Sous-traitant qui sous-traite : le piège de la « cascade »

Vous avez validé un prestataire. Tout est signé. Le projet avance. Et puis, un jour, vous découvrez que vos données ne transitent pas uniquement par ce partenaire soigneusement sélectionné, elles passent aussi par un hébergeur, un outil de support, une solution d’analytics, une infogérance… autant d’acteurs que personne n’a vraiment regardés.

Bienvenue dans le monde de la sous-traitance en cascade.

Un risque qui surgit toujours au mauvais moment

Le problème, en réalité, n’est pas que votre prestataire sous-traite. C’est une pratique courante, souvent inévitable et parfaitement légitime. Le vrai danger, c’est de le découvrir trop tard : au moment d’un incident de sécurité, d’une demande d’exercice de droits RGPD, ou lors d’un audit.

À cet instant, la réponse classique que certains utilisent « Ce n’est pas chez nous, c’est chez notre sous-traitant » ne suffit plus.

Elle révèle une chaîne mal cadrée, et avec elle, une perte de temps, une perte de maîtrise, et l’absence de réponse propre à apporter.

Trois questions à se poser

Pour garder le contrôle sur la chaîne de sous-traitance, accepter la sous-traitance, mais pas celle-ci est une surprise.

Vous devez être capable de répondre à trois questions à n’importe quel moment :

1. Qui intervient dans la chaîne ?
   Quels acteurs ont accès, directement ou indirectement, à vos données ou à vos systèmes ?
2. Pourquoi ?
   Pour quelles fonctions spécifiques ces sous-traitants ont-ils été intégrés dans le dispositif ?
3. Quelles garanties s’appliquent sur toute la chaîne ?
   Les obligations contractuelles, les niveaux de sécurité et les engagements de conformité sont-ils bien répercutés à chaque maillon ?

Ce que vous devez exiger dans vos contrats

En pratique, ces exigences permettent de structurer votre relation avec vos prestataires :

• Une visibilité claire sur les sous-traitants : la liste doit être accessible, à jour et communiquée proactivement.
• Un encadrement des changements : tout ajout ou remplacement d’un sous-traitant doit faire l’objet d’une notification et, si nécessaire, d’une validation préalable.
• Une cohérence des obligations sur toute la chaîne : sécurité, gestion des incidents, assistance, conditions de fin de contrat : ces engagements ne doivent pas s’arrêter à la porte de votre prestataire direct.

Une méthode qui fait la différence entre

Avoir signé un contrat avec un prestataire est un point de départ, pas une garantie. La vraie maîtrise du risque suppose une cartographie vivante de la chaîne, des clauses adaptées et une vigilance maintenue dans le temps.

C’est la différence entre une conformité de façade et une conformité opérationnelle.

Articles similaires

Minute RGPD Vidéo

3 questions RGPD avant de valider un prestataire.

Vous êtes en réunion d'achat. La deadline est courte, tout le monde veut avancer. Et on vous demande : "On signe ?"

Lire la suite

Minute RGPD Vidéo

Fin de contrat : l’histoire que personne n’anticipe

Quand on change d'outil, la sortie était déjà le problème. Voici pourquoi la fin de contrat doit se penser avant même la signature.

Lire la suite