6 Min. de lecture<\/p>\n
La conformit\u00e9 des cha\u00eenes d’approvisionnement ne \u00e9choue rarement \u00e0 cause d’un manque de volont\u00e9. Elle \u00e9choue parce que les entreprises ne g\u00e8rent pas leurs fournisseurs, sites et preuves comme une base de donn\u00e9es coh\u00e9rente.<\/strong><\/p>\n Les points cl\u00e9s en bref<\/p>\n La directive europ\u00e9enne sur les cha\u00eenes d’approvisionnement (CSDDD) a \u00e9t\u00e9 consid\u00e9rablement simplifi\u00e9e en 2026. Selon la version actuelle, elle concerne dans un premier temps les entreprises comptant plus de 5 000 salari\u00e9s et r\u00e9alisant plus de 1,5 milliard d’euros de chiffre d’affaires net. Son application d\u00e9butera le 26 juillet 2029, les \u00c9tats membres devant transposer les dispositions d’ici juillet 2028. Cela r\u00e9duit temporairement la pression sur de nombreux programmes, mais ne r\u00e9sout aucun probl\u00e8me de donn\u00e9es.<\/p>\n En Allemagne, la loi sur le devoir de diligence dans les cha\u00eenes d’approvisionnement (Lieferkettensorgfaltspflichtengesetz) reste en vigueur jusqu’\u00e0 ce que la r\u00e9glementation europ\u00e9enne soit transpos\u00e9e en droit national. L’obligation de reporting a \u00e9t\u00e9 politiquement r\u00e9duite et le BAFA n’accepte actuellement aucun rapport via son portail. Cependant, les analyses de risques, la pr\u00e9vention, les mesures correctives, les m\u00e9canismes de r\u00e9clamation et la documentation restent au c\u0153ur des obligations de diligence. Ceux qui n’y voient qu’un projet de reporting construisent une r\u00e9ponse \u00e0 court terme \u00e0 un probl\u00e8me de gestion permanent.<\/p>\n Pour de nombreux fournisseurs de taille moyenne, la pression ne provient d’ailleurs pas directement du champ d’application l\u00e9gal. Les grands clients exigent des informations sur la provenance, des \u00e9valuations des risques, des certificats et des preuves fiables tout au long de leur propre cha\u00eene d’approvisionnement. Ainsi, la capacit\u00e9 \u00e0 fournir rapidement et de mani\u00e8re coh\u00e9rente ces donn\u00e9es devient une condition commerciale.<\/p>\n Ceux qui n’y voient qu’un projet de reporting construisent une r\u00e9ponse \u00e0 court terme \u00e0 un probl\u00e8me de gestion permanent.<\/p>\n<\/blockquote>\n Un syst\u00e8me ERP conna\u00eet le fournisseur. Il conna\u00eet les factures, les conditions de paiement et souvent l’entit\u00e9 juridique. Cela ne suffit pas pour les obligations de diligence. Sont \u00e9galement pertinents les sites de production, les structures de groupe, les flux de marchandises, les mat\u00e9riaux utilis\u00e9s, les sous-traitants, les zones \u00e0 risque et la validit\u00e9 des certificats. Ces informations se trouvent souvent dans les services achats, gestion de la qualit\u00e9, conformit\u00e9, durabilit\u00e9 et sur des portails externes. Elles suivent diff\u00e9rents identifiants et cycles de mise \u00e0 jour.<\/p>\n La premi\u00e8re d\u00e9cision architecturale est donc la suivante : quelle est l’identit\u00e9 canonique d’un fournisseur ? Un simple num\u00e9ro de fournisseur joue rarement ce r\u00f4le. Un mod\u00e8le de donn\u00e9es doit repr\u00e9senter s\u00e9par\u00e9ment l’entit\u00e9 juridique, le groupe \u00e9conomique, le site et la relation commerciale. Un groupe peut produire dans plusieurs pays. Un site peut livrer \u00e0 diff\u00e9rentes soci\u00e9t\u00e9s clientes. Si ces niveaux sont m\u00e9lang\u00e9s, les risques ne peuvent \u00eatre ni attribu\u00e9s avec pr\u00e9cision ni \u00e9valu\u00e9s de mani\u00e8re tra\u00e7able.