L'ambition Achats à l'échelle de l'entreprise étendue - ACA ...

34
Banque & assurance
Dans la banque et l’assurance, la majorité des risques opérationnels
mis en lumière ont trait à la gestion de l’information
au sens large : risque logiciel, conformité, gouvernance,
protection des données… Cette surreprésentation n’est pas
surprenante dans un secteur très observé, où l’information
et les systèmes d’information sont le nerf de la guerre et où,
crise après crise, les contraintes réglementaires augmentent.
risque logiciel - La concentration du marché des éditeurs se
traduit par une augmentation des problèmes de conformité,
de compatibilité et de maintenance des applications dans la
durée, entraînant des risques de surcoûts importants.
- La détection passe par la mise en place d’une cellule de
surveillance du marché et une vigilance interne accrue
afin de s’assurer que les déploiements effectifs sont
conformes aux déclarations faites aux éditeurs. La collaboration
étroite entre les Achats et la DSI est évidemment
indispensable dans ce domaine.
- Le multi-sourcing apparaît comme le moyen de prévention
le plus efficace. Mais l’idée d’avoir au moins deux fournisseurs
pour tout produit logiciel critique/stratégique peut
se révéler difficile à mettre en œuvre compte tenu, d’une
part, de l’extrême concentration de certains segments du
marché et, d’autre part, des exigences d’interopérabilité.
- En permettant d’optimiser les négociations avec les fournisseurs,
un échange régulier d’informations avec les acteurs
du marché constitue un moyen de protection relativement
facile à mettre en œuvre pour les Achats.
Protection des données - La législation sur la protection des
données varie considérablement d’un pays à l’autre, ce qui
accroît les risques de non-conformité, de fuite d’information
et d’utilisation frauduleuse des données à caractère sensible
ou personnel. Au niveau des Achats, l’hébergement des
données dans un autre pays et la nécessité de rendre les
données accessibles à des sous-traitants sont deux problématiques
porteuses de risques.
- Pour détecter ces risques, les Achats doivent pouvoir
identifier clairement les besoins de données des fournisseurs,
sous-traitants et prestataires et pouvoir tracer l’utilisation
qu’ils font des données. Une cartographie spécifiant
les flux et les niveaux de sensibilité des données