{"id":34086,"date":"2026-05-03T16:17:43","date_gmt":"2026-05-03T16:17:43","guid":{"rendered":"https:\/\/vanleeuwenlawfirm.eu\/fr\/?p=34086"},"modified":"2026-05-03T16:19:14","modified_gmt":"2026-05-03T16:19:14","slug":"dependance-a-la-chaine-dapprovisionnement-risque-lie-aux-tiers-et-resilience-des-entites-critiques","status":"publish","type":"post","link":"https:\/\/vanleeuwenlawfirm.eu\/fr\/expertises\/ifcrm\/resilience-des-entites-critiques\/dependance-a-la-chaine-dapprovisionnement-risque-lie-aux-tiers-et-resilience-des-entites-critiques\/","title":{"rendered":"D\u00e9pendance \u00e0 la cha\u00eene d\u2019approvisionnement, risque li\u00e9 aux tiers et r\u00e9silience des entit\u00e9s critiques"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dans le cadre normatif europ\u00e9en et n\u00e9erlandais contemporain, la r\u00e9silience des entit\u00e9s critiques ne peut plus \u00eatre appr\u00e9hend\u00e9e de mani\u00e8re convaincante au moyen d\u2019une analyse limit\u00e9e \u00e0 l\u2019organisation interne, \u00e0 la propre structure de gouvernance, \u00e0 la s\u00e9curit\u00e9 physique des sites propres ou \u00e0 la ma\u00eetrise formelle des processus directement mis en \u0153uvre par l\u2019entit\u00e9 elle-m\u00eame. Une telle approche suppose implicitement que l\u2019entit\u00e9 critique produit le service essentiel principalement dans un espace institutionnel d\u00e9limit\u00e9 dont les vuln\u00e9rabilit\u00e9s sont, pour l\u2019essentiel, identifiables en interne, traitables en interne et r\u00e9parables en interne. Or, ce postulat correspond de moins en moins \u00e0 la structure r\u00e9elle de la fourniture de services vitaux dans une \u00e9conomie o\u00f9 la continuit\u00e9 op\u00e9rationnelle repose dans une mesure consid\u00e9rable sur des \u00e9cosyst\u00e8mes num\u00e9riques, des march\u00e9s fournisseurs concentr\u00e9s, des mod\u00e8les transfrontaliers de maintenance et de soutien, des montages sp\u00e9cialis\u00e9s d\u2019externalisation, des prestataires de services financiers, des maillons logistiques, des fonctions de gestion fond\u00e9es sur les donn\u00e9es et des structures contractuelles qui rendent de plus en plus poreuses les fronti\u00e8res organisationnelles formelles de l\u2019entit\u00e9 critique. Le cadre europ\u00e9en issu de la Directive sur la r\u00e9silience des entit\u00e9s critiques et la loi n\u00e9erlandaise relative \u00e0 la r\u00e9silience des entit\u00e9s critiques imposent d\u00e8s lors une lecture beaucoup plus large de la notion de r\u00e9silience, dans laquelle ne se trouve pas seulement au centre l\u2019\u00e9tat de l\u2019organisation centrale, mais surtout la capacit\u00e9 du service essentiel \u00e0 se maintenir dans des circonstances o\u00f9 la perturbation se manifeste dans des relations externes, dans la cha\u00eene entourant l\u2019entit\u00e9, dans les structures de propri\u00e9t\u00e9 et de contr\u00f4le des fournisseurs et prestataires de services, ou encore dans des dispositifs de soutien qui paraissent secondaires sur le papier mais qui sont, en r\u00e9alit\u00e9, constitutifs de la fourniture de la fonction vitale. Dans cette perspective, la r\u00e9silience n\u2019est plus uniquement une qualit\u00e9 de l\u2019entit\u00e9 en tant que telle, mais une qualit\u00e9 d\u2019un r\u00e9seau de d\u00e9pendances dont l\u2019entit\u00e9 fait partie, dont elle tire b\u00e9n\u00e9fice et par lequel elle est \u00e9galement conditionn\u00e9e de mani\u00e8re substantielle. Le centre de gravit\u00e9 juridique et de gouvernance s\u2019en trouve lui aussi d\u00e9plac\u00e9 : la question n\u2019est plus seulement de savoir si l\u2019entit\u00e9 critique est bien organis\u00e9e en interne, mais si le service essentiel peut continuer \u00e0 fonctionner lorsque les lieux r\u00e9els de vuln\u00e9rabilit\u00e9 se situent en dehors de l\u2019organisation formelle.<\/p>

Ce d\u00e9placement emporte des cons\u00e9quences consid\u00e9rables sur la mani\u00e8re dont doivent \u00eatre appr\u00e9hend\u00e9s, au sein des entit\u00e9s critiques, la d\u00e9pendance \u00e0 la cha\u00eene d\u2019approvisionnement, le risque li\u00e9 aux tiers et la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re. Dans ce contexte, le risque li\u00e9 aux tiers n\u2019est ni un th\u00e8me isol\u00e9 de procurement, ni une question purement contractuelle, ni m\u00eame un probl\u00e8me de conformit\u00e9 circonscrit pouvant \u00eatre trait\u00e9 au moyen de questionnaires standardis\u00e9s ou d\u2019un contr\u00f4le g\u00e9n\u00e9rique des fournisseurs. Dans le contexte des entit\u00e9s critiques, cette notion acquiert une port\u00e9e syst\u00e9mique beaucoup plus lourde, d\u00e8s lors que des parties externes disposent fr\u00e9quemment d\u2019un acc\u00e8s \u00e0 des infrastructures critiques, \u00e0 des donn\u00e9es essentielles, \u00e0 des r\u00e9gimes de maintenance, \u00e0 des environnements logiciels, \u00e0 des flux logistiques, \u00e0 des circuits de paiement, \u00e0 des processus d\u2019identit\u00e9 et d\u2019acc\u00e8s ou \u00e0 des routines op\u00e9rationnelles qui d\u00e9terminent directement la continuit\u00e9, l\u2019int\u00e9grit\u00e9 et la gouvernabilit\u00e9 du service essentiel. Il en r\u00e9sulte que la perturbation op\u00e9rationnelle, la vuln\u00e9rabilit\u00e9 en mati\u00e8re de cybers\u00e9curit\u00e9, les atteintes \u00e0 l\u2019int\u00e9grit\u00e9, l\u2019opacit\u00e9 de propri\u00e9t\u00e9, la sensibilit\u00e9 aux sanctions, le risque de fraude, l\u2019exposition \u00e0 la corruption et la concentration des d\u00e9pendances s\u2019entrelacent dans la pratique de mani\u00e8re indissociable. Un fournisseur peut para\u00eetre techniquement comp\u00e9tent et commercialement fiable, alors que derri\u00e8re la partie contractante juridique se cache une structure de contr\u00f4le ou de financement exposant l\u2019entit\u00e9 critique \u00e0 la manipulation, \u00e0 une influence indue, \u00e0 un risque de sanctions ou \u00e0 la perte brutale de la s\u00e9curit\u00e9 d\u2019approvisionnement. Un partenaire de maintenance peut offrir, sur le plan op\u00e9rationnel, des performances ad\u00e9quates, alors m\u00eame que l\u2019exclusivit\u00e9 de fait de son expertise place l\u2019entit\u00e9 dans une situation de verrouillage structurel o\u00f9 la substituabilit\u00e9 demeure largement th\u00e9orique. Un prestataire de services num\u00e9riques peut n\u2019appara\u00eetre, sur le papier, que comme l\u2019un des nombreux intervenants de soutien, alors que l\u2019architecture des syst\u00e8mes, des donn\u00e9es et des interfaces fait de lui, en substance, un maillon central sans lequel le service essentiel ne peut \u00eatre fourni, ou ne peut l\u2019\u00eatre que sous une forme fortement d\u00e9grad\u00e9e. Dans ce contexte, la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re ne doit pas \u00eatre con\u00e7ue comme un programme de contr\u00f4le parall\u00e8le \u00e0 la politique de r\u00e9silience, mais comme un \u00e9l\u00e9ment constitutif de l\u2019architecture plus large de r\u00e9silience des entit\u00e9s critiques, car la criminalit\u00e9 financi\u00e8re, l\u2019opacit\u00e9 de propri\u00e9t\u00e9, le contournement des sanctions, la corruption au sein de la cha\u00eene et la manipulation frauduleuse des services de soutien peuvent porter directement atteinte \u00e0 la continuit\u00e9 et \u00e0 la fiabilit\u00e9 des fonctions vitales.<\/p>

<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Pourquoi la r\u00e9silience des entit\u00e9s critiques ne s\u2019arr\u00eate pas aux fronti\u00e8res de l\u2019organisation<\/h4>

L\u2019affirmation selon laquelle la r\u00e9silience des entit\u00e9s critiques ne s\u2019arr\u00eate pas aux fronti\u00e8res de l\u2019organisation ne rel\u00e8ve pas d\u2019une exag\u00e9ration rh\u00e9torique, mais d\u2019une correction n\u00e9cessaire d\u2019un mod\u00e8le organisationnel d\u00e9pass\u00e9 dans lequel l\u2019entit\u00e9 est pr\u00e9sent\u00e9e comme un ensemble plus ou moins autosuffisant n\u2019ayant recours aux parties externes qu\u2019\u00e0 titre purement instrumental. Dans le cadre de la Directive sur la r\u00e9silience des entit\u00e9s critiques et de la loi n\u00e9erlandaise relative \u00e0 la r\u00e9silience des entit\u00e9s critiques, il convient au contraire de partir du constat que le service essentiel est g\u00e9n\u00e9ralement produit par un ensemble de capacit\u00e9s internes et externes, les composantes externes n\u2019\u00e9tant ni incidentes ni marginales, mais intervenant en profondeur dans la mani\u00e8re dont les actifs sont entretenus, les donn\u00e9es trait\u00e9es, les syst\u00e8mes g\u00e9r\u00e9s, les d\u00e9cisions op\u00e9rationnelles appuy\u00e9es et le r\u00e9tablissement en situation de crise rendu concr\u00e8tement possible. Une entit\u00e9 critique peut \u00eatre propri\u00e9taire de son infrastructure physique et disposer d\u2019une gouvernance formelle ad\u00e9quate, tout en demeurant fortement d\u00e9pendante de fournisseurs de logiciels pour le pilotage des processus, de prestataires sp\u00e9cialis\u00e9s de maintenance pour la disponibilit\u00e9 op\u00e9rationnelle, de gestionnaires de r\u00e9seau externes pour la connectivit\u00e9, de fournisseurs de cloud ou de donn\u00e9es pour le traitement d\u2019informations essentielles, de prestataires logistiques pour l\u2019approvisionnement et d\u2019interm\u00e9diaires financiers ou administratifs pour l\u2019int\u00e9grit\u00e9 des processus de soutien. Dans un tel mod\u00e8le, la fronti\u00e8re propre de l\u2019organisation est certes juridiquement visible, mais elle est beaucoup moins pertinente sur le plan fonctionnel comme ligne de partage entre ce qui rel\u00e8ve de la r\u00e9silience et ce qui n\u2019en rel\u00e8ve pas. Le service essentiel ne s\u2019arr\u00eate pas l\u00e0 o\u00f9 s\u2019arr\u00eate l\u2019organigramme ; les conditions r\u00e9elles de la continuit\u00e9 s\u2019\u00e9tendent dans la cha\u00eene, dans les relations contractuelles, dans les interfaces techniques et dans les structures de propri\u00e9t\u00e9 situ\u00e9es hors de la hi\u00e9rarchie de gouvernance directe.<\/p>

