Gestion des risques tiers (TPRM) : guide complet 2026

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique, financier ou réglementaire.

Le third party risk management (TPRM) — gestion des risques liés aux tiers — est devenu une priorité réglementaire de premier plan au Canada. 35,5 % des violations de données trouvent leur origine dans la chaîne d'approvisionnement selon l'analyse BEAROPS 2025, et le BSIF attend présentement des institutions financières qu'elles documentent chaque étape de leur processus de gestion des fournisseurs tiers.

Ce guide présente le cadre opérationnel, les exigences réglementaires canadiennes et les pratiques concrètes pour structurer un programme TPRM conforme en 2026.

Qu'est-ce que le TPRM ?

Le TPRM est le processus structuré permettant à une organisation d'identifier, d'évaluer, de surveiller et d'atténuer les risques découlant de ses relations avec des fournisseurs externes.

La définition réglementaire de référence au Canada est posée par la ligne directrice B-10 du BSIF sur l'impartition, complétée par la ligne directrice B-13 sur la gestion du risque technologique (BSIF B-10).

Cadre réglementaire canadien en 2026

Les obligations du BSIF pour les institutions financières

La ligne directrice B-10 du BSIF sur l'impartition s'applique à l'ensemble des institutions financières fédérales canadiennes — banques, compagnies d'assurance, sociétés de fiducie. Le BSIF est le superviseur fédéral chargé de vérifier la conformité.

Les principales obligations relatives au TPRM incluent :

• Registre des ententes d'impartition : tenue d'un registre complet de toutes les ententes avec des fournisseurs tiers.
• Diligence raisonnable précontractuelle : évaluation des risques avant toute conclusion d'accord.
• Exigences contractuelles minimales : droits d'audit, niveaux de service, notification des incidents, stratégies de sortie.
• Surveillance continue : les institutions ne peuvent pas déléguer leur responsabilité de surveillance.
• Gestion des risques de concentration : évaluation des alternatives en cas de dépendance excessive.

AMF Québec, LRPCFAT et Loi 25

Au-delà du BSIF, les entités canadiennes doivent composer avec :

• L'AMF Québec : supervision des institutions financières provinciales avec des attentes similaires en matière de gestion des tiers.
• La LRPCFAT : obligations de vigilance sur les clients et partenaires pour les entités déclarantes.
• La Loi 25 et la LPRPDE : garanties contractuelles avec tout sous-traitant traitant des renseignements personnels.
• La LCAPE : vérifications anticorruption sur les partenaires internationaux.

Utiliser CheckFile pour automatiser la collecte et la vérification documentaire auprès de vos fournisseurs réduit significativement le risque de non-conformité.

Les cinq étapes d'un programme TPRM efficace

1. Inventaire et classification des tiers

Un programme TPRM commence par un inventaire exhaustif de l'ensemble des tiers. Chaque tiers est classifié selon sa criticité :

• Critique : fonctions essentielles, accès aux données sensibles, dépendance opérationnelle forte.
• Important : impact modéré en cas de défaillance, accès limité aux données.
• Standard : fournisseurs périphériques, impact faible.

Cette classification conditionne l'intensité des diligences et la fréquence des révisions. Selon une étude Whistic 2025, les organisations gèrent en moyenne 286 fournisseurs, ce qui rend la priorisation indispensable.

2. Évaluation précontractuelle (diligence raisonnable)

L'évaluation précontractuelle est une obligation explicite du BSIF pour les fournisseurs de services de technologie critique. Elle couvre :

• La solidité financière du fournisseur.
• Sa posture de sécurité informatique (certifications ISO 27001, SOC 2).
• Sa conformité réglementaire (Loi 25, LPRPDE, LRPCFAT).
• Sa capacité à fournir les documents contractuels requis (SLA, plans de continuité, plans de sortie).

CheckFile permet d'automatiser la collecte et la vérification des documents fournis par les fournisseurs lors de cette étape — attestations, certifications, certificats REQ, rapports d'audit — avec une détection automatique des pièces manquantes ou expirées.

3. Contractualisation conforme

Les contrats avec les fournisseurs critiques doivent intégrer les clauses requises par le BSIF. Les clauses minimales incluent :

• Description précise des services et niveaux de performance.
• Droits d'audit et d'inspection.
• Modalités de notification des incidents.
• Conditions de résiliation et stratégie de sortie documentée.
• Localisation et régime juridique applicable aux données.

4. Surveillance continue

70 % des parties prenantes n'ont pas de visibilité sur les risques liés à leurs fournisseurs selon le rapport Gartner 2025, et les régulateurs — dont le BSIF — attendent une surveillance en temps réel, pas des évaluations annuelles statiques.

Les pratiques de surveillance continue comprennent :

• Révision périodique des questionnaires d'évaluation (fréquence adaptée à la criticité).
• Surveillance des indicateurs de risque cyber (scores de sécurité externe, alertes sur les CVE).
• Suivi des évolutions réglementaires et financières du fournisseur.
• Contrôle du respect des SLA et gestion des incidents.

5. Gestion des incidents et stratégie de sortie

Le BSIF exige des stratégies de sortie testées et documentées pour tous les fournisseurs critiques. En pratique, cela signifie :

• Identification d'alternatives crédibles.
• Plans de migration ou de réintégration testés.
• Délais de préavis contractuels adaptés à la complexité de la transition.
• Documentation des dépendances techniques.

