La vigilance fournisseurs est un principe général de surveillance des tiers, mais ce principe ne prend tout son sens qu’une fois confronté à la réalité des risques qu’il doit couvrir et aux enjeux du KYS (Know Your Supplier ou la connaissance fournisseur).
En effet, un fournisseur peut présenter un extrait Kbis impeccable, une situation administrative saine, une ancienneté rassurante et représenter malgré tout un risque significatif pour l’entreprise qui traite avec lui.
La vigilance fournisseurs recouvre en réalité plusieurs familles de risques bien distincts qui ne se détectent pas de la même manière et qui n’engagent pas les mêmes conséquences. Les identifier clairement est le préalable à toute méthode de contrôle et de gestion des risques efficace. On vous explique comment faire.
Gestion des risques fournisseurs KYS : les grandes familles
Ces risques concernent rarement le même service dans l’entreprise, ce qui explique pourquoi une vigilance fournisseurs efficace mobilise généralement les achats, la conformité et, de plus en plus, les systèmes d’information. On fait le point.
Vérification KYS : les risques financiers et contractuels
Bien évidemment, la solvabilité d’un fournisseur conditionne directement la continuité de la relation : incidents de paiement, procédure collective en cours, dépendance excessive à un client unique sont autant de signaux qui peuvent annoncer une défaillance. S’assurer de la santé financière de ses fournisseurs est, au-delà du KYS (Know Your Supplier ou connaissance fournisseur), un impératif pour les entreprises.
À ces risques financiers s’ajoutent des risques de fraude fiscale et sociale, comme du travail dissimulé, des sous-déclarations, de l’évasion fiscale, etc. En quoi cela concerne-t-il votre entreprise, pensez-vous ?
Même si ce risque n’est pas initié à l’encontre de votre entreprise, l’image de celle-ci peut s’en trouver impactée. Votre entreprise peut également être visée par des poursuites d’association à des pratiques frauduleuses.
Enfin, les risques contractuels sont une réelle menace, comme le non-respect des obligations souscrites au regard des réglementations en vigueur (délais, de conformité produit ou de clauses spécifiques négociées).
Vérification KYS : les risques réputationnels, opérationnels et stratégiques
Nous évoquions le risque réputationnel dans le cadre d’une relation d’affaires avec des fournisseurs s’adonnant à des fraudes fiscales et sociales, mais le risque d’image touche aussi l’entreprise par association dans des cas variés, comme une pratique de corruption, une atteinte aux droits humains ou à l’environnement chez un fournisseur qui rejaillissent sur celui qui a choisi de travailler avec lui, indépendamment de sa propre responsabilité directe.
Le risque opérationnel est la conséquence directe des risques contractuels, comme la qualité des produits ou services livrés et le respect des délais, deux facteurs qui affectent directement la chaîne de production.
Le risque stratégique, enfin, tient à la dépendance envers un fournisseur difficilement substituable. Sa performance, sa pérennité et sa capacité à suivre la croissance de l’entreprise deviennent alors des enjeux à part entière.
Vérification KYS : les risques de fraude délibérée
Ces risques financiers, réputationnels et opérationnels tiennent souvent à la nature de l’activité du fournisseur, sans intention de nuire de sa part. Une autre catégorie de risque doit donc être distinguée : celle où le fournisseur, ou un tiers usurpant son identité, agit avec une intention frauduleuse délibérée.
La fraude au faux fournisseur consiste à créer une entité fictive ou à usurper l’identité d’un fournisseur réel pour émettre des factures correspondant à des prestations inexistantes.
La fraude à la modification de RIB, ou le détournement d’IBAN, intercepte ou falsifie une demande de changement de coordonnées bancaires pour rediriger les virements vers un compte contrôlé par le fraudeur.
La fraude au président usurpe l’identité d’un dirigeant pour exiger un virement urgent vers un nouveau compte fournisseur en s’appuyant sur la pression temporelle et l’autorité apparente de l’expéditeur pour réduire la vigilance des équipes sollicitées.