Une telle compr\u00e9hension implique que les m\u00e9thodes classiques de contr\u00f4le interne peuvent comporter un angle mort structurel. Lorsque l\u2019\u00e9valuation des risques se concentre principalement sur les sites propres, les collaborateurs propres, les mesures de s\u00e9curit\u00e9 propres et les processus propres, il existe un risque r\u00e9el que demeurent insuffisamment visibles pr\u00e9cis\u00e9ment les d\u00e9pendances externes dot\u00e9es de la plus forte capacit\u00e9 de d\u00e9sorganisation. Dans le contexte des entit\u00e9s critiques, cette situation est particuli\u00e8rement probl\u00e9matique, car la fonction soci\u00e9tale de l\u2019entit\u00e9 n\u2019est pas appr\u00e9ci\u00e9e \u00e0 l\u2019aune de l\u2019\u00e9l\u00e9gance de la documentation interne de gouvernance, mais \u00e0 celle de la disponibilit\u00e9 r\u00e9elle d\u2019un service essentiel dans des conditions de tension. Une organisation peut \u00eatre formellement tr\u00e8s r\u00e9glement\u00e9e, disciplin\u00e9e en interne et bien structur\u00e9e sur le plan proc\u00e9dural, alors m\u00eame que la continuit\u00e9 de la fonction vitale repose, en r\u00e9alit\u00e9, sur un petit nombre de maillons externes sur lesquels la visibilit\u00e9 reste limit\u00e9e. Cela peut concerner un fournisseur d\u00e9tenant une connaissance syst\u00e8me exclusive, un producteur \u00e9tranger de pi\u00e8ces de rechange, un prestataire disposant d\u2019un acc\u00e8s \u00e0 distance \u00e0 des technologies op\u00e9rationnelles, un prestataire de paiement facilitant des processus de soutien ou encore un sous-traitant qui, dans les faits, est le seul acteur capable de rem\u00e9dier \u00e0 des dysfonctionnements dans les d\u00e9lais de r\u00e9ponse requis. L\u2019implication juridique en est consid\u00e9rable : la r\u00e9silience doit \u00eatre comprise comme une notion normative obligeant l\u2019entit\u00e9 non seulement \u00e0 ma\u00eetriser ses propres vuln\u00e9rabilit\u00e9s, mais \u00e9galement \u00e0 identifier, appr\u00e9cier et att\u00e9nuer de mani\u00e8re syst\u00e9matique les conditions externes dans lesquelles le service essentiel demeure assur\u00e9.<\/p>

Pour la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re, cette conception transfronti\u00e8re de la r\u00e9silience rev\u00eat une importance directe. Les risques de criminalit\u00e9 financi\u00e8re se manifestent en effet rarement uniquement au sein du noyau formel de l\u2019entit\u00e9 critique. Ils se d\u00e9veloppent fr\u00e9quemment \u00e0 la p\u00e9riph\u00e9rie de l\u2019organisation, dans les relations avec les fournisseurs, dans les cha\u00eenes de procurement, dans les structures de conseil et de maintenance, dans les mod\u00e8les d\u2019agents, dans les circuits de distribution, dans la sous-traitance, dans les montages de financement et dans des services de soutien apparemment routiniers au sein desquels peuvent \u00eatre int\u00e9gr\u00e9s des int\u00e9r\u00eats opaques, des paiements illicites, des contreparties frapp\u00e9es de sanctions, des flux de facturation frauduleux ou des m\u00e9canismes d\u2019influence manipulatrice. Lorsque la notion de r\u00e9silience demeure cantonn\u00e9e \u00e0 la sph\u00e8re interne, de tels ph\u00e9nom\u00e8nes sont, \u00e0 tort, trait\u00e9s comme des questions d\u2019int\u00e9grit\u00e9 distinctes, sans lien direct avec la s\u00e9curit\u00e9 d\u2019approvisionnement du service essentiel. Une telle lecture constituerait une erreur cat\u00e9gorielle. Un sch\u00e9ma de corruption dans des contrats de maintenance, une structure frauduleuse de fournisseur, un sous-traitant expos\u00e9 \u00e0 des sanctions ou une cha\u00eene logistique contamin\u00e9e par la criminalit\u00e9 financi\u00e8re peut conduire directement \u00e0 une interruption, \u00e0 un retard, \u00e0 une perte de ma\u00eetrise manag\u00e9riale, \u00e0 une intervention r\u00e9glementaire ou \u00e0 la cessation forc\u00e9e de services de soutien critiques. C\u2019est pour cette raison que la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re doit \u00eatre positionn\u00e9e, au sein des entit\u00e9s critiques, comme un \u00e9l\u00e9ment essentiel de l\u2019analyse plus large de la r\u00e9silience de la cha\u00eene d\u2019approvisionnement, et non comme un domaine de conformit\u00e9 autonome qui ne deviendrait pertinent qu\u2019une fois le dommage op\u00e9rationnel d\u00e9j\u00e0 survenu.<\/p>

Les tiers, fournisseurs et prestataires de services comme porteurs de vuln\u00e9rabilit\u00e9 syst\u00e9mique<\/h4>

Dans le contexte des entit\u00e9s critiques, les tiers, les fournisseurs et les prestataires de services fonctionnent de moins en moins comme des acteurs de march\u00e9 externes neutres fournissant des apports strictement d\u00e9limit\u00e9s, et de plus en plus comme des porteurs de vuln\u00e9rabilit\u00e9 syst\u00e9mique. Cela signifie que leur importance ne peut \u00eatre correctement comprise \u00e0 l\u2019aide de la question traditionnelle consistant \u00e0 savoir si un fournisseur donn\u00e9 ex\u00e9cute correctement le contrat, livre dans les d\u00e9lais ou propose des conditions commerciales avantageuses. La question d\u00e9terminante est plut\u00f4t celle de savoir si la partie concern\u00e9e est \u00e0 ce point imbriqu\u00e9e dans le service essentiel que sa d\u00e9faillance, son retard, sa manipulation, les atteintes \u00e0 son int\u00e9grit\u00e9 ou la perte soudaine de sa disponibilit\u00e9 produiraient des cons\u00e9quences disproportionn\u00e9es pour la fonction publique de l\u2019entit\u00e9 critique. La notion de vuln\u00e9rabilit\u00e9 syst\u00e9mique souligne ainsi que la qualit\u00e9 du tiers n\u2019est pas seule pertinente ; l\u2019est \u00e9galement la position qu\u2019il occupe dans le r\u00e9seau des d\u00e9pendances op\u00e9rationnelles. Un contrat de valeur relativement modeste peut avoir un impact syst\u00e9mique extraordinairement \u00e9lev\u00e9 lorsque le service concern\u00e9 est profond\u00e9ment int\u00e9gr\u00e9 \u00e0 l\u2019architecture op\u00e9rationnelle, lorsqu\u2019aucun substitut r\u00e9aliste n\u2019est disponible, lorsque le savoir r\u00e9side exclusivement chez la partie externe ou encore lorsque les points d\u2019acc\u00e8s ma\u00eetris\u00e9s par le tiers concernent des processus, des donn\u00e9es ou des actifs vitaux. \u00c0 la lumi\u00e8re de cette r\u00e9alit\u00e9, la qualification juridique et de gouvernance des tiers doit \u00e9voluer : il ne s\u2019agit plus de simples fournisseurs, mais de co-porteurs fonctionnels de la structure de r\u00e9silience.<\/p>

Cette approche rev\u00eat une importance particuli\u00e8re dans les secteurs o\u00f9 la sp\u00e9cialisation, la complexit\u00e9 technologique et la concentration du march\u00e9 ont conduit, dans la pratique, \u00e0 ce que les entit\u00e9s critiques d\u00e9pendent d\u2019un nombre limit\u00e9 de prestataires pour les logiciels, la maintenance, les donn\u00e9es de capteurs, la surveillance \u00e0 distance, les pi\u00e8ces de rechange, l\u2019assistance en mati\u00e8re de conformit\u00e9 ou l\u2019ex\u00e9cution logistique. Un prestataire ayant acc\u00e8s \u00e0 des technologies op\u00e9rationnelles peut simultan\u00e9ment constituer une source de risque cyber, d\u2019exposition \u00e0 la menace interne, de probl\u00e8mes d\u2019int\u00e9grit\u00e9 des donn\u00e9es et de paralysie op\u00e9rationnelle. Un fournisseur de composants critiques peut, en m\u00eame temps, repr\u00e9senter une d\u00e9pendance de production, un risque de concentration g\u00e9ographique et une exposition sensible aux sanctions. Une partie charg\u00e9e d\u2019une gestion externe peut, \u00e0 premi\u00e8re vue, n\u2019accomplir que des t\u00e2ches de soutien, alors que ces t\u00e2ches sont, en r\u00e9alit\u00e9, essentielles \u00e0 la r\u00e9ponse aux incidents, \u00e0 la capacit\u00e9 de r\u00e9tablissement ou \u00e0 la reprise s\u00fbre des processus apr\u00e8s une perturbation. Il en r\u00e9sulte que la vuln\u00e9rabilit\u00e9 syst\u00e9mique ne peut plus \u00eatre mesur\u00e9e au regard de la seule valeur nominale du contrat ou de la classification formelle du service fourni, mais doit l\u2019\u00eatre \u00e0 l\u2019aune de la capacit\u00e9 r\u00e9elle de d\u00e9sorganisation du tiers concern\u00e9. Cela exige un cadre analytique capable de r\u00e9sister \u00e0 la tentation institutionnelle consistant \u00e0 classer les fournisseurs selon les seules cat\u00e9gories d\u2019achat, et qui s\u2019attache au contraire \u00e0 la position op\u00e9rationnelle, num\u00e9rique, financi\u00e8re et de gouvernance du tiers au sein de la cha\u00eene de valeur du service essentiel.<\/p>

