L'évaluation des tiers : tout ce que vous devez savoir

L'évaluation des tiers est le processus par lequel une entreprise vérifie et analyse le risque associé à ses partenaires commerciaux : clients, fournisseurs, intermédiaires, sous-traitants. Elle permet d'anticiper les risques financiers, juridiques et réputationnels liés à une collaboration avec ces partenaires.

Elle englobe plusieurs aspects : l'intégrité financière (solvabilité), la conformité réglementaire (AML, Sapin II, sanctions), le risque réputationnel (PPE, adverse media), et de plus en plus les critères RSE et ESG (environnement, social, gouvernance).

Lire : Que doit apporter l'évaluation de l'intégrité des tiers ?

Non. L'article 17 de la loi Sapin 2 s'applique obligatoirement aux entreprises de plus de 500 salariés et dont le chiffre d'affaires dépasse 100 millions d'euros. Pour ces entreprises assujetties, l'évaluation des tiers est l'une des 8 mesures obligatoires du dispositif anticorruption.

Cependant, même les entreprises non assujetties ont intérêt à mettre en place une démarche d'évaluation, car leurs donneurs d'ordre (eux-mêmes assujettis) leur demanderont de prouver leur conformité dans le cadre d'appels d'offres. Ne pas avoir de politique d'évaluation des tiers revient à risquer de perdre d'importants marchés.

Lire : Loi Sapin 2 : les difficultés liées à l'évaluation des tiers

Un Groupe de Tiers à Risque (GTR) est un ensemble homogène de tiers présentant des profils de risque comparables. L'AFA recommande de déterminer la nature et la profondeur des évaluations à réaliser en fonction de ces groupes.

Les groupes jugés peu ou pas risqués peuvent ne pas faire l'objet d'évaluation, ou faire l'objet d'une évaluation simplifiée. Les groupes les plus risqués nécessiteront pour chaque tiers une évaluation approfondie. Selon l'enquête AFA 2024, 90 % des répondants considèrent la création de GTR comme une approche efficace, et 50 % des entreprises ont moins de 9 GTR.

Lire : Groupes de tiers à risque – Guide pour une évaluation optimisée

Le diagnostic national de l'AFA publié en septembre 2022 fait clairement apparaître que l'évaluation des tiers est jugée par les assujettis comme l'organisation la plus difficile à mettre en œuvre parmi les 8 piliers de Sapin 2. Trois raisons majeures ressortent des analyses :

• La capacité à rassembler toute la data disponible pour réaliser la due diligence

• Le nombre de tiers à analyser, souvent sur des pays différents

• La multiplicité des acteurs impliqués dans l'entreprise et le « change » que cela nécessite

Lire : Évaluation des tiers – Un exercice complexe

La cartographie des risques de corruption est le prérequis indispensable à l'évaluation des tiers. Elle s'appuie sur une construction collaborative transverse des différentes fonctions de l'entreprise (achats, commerce, communication…), sous le contrôle du département Conformité et sous l'impulsion de la direction générale.

Elle permet d'identifier les catégories et volumes de tiers à risque afin de calibrer l'outil d'évaluation (et donc le budget), ainsi que la charge de due diligence induite. En limitant le portefeuille de tiers à intégrer dans l'outil d'évaluation, l'entreprise dimensionne utilement ses charges et réalise d'importantes économies.

Lire : La cartographie des risques pour investir utilement en due diligence

Le bénéficiaire effectif (ou Ultimate Beneficial Owner – UBO) est la personne physique qui contrôle, directement ou indirectement, une société. Pour les entreprises avec capital, il s'agit des personnes physiques qui détiennent directement ou indirectement plus de 25 % du capital ou des droits de vote.

L'identification des bénéficiaires effectifs est centrale dans la due diligence car elle permet de s'assurer que la personne réellement aux commandes n'est pas une personne politiquement exposée (PPE) ou qu'elle ne figure pas sur des listes de sanctions internationales. Depuis 2017, les entreprises ont l'obligation légale de déclarer leurs bénéficiaires effectifs dans un registre national.

Lire : Bénéficiaire effectif – Définition et obligations

Le KYC (Know Your Customer) désigne le processus de vérification de l'identité des clients lors de l'entrée en relation. Le KYS (Know Your Supplier) applique la même logique aux fournisseurs. Les deux procédures constituent le cœur de la due diligence et permettent de vérifier l'identité du tiers (KBIS, RIB, statuts, identité du gérant, bénéficiaires effectifs).

Ces procédures répondent aux obligations de vigilance en matière de lutte contre le blanchiment de capitaux (AML) et de financement du terrorisme, ainsi qu'aux obligations anticorruption (Sapin II) et au devoir de vigilance.

Lire : La connaissance du client (KYC – Know Your Customer)

Le devoir de vigilance (loi française de 2017) oblige les grandes entreprises à identifier et prévenir les risques d'atteintes graves aux droits humains, libertés fondamentales, santé, sécurité des personnes et environnement dans toute leur chaîne de valeur, y compris chez leurs fournisseurs et sous-traitants.

La CS3D (Corporate Sustainability Due Diligence Directive, publiée au JOUE le 5 juillet 2024) va plus loin encore : elle rend les entreprises responsables de toute leur chaîne de valeur, y compris les sous-traitants de leurs fournisseurs. L'évaluation des tiers devra donc couvrir les critères E, S et G — anticorruption certes, mais aussi environnemental, social et sociétal.