<\/p>\n Les DSI ne devraient pas cr\u00e9er un fichier parall\u00e8le suppl\u00e9mentaire en dehors de l’ERP. Il est plus judicieux de mettre en place un objet fournisseur principal avec un identifiant stable et des relations claires avec l’ERP, les achats, les donn\u00e9es produits et les sources de risques. Les donn\u00e9es n’ont pas besoin d’\u00eatre physiquement dans un seul syst\u00e8me. L’essentiel est que chaque application r\u00e9f\u00e9rence la m\u00eame entit\u00e9 et que les modifications soient reprises de mani\u00e8re tra\u00e7able.<\/p>\n Le chiffre derri\u00e8re le report<\/p>\n 5 000 employ\u00e9s et 1,5 milliard d’Euro de chiffre d’affaires.<\/strong> Ce n’est qu’\u00e0 partir de ce seuil que la CSDDD s’applique directement, avec une entr\u00e9e en vigueur uniforme au 26 juillet 2029. La pression de la preuve via les contrats des grands clients se fera sentir bien plus t\u00f4t.<\/p>\n<\/div>\n L’exigence de transparence jusqu’aux niveaux inf\u00e9rieurs de la cha\u00eene d’approvisionnement incite \u00e0 adopter un objectif irr\u00e9aliste : repr\u00e9senter int\u00e9gralement chaque niveau de sous-traitance. Ni la CSDDD ni le LkSG n’exigent une cartographie exhaustive de toutes les relations commerciales. Le crit\u00e8re est la diligence fond\u00e9e sur les risques. L’architecture doit donc pouvoir montrer quelles donn\u00e9es sont disponibles, quelles hypoth\u00e8ses s’appliquent et pourquoi une entreprise approfondit son examen \u00e0 un endroit donn\u00e9.<\/p>\n Pour cela, il faut un mod\u00e8le relationnel plut\u00f4t qu’une simple liste de fournisseurs. Un composant renvoie \u00e0 des groupes de mat\u00e9riaux. Les groupes de mat\u00e9riaux renvoient \u00e0 des r\u00e9gions d’origine ou \u00e0 des sites de production. Les sites sont en relation avec des fournisseurs et des \u00e9valuations de risques. S’ajoutent les r\u00e9f\u00e9rences temporelles : un certificat \u00e9tait valide au moment de la validation, mais peut aujourd’hui \u00eatre expir\u00e9. Sans date d’effet et versioning, un audit ne produit qu’une collection de fichiers plausibles, mais pas une cha\u00eene de d\u00e9cision prouvable.<\/p>\n Surtout pour les fournisseurs indirects, l’IT doit distinguer les faits confirm\u00e9s, les d\u00e9clarations des fournisseurs, les indices externes et les \u00e9valuations de risques d\u00e9riv\u00e9es. Cette origine de l’information doit figurer dans le mod\u00e8le de donn\u00e9es. Elle d\u00e9termine si un indicateur peut \u00eatre consid\u00e9r\u00e9 comme une preuve fiable ou comme une simple affirmation.<\/p>\n Les \u00e9quipes conformit\u00e9 ne se demandent pas seulement quel risque \u00e9tait connu. Elles doivent montrer qui l’a \u00e9valu\u00e9, quand, quelle mesure a \u00e9t\u00e9 d\u00e9cid\u00e9e et si son efficacit\u00e9 a \u00e9t\u00e9 v\u00e9rifi\u00e9e. Cette cha\u00eene ne peut \u00eatre reconstitu\u00e9e de mani\u00e8re fiable \u00e0 partir d’e-mails, de pr\u00e9sentations et de fichiers dans des lecteurs partag\u00e9s. Elle n\u00e9cessite un processus num\u00e9rique avec une r\u00e9f\u00e9rence claire au fournisseur, au risque, \u00e0 la d\u00e9cision, aux responsables et aux justificatifs.