Dans le cadre de la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re, la notion de vuln\u00e9rabilit\u00e9 syst\u00e9mique poss\u00e8de en outre une dimension d\u2019int\u00e9grit\u00e9 incontestable. Un tiers profond\u00e9ment int\u00e9gr\u00e9 dans des processus critiques peut non seulement causer un pr\u00e9judice op\u00e9rationnel par sa d\u00e9faillance, mais \u00e9galement servir de vecteur \u00e0 la corruption, \u00e0 la fraude, aux conflits d\u2019int\u00e9r\u00eats, \u00e0 la concussion, au favoritisme indu, \u00e0 la falsification de donn\u00e9es de performance ou encore \u00e0 la dissimulation de b\u00e9n\u00e9ficiaires effectifs finaux pr\u00e9sentant des ant\u00e9c\u00e9dents probl\u00e9matiques. Dans de telles situations, le tiers ne constitue pas seulement un risque op\u00e9rationnel, mais \u00e9galement un m\u00e9canisme de transmission par lequel la criminalit\u00e9 financi\u00e8re et les atteintes \u00e0 l\u2019int\u00e9grit\u00e9 peuvent affecter la continuit\u00e9 du service essentiel. Un fournisseur s\u00e9lectionn\u00e9 sous influence corruptrice plut\u00f4t que sur la base du m\u00e9rite, un partenaire de maintenance produisant de faux rapports, un consultant agissant en r\u00e9alit\u00e9 comme interm\u00e9diaire de paiements illicites ou un partenaire logistique impliqu\u00e9 dans un contournement des sanctions peut exposer l\u2019entit\u00e9 critique \u00e0 une forme de vuln\u00e9rabilit\u00e9 syst\u00e9mique qui ne saurait \u00eatre r\u00e9duite \u00e0 un simple dommage r\u00e9putationnel ou \u00e0 une responsabilit\u00e9 juridique. Une telle situation peut affecter la gouvernabilit\u00e9 du service, intensifier la pression r\u00e9glementaire, provoquer l\u2019effondrement des relations contractuelles et compromettre la capacit\u00e9 de r\u00e9tablissement op\u00e9rationnel au moment pr\u00e9cis o\u00f9 la rapidit\u00e9 et la fiabilit\u00e9 sont le plus indispensables. C\u2019est pourquoi l\u2019analyse des tiers en tant que porteurs de vuln\u00e9rabilit\u00e9 syst\u00e9mique doit toujours \u00eatre men\u00e9e, au moins en partie, \u00e0 travers le prisme de la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re, en appr\u00e9ciant non seulement la performance et la s\u00e9curit\u00e9, mais aussi l\u2019int\u00e9grit\u00e9, la transparence de la propri\u00e9t\u00e9, les flux financiers et le risque d\u2019influence.<\/p>

Externalisation, num\u00e9risation et essor des d\u00e9pendances indirectes<\/h4>

L\u2019externalisation et la num\u00e9risation ont profond\u00e9ment redessin\u00e9 le paysage des services critiques en provoquant une forte augmentation des d\u00e9pendances indirectes. L\u00e0 o\u00f9 les d\u00e9pendances \u00e9taient autrefois souvent visibles dans des relations contractuelles directes avec des fournisseurs identifiables, l\u2019organisation contemporaine des services essentiels a donn\u00e9 naissance \u00e0 des cha\u00eenes stratifi\u00e9es dans lesquelles l\u2019entit\u00e9 critique d\u00e9pend, en r\u00e9alit\u00e9, de multiples niveaux de sous-traitance, de d\u00e9pendance \u00e0 des plateformes, de couches logicielles, de maillons de donn\u00e9es, d\u2019environnements d\u2019h\u00e9bergement, de partenaires d\u2019int\u00e9gration et de fonctions de soutien qui ne sont pas toujours pleinement visibles dans l\u2019image contractuelle primaire. Une entit\u00e9 critique peut ainsi conclure un contrat avec un fournisseur principal pour une solution num\u00e9rique, alors m\u00eame que cette solution repose elle-m\u00eame sur une infrastructure cloud sous-jacente, sur des services externes d\u2019identit\u00e9, sur des centres de support situ\u00e9s dans d\u2019autres juridictions, sur des acc\u00e8s sp\u00e9cialis\u00e9s en cybers\u00e9curit\u00e9, sur des \u00e9quipes de d\u00e9veloppement externalis\u00e9es et sur des d\u00e9pendances vis-\u00e0-vis de parties de troisi\u00e8me ou quatri\u00e8me ligne sur lesquelles l\u2019entit\u00e9 elle-m\u00eame ne peut exercer qu\u2019une influence directe tr\u00e8s limit\u00e9e. Le profil de risque se d\u00e9place ainsi de cha\u00eenes directement contr\u00f4lables vers des structures de d\u00e9pendance complexes et imbriqu\u00e9es dans lesquelles la source de la perturbation, de la manipulation ou de la contamination de l\u2019int\u00e9grit\u00e9 se situe souvent \u00e0 un ou plusieurs maillons du cocontractant formel. En termes juridiques et de gouvernance, il s\u2019agit d\u2019une complication substantielle, car l\u2019entit\u00e9 critique demeure responsable, soumise \u00e0 la surveillance et tenue par des obligations de r\u00e9silience, alors qu\u2019une part importante des conditions r\u00e9elles de fourniture du service peut se situer hors de sa visibilit\u00e9 et de sa ma\u00eetrise directes.<\/p>

La num\u00e9risation intensifie cette \u00e9volution dans la mesure o\u00f9 la continuit\u00e9 op\u00e9rationnelle d\u00e9pend de plus en plus de services immat\u00e9riels et persistants qui ne peuvent \u00eatre ni localis\u00e9s, ni inspect\u00e9s, ni remplac\u00e9s ais\u00e9ment. Un actif physique est visible ; une d\u00e9pendance num\u00e9rique peut, au contraire, \u00eatre enfouie au plus profond de l\u2019architecture et ne devenir perceptible qu\u2019au moment o\u00f9 une panne ou une compromission est d\u00e9j\u00e0 survenue. Une entit\u00e9 critique peut, par exemple, penser qu\u2019elle recourt \u00e0 plusieurs fournisseurs et qu\u2019elle a ainsi r\u00e9alis\u00e9 une diversification, alors qu\u2019en r\u00e9alit\u00e9 diff\u00e9rentes applications, interfaces et cha\u00eenes de travail reposent, sous la surface, sur le m\u00eame fournisseur de cloud, la m\u00eame biblioth\u00e8que logicielle, la m\u00eame couche de donn\u00e9es ou le m\u00eame int\u00e9grateur sp\u00e9cialis\u00e9. L\u2019illusion de diversification peut, dans de telles circonstances, masquer une concentration effective. Il en va de m\u00eame pour l\u2019externalisation de fonctions de soutien qui semblent, sur le papier, non critiques, alors qu\u2019elles donnent dans la pratique acc\u00e8s \u00e0 des syst\u00e8mes critiques, \u00e0 des processus op\u00e9rationnels ou \u00e0 des informations sensibles de d\u00e9cision. Les fonctions d\u2019assistance, les services de surveillance, les mises \u00e0 jour logicielles, la gestion des identit\u00e9s et des acc\u00e8s, la r\u00e9ponse externe aux incidents et la maintenance \u00e0 distance peuvent chacun \u00eatre pr\u00e9sent\u00e9s s\u00e9par\u00e9ment comme un simple soutien technique, alors qu\u2019ensemble ils cr\u00e9ent une sph\u00e8re d\u2019influence externe consid\u00e9rable au sein du noyau du service vital. Les d\u00e9pendances indirectes n\u2019apparaissent donc pas comme un ph\u00e9nom\u00e8ne marginal, mais comme une cons\u00e9quence structurelle de la mani\u00e8re dont la num\u00e9risation et l\u2019externalisation r\u00e9organisent la production des services essentiels.<\/p>

Pour la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re, l\u2019essor des d\u00e9pendances indirectes rev\u00eat une importance particuli\u00e8re, car les risques de criminalit\u00e9 financi\u00e8re dans des cha\u00eenes num\u00e9ris\u00e9es et externalis\u00e9es \u00e0 plusieurs niveaux sont souvent plus diffus, moins visibles et plus difficiles \u00e0 retracer. Des structures complexes de sous-traitance peuvent \u00eatre utilis\u00e9es pour dissimuler les b\u00e9n\u00e9ficiaires effectifs finaux, masquer des juridictions \u00e0 haut risque, r\u00e9partir des flux financiers irr\u00e9guliers ou cacher une implication sensible au regard des sanctions derri\u00e8re des mod\u00e8les de prestation de services en apparence neutres. En outre, dans des environnements fortement externalis\u00e9s et num\u00e9ris\u00e9s, il devient plus probable que des d\u00e9cisions de procurement, des demandes de modification, des contrats de support et des exceptions techniques soient utilis\u00e9s comme vecteurs de favoritisme indu, de prestations fictives, de facturation fragment\u00e9e, de manipulation de l\u2019int\u00e9gration des fournisseurs ou de construction s\u00e9lective de d\u00e9pendances au profit d\u2019un cercle restreint d\u2019acteurs. La question de l\u2019int\u00e9grit\u00e9 se d\u00e9place ainsi du seul cocontractant vers l\u2019ensemble de la pile de services \u00e0 travers laquelle le service essentiel devient possible. Un cadre efficace de Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re au sein des entit\u00e9s critiques doit d\u00e8s lors \u00e9valuer non seulement le fournisseur direct, mais aussi la cha\u00eene op\u00e9rationnelle et financi\u00e8re sous-jacente, y compris les sous-traitants, les structures de propri\u00e9t\u00e9, les circuits de paiement, l\u2019exposition g\u00e9ographique et l\u2019ampleur de la d\u00e9pendance effective de l\u2019entit\u00e9 \u00e0 l\u2019\u00e9gard de maillons indirects d\u00e9pourvus d\u2019instruments propres de gouvernance directe. \u00c0 d\u00e9faut d\u2019une telle approche \u00e9largie, il existe un risque s\u00e9rieux que la vuln\u00e9rabilit\u00e9 mat\u00e9rielle et l\u2019exposition \u00e0 la criminalit\u00e9 financi\u00e8re soient sous-estim\u00e9es pr\u00e9cis\u00e9ment l\u00e0 o\u00f9 la num\u00e9risation et l\u2019externalisation ont rendu l\u2019organisation la plus d\u00e9pendante de tiers invisibles.<\/p>

Criminalit\u00e9 financi\u00e8re dans les cha\u00eenes de fournisseurs et les services de soutien<\/h4>

Dans le contexte des entit\u00e9s critiques, la criminalit\u00e9 financi\u00e8re au sein des cha\u00eenes de fournisseurs et des services de soutien doit \u00eatre comprise comme une source d\u2019atteinte directe \u00e0 la r\u00e9silience, et non comme un simple risque d\u00e9riv\u00e9 de r\u00e9putation ou de conformit\u00e9. Cette qualification est d\u2019une importance consid\u00e9rable, car les approches traditionnelles de la criminalit\u00e9 financi\u00e8re dans les organisations se sont souvent concentr\u00e9es sur la protection des actifs propres, l\u2019int\u00e9grit\u00e9 des transactions internes et le respect, au sens \u00e9troit, des r\u00e8gles relatives \u00e0 la lutte contre le blanchiment, \u00e0 la lutte contre la corruption et aux sanctions. Pour les entit\u00e9s critiques, ce cadre est n\u00e9cessaire, mais insuffisant. Lorsque la criminalit\u00e9 financi\u00e8re s\u2019ins\u00e8re dans les cha\u00eenes de fournisseurs, les structures de maintenance, les services g\u00e9n\u00e9raux, le support informatique, l\u2019ex\u00e9cution logistique ou la sous-traitance sp\u00e9cialis\u00e9e, elle affecte non seulement l\u2019int\u00e9grit\u00e9 de la relation commerciale, mais peut \u00e9galement endommager le service essentiel au c\u0153ur m\u00eame de son fonctionnement op\u00e9rationnel. La corruption peut conduire \u00e0 la s\u00e9lection ou au maintien de fournisseurs inadapt\u00e9s, ou de fournisseurs renfor\u00e7ant la d\u00e9pendance. La fraude peut entra\u00eener l\u2019absence effective de maintenance, la livraison de composants de qualit\u00e9 inf\u00e9rieure ou l\u2019existence de capacit\u00e9s sur le papier qui, dans les faits, font d\u00e9faut. Le contournement des sanctions ou des structures de propri\u00e9t\u00e9 dissimul\u00e9es peut conduire brutalement \u00e0 des blocages juridiques, au gel des services ou \u00e0 la r\u00e9siliation forc\u00e9e de relations contractuelles. Le blanchiment ou les flux financiers frauduleux dans les services de soutien peuvent d\u00e9clencher des interventions p\u00e9nales ou administratives mettant sous pression la ma\u00eetrise manag\u00e9riale des processus critiques. Dans chacun de ces cas, la criminalit\u00e9 financi\u00e8re n\u2019est pas un ph\u00e9nom\u00e8ne p\u00e9riph\u00e9rique, mais un m\u00e9canisme de perturbation susceptible d\u2019alt\u00e9rer la continuit\u00e9 de la fonction vitale.<\/p>

