Le processus KYS (Know Your Supplier) en entreprise est une démarche structurée, mais réduire le KYS a une simple obligation réglementaire revient à passer à côté de l’essentiel.
En effet, une entreprise qui documente sa vigilance fournisseurs uniquement pour satisfaire un contrôle éventuel construit un dispositif fragile, coûteux et déconnecté de ses véritables enjeux. Le KYS touche en réalité à plusieurs dimensions de l’entreprise qui sont rarement pensées ensemble : la conformité légale, la maîtrise des risques, l’image et la continuité même de l’activité.
Comprendre ces enjeux dans leur ensemble permet de justifier l’investissement qu’un processus KYS représente et d’en faire un sujet porté au bon niveau de l’organisation plutôt qu’une contrainte subie par une seule fonction. On vous explique.
KYS : un enjeu de conformité avant tout
Pour une partie des entreprises, le KYS (Know Your Supplier ou la connaissance fournisseurs) répond d’abord à une obligation légale directe.
Les sociétés soumises à l’article 17 de la loi Sapin 2 ou celles relevant du devoir de vigilance doivent démontrer qu’elles évaluent leurs tiers, fournisseurs compris, selon une méthodologie documentée et proportionnée au risque.
Mais l’enjeu dépasse le seul respect du texte : c’est la capacité à prouver cette conformité, des années après une décision de référencement, qui distingue une entreprise réellement en règle d’une entreprise qui pensait l’être au moment des faits.
Cet enjeu de conformité ne se limite d’ailleurs plus aux entreprises directement soumises aux seuils légaux. De plus en plus de grands donneurs d’ordre, eux-mêmes assujettis à la loi Sapin 2 ou au devoir de vigilance, répercutent cette exigence sur leur propre chaîne de fournisseurs par voie contractuelle.
Ainsi, ils peuvent demander à leurs prestataires de justifier d’un dispositif de connaissance de leurs propres tiers avant de les référencer à leur tour. Une PME qui répond à un appel d’offres d’un grand groupe se retrouve ainsi de plus en plus souvent confrontée à des exigences de conformité qu’elle n’aurait jamais eues à titre individuel. La conformité KYS devient un critère de sélection commercial autant qu’une obligation réglementaire directe.
L’absence de processus structuré expose à un double risque : celui, direct, d’une sanction ou d’une injonction en cas de contrôle de l’Agence française anticorruption (AFA), et celui, plus diffus mais tout aussi réel, de perdre des opportunités commerciales faute de pouvoir répondre aux exigences de conformité imposées par ses propres clients.
KYS : un enjeu de maîtrise des risques fournisseurs
Le KYS répond aussi à un enjeu de gestion des risques qui dépasse largement la seule question réglementaire : risques financiers, opérationnels, réputationnels, liés à la fraude ou aux systèmes d’information.
Ce qui importe ici, c’est de comprendre pourquoi la maîtrise des risques constitue un enjeu business à part entière, indépendamment de toute obligation légale. En voici quelques exemples (liste non exhaustive).
- Un risque fournisseur non maîtrisé se traduit rarement par un incident isolé et sans conséquence. Une fraude au changement de RIB non détectée entraîne une perte financière directe et immédiate.
- Une défaillance financière d’un fournisseur stratégique découverte trop tard peut interrompre une chaîne de production entière, avec des conséquences commerciales et contractuelles qui dépassent largement le montant du contrat initial concerné.
- Une implication, même indirecte, dans une affaire de corruption ou d’atteinte aux droits humains expose l’entreprise à un risque réputationnel dont le coût réel est souvent difficile à chiffrer, mais rarement négligeable.
À l’inverse, un processus de maîtrise des risques fournisseurs bien construit devient progressivement un atout plutôt qu’une charge. Il permet d’onboarder plus rapidement de nouveaux fournisseurs en s’appuyant sur des critères clairs plutôt que sur des vérifications improvisées à chaque nouvelle relation.
Il donne à l’entreprise les moyens de réagir vite lorsqu’un signal de risque apparaît, plutôt que de le découvrir après coup. Il fournit enfin des éléments concrets et documentés à mobiliser face à un assureur, un auditeur ou un partenaire financier qui s’interroge sur la robustesse de la chaîne d’approvisionnement.
La gestion des risques fournisseurs cesse alors d’être une contrainte défensive pour devenir un levier de fiabilité perçue par l’ensemble des parties prenantes de l’entreprise.