<\/p>\n Une bonne conception s\u00e9pare ici les syst\u00e8mes op\u00e9rationnels de la logique de preuve. L’ERP reste responsable des commandes et des validations de livraison. Le syst\u00e8me d’achat g\u00e8re les appels d’offres et les contrats. Une plateforme de conformit\u00e9 ou de donn\u00e9es rassemble les \u00e9v\u00e9nements de risque, les contr\u00f4les, les mesures et les preuves. Les interfaces ne transmettent que les attributs n\u00e9cessaires. Cela r\u00e9duit les erreurs de copie et emp\u00eache que des informations sensibles ne se retrouvent de mani\u00e8re incontr\u00f4l\u00e9e dans des listes d’achats ou des outils d’analyse.<\/p>\n L’automatisation est particuli\u00e8rement utile pour les contr\u00f4les r\u00e9currents : certificats expir\u00e9s, champs obligatoires manquants, modifications des donn\u00e9es d’entreprise, nouveaux risques par pays ou groupes de produits, et mesures en retard. Elle ne remplace pas l’\u00e9valuation. Elle permet aux services m\u00e9tiers de consacrer leur temps aux cas r\u00e9ellement pertinents. Chaque r\u00e8gle automatique doit avoir un propri\u00e9taire, une source de donn\u00e9es et une proc\u00e9dure document\u00e9e pour les fausses alertes.<\/p>\n L’id\u00e9e re\u00e7ue la plus r\u00e9pandue est que la conformit\u00e9 d\u00e9finit les exigences et que l’IT fournit un outil. En r\u00e9alit\u00e9, c’est le mod\u00e8le op\u00e9rationnel qui d\u00e9termine la qualit\u00e9 des donn\u00e9es. Les achats sont responsables de nombreuses donn\u00e9es sources, les services m\u00e9tiers connaissent les produits et les relations avec les fournisseurs, la durabilit\u00e9 \u00e9value les contenus, le juridique d\u00e9finit le cadre, et l’IT est responsable de l’int\u00e9gration, de l’acc\u00e8s et de la tra\u00e7abilit\u00e9. Sans cette r\u00e9partition, des champs obligatoires sont cr\u00e9\u00e9s, mais ne sont pas entretenus.<\/p>\n Une deuxi\u00e8me erreur consiste \u00e0 tenter de nettoyer toutes les donn\u00e9es avant le lancement. La qualit\u00e9 des donn\u00e9es de r\u00e9f\u00e9rence s’am\u00e9liore rarement gr\u00e2ce \u00e0 un projet ponctuel de grande envergure. Il est pr\u00e9f\u00e9rable de prioriser en fonction du risque et du volume d’achat. Pour les relations fournisseurs les plus critiques, des identit\u00e9s contraignantes, des responsables de donn\u00e9es et des r\u00e8gles de qualit\u00e9 doivent d’abord \u00eatre d\u00e9finis. Les mod\u00e8les obtenus peuvent ensuite \u00eatre appliqu\u00e9s \u00e0 d’autres groupes.<\/p>\n Les 90 prochains jours devraient donc produire trois r\u00e9sultats : un mod\u00e8le de donn\u00e9es contraignant pour le fournisseur, le site, la relation et la preuve, une cartographie des syst\u00e8mes principaux ainsi qu’un pilote pour une cat\u00e9gorie de produits \u00e0 risque. Le pilote r\u00e9v\u00e8le rapidement quelles informations sont r\u00e9alistement disponibles chez les fournisseurs et o\u00f9 les clauses contractuelles ou les processus doivent \u00eatre adapt\u00e9s.<\/p>\n La base de donn\u00e9es peut aller au-del\u00e0 des obligations r\u00e9glementaires. En reliant de mani\u00e8re coh\u00e9rente les relations avec les fournisseurs, les sites, les groupes de mat\u00e9riaux et les preuves, les d\u00e9pendances sont d\u00e9tect\u00e9es plus t\u00f4t. Une panne de production, un risque r\u00e9gional ou un certificat arrivant \u00e0 expiration sont alors associ\u00e9s \u00e0 un achat sp\u00e9cifique, une ligne de produits et une responsabilit\u00e9 concr\u00e8te. Cela am\u00e9liore les \u00e9changes entre les achats, la production et la gestion des risques.