Gérer les actifs tiers

Un environnement TPRM comprend généralement plusieurs tiers. Vous pouvez utiliser le stock d'actifs tiers pour intégrer et gérer les cycles de vie de vos tiers, lancer des évaluations et calculer les niveaux de criticité ainsi que les scores de risque. De plus, les scores de risque et les découvertes vous permettent de prioriser les tâches, d'identifier et remédier les risques potentiels.

Cette solution exige un abonnement à l’application Gestion des risques tiers.

Combiner différents éléments permet de définir un cadre TPRM robuste. Le stock d'actifs tiers constitue un élément essentiel de ce cadre et fonctionner avec des éléments sous-jacents.

Éléments d'un stock d'actifs TPRM

Les élément de support d'un stock d'actifs tiers comprend à la base les tiers impliqués, les utilisateurs, les états de flux de travail du cycle de vie et les évaluations. Tous ces éléments sont présentés comme des attributs différents dans le stock d’actifs pour collecter des informations relatives à un tiers. Lorsque vous collectez et mettez à jour toutes ces informations nécessaires dans l’application Gestion des risques tiers, vous pouvez commencer la surveillance et l’évaluation des différents tiers et éliminer les risques immédiatement.

Fonctionnement

Le flux de travail Gestion des risques tiers se trouve essentiellement dans l’application Stock d’actifs :

1. Créer un actif tiers Ajoutez un actif tiers au stock d’actifs.
2. Enregistrer un tiers Ajoutez des détails essentiels sur votre actif afin qu'il soit prêt pour le processus d'évaluation du risque.
3. Catégoriser le tiers Utilisez une évaluation automatisée de la criticité afin de prioriser vos tiers en identifiant ceux dont la mission est essentielle pour votre oganisation.
4. Évaluer le niveau de risque Utilisez une évaluation automatisée standard de risque (SIG Lite ou CAIQ Lite) pour évaluer des risques tiers et créer des résultats à traiter.
5. Activer un tiers Approuvez et activez votre tiers afin que vous puissiez commencer à remédier aux risques qui lui sont associés.
6. Utiliser des robots pour importer l'actif et enregistrer les données dans Résultats Utilisez un robot de flux de travail pour importer l'actif et enregistrer les données dans Résultats. Dans Robots, vous pouvez également gérer les paramètres ; par exemple, vous pouvez configurer le robot de flux de travail afin qu'il importe des données à la même heure quotidiennement.
7. Voir les données d'actif et d'enregistrement Visualisez les données importées dans Résultats, dans des tables dédiées afin que vous puissiez suivre les efforts d'atténuation de risque et identifier les éléments d'action restant.
8. Archiver le tiers Si nécessaire, vous pouvez archiver un tiers afin de toujours disposer d'un enregistrement des informations qui lui sont associées, cependant vous savez que vous n'aurez plus à atténuer ses risques.

1. Créer un actif de tiers

Un tiers est identifié et géré comme un actif dans l’application Gestion des risques tiers. Pour chaque tiers que vous évaluez, vous devez le saisir comme un actif dans Stock d’actifs.

Lorsque vous ajoutez un tiers, il prend l'état de flux de travail Brouillon.

L'enregistrement et la catégorisation simplifient la priorisation des tâches tiers et la remédiation des risques qui sont associés.

2. Enregistrer le tiers

Lors de l'enregistrement d'un actif tiers, vous ajoutez principalement plus de détails essentiels pour le faire avancer jusqu'au prochain état du flux de travail dans le cycle de vie. Vous pouvez voir et modifier les attributs d'un actif dans l'onglet Détails. Les attributs suivants sont obligatoires pour enregistrer un actif tiers :

• Responsable de l'activité Utilisateur chargé de toutes les informations correspondant à un actif tiers. Par exemple, un contact primaire pour un actif tiers, d'une équipe des achats ou d'un département particulier.
• Gestionnaire des risques Utilisateur en charge de l'avancement du cycle de vie du tiers grâce à l'analyse des réponses et enregistrements de l'évaluation. Par exemple, un analyste TPRM dans votre organisation.
• Type de tiers Indique si l'actif est un service ou un produit tiers. Par exemple, un abonnement à un service basé dans le cloud peut être un service alors qu'un système de contrôle d'accès d'utilisateur sur site peut être un produit.
• Description de tiers Une brève description de l'actif tiers.

Pour enregistrer un actif tiers :

1. saisissez des valeurs pour les attributs obligatoires ci-dessus et tout autre attribut, si nécessaire puis cliquez sur Enregistrer les modifications.

2. Dans le flux de travail visuel disponible en haut de la page, sélectionnez Brouillon > Enregistrer ou Actions > Enregistrer.