Les cha\u00eenes de fournisseurs sont particuli\u00e8rement sensibles \u00e0 ces risques, car elles se caract\u00e9risent souvent par une combinaison de pression concurrentielle, de transparence limit\u00e9e, d\u2019asym\u00e9trie technique et de responsabilit\u00e9 fragment\u00e9e. Dans de telles conditions, les irr\u00e9gularit\u00e9s peuvent se dissimuler relativement ais\u00e9ment derri\u00e8re des contrats apparemment routiniers, des avenants, des livraisons urgentes, des consultants, des agents locaux, des sous-traitants ou des d\u00e9rogations justifi\u00e9es par la n\u00e9cessit\u00e9 op\u00e9rationnelle. Dans l\u2019univers des entit\u00e9s critiques, cette dynamique est particuli\u00e8rement dangereuse, car la rapidit\u00e9, la disponibilit\u00e9 sp\u00e9cialis\u00e9e et les exigences de continuit\u00e9 peuvent pousser l\u2019organisation \u00e0 accepter des exceptions qui se r\u00e9v\u00e8lent ensuite avoir constitu\u00e9 la porte d\u2019entr\u00e9e de violations de l\u2019int\u00e9grit\u00e9 ou de structures de d\u00e9pendance frauduleuses. Un prestataire de maintenance b\u00e9n\u00e9ficiant d\u2019une position exclusive de longue date, un fournisseur informatique pr\u00e9sentant des co\u00fbts de sortie tr\u00e8s \u00e9lev\u00e9s, un partenaire logistique disposant d\u2019un acc\u00e8s r\u00e9gional dominant ou un fournisseur de donn\u00e9es ou de logiciels b\u00e9n\u00e9ficiant d\u2019int\u00e9grations profond\u00e9ment ancr\u00e9es peut cr\u00e9er une situation dans laquelle l\u2019entit\u00e9 critique ne dispose, en pratique, que de tr\u00e8s peu d\u2019alternatives et d\u00e9veloppe d\u00e8s lors une tol\u00e9rance accrue \u00e0 l\u2019\u00e9gard des insuffisances, des structures opaques ou des d\u00e9viations contractuelles. C\u2019est pr\u00e9cis\u00e9ment l\u2019environnement dans lequel la criminalit\u00e9 financi\u00e8re prosp\u00e8re souvent : non pas par confrontation ouverte, mais par la normalisation progressive de positions exceptionnelles, par l\u2019insuffisance du questionnement critique, par le manque de transparence et par l\u2019id\u00e9e que la n\u00e9cessit\u00e9 op\u00e9rationnelle devrait l\u2019emporter sur la discipline d\u2019int\u00e9grit\u00e9.<\/p>

La Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re doit int\u00e9grer explicitement cette r\u00e9alit\u00e9 en traitant la criminalit\u00e9 financi\u00e8re au sein de la cha\u00eene comme un risque de perte de gouvernabilit\u00e9 op\u00e9rationnelle. Cela requiert une approche dans laquelle la due diligence fournisseurs, l\u2019analyse des b\u00e9n\u00e9ficiaires effectifs, le filtrage au regard des sanctions, les contr\u00f4les de paiement, la d\u00e9tection de la fraude, la gouvernance du procurement et la surveillance contractuelle n\u2019op\u00e8rent pas isol\u00e9ment, mais sont reli\u00e9s \u00e0 la question de savoir quels tiers sont essentiels \u00e0 la fonction vitale et quelles atteintes \u00e0 l\u2019int\u00e9grit\u00e9 seraient susceptibles d\u2019avoir un impact disproportionn\u00e9 sur la fourniture de cette fonction. Une entit\u00e9 critique ne peut donc s\u2019en tenir au constat qu\u2019un fournisseur existe juridiquement, para\u00eet financi\u00e8rement plausible et est contractuellement disponible. Il faut un examen plus approfondi de la question de savoir qui exerce r\u00e9ellement le contr\u00f4le, quelles incitations et quelles d\u00e9pendances structurent la relation, quelles exceptions se sont d\u00e9velopp\u00e9es dans la pratique, quels signaux de fraude \u00e0 la facturation, de conflits d\u2019int\u00e9r\u00eats, de corruption ou de risque de sanctions sont visibles, et avec quelle rapidit\u00e9 le service essentiel serait affect\u00e9 si la relation devait \u00eatre interrompue brutalement en raison de pr\u00e9occupations d\u2019int\u00e9grit\u00e9. Ce lien entre l\u2019analyse de la criminalit\u00e9 financi\u00e8re et la continuit\u00e9 op\u00e9rationnelle constitue le c\u0153ur d\u2019une Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re robuste au sein des entit\u00e9s critiques. En l\u2019absence de ce lien, le contr\u00f4le de l\u2019int\u00e9grit\u00e9 demeure trop abstrait, alors que la v\u00e9ritable vuln\u00e9rabilit\u00e9 r\u00e9side dans la possibilit\u00e9 que des relations de soutien entach\u00e9es de criminalit\u00e9 financi\u00e8re viennent conditionner pr\u00e9cis\u00e9ment les fonctions vitales que la Directive sur la r\u00e9silience des entit\u00e9s critiques et la loi n\u00e9erlandaise relative \u00e0 la r\u00e9silience des entit\u00e9s critiques entendent prot\u00e9ger.<\/p>

Risques d\u2019int\u00e9grit\u00e9 dans le procurement, la maintenance, l\u2019informatique et le soutien logistique<\/h4>

Les risques d\u2019int\u00e9grit\u00e9 dans le procurement, la maintenance, l\u2019informatique et le soutien logistique m\u00e9ritent, dans le contexte des entit\u00e9s critiques, une attention distincte et particuli\u00e8rement soutenue, car, dans ces domaines, la fronti\u00e8re formelle entre soutien et fonction centrale est souvent trompeuse. Le procurement ne d\u00e9termine pas seulement quelle partie obtient un contrat, mais structure, dans de nombreux cas, l\u2019architecture des d\u00e9pendances du service essentiel pour des ann\u00e9es. La maintenance ne d\u00e9termine pas seulement si les actifs demeurent techniquement exploitables, mais aussi si les dysfonctionnements peuvent \u00eatre corrig\u00e9s en temps utile et si une capacit\u00e9 r\u00e9elle de r\u00e9tablissement est effectivement disponible. Le support informatique n\u2019affecte pas uniquement la performance des syst\u00e8mes, mais aussi les acc\u00e8s, l\u2019int\u00e9grit\u00e9 des donn\u00e9es, la visibilit\u00e9 sur les processus op\u00e9rationnels et la r\u00e9ponse aux incidents. Le soutien logistique ne se limite pas au transport ou \u00e0 la gestion des stocks, mais peut constituer la v\u00e9ritable ligne de vie pour les pi\u00e8ces de rechange, les carburants, les composants critiques ou l\u2019acc\u00e8s physique \u00e0 l\u2019infrastructure. Dans tous ces domaines, la d\u00e9gradation de l\u2019int\u00e9grit\u00e9 peut causer un double pr\u00e9judice : la qualit\u00e9 et la fiabilit\u00e9 du service concern\u00e9 diminuent, tandis que l\u2019entit\u00e9 critique construit simultan\u00e9ment une structure de d\u00e9pendance difficile \u00e0 d\u00e9manteler. D\u00e8s lors, un incident d\u2019int\u00e9grit\u00e9 n\u2019est pas seulement une violation normative, mais potentiellement le commencement d\u2019une perte structurelle de contr\u00f4le sur une partie de la fonction vitale.<\/p>

Dans le procurement, ces risques peuvent se manifester sous la forme de proc\u00e9dures de s\u00e9lection biais\u00e9es, de collusion entre fournisseurs, de manipulation des sp\u00e9cifications, d\u2019exceptions opaques, de dispositifs artificiels d\u2019urgence, de conflits d\u2019int\u00e9r\u00eats, de concurrence fictive ou d\u2019orientation vers une partie d\u00e9j\u00e0 choisie sous couvert de n\u00e9cessit\u00e9 technique. Dans la maintenance peuvent appara\u00eetre des travaux fictifs, des inspections structurellement diff\u00e9r\u00e9es, des certifications d\u00e9fectueuses, des donn\u00e9es de performance falsifi\u00e9es ou une d\u00e9pendance indue \u00e0 l\u2019\u00e9gard d\u2019un seul prestataire de maintenance. Dans l\u2019informatique, des acc\u00e8s privil\u00e9gi\u00e9s insuffisamment contr\u00f4l\u00e9s, une sous-traitance opaque, des composants logiciels peu transparents, des structures cach\u00e9es de support \u00e0 distance ou des cha\u00eenes de propri\u00e9t\u00e9 et de d\u00e9veloppement insuffisamment claires peuvent conduire \u00e0 une situation dans laquelle l\u2019entit\u00e9 critique est formellement cliente, mais ne d\u00e9tient en substance qu\u2019une ma\u00eetrise limit\u00e9e sur les syst\u00e8mes qui soutiennent son service essentiel. Dans le soutien logistique, des maillons frauduleux, des d\u00e9tournements, des interm\u00e9diaires non contr\u00f4l\u00e9s, des courtiers peu fiables, des itin\u00e9raires sensibles aux sanctions ou des informations manipul\u00e9es sur les stocks et la disponibilit\u00e9 peuvent porter atteinte \u00e0 la fiabilit\u00e9 et \u00e0 l\u2019int\u00e9grit\u00e9 de la cha\u00eene. Ce qui relie tous ces exemples est que le risque d\u2019int\u00e9grit\u00e9 ne peut ici \u00eatre dissoci\u00e9 de la gouvernance de r\u00e9silience. Il touche directement \u00e0 la question de savoir si l\u2019entit\u00e9 peut continuer \u00e0 assurer sa fonction vitale sous pression sans \u00eatre, en pratique, prise en otage par des relations de soutien compromises ou ingouvernables.<\/p>

