits, registres de maintenance et responsabilités claires. Un bon indicateur ESG ne détecte pas à lui seul une défaillance dans le processus.

La santé et la sécurité méritent une précision supplémentaire. Elles peuvent apparaître au sein d’une évaluation ESG, mais les entreprises ayant des sous-traitants dans des installations critiques ont besoin d’informations beaucoup plus concrètes : formation obligatoire, compétences, permis de travail, incidents, assurances, documentation valide et contrôle des accès.

C’est pourquoi, dans des secteurs tels que l’énergie, la construction, les services publics, les transports, le maritime et l’industrie, la gestion documentaire, le contrôle des sous-traitants et des fournisseurs et, le cas échéant, une plateforme CAE font partie du système de prévention des risques, et non d’une tâche administrative isolée.

5. Risque réglementaire, géopolitique et réputationnel : le contexte peut changer avant le fournisseur

Un fournisseur peut conserver exactement les mêmes pratiques et, malgré cela, voir son niveau de risque augmenter parce que le contexte change. Une nouvelle sanction, une restriction commerciale, un conflit, une enquête, une modification réglementaire ou une nouvelle négative peuvent influer sur sa capacité à opérer ou sur l’opportunité de maintenir la relation.

Ces risques sont particulièrement difficiles à gérer avec des évaluations annuelles. Ils nécessitent un suivi des listes de sanctions, des nouvelles négatives, des changements de structure sociale, de l’exposition géographique, des routes logistiques et de la dépendance vis-à-vis de sources uniques.

CHANGEMENT D’APPROCHE

L’homologation répond à la question de savoir si un fournisseur respectait les exigences à une date précise.

Le suivi continu répond à la question de savoir s’il continue à les respecter, si son exposition a changé et si l’entreprise doit agir avant que le problème n’affecte l’exploitation.

6. De fournisseur homologué à fournisseur surveillé

L’homologation des fournisseurs reste une base nécessaire. Elle permet de vérifier les exigences, d’organiser la documentation et d’établir un seuil d’entrée. L’erreur consiste à la traiter comme un point final.

Le profil d’un fournisseur change pendant la durée de validité du contrat. Il peut perdre une certification, subir un incident informatique, réduire son personnel, changer de propriétaire, accumuler des dettes, sous-traiter une activité critique ou laisser expirer sa documentation. Aucun de ces changements n’est résolu par le fait que le fournisseur a été approuvé douze mois auparavant.

7. Ce que devrait inclure une vision intégrale du risque fournisseur

Une stratégie solide ne consiste pas à demander plus d’informations à tous les fournisseurs de la même manière. Elle consiste à appliquer le niveau de contrôle adéquat en fonction de la criticité, de l’exposition et de l’impact potentiel.

• Visibilité des fournisseurs : une base commune avec localisation, catégorie, dépenses, criticité, accès et dépendances.
• Segmentation par risque : des critères cohérents pour différencier les fournisseurs critiques, à haut risque, moyens et à faible exposition.
• Analyse prédictive : un premier niveau pour détecter des signaux dans toute la base fournisseurs, même avant de lancer des processus intensifs.
• Données vérifiées : validation documentaire et comparaison avec des sources indépendantes, pas seulement des auto-déclarations.
• Évaluation multirisque : ESG, finances, cybersécurité, santé et sécurité, qualité, assurances, conformité et continuité.
• Audits proportionnés : révisions virtuelles ou en présentiel lorsque le niveau de risque exige une garantie accrue.
• Suivi continu : des alertes qui détectent les changements tout au long de la relation contractuelle.
• Plans d’amélioration et de contingence : des actions avec des responsables, des échéances, des preuves et des alternatives de fourniture.

Cette approche améliore la résilience car elle transforme les informations en décisions : quel fournisseur développer, quel contrat renforcer, où effectuer des audits, quand diversifier et quel risque remonter à la conformité, à la sécurité, aux opérations ou à la direction.

8. Comment Achilles aide à relier l’ESG à une gestion multirisque

Achilles permet d’appliquer différents niveaux d’évaluation et de garantie à la base fournisseurs. L’objectif n’est pas de remplacer l’analyse ESG, mais de la situer au sein d’une vision plus complète du risque et de la relier à l’exploitation.

Découvrez la plateforme Achilles et notre approche pour la gestion intégrale du risque fournisseur.

Conclusion : l’ESG est incontournable, mais ce n’est pas le seul risque

La durabilité doit continuer à faire partie de toute stratégie moderne d’achats et de gestion des fournisseurs. Mais une entreprise ne protège pas sa chaîne d’approvisionnement uniquement avec des indicateurs environnementaux, sociaux et de gouvernance.

La question décisive n’est pas seulement de savoir si un fournisseur est durable. C’est aussi de savoir s’il peut continuer à livrer, s’il est solvable, s’il protège les données, s’il travaille en toute sécurité, s’il maintient ses exigences valides et si l’organisation sera capable de réagir lorsque son profil change.

Une chaîne d’approvisionnement résiliente se construit en reliant l’ESG aux données financières, informatiques, opérationnelles, documentaires et de sécurité ; en validant les informations ; et en surveillant les signaux tout au long de la relation. C’est là que le reporting cesse d’être une photographie pour devenir une réelle capacité d’anticipation.

MESSAGE FINAL

La meilleure évaluation n’est pas celle qui recueille le plus de données, mais celle qui permet d’agir plus tôt. Lorsque les achats, la durabilité, la conformité, la sécurité et les opérations partagent une vision commune du risque fournisseur, l’entreprise peut prioriser les ressources, renforcer les contrôles et mieux protéger la continuité des affaires.

Foire aux questions

Qu’est-ce que la gestion du risque de la chaîne d’approvisionnement ?

C’est le processus consistant à identifier, évaluer, prioriser et surveiller les risques associés aux fournisseurs, sous-traitants, localisations et dépendances qui peuvent influer sur la continuité, la conformité, la sécurité ou la réputation d’une organisation.

Pourquoi une évaluation ESG n’est-elle pas suffisante ?

Parce qu’elle a tendance à se concentrer sur les facteurs environnementaux, sociaux et de gouvernance, alors qu’un fournisseur peut aussi échouer par insolvabilité, attaques informatiques, problèmes de qualité, manque de capacité, documentation expirée, sanctions ou incidents de sécurité.

Quelle est la différence entre homologuer et surveiller les fournisseurs ?

L’homologation valide les exigences à un moment donné. Le suivi continu détecte les changements ultérieurs dans le profil financier, réglementaire, informatique, documentaire ou opérationnel du fournisseur.

Tous les fournisseurs ont-ils besoin du même niveau d’évaluation ?

Non. Le niveau de diligence raisonnable doit être proportionnel à la criticité, au risque intrinsèque et à l’impact potentiel. Les fournisseurs à faible exposition peuvent commencer par une analyse prédictive, tandis que les fournisseurs critiques exigent une validation approfondie, des audits et un suivi continu.

Qu’apporte un audit ESG au sein d’une approche multirisque ?

Il apporte des preuves sur l’efficacité de certains contrôles environnementaux, sociaux et de gouvernance. Il doit être intégré à d’autres évaluations lorsqu’il existe des risques financiers, informatiques, opérationnels, de qualité ou de santé et sécurité.