   Résultat L’application Gestion des risques tiers valide le fait que l’actif tiers contient toutes les valeurs obligatoires et le bascule vers l’état Enregistré.

3. Catégoriser le tiers

La catégorisation d'un tiers implique l'évaluation de l'impact de criticité qu'un tiers a sur une organisation et l'affectation du niveau de criticité à celui-ci. L'affectation d'un niveau correct de criticité à un tiers est important puisqu'il définit la quantité de surveillance et de diligence à intégrer dans les activités liées à la maintenance de cet actif.

Qu'est-ce qu'un niveau de criticité ?

Le niveau de criticité indique le niveau d'impact que les risque associés à un tiers peuvent avoir sur votre activité. Plusieurs facteurs entrent en jeu dans la détermination du niveau de criticité d’un tiers, tels que l’accès aux informations essentielles dont les détails client, la perturbation de l’activité et l’importance sur les finances et la réputation.

Les niveaux de criticité disponibles dans l’application Gestion des risques tiers sont les suivants :

• Critique
• Élevé(e)
• Moyen
• Faible

Niveau de criticité tiers correspond à l'attribut obligatoire pour catégoriser un actif tiers.

Vous pouvez soit utiliser vos mesures d'évaluation interne de l'organisation et affecter le niveau de criticité d'un tiers ou utiliser l'évaluation de catégorisation fournie avec la solution.

Vous pouvez lancer le processus de catégorisation en sélectionnant Enregistré > Catégoriser dans le flux de travail visuel ou Actions > Catégoriser dans le coin supérieur droit de la page. Le statut du tiers prend la valeur Catégorisation en attente. Après affectation du niveau de criticité (manuellement ou via l'évaluation de la catégorisation), enregistrez les détails et sélectionnez Approuver. L'actif tiers bascule vers l'état Catégorisé.

Ignorer l'évaluation du risque pour un actif à criticité faible

Il peut y avoir des scénarios qui présentent des tiers à criticité faible (par exemple, un fournisseur qui livre des articles de bureau) et qui ne veulent pas consacrer du temps à l'évaluation des risques associés à ces actifs. Dans ce cas, après la catégorisation de l'actif de tiers, vous pouvez ignorer les étapes d'évaluation du risque.

4. Évaluer le niveau de risque

L'évaluation du risque est une opération essentielle pour identifier les risques associés aux tiers. Vous pouvez générer l'évaluation du risque pour un tiers et la distribuer à une personne interrogée, généralement le propriétaire du tiers. Lorsque la personne interrogée a envoyé les réponses, Diligent One calcule le score ainsi que le niveau de risque et les renseigne automatiquement dans les champs Niveau de risque SIG/CAIQ Lite et Score de risque. Vous pouvez utiliser ces scores de risque pour identifier des risques, créer des plans de remédiation et poursuivre les services du tiers ou y mettre fin.

Générer une évaluation du risque

L’application Gestion des risques tiers prend en charge deux modèles d’évaluation : SIG Lite & CAIQ Lite. Vous pouvez générer une de ces évaluations en fonction de la version du kit de ressources Gestion des risques tiers auquel votre organisation est abonnée.

Pour générer une évaluation de risque, sélectionnez Catégorisé > Évaluer le risque dans le flux de travail visuel ou Actions > Évaluer le risque. L’application Gestion des risques tiers génère l’évaluation du risque et l’état Évaluation en attente est attribué au tiers.

Vous pouvez poursuivre la distribution de cette évaluation vers un propriétaire de tiers correspondant.

Collecter des réponses pour votre évaluation du risque

Après la génération d'une évaluation du risque, vous devez la distribuer à son propriétaire du tiers pour collecter des réponses.

Pour envoyer l'évaluation du risque au propriétaire du tiers, sélectionnez Évaluation en attente > Lancer l'évaluation du risque dans le flux de travail visuel ou Actions > Lancer l'évaluation du risque. Dans le panneau Envoyer le questionnaire, sélectionnez le questionnaire à envoyer et saisissez le nom ou l'adresse e-mail de la personne (généralement le propriétaire tiers de l'actif de tiers) capable de saisir les informations requises et cliquez sur Envoyer.

Examiner et accepter le niveau de risque

Diligent One génère automatiquement un score et le niveau de risque pour un actif de tiers en fonction des réponses de l'évaluation. Le score de risque correspond à une valeur de pourcentage et les niveaux de risque peuvent présenter les valeurs Critique, Élevé, Moyen ou Faible. Pour en savoir plus sur la manière dont l’application Gestion des risques tiers calcule les scores de risque, voir Score d’évaluation pour les actifs de tiers.