Pour cette raison, la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re doit, dans ces domaines, aller bien au-del\u00e0 d\u2019une lutte r\u00e9active contre la fraude ou d\u2019une due diligence standardis\u00e9e \u00e0 l\u2019\u00e9gard des tiers. Il faut un cadre int\u00e9gr\u00e9 dans lequel les d\u00e9cisions de procurement sont examin\u00e9es sous l\u2019angle de la cr\u00e9ation de d\u00e9pendances, les relations de maintenance sous celui de la substituabilit\u00e9 r\u00e9elle et de la v\u00e9rifiabilit\u00e9 des performances, les services informatiques sous celui de la transparence technique et de gouvernance, et le soutien logistique sous celui de l\u2019int\u00e9grit\u00e9 des routes, du risque li\u00e9 aux interm\u00e9diaires et de l\u2019exposition aux sanctions ou \u00e0 la fraude. Ce cadre doit \u00e9galement comporter une visibilit\u00e9 fine sur les m\u00e9canismes d\u2019exception, car ce n\u2019est souvent pas la r\u00e8gle formelle, mais la d\u00e9viation apparemment temporaire qui devient le lieu o\u00f9 se rencontrent le favoritisme indu et la vuln\u00e9rabilit\u00e9 structurelle. Une prolongation de contrat justifi\u00e9e par l\u2019urgence, un contournement provisoire des exigences d\u2019int\u00e9gration, une solution d\u2019urgence impliquant un acc\u00e8s \u00e0 distance, un interm\u00e9diaire logistique ad hoc ou un dispositif d\u2019avenant en dehors du circuit d\u00e9cisionnel ordinaire peut devenir une source durable de risque d\u2019int\u00e9grit\u00e9 et de continuit\u00e9. Au sein des entit\u00e9s critiques, le procurement, la maintenance, l\u2019informatique et la logistique doivent d\u00e8s lors \u00eatre compris non pas simplement comme des fonctions de soutien devant fonctionner efficacement, mais comme des domaines strat\u00e9giques de r\u00e9silience dans lesquels la qualit\u00e9 de la gestion de l\u2019int\u00e9grit\u00e9 contribue \u00e0 d\u00e9terminer si le service essentiel demeure gouvernable, fiable et plac\u00e9 sous un contr\u00f4le public et organisationnel effectif. C\u2019est pr\u00e9cis\u00e9ment \u00e0 cet endroit qu\u2019un syst\u00e8me fortement structur\u00e9 et profond\u00e9ment ancr\u00e9 de Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re devient indispensable.<\/p>

Risque de concentration, points uniques de d\u00e9faillance et perturbation imbriqu\u00e9e dans la cha\u00eene<\/h4>

Le risque de concentration constitue, dans le domaine des entit\u00e9s critiques, l\u2019une des manifestations les plus sous-estim\u00e9es et, en m\u00eame temps, l\u2019une des plus d\u00e9stabilisatrices de la d\u00e9pendance \u00e0 la cha\u00eene d\u2019approvisionnement. Il ne concerne pas seulement la situation dans laquelle une entit\u00e9 critique repose formellement sur un seul fournisseur, une seule technologie, un seul partenaire de maintenance ou un seul corridor logistique, mais aussi la configuration plus subtile et, dans la pratique, souvent bien plus dangereuse, dans laquelle des relations qui paraissent r\u00e9parties convergent en r\u00e9alit\u00e9 vers une m\u00eame infrastructure sous-jacente, une m\u00eame structure financi\u00e8re ou de propri\u00e9t\u00e9, une m\u00eame base d\u2019expertise technique, ou un m\u00eame espace g\u00e9ographique et juridique de d\u00e9pendance. Le risque de concentration acquiert ainsi une port\u00e9e bien plus large que ne le laisse supposer la conception classique issue du droit des achats ou de la gestion op\u00e9rationnelle. Ce qui importe n\u2019est pas seulement de savoir si plusieurs contreparties contractuelles existent num\u00e9riquement, mais si ces parties fonctionnent de mani\u00e8re mat\u00e9riellement ind\u00e9pendante, si elles repr\u00e9sentent r\u00e9ellement des capacit\u00e9s substituables, si elles reposent sur des fondements op\u00e9rationnels distincts et si leur d\u00e9faillance ou leur compromission simultan\u00e9es peuvent raisonnablement \u00eatre exclues. Dans le cadre de la r\u00e9silience des entit\u00e9s critiques, le risque de concentration n\u2019est donc pas un probl\u00e8me abstrait de structure de march\u00e9, mais une menace directe pour la continuit\u00e9 d\u2019un service essentiel. Lorsqu\u2019un trop grand nombre de fonctions critiques se concentrent dans un nombre limit\u00e9 de maillons, il se forme un syst\u00e8me dans lequel la perturbation ne demeure plus locale ni proportionn\u00e9e, mais se traduit rapidement par un d\u00e9sordre imbriqu\u00e9 dans la cha\u00eene, avec des effets potentiellement transsectoriels.<\/p>

Les points uniques de d\u00e9faillance ne doivent, dans ce contexte, pas \u00eatre compris dans un sens technique \u00e9troit. Cette notion ne vise pas exclusivement un seul serveur, un seul centre de donn\u00e9es, un seul composant de r\u00e9seau ou une seule installation physique, mais \u00e9galement des d\u00e9pendances juridiques, contractuelles, humaines, g\u00e9ographiques et fond\u00e9es sur l\u2019expertise, qui peuvent en pratique remplir la m\u00eame fonction d\u00e9stabilisatrice. Une entit\u00e9 critique peut, par exemple, disposer formellement de plusieurs prestataires de services, tout en demeurant n\u00e9anmoins, en substance, d\u00e9pendante d\u2019un seul groupe de techniciens sp\u00e9cialis\u00e9s qui seuls ont acc\u00e8s \u00e0 un syst\u00e8me complexe, d\u2019un seul fournisseur de logiciels qui seul peut ex\u00e9cuter des mises \u00e0 jour et des op\u00e9rations de r\u00e9tablissement, d\u2019un seul producteur \u00e9tranger de pi\u00e8ces de rechange, ou d\u2019un seul n\u0153ud logistique par lequel transitent des flux de marchandises cruciaux. Dans tous ces cas, un point unique de d\u00e9faillance appara\u00eet non parce que l\u2019organisation aurait \u00e9t\u00e9 n\u00e9gligente au sens \u00e9l\u00e9mentaire du terme, mais parce que la combinaison de la sp\u00e9cialisation technologique, de la concentration du march\u00e9, du verrouillage contractuel, de la pression temporelle et de l\u2019accumulation historique de d\u00e9pendances a conduit \u00e0 une situation dans laquelle la substituabilit\u00e9 op\u00e9rationnelle semble th\u00e9oriquement pr\u00e9sente tout en \u00e9tant, dans la pratique, presque absente. Pour les entit\u00e9s critiques, il s\u2019agit l\u00e0 d\u2019un point de d\u00e9part particuli\u00e8rement pr\u00e9caire, car la fonction soci\u00e9tale du service essentiel ne peut attendre de longs processus de substitution, des ren\u00e9gociations internationales ou des migrations techniques complexes. L\u2019existence de points uniques de d\u00e9faillance cach\u00e9s soul\u00e8ve donc la question de savoir si l\u2019entit\u00e9 dirige encore v\u00e9ritablement les conditions de sa propre continuit\u00e9, ou si cette direction s\u2019est d\u00e9j\u00e0 d\u00e9plac\u00e9e, en termes mat\u00e9riels, vers des maillons externes insuffisamment visibles, insuffisamment influen\u00e7ables ou insuffisamment susceptibles d\u2019\u00eatre remplac\u00e9s rapidement.<\/p>

Dans le cadre de la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re, le risque de concentration acquiert une signification suppl\u00e9mentaire et particuli\u00e8rement aigu\u00eb, parce que les risques de criminalit\u00e9 financi\u00e8re peuvent non seulement accompagner les effets de la concentration, mais aussi les approfondir et les acc\u00e9l\u00e9rer. Une relation concentr\u00e9e avec un fournisseur qui s\u2019accompagne d\u2019opacit\u00e9 de propri\u00e9t\u00e9, de flux financiers inhabituels, de favoritisme envers un fournisseur privil\u00e9gi\u00e9, d\u2019incitations \u00e0 la corruption, de concurrence fictive ou de structures sensibles au regard des sanctions ne cr\u00e9e pas seulement un probl\u00e8me de conformit\u00e9 ; elle engendre une situation dans laquelle l\u2019entit\u00e9 critique se trouve arrim\u00e9e \u00e0 un seul maillon risqu\u00e9, pr\u00e9cis\u00e9ment au point o\u00f9 la d\u00e9pendance op\u00e9rationnelle est d\u00e9j\u00e0 la plus forte. Dans de telles circonstances, la criminalit\u00e9 financi\u00e8re devient un amplificateur de vuln\u00e9rabilit\u00e9 syst\u00e9mique. Elle peut conduire \u00e0 l\u2019\u00e9viction d\u2019alternatives du march\u00e9, \u00e0 la prolongation artificielle de d\u00e9pendances contractuelles, \u00e0 l\u2019exploitation abusive d\u2019un monopole technique ou logistique, et \u00e0 la d\u00e9tection trop tardive ou trop h\u00e9sitante de signaux de dysfonctionnement, par crainte d\u2019une d\u00e9sorganisation op\u00e9rationnelle. Un dispositif robuste de Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re doit d\u00e8s lors s\u2019int\u00e9resser non seulement \u00e0 la question de savoir si un fournisseur ou un prestataire agit avec int\u00e9grit\u00e9, mais \u00e9galement \u00e0 celle de savoir si la concentration de d\u00e9pendance expose structurellement l\u2019entit\u00e9 \u00e0 une influence indue, \u00e0 la poursuite frauduleuse de relations, \u00e0 l\u2019escalade du risque de sanctions ou \u00e0 une perte brutale de services en cas d\u2019intervention r\u00e9glementaire. Le risque de concentration n\u2019est donc, en ce sens, ni un simple enjeu de r\u00e9silience, ni une simple question d\u2019int\u00e9grit\u00e9, mais un th\u00e8me convergent dans lequel continuit\u00e9, gouvernabilit\u00e9 et ma\u00eetrise des risques de criminalit\u00e9 financi\u00e8re co\u00efncident.<\/p>

Contr\u00f4le des tiers dans le cadre de la Directive sur la r\u00e9silience des entit\u00e9s critiques et de la Wwke, ainsi que dans les r\u00e9gimes plus larges de r\u00e9silience<\/h4>

Le contr\u00f4le des tiers dans le cadre de la Directive sur la r\u00e9silience des entit\u00e9s critiques et de la Wwke doit \u00eatre compris \u00e0 la lumi\u00e8re d\u2019un horizon normatif profond\u00e9ment d\u00e9plac\u00e9. L\u2019objet de l\u2019attention r\u00e9glementaire n\u2019est plus exclusivement la conformit\u00e9 interne de l\u2019entit\u00e9 critique au sens \u00e9troit, mais la question plus large de savoir si l\u2019entit\u00e9 est en mesure de prot\u00e9ger son service essentiel, dans des conditions de perturbation, contre des vuln\u00e9rabilit\u00e9s situ\u00e9es pour une large part en dehors de ses propres fronti\u00e8res organisationnelles. Cela ne signifie pas que les autorit\u00e9s de contr\u00f4le acqui\u00e8rent, de ce fait, un pouvoir direct g\u00e9n\u00e9rique sur toutes les parties externes de la cha\u00eene, mais cela signifie en revanche que l\u2019on attend de l\u2019entit\u00e9 critique qu\u2019elle dispose d\u2019une connaissance d\u00e9montrable des tiers dont d\u00e9pendent, en fait, la continuit\u00e9, l\u2019int\u00e9grit\u00e9 et la gouvernabilit\u00e9 de la fonction vitale. En ce sens, le contenu m\u00eame de ce qu\u2019il faut entendre par gouvernance ad\u00e9quate et gestion suffisante des risques se transforme \u00e9galement. Une entit\u00e9 critique ne peut se contenter de produire des contrats, des dossiers g\u00e9n\u00e9raux de due diligence ou des \u00e9valuations standard de fournisseurs lorsque la structure effective des d\u00e9pendances est bien plus profonde et complexe. Ce qui devient plus pertinent, c\u2019est de savoir si l\u2019entit\u00e9 est en mesure de justifier quels tiers ont \u00e9t\u00e9 qualifi\u00e9s de critiques, sur quels fondements cette qualification a eu lieu, comment elle conserve de la visibilit\u00e9 sur la sous-traitance sous-jacente et sur les structures de propri\u00e9t\u00e9, quels sc\u00e9narios de repli existent, et comment la gouvernance de l\u2019entit\u00e9 garantit que les signaux de d\u00e9t\u00e9rioration de la fiabilit\u00e9 ou de l\u2019int\u00e9grit\u00e9 chez des tiers sont trait\u00e9s en temps utile.<\/p>