<\/p>\n Cependant, l’utilit\u00e9 op\u00e9rationnelle n’appara\u00eet que si l’architecture est int\u00e9gr\u00e9e aux processus de d\u00e9cision. Une \u00e9valuation des risques qui dispara\u00eet dans un portail s\u00e9par\u00e9 apr\u00e8s la signature du contrat ne prot\u00e8ge ni la capacit\u00e9 d’approvisionnement ni la r\u00e9putation. Un signal de risque doit atteindre les autorisations d’achat, le d\u00e9veloppement des fournisseurs et les escalades. L’architecture des donn\u00e9es devient ainsi l’\u00e9l\u00e9ment f\u00e9d\u00e9rateur entre la conformit\u00e9 et la gestion.<\/p>\n La simplification r\u00e9glementaire de 2026 n’est donc pas une raison de reporter la t\u00e2che. Elle offre du temps pour une meilleure mise en \u0153uvre. Les DSI devraient en profiter pour transformer des documents \u00e9pars en une cha\u00eene de donn\u00e9es v\u00e9rifiable. Ceux qui ne commencent qu’en cas de demande client ou d’audit paieront le prix de cette architecture manquante sous la pression du temps.<\/p>\n Non. L’approche d\u00e9terminante est bas\u00e9e sur les risques. Les entreprises doivent disposer de proc\u00e9dures robustes pour examiner plus en profondeur la cha\u00eene d’approvisionnement en cas de risques pertinents. Le mod\u00e8le de donn\u00e9es doit donc pouvoir repr\u00e9senter les relations indirectes, tout en indiquant clairement si les informations sont confirm\u00e9es, fournies par le fournisseur ou d\u00e9riv\u00e9es d’une \u00e9valuation des risques.<\/p>\n<\/details>\n G\u00e9n\u00e9ralement non. Les syst\u00e8mes ERP sont leaders pour la gestion des fournisseurs, des commandes et des mouvements de marchandises. Cependant, les \u00e9valuations des risques, les preuves, les mesures et leur versioning n\u00e9cessitent des objets et des processus suppl\u00e9mentaires. L’essentiel n’est pas une nouvelle plateforme monolithique, mais une identit\u00e9 fournisseur univoque et des interfaces fiables entre les syst\u00e8mes concern\u00e9s.<\/p>\n<\/details>\n Un pilote avec un groupe de marchandises pertinent en termes de risques apporte plus qu’une vision cible \u00e0 l’\u00e9chelle de l’entreprise. Il r\u00e9v\u00e8le les lacunes en mati\u00e8re de donn\u00e9es, les responsabilit\u00e9s floues et les probl\u00e8mes d’int\u00e9gration. Sur cette base, il est possible de d\u00e9finir des principes d’architecture, des r\u00e8gles de qualit\u00e9 des donn\u00e9es et un plan de d\u00e9veloppement r\u00e9aliste.<\/p>\n<\/details>\n Source de l’image : g\u00e9n\u00e9r\u00e9e par IA (juillet 2026)<\/em><\/p>\n Plus d’articles du r\u00e9seau MBF Media<\/p>\n\n
Le cadre juridique modifie les priorit\u00e9s, pas la t\u00e2che des donn\u00e9es<\/h2>\n
\n
L’\u00e9cart se situe entre le fichier fournisseurs et la cha\u00eene d’approvisionnement<\/h2>\n
La tra\u00e7abilit\u00e9 commence par les relations entre les donn\u00e9es<\/h2>\n
La preuve n\u00e9cessite un fil de d\u00e9cision inalt\u00e9rable<\/h2>\n
De nombreux projets \u00e9chouent en raison d’une mauvaise r\u00e9partition des responsabilit\u00e9s<\/h2>\n
Des donn\u00e9es de conformit\u00e9 \u00e0 un syst\u00e8me d’alerte op\u00e9rationnel pr\u00e9coce<\/h2>\n
Foire aux questions<\/h2>\n
Faut-il conna\u00eetre int\u00e9gralement les fournisseurs de rang 2 et 3 ?<\/strong><\/summary>\n
Un ERP peut-il couvrir \u00e0 lui seul la conformit\u00e9 de la cha\u00eene d’approvisionnement ?<\/strong><\/summary>\n
Quelle premi\u00e8re \u00e9tape offre aux DSI le meilleur gain de connaissances ?<\/strong><\/summary>\n