TPRM et SRM : différences, points communs et comment les articuler

Le TPRM (Third-Party Risk Management) et le SRM (Supplier Relationship Management) sont deux disciplines complémentaires mais distinctes : le TPRM gère le risque lié aux tiers, le SRM gère la performance et la valeur de la relation fournisseur. Le TPRM répond à « ce tiers peut-il nous exposer à un incident ? », le SRM répond à « ce fournisseur nous apporte-t-il la valeur attendue ? ». Les deux partagent une base commune — cartographie des tiers, gouvernance, suivi par indicateurs — mais n'ont ni le même point de départ, ni les mêmes déclencheurs, ni les mêmes métriques.

Dernière mise à jour : juin 2026.

En bref

• TPRM — Objectif : maîtriser le risque tiers. Logique : protection / défensive.
• SRM — Objectif : piloter la relation fournisseur. Logique : performance / création de valeur.
• Déclencheur TPRM : criticité du tiers (données, systèmes, réglementation). Déclencheur SRM : poids stratégique, volume d'achat, dépendance mutuelle.
• Parties prenantes TPRM : risques, conformité, cybersécurité, juridique, audit. Parties prenantes SRM : achats, supply chain, métiers.
• Indicateurs TPRM : niveau de risque, écarts de conformité, incidents, remédiations. Indicateurs SRM : taux de service, qualité, délais, économies, satisfaction.

Qu'est-ce que le TPRM ?

Le TPRM désigne les processus utilisés pour identifier, évaluer, suivre et réduire les risques introduits par des tiers — fournisseurs, sous-traitants, prestataires, partenaires, parfois distributeurs ou consultants. Le périmètre de risque est large : cyber, conformité, juridique, opérationnel, financier, réputationnel, réglementaire, continuité d'activité, et risque de concentration. Dès qu'un acteur externe touche aux processus, aux données ou aux systèmes de l'organisation, il devient une source de risque à piloter.

Un dispositif TPRM mature s'appuie sur : une due diligence avant signature, des questionnaires de risque standardisés, une classification des tiers par criticité, des clauses contractuelles de sécurité, une surveillance continue, des revues périodiques avec plans de remédiation, et des audits pour les tiers les plus sensibles. Plus un tiers est critique — accès à des données sensibles, à des systèmes critiques, à des activités réglementées — plus le contrôle est strict, indépendamment du volume d'achat.

Qu'est-ce que le SRM ?

Le SRM organise la relation fournisseur sur l'ensemble de son cycle de vie. Il ne se limite pas au risque : il couvre la performance, la qualité de service, les coûts, l'innovation, les SLA et la résolution des irritants opérationnels. L'objectif est de transformer le fournisseur en partenaire piloté, et non en simple ligne contractuelle à surveiller.

Le SRM structure : la segmentation des fournisseurs, la gouvernance des relations (comités de suivi), les indicateurs de performance, les plans d'amélioration continue, et les arbitrages entre coût, qualité et valeur business. Il est donc naturellement piloté par les achats et la supply chain, alors que le TPRM mobilise en priorité les fonctions risques, conformité et sécurité.

TPRM vs SRM : les différences de fond

Le point de départ

Le TPRM part du risque : menaces, vulnérabilités, impacts. Le SRM part de la relation : qualité du partenariat, pilotage opérationnel, valeur créée dans le temps.

Le déclencheur d'attention

Le TPRM est déclenché par la criticité du tiers, indépendamment de l'intensité commerciale. Un fournisseur ayant accès à des données sensibles sera fortement contrôlé même avec de faibles volumes d'achat. Le SRM, à l'inverse, s'applique à toute la base fournisseurs et varie selon le poids stratégique, le volume d'achat et le niveau de dépendance mutuelle.

Les indicateurs suivis

En TPRM : niveau de risque, écarts de conformité, incidents, remédiations ouvertes, couverture des évaluations. En SRM : taux de service, qualité, délais, satisfaction interne, économies, contribution à la performance business.

Les points communs entre TPRM et SRM

Malgré des finalités distinctes, les deux disciplines partagent une même conviction : une entreprise ne peut plus gérer ses fournisseurs comme de simples entités contractuelles isolées. Elle doit les cartographier, les segmenter, les évaluer et suivre leur évolution dans le temps.

Concrètement, TPRM et SRM partagent :

• Une base méthodologique proche : gouvernance, données fournisseurs, classification, suivi continu
• Les mêmes parties prenantes transverses : achats, métiers, juridique, conformité, sécurité, finance
• Une dépendance critique à la qualité de la donnée fournisseur — une relation mal référencée devient vite impossible à gouverner, sous l'angle du risque comme sous celui de la performance
• Un objectif commun : limiter les ruptures d'activité, les litiges, les non-conformités et les pertes de valeur

Comment articuler TPRM et SRM

Dans une organisation mature, TPRM et SRM ne sont pas en concurrence — ils se superposent. Le SRM constitue le cadre de gestion relationnelle global : vue d'ensemble sur la performance, la valeur et la qualité de collaboration de chaque fournisseur. Le TPRM y injecte la brique de contrôle des risques, en imposant des exigences de sécurité et de conformité là où la criticité du tiers le justifie.

En résumé : le SRM pilote le « quoi » et le « comment » de la relation ; le TPRM pilote les « quels risques » et « quelles protections ». Cette articulation est précieuse pour les organisations qui travaillent avec de nombreux fournisseurs critiques ou fortement intégrés à leurs processus — chaîne logistique, infrastructure IT, sous-traitance réglementée. Alignés sur une base de données fournisseurs commune, TPRM et SRM permettent de gagner simultanément en robustesse opérationnelle et en performance fournisseur.

TPRM et SRM en une phrase

• Le TPRM sécurise l'exposition de l'entreprise aux tiers.
• Le SRM structure la relation fournisseur dans la durée.
• Le TPRM est défensif ; le SRM est orienté valeur.
• Les deux sont complémentaires et gagnent à être intégrés sur une base de données partagée.

Questions fréquentes

Le TPRM remplace-t-il le SRM ?

Non. Le TPRM ne couvre que la dimension risque de la relation fournisseur — pas la performance, les coûts ou la qualité de service, qui relèvent du SRM.

Faut-il commencer par le TPRM ou par le SRM ?

Cela dépend de la maturité de l'organisation. Une entreprise très exposée aux risques tiers (cyber, réglementaire) démarre souvent par le TPRM. Une organisation avec une base fournisseurs stratégique étendue structure d'abord son SRM, puis y intègre une couche de contrôle des risques.

Un même outil peut-il couvrir TPRM et SRM ?

Oui, à condition de s'appuyer sur un référentiel fournisseur unique, centralisant identité, criticité, contrats, performance et risques — pour éviter doublons et incohérences entre équipes risques/conformité et équipes achats.

Quel est le risque à ne pas distinguer TPRM et SRM ?

Sur-contrôler des fournisseurs à faible risque mais fort enjeu commercial, ou inversement sous-évaluer le risque d'un tiers critique à faible volume d'achat — car les critères d'attention ne sont pas les mêmes.