Le cadre plus large de r\u00e9silience renforce cette \u00e9volution parce que diff\u00e9rents domaines r\u00e9glementaires se recoupent de plus en plus intens\u00e9ment dans la pratique. La r\u00e9silience des entit\u00e9s critiques n\u2019est en effet pas dissociable de la cybers\u00e9curit\u00e9, du respect des sanctions, des r\u00e9gimes anticorruption, de la discipline en mati\u00e8re de march\u00e9s et d\u2019achats, de la gestion du risque op\u00e9rationnel, de la gouvernance de l\u2019externalisation et des exigences sectorielles de supervision. Il en r\u00e9sulte un paysage normatif stratifi\u00e9 dans lequel un m\u00eame tiers peut \u00eatre pertinent sous plusieurs angles : comme point d\u2019acc\u00e8s cyber, comme partenaire de maintenance, comme acteur logistique cl\u00e9, comme sous-traitant de traitement de donn\u00e9es, comme interm\u00e9diaire financier ou comme risque potentiel d\u2019int\u00e9grit\u00e9. Pour l\u2019entit\u00e9 critique, cela signifie que le contr\u00f4le ne peut plus \u00eatre abord\u00e9 comme une s\u00e9rie de lignes de reddition de comptes s\u00e9par\u00e9es, chacune exigeant son propre ensemble limit\u00e9 de documents. Ce qu\u2019il faut, au contraire, c\u2019est une architecture de gouvernance coh\u00e9rente, capable de satisfaire \u00e0 diverses attentes de contr\u00f4le sans perdre de vue la question mat\u00e9rielle centrale : o\u00f9 se trouvent les maillons de la cha\u00eene qui maintiennent le service essentiel ou qui peuvent le d\u00e9sorganiser, et comment une ma\u00eetrise effective y est-elle exerc\u00e9e sur les plans de la gouvernance et des op\u00e9rations ? Dans cette perspective, les obligations de notification, la r\u00e9ponse aux incidents et les \u00e9valuations p\u00e9riodiques des risques prennent elles aussi un poids accru. Ce ne sont pas seulement les incidents internes, mais aussi les perturbations, les atteintes \u00e0 l\u2019int\u00e9grit\u00e9 ou les obstacles juridiques affectant des tiers qui peuvent devenir pertinents du point de vue du contr\u00f4le lorsqu\u2019ils touchent, ou sont susceptibles de toucher, la fonction vitale.<\/p>

La Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re doit, dans cette r\u00e9alit\u00e9 de supervision, \u00eatre explicitement positionn\u00e9e comme un \u00e9l\u00e9ment int\u00e9gral d\u2019une gestion de la r\u00e9silience d\u00e9montrable. Le contr\u00f4le des tiers est en effet mat\u00e9riellement vid\u00e9 de sa substance si les risques de criminalit\u00e9 financi\u00e8re dans la cha\u00eene ne sont port\u00e9s \u00e0 la connaissance qu\u2019en ordre dispers\u00e9 ou de mani\u00e8re purement r\u00e9active. Une autorit\u00e9 de contr\u00f4le qui \u00e9value la r\u00e9silience d\u2019une entit\u00e9 critique ne pourra gu\u00e8re se satisfaire, sur le fond, d\u2019un mod\u00e8le dans lequel la criticit\u00e9 op\u00e9rationnelle a \u00e9t\u00e9 cartographi\u00e9e, tandis que la transparence de la propri\u00e9t\u00e9, la sensibilit\u00e9 aux sanctions, le risque de corruption, les sch\u00e9mas de fraude et les flux financiers inhabituels demeurent en dehors de l\u2019analyse centrale. Un tiers peut, en effet, \u00eatre op\u00e9rationnellement indispensable tout en \u00e9tant, simultan\u00e9ment, instable du point de vue de l\u2019int\u00e9grit\u00e9, juridiquement pr\u00e9caire ou financi\u00e8rement opaque. Dans de telles circonstances, la vuln\u00e9rabilit\u00e9 du service essentiel ne peut \u00eatre s\u00e9rieusement appr\u00e9ci\u00e9e sans int\u00e9grer la dimension d\u2019int\u00e9grit\u00e9. Un mod\u00e8le cr\u00e9dible, pr\u00eat pour le contr\u00f4le, doit donc d\u00e9montrer que l\u2019entit\u00e9 critique sait non seulement quel tiers est important, mais aussi comment l\u2019int\u00e9grit\u00e9 de ce tiers est \u00e9valu\u00e9e, comment les changements de propri\u00e9t\u00e9 ou de contr\u00f4le sont surveill\u00e9s, comment les transactions inhabituelles ou les risques croissants de sanctions sont trait\u00e9s, et de quelle mani\u00e8re une intervention de gouvernance est possible lorsqu\u2019un tiers ne peut plus \u00eatre consid\u00e9r\u00e9 comme fiable. Le contr\u00f4le des tiers dans le cadre de la Directive sur la r\u00e9silience des entit\u00e9s critiques, de la Wwke et des cadres connexes pr\u00e9suppose ainsi une organisation qui ne consid\u00e8re pas ses d\u00e9pendances externes comme de simples relations commerciales, mais comme des objets de gouvernance de r\u00e9silience permanente et d\u00e9montrablement int\u00e9gr\u00e9e.<\/p>

Cartographie de la cha\u00eene, due diligence et surveillance continue des d\u00e9pendances critiques<\/h4>

Au sein des entit\u00e9s critiques, la cartographie de la cha\u00eene n\u2019est pas un simple exercice documentaire de soutien, mais un \u00e9l\u00e9ment constitutif de la question de savoir si l\u2019entit\u00e9 comprend r\u00e9ellement l\u2019architecture de sa propre vuln\u00e9rabilit\u00e9. Sans une image profonde et dynamique de la cha\u00eene, toute affirmation relative \u00e0 la r\u00e9silience demeure, dans une large mesure, sp\u00e9culative, d\u00e8s lors qu\u2019il reste incertain quels maillons externes soutiennent effectivement le service essentiel, o\u00f9 se situent les concentrations de d\u00e9pendance, quelles couches de sous-traitance sont op\u00e9rationnellement pertinentes, et o\u00f9 des structures juridiques, g\u00e9ographiques ou de propri\u00e9t\u00e9 peuvent affaiblir l\u2019emprise de gouvernance sur les processus critiques. La cartographie de la cha\u00eene doit d\u00e8s lors aller bien au-del\u00e0 de l\u2019\u00e9tablissement d\u2019une liste de fournisseurs ou de la classification de contrats selon le niveau de d\u00e9penses ou la cat\u00e9gorie formelle de services. Ce qu\u2019il faut, c\u2019est une image bien plus fine, permettant de rendre visibles les parties qui ont acc\u00e8s \u00e0 des syst\u00e8mes critiques, les tiers qui assurent la maintenance d\u2019actifs vitaux, les prestataires qui traitent ou h\u00e9bergent des donn\u00e9es op\u00e9rationnelles, les n\u0153uds logistiques essentiels \u00e0 la continuit\u00e9, les sous-traitants sp\u00e9cialis\u00e9s indispensables au r\u00e9tablissement, ainsi que les infrastructures sous-jacentes utilis\u00e9es simultan\u00e9ment par plusieurs prestataires de services qui paraissent ext\u00e9rieurement ind\u00e9pendants les uns des autres. Ce n\u2019est qu\u2019\u00e0 partir du moment o\u00f9 ces relations sont mises au jour de mani\u00e8re syst\u00e9matique qu\u2019il devient possible de d\u00e9terminer o\u00f9 l\u2019entit\u00e9 est mat\u00e9riellement vuln\u00e9rable et o\u00f9 des interventions pr\u00e9ventives, contractuelles, techniques ou de gouvernance s\u2019imposent.<\/p>

Dans ce cadre, la due diligence rev\u00eat un caract\u00e8re sensiblement plus exigeant que celui g\u00e9n\u00e9ralement observ\u00e9 dans les programmes conventionnels de gestion des fournisseurs. Il ne s\u2019agit pas seulement de savoir si un tiers existe l\u00e9galement, peut produire une documentation de base et semble jouir d\u2019une r\u00e9putation convenable au sens g\u00e9n\u00e9ral. Plus important encore est le point de savoir s\u2019il existe une visibilit\u00e9 sur l\u2019identit\u00e9 des b\u00e9n\u00e9ficiaires effectifs ultimes, sur les relations effectives de contr\u00f4le, sur la solidit\u00e9 financi\u00e8re, sur la d\u00e9pendance \u00e0 l\u2019\u00e9gard de juridictions \u00e0 haut risque, sur la sensibilit\u00e9 aux sanctions, sur le comportement historique en mati\u00e8re d\u2019int\u00e9grit\u00e9, sur les pratiques de sous-traitance, sur les personnes-cl\u00e9s, sur la posture de cybers\u00e9curit\u00e9 et sur la question de savoir si le fournisseur ou le prestataire occupe une position si singuli\u00e8re que l\u2019entit\u00e9 critique dispose, en pratique, de tr\u00e8s peu d\u2019alternatives r\u00e9alistes. La due diligence doit en outre \u00eatre diff\u00e9renci\u00e9e en fonction de la nature de la d\u00e9pendance. Un fournisseur de fournitures de bureau g\u00e9n\u00e9riques n\u2019exige pas le m\u00eame degr\u00e9 de profondeur qu\u2019un prestataire b\u00e9n\u00e9ficiant d\u2019un acc\u00e8s privil\u00e9gi\u00e9 \u00e0 la technologie op\u00e9rationnelle, qu\u2019un partenaire de maintenance pour des installations vitales ou qu\u2019un acteur logistique contr\u00f4lant un corridor exclusif vers des actifs critiques. Le centre de gravit\u00e9 normatif ne r\u00e9side donc pas dans une uniformit\u00e9 administrative universelle, mais dans une profondeur cibl\u00e9e aux endroits o\u00f9 l\u2019impact potentiel sur le service essentiel est le plus \u00e9lev\u00e9. En ce sens, la due diligence au sein des entit\u00e9s critiques n\u2019est pas un simple exercice de cases \u00e0 cocher, mais un instrument permettant de r\u00e9pondre \u00e0 la question mat\u00e9rielle de savoir si la continuit\u00e9 de la fonction publique peut, de mani\u00e8re responsable, \u00eatre confi\u00e9e au tiers concern\u00e9.<\/p>