À ces schémas s’ajoutent les sociétés-écrans qui dissimulent sous une façade légale des activités de blanchiment ou de contournement de sanctions et la fraude interne par connivence, où un collaborateur crée un fournisseur fictif dans le système et valide lui-même les factures correspondantes.
Vérification KYS : les risques cyber
La généralisation des échanges dématérialisés avec les fournisseurs amplifie ces risques. La quasi-totalité des relations fournisseurs transite aujourd’hui par email et par des accès numériques partagés, ce qui multiplie les points d’entrée pour une usurpation ou une compromission.
Une boîte mail fournisseur piratée peut servir à envoyer une fausse demande de changement de RIB parfaitement crédible, car elle provient d’une adresse authentique. Au-delà de la fraude au paiement, certains fournisseurs disposent d’un accès direct aux systèmes d’information de l’entreprise. Autant vous dire qu’une faille de sécurité chez eux peut alors devenir une porte d’entrée vers les données ou l’infrastructure du donneur d’ordre.
La vigilance fournisseurs cherche à se prémunir de ces différents risques, mais tous ne se lisent pas de la même manière lors d’un contrôle.
Les limites du contrôle administratif en gestion des risques fournisseurs
La plupart de ces risques ne se détectent pas sur un extrait Kbis ou une attestation URSSAF, pièces généralement demandées lors d’un contrôle administratif.
Un fournisseur en règle sur le plan formel, avec une immatriculation à jour et des statuts conformes, peut être détenu, directement ou indirectement, par une structure ou une personne exposée à un risque particulier.
La structure de détention réelle, les montages capitalistiques ou les intermédiaires impliqués dans la chaîne de contrôle échappent en grande partie à un contrôle documentaire de premier niveau qui se limite à vérifier l’existence légale de l’entité sans s’interroger qui la dirige réellement.
De plus, la relation fournisseur peut constituer un vecteur de corruption ou de blanchiment de capitaux, ce qui rejoint directement le cadre posé par la loi Sapin 2 et la logique LCB-FT (lutte contre le blanchiment d’argent et le financement du terrorisme).
Ce risque doit être anticipé plutôt que découvert après coup, ce qui suppose d’identifier le bénéficiaire effectif réel (toute personne physique détenant au moins 25 % du capital social ou des droits de vote d’une entreprise) du fournisseur et pas seulement son représentant légal apparent.
Une fois ces risques identifiés, encore faut-il déterminer comment ils doivent influencer le niveau de vigilance appliqué à chaque fournisseur.
Gestion des risques fournisseurs : hiérarchiser pour calibrer sa vigilance KYS
Ces familles de risques ne s’excluent pas les unes les autres, elles s’additionnent. Un fournisseur parfaitement solvable et irréprochable sur le plan contractuel peut présenter un risque de corruption élevé du fait de son implantation géographique.
À l’inverse, un fournisseur sans aucun signal de fraude ou de corruption peut représenter un risque opérationnel critique s’il est difficilement substituable et stratégique pour l’activité.
C’est la combinaison de ces risques, et non leur simple addition mécanique, qui doit déterminer le niveau de vigilance à appliquer, par exemple, un contrôle standard pour un fournisseur ne cumulant aucun facteur significatif et une vigilance renforcée dès qu’un ou plusieurs risques majeurs se recoupent.
Une cartographie des risques fournisseurs qui ignore une de ces familles laisse un angle mort dans leur gestion, quel que soit par ailleurs le sérieux du contrôle documentaire réalisé. De plus, à mesure que les relations fournisseurs se dématérialisent, le risque de fraude et le risque cyber cessent d’être des sujets périphériques pour devenir des composantes à part entière de toute vigilance sérieuse. Votre processus KYS (Know Your Supplier ou la connaissance fournisseur) vous protège-t-il de tous ces risques ?