Un propriétaire commercial peut examiner le niveau de risque et sélectionner Évaluation en attente > Accepter le niveau de risque ou Actions > Accepter le niveau de risque. Diligent One valide le score et le niveau de risque affectés au tiers, puis il lui attribue l'état Examen en attente.

Suivre des problèmes avec découvertes

Si vous trouvez un problème avec un actif tiers que vous devez traiter, vous pouvez créer une découverte.

Lorsque vous visualisez un actif, dans l'onglet Vue d'ensemble, vous pouvez développer le tiroir Découvertes pour afficher toutes les découvertes associées à cet actif. Ici, vous pouvez créer des découvertes ou suivre le travail requis pour traiter des découvertes existantes.

5. Activer le tiers

Maintenant qu'un responsable de l'activité a examiné et approuvé le score de risque et le niveau, vous pouvez, en tant que gestionnaire des risques, vérifier tous les attributs dans l'onglet Détails et activiez le tiers. Les attributs obligatoires pour activer un tiers sont :

• Notation de risque globale - Sélectionnez une notation de risque globale en fonction du niveau de criticité et de risque du tiers. Vous pouvez sélectionner une valeur parmi Critique, Élevé, Moyen et Faible.
• Justification de la note - Indiquez le motif de la note.

Pour activer le tiers, enregistrez les détails et sélectionnez Examen en attente > Activer ou Actions > Activer. Si les valeurs sont fournies pour les attributs requis, le tiers passe à l'état Actif.

6. Utiliser des robots pour importer l'actif et enregistrer les données dans Résultats

Après l'activation de vos tiers et le début de l'atténuation des risques associés dans Stock d'actifs, vous pouvez utiliser des robots de flux de travail pour importer l'actif et enregistrer les données dans Résultats afin de pouvoir y accéder dans un seul endroit.

Permissions et installation

Comme pour tous les autres robots de flux de travail, l'utilisation de ces robots exigent que vous ayez le type d'utilisateur administrateur système avec abonnement professionnel.

Dans le tableau de bord de Robots, sélectionnez Robots de flux de travail et recherchez les robots Rapports sur les actifs et Rapports sur les enregistrements. Les installations précédentes de l’application Gestion des risques tiers ne comprenaient pas ces robots, si vous ne les voyez pas, contactez votre représentant Diligent pour obtenir de l’aide.

Utiliser les robots

Pour chaque robot, vous pouvez choisir de l'exécuter en fonction des besoins ou vous pouvez planifier son exécution régulière (par exemple, une fois par jour). Pour plus d’informations, consultez la section Création d'une tâche de robot pour exécuter un script.

Chaque fois que vous exécutez un de ces robots, il recrée intégralement les données dans Résultats, vous n'avez donc aucune crainte à avoir concernant l'apparition de doublons avec des tiers existants ou de données obsolètes provenant de projets que vous avez supprimés.

Les scripts de ces robots incluent des éléments personnalisables. Par exemple, vous pouvez personnaliser les libellés de certains champs afin qu'ils apparaissent différemment dans Résultats. Vous pouvez contacter votre représentant Diligent afin qu'il vous assiste lors de ces personnalisations. Si vous êtes à l'aise dans l'édition des scripts, vous pouvez apporter vous-même vos propres personnalisations. Pour plus d'informations sur la création de scripts dans Robots, consultez la rubrique Création de scripts Python et HCL dans Robots.

7. Voir l'actif et enregistrer les données

Dans Résultats, les données importées via des robots de flux de travail sont enregistrées dans la collection Reporting de la gestion des risques. Si vous accédez à cette collection, vous pouvez trouver les tables de résultats qui correspondent aux noms des robots que vous utilisez et voir les dernières données importées récemment. Pour plus d’informations, consultez la section Aperçu de l’application Résultats.

(Facultatif) Réévaluer le tiers

Les tiers qui sont critiques des points de vue de l'activité ou de la sécurité doivent souvent faire l'objet d'une évaluation. Il est également possible que vous souhaitiez réévaluer d'autres tiers en cas de modifications des conditions et politiques existantes. Lorsque vous sélectionnez Actif > Réévaluer, Diligent One réattribue l'état Enregistré au tiers. Vous pouvez relancer les processus de catégorisation et d'évaluation du risque.

8. (Facultatif) Archiver le tiers

Si vous n'avez plus besoin de suivre un tiers mais avez toujours besoin de conserver son enregistrement dans le système, vous pouvez archiver l'actif. Sélectionnez Actif > Archiver.

Pour simplifier l’utilisation, l’application Gestion des risques tiers vous permet d’archiver un actif tiers à partir de n’importe quelle étape après son ajout.

Vous pouvez également supprimer un tiers archivé lorsque vous n'en avez plus besoin dans le système.