La surveillance continue est ensuite indispensable, car les d\u00e9pendances critiques demeurent rarement statiques. La propri\u00e9t\u00e9 peut changer, la sous-traitance peut s\u2019\u00e9tendre, les performances peuvent se d\u00e9grader progressivement, les conditions g\u00e9opolitiques peuvent se modifier, les r\u00e9gimes de sanctions peuvent se durcir, la sant\u00e9 financi\u00e8re peut se d\u00e9t\u00e9riorer, et ce qui apparaissait initialement comme une relation fournisseur ma\u00eetrisable peut \u00e9voluer silencieusement vers un maillon de fait indispensable. Une simple photographie prise au moment de l\u2019int\u00e9gration initiale est donc insuffisante. Ce qu\u2019il faut, c\u2019est une forme continue de surveillance au sein de l\u2019organisation, dans laquelle les signaux issus de la gestion contractuelle, des incidents op\u00e9rationnels, des \u00e9v\u00e9nements cyber, du comportement de paiement, des changements dans les structures de gouvernance, des \u00e9volutions du march\u00e9 et du contexte juridique ou g\u00e9opolitique sont r\u00e9unis au sein d\u2019un processus d\u2019\u00e9valuation int\u00e9gr\u00e9. Dans le cadre de la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re, cette surveillance continue rev\u00eat une importance particuli\u00e8re. Les risques de criminalit\u00e9 financi\u00e8re ne se r\u00e9v\u00e8lent souvent qu\u2019avec le temps : par des \u00e9volutions dans les sch\u00e9mas de facturation, par des interm\u00e9diaires inhabituels, par des transferts rapides de propri\u00e9t\u00e9, par une d\u00e9pendance croissante \u00e0 des contrats d\u00e9rogatoires, par des demandes de paiement anormales, par des signaux de conflits d\u2019int\u00e9r\u00eats ou par une exposition accrue \u00e0 des r\u00e9gions sanctionn\u00e9es ou \u00e0 haut risque. Une architecture de surveillance efficace doit donc viser non seulement la disponibilit\u00e9 et la performance, mais aussi l\u2019\u00e9volution de l\u2019int\u00e9grit\u00e9 de la relation et la question de savoir si l\u2019entit\u00e9 critique demeure capable de ma\u00eetriser le service essentiel lorsque la fiabilit\u00e9 d\u2019un tiers est mise sous pression. La cartographie de la cha\u00eene, la due diligence et la surveillance continue ne constituent ainsi pas trois techniques de contr\u00f4le distinctes, mais une seule structure coh\u00e9rente par laquelle la r\u00e9silience mat\u00e9rielle du service essentiel est rendue visible et gouvernable.<\/p>

Coop\u00e9ration public-priv\u00e9 en cas de perturbations affectant les cha\u00eenes d\u2019approvisionnement vitales<\/h4>

Dans la pens\u00e9e contemporaine de la r\u00e9silience, la coop\u00e9ration public-priv\u00e9 face aux perturbations affectant les cha\u00eenes d\u2019approvisionnement vitales ne constitue pas un simple compl\u00e9ment facultatif \u00e0 la pr\u00e9paration individuelle des entreprises, mais une condition structurelle de l\u2019efficacit\u00e9 de la r\u00e9ponse lorsque la d\u00e9sorganisation d\u00e9passe les limites d\u2019une seule organisation. Les entit\u00e9s critiques op\u00e8rent, en effet, dans des environnements o\u00f9 les perturbations restent rarement confin\u00e9es \u00e0 la relation directe entre l\u2019entit\u00e9 et un seul fournisseur. Des p\u00e9nuries, des d\u00e9faillances de prestataires sp\u00e9cialis\u00e9s, des obstacles au transport, des blocages g\u00e9opolitiques, des incidents cyber, des actes de sabotage, des d\u00e9sordres financiers ou des atteintes \u00e0 l\u2019int\u00e9grit\u00e9 dans la cha\u00eene peuvent affecter simultan\u00e9ment plusieurs acteurs et se propager rapidement \u00e0 travers les secteurs, les r\u00e9gions et les couches de d\u00e9pendance. Dans de telles circonstances, une logique de r\u00e9ponse exclusivement priv\u00e9e s\u2019av\u00e8re insuffisante, car l\u2019entit\u00e9 individuelle ne dispose souvent ni d\u2019informations suffisantes, ni de capacit\u00e9s de contrainte, ni d\u2019un mandat de coordination, ni d\u2019une vue d\u2019ensemble sectorielle lui permettant d\u2019att\u00e9nuer efficacement la perturbation. La coop\u00e9ration public-priv\u00e9 acquiert, d\u00e8s lors, une signification strat\u00e9gique qui va bien au-del\u00e0 du simple partage d\u2019informations au sens g\u00e9n\u00e9ral. Elle concerne l\u2019\u00e9tablissement d\u2019un ordre de r\u00e9ponse dans lequel les pouvoirs publics, les autorit\u00e9s de contr\u00f4le, les alliances sectorielles et les entit\u00e9s critiques \u00e9changent des informations de mani\u00e8re ma\u00eetris\u00e9e, d\u00e9finissent des priorit\u00e9s, allouent des capacit\u00e9s rares, identifient les obstacles juridiques et coordonnent des mesures d\u2019urgence destin\u00e9es \u00e0 prot\u00e9ger les services essentiels.<\/p>

La n\u00e9cessit\u00e9 d\u2019une telle approche appara\u00eet avec une acuit\u00e9 particuli\u00e8re lorsque la perturbation concerne des cha\u00eenes dans lesquelles les m\u00e9canismes de march\u00e9 fonctionnent mal, voire de fa\u00e7on contre-productive, sous la pression de la crise. Une p\u00e9nurie de pi\u00e8ces de rechange, de personnel de maintenance sp\u00e9cialis\u00e9, de capacit\u00e9 de r\u00e9tablissement num\u00e9rique, d\u2019acc\u00e8s logistique ou de prestataires alternatifs fiables peut conduire des entit\u00e9s individuelles \u00e0 se concurrencer pour les m\u00eames ressources limit\u00e9es, alors que l\u2019int\u00e9r\u00eat collectif exige au contraire une allocation fond\u00e9e sur la priorit\u00e9 vitale et l\u2019impact syst\u00e9mique. De la m\u00eame mani\u00e8re, un probl\u00e8me d\u2019int\u00e9grit\u00e9 ou de sanctions touchant un fournisseur dominant peut affecter simultan\u00e9ment plusieurs entit\u00e9s critiques, de sorte qu\u2019une approche purement contractuelle devient insuffisante et qu\u2019\u00e9merge le besoin d\u2019une interpr\u00e9tation coordonn\u00e9e, d\u2019un alignement juridique et de voies de secours temporaires. Dans de telles situations, la coop\u00e9ration public-priv\u00e9 ne doit pas \u00eatre con\u00e7ue comme une forme de concertation ad hoc invent\u00e9e au moment de la crise, mais comme une structure pr\u00e9par\u00e9e \u00e0 l\u2019avance, dans laquelle des points de contact, des lignes d\u2019escalade, des protocoles d\u2019information, des accords de confidentialit\u00e9, des m\u00e9canismes sectoriels de priorisation et des sc\u00e9narios communs ont d\u00e9j\u00e0 \u00e9t\u00e9 d\u00e9velopp\u00e9s. Ce n\u2019est qu\u2019\u00e0 cette condition qu\u2019il devient possible d\u2019\u00e9viter qu\u2019une perturbation dans la cha\u00eene d\u2019approvisionnement vitale ne conduise \u00e0 une prise de d\u00e9cision fragment\u00e9e, \u00e0 des asym\u00e9tries d\u2019information et \u00e0 une situation dans laquelle chaque acteur agit s\u00e9par\u00e9ment alors que la vuln\u00e9rabilit\u00e9 est, en substance, collective.<\/p>

Dans le cadre de la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re, la coop\u00e9ration public-priv\u00e9 dans ce domaine rev\u00eat \u00e9galement une importance fondamentale, parce que les perturbations dans les cha\u00eenes vitales s\u2019accompagnent fr\u00e9quemment d\u2019une exposition accrue \u00e0 la fraude, \u00e0 la corruption, \u00e0 la manipulation des prix, \u00e0 l\u2019\u00e9vasion des sanctions, \u00e0 la falsification de documents, \u00e0 des interm\u00e9diaires opportunistes et \u00e0 d\u2019autres formes d\u2019abus \u00e9conomico-financiers. Les situations de crise augmentent la pression pour conclure rapidement des contrats, s\u2019\u00e9carter des contr\u00f4les ordinaires, admettre des fournisseurs d\u2019urgence et accepter temporairement une documentation incompl\u00e8te. C\u2019est pr\u00e9cis\u00e9ment le contexte dans lequel la criminalit\u00e9 financi\u00e8re trouve souvent l\u2019espace n\u00e9cessaire pour se d\u00e9velopper. Une entit\u00e9 op\u00e9rant dans l\u2019isolement court alors le risque de recourir aux m\u00eames interm\u00e9diaires risqu\u00e9s que d\u2019autres acteurs, de manquer des signaux d\u2019alerte d\u00e9j\u00e0 apparus ailleurs, ou d\u2019adopter, sous pression op\u00e9rationnelle, des mesures qui sapent ensuite l\u2019int\u00e9grit\u00e9 et la solidit\u00e9 juridique de la r\u00e9ponse. La coop\u00e9ration public-priv\u00e9 peut ici jouer un r\u00f4le de contrepoids en agr\u00e9geant les signaux, en construisant des visions partag\u00e9es du risque, en identifiant plus rapidement les sch\u00e9mas de fraude et en organisant une vigilance collective \u00e0 l\u2019\u00e9gard de prestataires risqu\u00e9s, de structures de paiement inhabituelles ou de fournisseurs d\u2019urgence apparaissant soudainement. Il devient ainsi clair que la coop\u00e9ration public-priv\u00e9 en cas de perturbations affectant les cha\u00eenes d\u2019approvisionnement vitales ne concerne pas seulement la continuit\u00e9 op\u00e9rationnelle, mais \u00e9galement la pr\u00e9vention du risque que la r\u00e9ponse \u00e0 la crise elle-m\u00eame devienne le v\u00e9hicule de nouvelles d\u00e9pendances, de contamination de l\u2019int\u00e9grit\u00e9 et d\u2019un affaiblissement de la ma\u00eetrise de gouvernance.<\/p>

La r\u00e9silience des tiers comme composante indispensable de la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re au sein des entit\u00e9s critiques<\/h4>

