Atténuer les Risques de l'Externalisation : Guide du CIO pour des Partenariats IT Sécurisés

Les entreprises confient de plus en tout ou partie de leurs fonctions technologiques à des prestataires externes. Bien que cela puisse créer certaines efficacités, l'organisation reste ultimement responsable des risques associés à la disponibilité et aux fonctions des services IT, ainsi qu'au bon accès et à l'utilisation des données de l'entreprise.

Cela signifie que le directeur des systèmes d'information (DSI) ou leader IT équivalent doit s'assurer que les prestataires sélectionnés ont la structure appropriée, la stabilité financière et les plans de continuité en place pour fournir de manière cohérente les services contractuels.

Cela signifie aussi que les leaders IT doivent évaluer l'efficacité des politiques et procédures du prestataire, pour garantir l'intégrité et la sécurité des données sensibles et informations propriétaires de l'entreprise.

Une industrie estimée à 1 000 milliards de dollars par an, l'externalisation IT prend de nombreuses formes. Une organisation peut confier tout son département IT à un vendeur, ou en engager un pour effectuer des opérations de centre de données, la gestion de réseau ou d'autres fonctions spécifiques.

Les fonctions IT couramment externalisées incluent :

• Développement d'applications logicielles,
• Support d'applications logicielles,
• Opérations de centre de données,
• Support helpdesk,
• Gestion de réseau,
• Cybersécurité,
• Plateforme ou infrastructure en tant que service, et
• Logiciel en tant que service.

Dans le passé, les DSI se concentraient principalement sur la chaîne d'approvisionnement des produits physiques. Aujourd'hui, cependant, ils doivent se soucier de la chaîne d'approvisionnement pour les produits et les services.

Évaluer et gérer le risque chez les fournisseurs de services technologiques tiers peut être un défi, car des portions significatives des environnements de service sont sous le contrôle du prestataire, et sont probablement hors de la portée de l'organisation acquéreuse. La due diligence doit être effectuée en amont pour évaluer les risques associés à l'engagement d'une partie externe.

Avant de s'engager avec un prestataire de services IT, le DSI doit comprendre :

• Ce qui est externalisé,
• Quels processus métier seront soutenus par le service,
• Quelles données seront stockées, traitées ou accessibles via le service externalisé, et
• Qui aura accès aux systèmes, applications et données liés au service externalisé.

Le processus peut commencer avec un formulaire de base d'évaluation des risques des services IT, conçu pour capturer les réponses à ces questions auprès du personnel de l'organisation. En plus, un formulaire de pré-évaluation du fournisseur peut être utilisé pour recueillir des informations préliminaires d'un prestataire potentiel. Les questions courantes à poser dans un formulaire de pré-évaluation fournisseur incluent :

• Votre entreprise a-t-elle déjà déclaré faillite ?
• La police d'assurance de votre entreprise inclut-elle les réclamations d'erreurs et omissions (ou responsabilité civile générale) ? Si oui, quelles sont les limites de la police ?
• Votre entreprise est-elle impliquée dans des litiges en cours ?
• Votre entreprise a-t-elle déjà été partie à une enquête réglementaire ?
• Votre entreprise a-t-elle une politique de confidentialité ?
• Votre entreprise a-t-elle un programme de sécurité documenté en place ?
• Votre entreprise acceptera-t-elle de compléter un questionnaire sur vos programmes de sécurité de l'information et de confidentialité ?
• Votre entreprise a-t-elle un rapport Service Organization Controls (SOC) ?
• Votre entreprise a-t-elle un plan complet de continuité d'activité pour traiter la poursuite des opérations en cas d'incidents perturbant les opérations normales ?

Ces formulaires d'évaluation devraient fournir suffisamment d'informations pour déterminer si une diligence supplémentaire est nécessaire. Basé sur le niveau de risque potentiel, cette diligence supplémentaire pourrait inclure l'exigence que le prestataire réponde à un questionnaire plus détaillé ; l'examen détaillé du rapport SOC du prestataire, ou l'engagement avec la fonction d'audit interne de l'organisation ou un cabinet d'audit externe qualifié pour mener une évaluation fournisseur.

Réaliser ces évaluations est critique lors de l'établissement d'une relation avec un nouveau prestataire. Il est aussi important de continuer à examiner chaque fournisseur sur une base continue. La fréquence et l'étendue de ces examens devraient être basées sur les risques associés aux services fournis.

Ces évaluations sont adaptées aux prestataires de services, mais les concepts peuvent être adaptés pour les fournisseurs de produits technologiques clés également. L'essentiel est que le DSI comprenne les risques potentiels de l'engagement avec un fournisseur, et ait une compréhension de la façon dont chaque fournisseur gère ses risques d'affaires. Ainsi, le DSI sera mieux à même d'anticiper l'impact des risques d'externalisation sur l'organisation.

Les évaluations des prestataires de services peuvent être assignées à diverses fonctions au sein d'une organisation, y compris IT, gestion des risques ou audit interne. Les évaluations peuvent également être effectuées par un tiers qualifié.

Cependant, c'est la responsabilité du DSI ou leader IT équivalent d'examiner les informations recueillies des évaluations, et de déterminer si l'engagement avec le prestataire de services technologiques proposé est aligné avec les objectifs et les niveaux de tolérance au risque de l'organisation. Une évaluation approfondie aujourd'hui aidera à prévenir de plus gros problèmes plus tard.

Robert Neill est directeur des services de conseil CIO pour Weaver, un cabinet national de CPA et de conseil.