KYS : un enjeu d’image et de responsabilité par association
Une entreprise est aujourd’hui jugée non seulement sur ses propres pratiques, mais aussi sur celles des tiers avec lesquels elle choisit de travailler. Cette responsabilité par association transforme un simple choix d’achat en décision qui engage l’image de l’entreprise tout entière.
Le risque réputationnel direct
La révélation publique d’une pratique douteuse chez un fournisseur, qu’elle provienne de la presse, d’une ONG ou des réseaux sociaux, expose l’entreprise cliente à une perte de confiance immédiate, même lorsqu’elle n’a elle-même commis aucune faute.
Ce risque présente une particularité : il se matérialise souvent au moment où la relation est la plus établie, donc la plus coûteuse et la plus complexe à rompre rapidement.
En effet, un fournisseur historique, intégré depuis plusieurs années à la chaîne de production, ne se remplace pas du jour au lendemain sans conséquence opérationnelle, ce qui place l’entreprise dans une position délicate entre gestion de l’urgence réputationnelle et contrainte de continuité.
La responsabilité indirecte via le devoir de vigilance
Pour les entreprises soumises à la loi relative au devoir de vigilance, ce risque réputationnel se double d’une exposition légale.
Ces entreprises doivent rendre compte publiquement, via leur plan de vigilance, des mesures prises pour prévenir les atteintes graves aux droits humains et à l’environnement dans leur chaîne de valeur.
Un risque d’image qui aurait pu rester circonscrit à une communication de crise devient alors un sujet de conformité documenté, opposable et susceptible d’engager la responsabilité de l’entreprise si les mesures de vigilance s’avèrent insuffisantes.
KYS : un enjeu de continuité et de fiabilité de la chaîne d’approvisionnement
Au-delà de la conformité et de l’image, le KYS sert un objectif très opérationnel : garantir que l’activité de l’entreprise ne dépend pas de fournisseurs dont la défaillance mettrait en péril sa propre continuité.
Anticiper la défaillance ou la rupture fournisseur
La santé financière d’un fournisseur, déjà identifiée comme un facteur de risque à surveiller, prend ici une dimension supplémentaire : celle de la capacité de l’entreprise à absorber une rupture d’approvisionnement sans interruption de sa propre activité.
Un processus de vigilance qui intègre le suivi financier dans la durée permet de détecter les signaux avant-coureurs (retards de paiement fournisseurs de second rang, dégradation de la solvabilité, restructuration en cours, etc.) et d’anticiper une solution plutôt que de la subir dans l’urgence.
Sécuriser les situations de dépendance stratégique
Certains fournisseurs sont, par nature, difficilement substituables : savoir-faire rare, fournisseur unique sur un composant critique, capacité de production non duplicable à court terme, etc. Dans ces situations, le KYS dépasse sa fonction de contrôle pour devenir un outil de gestion du risque business. Il permet de formaliser en amont, avant qu’un incident ne survienne, les critères qui déclenchent la recherche d’un fournisseur alternatif :
- dégradation significative de la situation financière du fournisseur ;
- concentration excessive du chiffre d’affaires de l’entreprise chez ce fournisseur unique ;
- absence d’alternative identifiée sur le marché en cas de rupture soudaine ;
- dépendance à une zone géographique exposée à un risque géopolitique ou logistique particulier.
C’est la loi du 27 mars 2017 qui introduit cette nouvelle logique. Autrement dit, l’entreprise doit s’interroger sur les impacts négatifs que ses activités peuvent générer, directement ou indirectement, à travers sa chaîne de valeur.
Pour cela, les sociétés concernées (au moins 5 000 salariés en France ou 10 000 en France et à l’étranger, sur deux exercices consécutifs) doivent élaborer et publier un plan de vigilance reposant sur une cartographie des risques, des procédures d’évaluation régulière des filiales, sous-traitants et fournisseurs, des actions d’atténuation, un mécanisme d’alerte et un dispositif de suivi.
Comme vous pouvez le constater, traiter le KYS comme la seule affaire d’une fonction conformité isolée revient à sous-estimer sa portée réelle. Achats, conformité, RSE et continuité d’activité gagnent à partager une même connaissance des fournisseurs plutôt qu’à la reconstruire chacun de leur côté pour ainsi éviter de découvrir un même risque à des moments différents, et parfois trop tard. L’enjeu ici est d’appliquer ces contrôles de manière cohérente sur des centaines ou des milliers de fournisseurs.