Au sein des entit\u00e9s critiques, la r\u00e9silience des tiers doit \u00eatre consid\u00e9r\u00e9e comme une composante indispensable de la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re, parce que la s\u00e9paration classique entre continuit\u00e9 op\u00e9rationnelle et ma\u00eetrise de la criminalit\u00e9 financi\u00e8re n\u2019est plus, dans ce contexte, soutenable ni sur le plan analytique ni du point de vue de la gouvernance. Les parties externes dont d\u00e9pend une entit\u00e9 critique ne constituent pas seulement des sources d\u2019incertitude en mati\u00e8re d\u2019approvisionnement ou de performance, mais \u00e9galement des vecteurs potentiels d\u2019opacit\u00e9 de propri\u00e9t\u00e9, de risque de corruption, de sensibilit\u00e9 aux sanctions, de sch\u00e9mas de fraude, d\u2019influence indue et d\u2019autres formes d\u2019atteinte \u00e0 l\u2019int\u00e9grit\u00e9 susceptibles d\u2019affecter directement la disponibilit\u00e9, la fiabilit\u00e9 et la gouvernabilit\u00e9 du service essentiel. Un tiers peut \u00eatre simultan\u00e9ment partenaire de maintenance, d\u00e9tenteur d\u2019un acc\u00e8s aux donn\u00e9es, maillon logistique, b\u00e9n\u00e9ficiaire de paiements et m\u00e9canisme de r\u00e9tablissement op\u00e9rationnel. Dans une telle relation, il serait artificiel de placer, d\u2019un c\u00f4t\u00e9, les \u00e9valuations du risque op\u00e9rationnel et, de l\u2019autre, l\u2019analyse de la criminalit\u00e9 financi\u00e8re, comme si les deux n\u2019\u00e9taient que marginalement li\u00e9es. Pour les entit\u00e9s critiques, la question centrale est plut\u00f4t de savoir si les d\u00e9pendances externes sont gouvern\u00e9es de telle mani\u00e8re qu\u2019elles n\u2019exposent pas la fonction vitale \u00e0 une convergence de perturbation de la continuit\u00e9, de d\u00e9gradation de l\u2019int\u00e9grit\u00e9 et de perte de ma\u00eetrise de gouvernance. La r\u00e9silience des tiers n\u2019est donc pas un chapitre additionnel venant s\u2019ajouter \u00e0 la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re ; elle est l\u2019un des lieux o\u00f9 ce syst\u00e8me de gestion d\u00e9montre sa pertinence mat\u00e9rielle.<\/p>

Cette conclusion emporte des cons\u00e9quences profondes pour la structuration de la gouvernance, des lignes de reporting et des processus de d\u00e9cision. Lorsque la r\u00e9silience des tiers est s\u00e9rieusement trait\u00e9e comme faisant partie de la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re, l\u2019\u00e9valuation des fournisseurs et des prestataires ne peut plus demeurer fragment\u00e9e entre diff\u00e9rentes fonctions sans cadre analytique unificateur. Les achats ne peuvent plus poursuivre de mani\u00e8re autonome une optimisation purement commerciale pendant que l\u2019int\u00e9grit\u00e9 et la formation des d\u00e9pendances sont \u00e9valu\u00e9es ailleurs. Les fonctions cyber ne peuvent se limiter \u00e0 des contr\u00f4les techniques sans visibilit\u00e9 sur la propri\u00e9t\u00e9, la sous-traitance et l\u2019exposition aux sanctions. La conformit\u00e9 ne peut se satisfaire de contr\u00f4les \u00e0 l\u2019entr\u00e9e sans implication dans la criticit\u00e9 op\u00e9rationnelle de la relation. Les op\u00e9rations, de leur c\u00f4t\u00e9, ne peuvent supposer que la performance historique constitue une preuve suffisante de fiabilit\u00e9 lorsque la structure sous-jacente est fragile du point de vue de l\u2019int\u00e9grit\u00e9 ou opaque financi\u00e8rement. Ce qu\u2019il faut, c\u2019est un mod\u00e8le dans lequel criticit\u00e9, substituabilit\u00e9, concentration, transparence de la propri\u00e9t\u00e9, comportement de paiement, incidents d\u2019int\u00e9grit\u00e9, exposition juridique et pertinence en situation de crise des tiers sont r\u00e9unis dans un m\u00eame langage de gouvernance. Ce n\u2019est qu\u2019au sein d\u2019un tel mod\u00e8le int\u00e9gr\u00e9 qu\u2019il devient visible quels tiers portent la valeur de risque composite la plus \u00e9lev\u00e9e et o\u00f9 une intervention, une restructuration, un renforcement contractuel, une surveillance accrue ou une r\u00e9duction strat\u00e9gique de la d\u00e9pendance sont n\u00e9cessaires.<\/p>

Au sens le plus fondamental, cette approche confirme que la Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re au sein des entit\u00e9s critiques ne poss\u00e8de de v\u00e9ritable force de conviction que lorsqu\u2019elle se concentre sur les lieux o\u00f9 la protection des fonctions publiques et la r\u00e9alit\u00e9 de la cha\u00eene se rencontrent. La criminalit\u00e9 financi\u00e8re n\u2019est pas ici simplement une question d\u2019infraction financi\u00e8re ; elle constitue un m\u00e9canisme capable de d\u00e9former l\u2019architecture de la d\u00e9pendance, de placer des tiers inadapt\u00e9s ou risqu\u00e9s dans des positions cl\u00e9s, de paralyser la d\u00e9tection, d\u2019exclure des alternatives et d\u2019ancrer une vuln\u00e9rabilit\u00e9 r\u00e9glementaire ou g\u00e9opolitique au c\u0153ur op\u00e9rationnel du service essentiel. La r\u00e9silience des tiers fonctionne donc comme le test d\u00e9cisif de la profondeur de l\u2019ensemble du syst\u00e8me. Si une entit\u00e9 critique dispose de r\u00e8gles g\u00e9n\u00e9rales d\u2019int\u00e9grit\u00e9 mais n\u2019a pas une visibilit\u00e9 pr\u00e9cise sur les parties externes qui conditionnent la fonction vitale, le lien mat\u00e9riel entre la norme et le risque fait d\u00e9faut. Si, en revanche, la transparence de la propri\u00e9t\u00e9, la cartographie de la cha\u00eene, la sensibilit\u00e9 aux sanctions, la d\u00e9tection de la fraude, l\u2019effet de levier contractuel, l\u2019analyse de la substituabilit\u00e9 et la surveillance continue sont conjointement int\u00e9gr\u00e9s dans la gouvernance des d\u00e9pendances critiques, il \u00e9merge une forme de Gestion int\u00e9gr\u00e9e du risque de criminalit\u00e9 financi\u00e8re qui n\u2019est pas seulement formellement solide, mais qui contribue effectivement \u00e0 la protection des services essentiels contre les menaces imbriqu\u00e9es de l\u2019\u00e9conomie contemporaine. \u00c0 cet \u00e9gard, la r\u00e9silience des tiers n\u2019est pas simplement une composante pertinente du syst\u00e8me, mais l\u2019une des conditions centrales de sa cr\u00e9dibilit\u00e9 et de son fonctionnement effectif.<\/p><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div><\/div>

<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t

\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n
\n\n\n
\n\n

R\u00f4le de l\u2019avocat<\/span><\/span><\/h2> \n<\/div>\n\n\n<\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\r\n\r\n
\r\n \r\n
\r\n \r\n \n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Pr\u00e9vention\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n D\u00e9tection\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Enqu\u00eate\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n R\u00e9ponse\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Conseil\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Contentieux\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n N\u00e9gociation\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article> \r\n \r\n <\/div>\r\n \r\n \r\n<\/div>\r\n\r\n \t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n
\n\n\n
\n\n

Domaines de Pratique<\/span><\/span><\/h2> \n<\/div>\n\n\n<\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\r\n\r\n
\r\n \r\n
\r\n \r\n \n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Droit p\u00e9nal, contr\u00f4le r\u00e9glementaire et responsabilit\u00e9 des entreprises\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n D\u00e9fense et Enqu\u00eates en Mati\u00e8re de Criminalit\u00e9 en Col Blanc\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Cybercriminalit\u00e9, R\u00e9ponse aux incidents et Risque num\u00e9rique\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Att\u00e9nuation des risques li\u00e9s \u00e0 la confidentialit\u00e9, \u00e0 la gouvernance des donn\u00e9es et \u00e0 la cybers\u00e9curit\u00e9\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Services Forensiques et Enqu\u00eates Corporatives Complexes\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Services de conseil sp\u00e9cialis\u00e9s & Conseil strat\u00e9gique en gestion des risques\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Conseil en technologie, transformation num\u00e9rique et risques \u00e9mergents\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Criminalit\u00e9 financi\u00e8re, r\u00e9glementation FinTech et strat\u00e9gie d\u2019ex\u00e9cution et de sanction\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Gouvernance d\u2019entreprise, supervision \u00e9thique et gestion de la conformit\u00e9\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Conformit\u00e9 ESG, enqu\u00eates & gestion des risques de durabilit\u00e9\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Signalement de cr\u00e9dit \u2013 Vos options pour contester, rectifier ou supprimer\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Gestion de Crises et des Probl\u00e8mes\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article> \r\n \r\n <\/div>\r\n \r\n \r\n<\/div>\r\n\r\n \t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\n
\n\n\n
\n\n

Secteurs d'activit\u00e9<\/span><\/span><\/h2> \n<\/div>\n\n\n<\/div>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\r\n\r\n
\r\n \r\n
\r\n \r\n \n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Agriculture\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Art et culture\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Industrie automobile\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Aviation, a\u00e9rospatiale et d\u00e9fense\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Banques, institutions financi\u00e8res et fintech\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Industrie chimique\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Soci\u00e9t\u00e9s de conseils et services professionnels\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Biens de consommation et commerce de d\u00e9tail\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n \u00c9conomie digitale\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n \u00c9nergie et ressources naturelles\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Entreprises familiales et gestion de patrimoine\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Alimentation et boissons\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Entit\u00e9s gouvernementales et secteur public\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Soins de sant\u00e9, lifescience et produits pharmaceutiques\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n H\u00f4tels, restaurants et loisirs\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Assurance\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n M\u00e9dias, divertissement et sports\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Capital-investissement et capital-risque\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Immobilier et Construction\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Start-up & scale-up\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n T\u00e9l\u00e9communications\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article>\n
\n\n
\n \n \n \n
\n\n
\n\n
\r\n

\r\n \r\n Transport, mobilit\u00e9 et infrastructure\r\n <\/a>\r\n<\/h2><\/div>\n <\/div>\n\n<\/div>\n\n\n \n <\/div>\n\n<\/article> \r\n \r\n <\/div>\r\n \r\n \r\n<\/div>\r\n\r\n \t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

Dans le cadre normatif europ\u00e9en et n\u00e9erlandais contemporain, la r\u00e9silience des entit\u00e9s critiques ne peut plus \u00eatre appr\u00e9hend\u00e9e de mani\u00e8re convaincante au moyen d\u2019une analyse limit\u00e9e \u00e0 l\u2019organisation interne, \u00e0 la propre structure de gouvernance, \u00e0 la s\u00e9curit\u00e9 physique des sites propres ou \u00e0 la ma\u00eetrise formelle des processus directement mis en \u0153uvre par l\u2019entit\u00e9 elle-m\u00eame. Une telle approche suppose implicitement que l\u2019entit\u00e9 critique produit le service essentiel principalement dans un espace institutionnel d\u00e9limit\u00e9 dont les vuln\u00e9rabilit\u00e9s sont, pour l\u2019essentiel, identifiables en interne, traitables en interne et r\u00e9parables en interne. Or, ce postulat correspond de moins en moins \u00e0 la<\/p>\n","protected":false},"author":1,"featured_media":34087,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[475],"tags":[],"class_list":["post-34086","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-resilience-des-entites-critiques"],"acf":[],"_links":{"self":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/34086","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/comments?post=34086"}],"version-history":[{"count":5,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/34086\/revisions"}],"predecessor-version":[{"id":34092,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/posts\/34086\/revisions\/34092"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/media\/34087"}],"wp:attachment":[{"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/media?parent=34086"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/categories?post=34086"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/vanleeuwenlawfirm.eu\/fr\/wp-json\/wp\/v2\/tags?post=34086"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}