Une solution de gestion documentaire automatisée comme CheckFile facilite la constitution du dossier d'audit nécessaire lors des contrôles du BSIF, en centralisant l'ensemble des preuves de conformité relatives aux tiers.

Construire un programme TPRM : checklist opérationnelle

• Politique TPRM écrite et validée par la direction.
• Inventaire complet et actualisé des tiers, avec classification par criticité.
• Questionnaires d'évaluation adaptés au niveau de risque.
• Registre des ententes d'impartition conforme au BSIF B-10.
• Clauses contractuelles conformes pour les fournisseurs critiques.
• Processus de surveillance continue documenté.
• Stratégies de sortie testées.
• Rapport annuel TPRM présenté à la haute direction.
• Cartographie des risques de concentration.
• Procédure de gestion des incidents impliquant des tiers.

Pour centraliser la collecte et la vérification des preuves documentaires dans le cadre de ce programme, découvrez CheckFile et ses fonctionnalités d'automatisation de la conformité fournisseurs.

Pour approfondir votre programme de conformité documentaire, consultez notre guide de conformité documentaire. La gestion des risques tiers doit également s'intégrer dans une gouvernance plus large des risques : consultez notre guide GRC complet pour approfondir ces thématiques complémentaires.

Questions fréquentes

Qu'est-ce que le TPRM et pourquoi est-il obligatoire au Canada ?

Le TPRM est l'ensemble des processus permettant d'identifier et de gérer les risques liés aux fournisseurs tiers. Il est rendu obligatoire pour les institutions financières fédérales par les lignes directrices B-10 et B-13 du BSIF. L'AMF Québec impose des attentes similaires aux institutions provinciales.

La ligne directrice B-10 du BSIF s'applique-t-elle à toutes les entreprises canadiennes ?

Non. B-10 s'applique spécifiquement aux institutions financières fédérales. Les entreprises non financières restent soumises à la Loi 25/LPRPDE pour la gestion des sous-traitants traitant des renseignements personnels.

Quels documents doit-on exiger de ses fournisseurs critiques ?

Les documents minimaux incluent : le contrat avec les clauses requises, les certificats de sécurité (ISO 27001, SOC 2), le plan de continuité, le plan de réponse aux incidents, le plan de sortie, et les rapports d'audit récents.

Quelle est la différence entre TPRM et gestion des fournisseurs ?

La gestion des fournisseurs se concentre sur la performance opérationnelle et les conditions commerciales. Le TPRM y ajoute une dimension risque structurée : évaluation de la sécurité, de la conformité réglementaire, de la solidité financière et de la résilience, avec une documentation à destination des superviseurs.

Quelles sanctions encourt-on en cas de non-conformité ?

Le BSIF dispose de pouvoirs de sanction incluant des mesures prudentielles, des injonctions de se conformer et des restrictions d'activité. Le CANAFE peut imposer des pénalités administratives pouvant atteindre 1 000 000 $ CAD par violation pour les personnes morales.

Les défis pratiques du TPRM au Canada

Obtenir la documentation des fournisseurs

Le premier défi est d'obtenir la documentation adéquate des fournisseurs : 48 % des équipes conformité citent cela comme leur principale difficulté selon une enquête de l'ISACA. Les fournisseurs, souvent plus petits que leurs clients, rechignent à partager des informations jugées sensibles — rapports d'audit, politiques de sécurité, plans de continuité. L'automatisation de la collecte documentaire via des plateformes comme CheckFile simplifie considérablement ce processus.

Le deuxième défi est le manque de ressources internes : 62 % des responsables de la gestion des risques estiment que leur programme TPRM est sous-doté en effectifs, avec un ratio moyen de 33,6 fournisseurs par professionnel du risque selon les données 2025. Dans ce contexte, l'automatisation documentaire devient un levier d'efficacité incontournable.

La gestion des fournisseurs infonuagiques

Au Canada, la concentration des services infonuagiques auprès d'un petit nombre de fournisseurs (AWS, Azure, Google Cloud) crée un risque systémique que le BSIF surveille de près. La ligne directrice B-13 exige des institutions financières qu'elles évaluent ce risque de concentration et disposent de stratégies d'atténuation.

Les exigences de localisation des données

La Loi 25 et la LPRPDE n'interdisent pas le transfert de données à l'étranger, mais imposent des garanties contractuelles et une évaluation des risques liés au pays de destination. Le BSIF attend des institutions financières qu'elles documentent la localisation de toutes les données gérées par des fournisseurs tiers et qu'elles évaluent les risques juridiques associés, notamment l'accès potentiel par des gouvernements étrangers.

Le coût d'un incident via un tiers

Le coût moyen d'une violation de données s'élevait à 4,88 millions de dollars US en 2024 selon IBM, et 35,5 % de ces violations trouvent leur origine dans la chaîne d'approvisionnement. Au Canada, le Commissariat à la protection de la vie privée peut imposer des sanctions en cas de manquement aux obligations de protection des données impliquant un sous-traitant.

Notre plateforme traite plus de 180 000 documents par mois avec une précision OCR de 98,7 % et une disponibilité de 99,97 %.

---

Aller plus loin

Pour approfondir ce sujet, consultez notre guide complet sur la vérification documentaire.