Lire : La CS3D – Chronique d'une mort annoncée ? et Devoir de vigilance – L'éveil de la conscience collective

Ne pas mettre en place un dispositif d'évaluation des tiers expose l'entreprise à plusieurs types de risques :

• Risque pénal : la loi Sapin 2 prévoit une sanction pénale et une sanction administrative de 1 million d'euros pour les entreprises reconnues coupables de corruption

• Risque de CJIP : une Convention Judiciaire d'Intérêt Public implique le dirigeant directement

• Risque commercial : 88 % des contrôles AFA révèlent des défaillances — ne pas évaluer ses tiers revient à risquer de perdre d'importants appels d'offres

• Risque réputationnel : collaborer avec un tiers corrompu peut entraîner une crise interne et endommager la marque

• Risque actionnarial : aucun actionnaire ne souhaite voir ses investissements s'effondrer suite à un cas avéré de corruption

Lire : Que doit apporter l'évaluation de l'intégrité des tiers ?

En 2025, plusieurs tendances liées à l'intelligence artificielle transforment l'évaluation des tiers :

• L'automatisation massive des tâches répétitives (screening, collecte de données) pour libérer le temps humain

• L'usage de l'IA pour analyser la presse sur les enjeux du devoir de vigilance (droits humains, environnement) — adverse media à grande échelle

• La capacité d'adapter la profondeur d'analyse au niveau de risque du GTR défini par la cartographie des risques

• La gestion de workflows d'escalade pour s'assurer que les cas sensibles remontent au bon niveau de décision

• La vue à 360° intégrant corruption, cyber, RSE et risque financier dans une seule plateforme

Lire : Comment les entreprises se positionnent face à l'évaluation des tiers ?

Le Rapport d'Intégrité d'Ellisphere est une solution qui fournit une évaluation rapide et structurée des risques liés à vos partenaires, fournisseurs ou intermédiaires stratégiques. Il est particulièrement adapté lorsque :

• L'entreprise est assujettie à Sapin 2 sans avoir les ressources pour se conformer pleinement

• Elle doit évaluer l'intégrité de tiers dans le cadre d'une fusion-acquisition (les vérifications anticorruption y sont obligatoires selon le guide AFA)

• Elle délègue une partie de sa chaîne de valeur à des partenaires privilégiés qu'elle souhaite évaluer de manière structurée

Le rapport inclut : identification complète (structure, dirigeants, bénéficiaires effectifs), analyse financière, criblage intégrité (sanctions, PPE, médias adverses), évaluation des risques et synthèse avec recommandations d'experts.

Découvrir : Rapport d'Intégrité – Solution Ellisphere

L'intégration des critères RSE dans l'évaluation des tiers répond à la fois aux exigences du devoir de vigilance et à celles de la CSRD (obligation de publier des données extra-financières). Concrètement, cela implique :

• Évaluer les pratiques environnementales du tiers : gestion des déchets, empreinte carbone

• Vérifier les conditions de travail : sécurité des salariés, absence de travail des enfants

• Analyser la gouvernance : structure de gouvernance, lutte contre la corruption, bénéficiaires effectifs

• Alimenter le rapport de durabilité CSRD à partir des données collectées sur les tiers

La puissance d'une entreprise vis-à-vis d'un fournisseur est liée au poids de son carnet de commandes : plus elle investit, plus elle peut influencer son comportement vers des pratiques RSE vertueuses.

Lire : Intégrer la RSE et l'intégrité dans l'évaluation des tiers

Il n'existe pas de nombre de GTR imposé par la réglementation. Selon l'enquête AFA 2024 portant sur 414 répondants :

• 25 % des entreprises ont déclaré moins de 5 GTR

• 50 % ont moins de 9 GTR

• 75 % ont moins de 20 GTR

Le bon nombre de GTR dépend de la complexité de l'organisation, de la diversité des tiers et des scénarios de risque identifiés dans la cartographie des risques de corruption. La majorité des entreprises utilise une approche mixte : scénarios de risque prédéfinis et liste de critères (secteur, pays, nature de la prestation, montant des transactions).

Lire : Groupes de tiers à risque – Guide pour une évaluation optimisée

Les Personnes Politiquement Exposées (PPE) sont des personnes physiques qui occupent ou ont occupé des fonctions publiques importantes, liées à un pouvoir de décision significatif (dirigeants d'État, membres du gouvernement, parlementaires, hauts responsables de partis politiques, dirigeants d'organisations internationales, etc.).

Les PPE présentent un risque accru de corruption en raison de leur position et de leur exposition aux pots-de-vin. La vérification de la présence éventuelle de PPE parmi les dirigeants, administrateurs ou bénéficiaires effectifs d'un tiers est une étape obligatoire du processus d'évaluation selon les recommandations de l'AFA et les obligations AML.

Lire : Glossaire de la compliance – Les mots-clés à connaître

Ellisphere dispose d'une business line dédiée exclusivement aux problématiques de conformité. L'approche repose sur :

• La plateforme Compliance For Business (CFB) : solution en ligne permettant de cribler les personnes morales, leurs dirigeants et leurs bénéficiaires effectifs, de les croiser avec les listes de sanctions et de PPE, et d'analyser l'adverse media grâce à un module IA

• Le Rapport d'Intégrité : première réponse simple et efficace pour évaluer des tiers à fort enjeu, avec identification complète, analyse financière, criblage et synthèse d'experts

• Une approche multisource et multirisque (corruption, cyber, RSE, risque financier) adaptable à la profondeur d'analyse requise par chaque GTR

• Un accompagnement par une équipe spécialisée en conformité et une base de données exhaustive en France et à l'international

Découvrir : Compliance – Maîtriser la connaissance de vos tiers | Livre blanc 2025