Plateforme de conformité et d’évaluation des tiers fournisseurs

Fourniture et mise en œuvre d’une plateforme SaaS hébergée, avec reprise du portefeuille existant, abonnements, contrôles récurrents et maintenance. Elle outille le suivi de la vigilance contre le travail dissimulé, l’évaluation des risques de corruption et la sécurisation des relations d’affaires. Des marchés subséquents peuvent porter sur des déploiements complémentaires, des études, des paramétrages, des évolutions et des interfaces supplémentaires.

Intégration, migration et déploiement

Le titulaire conseille l’acheteur sur les choix fonctionnels, organisationnels et techniques, anime les ateliers de cadrage et de paramétrage, réalise les interfaces, configure les environnements de recette et de production, conduit les recettes unitaires et techniques et assiste la recette métier. Il corrige les anomalies, forme les utilisateurs et fournit guides et supports. La mise en production est attendue au plus tard le 1er avril 2027.

La reprise porte notamment sur l’identité des tiers (dénomination, SIREN/SIRET, forme juridique, code APE/NAF, siège et pays), les documents et leurs validités, l’état d’inscription, les contacts et les coordonnées bancaires avec leur statut de vérification. Les archives du dispositif précédent sont intégrées aux dossiers et identifiées comme conformes et consultables. La bascule ne doit pas interrompre le suivi des échéances : les documents arrivant à expiration pendant cette période doivent continuer à générer les relances prévues. Un rapport de reprise recense les tiers repris, anomalies et traitements.

Dimensionnement indicatif : 17 000 tiers référencés en 2025 et 18 727 en 2026 ; environ 850 utilisateurs. Les déploiements SIDOM éventuels sont commandés par marchés subséquents ; les volumes 2026 indiqués sont : SIG 849, 2TERHABITAT 1 705, SIDR 550, SIMAR 400, SEMADER 380, SODIAC 178, SIM 600 et SEMAC 115.

| Contrôles observés en 2026 dans le dispositif antérieur | Volume |
|---|---:|
| Contrôle simplifié (immatriculation et assurance responsabilité civile) | 2 447 |
| Contrôle renforcé (screening anticorruption) | 1 511 |
| Contrôle approfondi (questionnaire anticorruption) | 1 321 |
| Contrôle sur le RIB | 2 941 |
| Obligation de vigilance / travail dissimulé | 2 279 |

Ces volumes décrivent l’activité antérieure et la répartition des niveaux peut être ajustée par le pouvoir adjudicateur.

Contrôles de conformité et suivi des tiers

La plateforme recueille les documents et contrôle leur validité. Pour les tiers établis en France, les pièces prévues comprennent notamment l’immatriculation de moins de 3 mois, l’attestation de régularité fiscale de moins de 3 mois et l’attestation de vigilance de moins de 6 mois. Elle peut aussi collecter la liste nominative des travailleurs étrangers soumis à autorisation de travail, avec date d’embauche, nationalité et type et numéro du titre valide, ou la déclaration sur l’honneur de non-emploi. Des justificatifs spécifiques sont prévus pour les tiers étrangers et la liste des documents paramétrés est définie en ateliers.

Les invitations et relances sont automatisées et paramétrables par document : le système suit les échéances, vérifie en ligne le code de l’attestation URSSAF et signale les documents invalides, périmés ou non transmis. Les relances, alertes, mises en demeure validées par un utilisateur habilité et accusés de réception sont historisés. La désinscription d’un tiers déclenche une alerte et ne peut interrompre son suivi réglementaire sans information du pouvoir adjudicateur.

Pour le risque de corruption, l’évaluation combine secteur d’activité, taille et indicateurs validés avec l’acheteur. Le screening porte notamment sur gels d’avoirs, mesures restrictives, sanctions, listes PPE, presse défavorable et risque géographique, pour les tiers et les personnes qui leur sont liées. Les tiers les plus exposés peuvent recevoir un questionnaire anticorruption avec demande de justificatifs ; les alertes sont analysées et peuvent être escaladées pour décision sur la relation d’affaires. Les évaluations et décisions sont tracées et renouvelées selon la périodicité définie par l’acheteur.

La plateforme collecte aussi des données financières, notamment les comptes et agrégats des trois derniers exercices disponibles, liens capitalistiques, incidents de paiement et procédures collectives. Elle restitue des indicateurs de défaillance, d’endettement et de dépendance économique, avec seuils et pondérations paramétrables, alertes et historique. L’audit continu des tiers référencés par SIRET détecte notamment fermetures d’établissements, procédures collectives, radiations et clôtures de comptes ; les événements retenus sont notifiés quotidiennement.

Coordonnées bancaires, référentiels et pilotage

Une interface bidirectionnelle automatisée avec Trustpair transmet les coordonnées à contrôler et restitue statuts, motifs, dates et alertes dans le dossier du tiers. Les contrôles vérifient notamment la forme de l’IBAN, la cohérence du pays, l’établissement teneur et la concordance entre titulaire du compte et identité du tiers. L’interface est maintenue pendant le marché sans surcoût ; les contrôles Trustpair restent facturés directement par le contrat de l’acheteur. Environ un quart des tiers dont les coordonnées sont contrôlées ne sont pas gérés sur cette plateforme : ils restent hors de la plateforme du marché et leurs contrôles demeurent réalisés directement dans Trustpair. Un changement de plateforme bancaire en cours de marché relève d’un marché subséquent.

L’échange avec le référentiel tiers est bidirectionnel et automatisé ; la transmission des états d’inscription, indicateurs de conformité, non-réponses, désinscriptions et signalements bancaires intervient dans un délai maximal de 24 heures. Les API sont documentées et ouvertes, les échanges horodatés ; les échecs déclenchent une nouvelle émission puis une alerte. Le traitement des doublons de SIRET est attendu. Les extractions sans limitation de volume doivent être disponibles sans intervention du titulaire, en formats exploitables tels que CSV ou Excel.

Les dossiers individuels, tableaux de bord et reporting restituent états des documents, risques, alertes, historiques, résultats des contrôles bancaires, indicateurs financiers, analyses et documents. Les recherches et filtres sont multicritères ; les tableaux de bord sont paramétrables. Le système comprend des workflows séquentiels ou parallèles, des circuits de validation et d’escalade paramétrables, des champs personnalisables et quatre profils (administrateur, conformité, contributeur, consultation). L’accès des utilisateurs du pouvoir adjudicateur s’effectue par SSO ; les accès à des documents sensibles peuvent être restreints.

Hébergement, sécurité et service récurrent

L’hébergement SaaS est situé en France ou dans un État membre de l’EEE. La disponibilité requise en métropole est de 99,9 %, du lundi au vendredi de 8 h à 20 h. En cas de déploiement SIDOM, elle est de 99,9 %, du lundi au vendredi de 6 h à 21 h, avec prise en compte des fuseaux UTC−4, UTC−3, UTC+3 et UTC+4. Les engagements de disponibilité et de rétablissement sont à adapter pour les SIDOM.

L’accès des tiers fournisseurs prévoit notamment une réinitialisation automatique des mots de passe au minimum tous les 90 jours. Les exigences de sécurité couvrent l’inventaire des actifs et sous-traitants, le cloisonnement des environnements, les protections des services exposés à Internet, le chiffrement, l’authentification multifacteur, la gestion des identités et journaux, la sauvegarde et la restauration testées au moins une fois par an, ainsi que des tests d’intrusion au minimum tous les deux ans. Les vulnérabilités de score CVSS supérieur ou égal à 9 doivent être corrigées ou compensées sous 5 jours ouvrés. Tout incident de sécurité est notifié sous 48 heures ; un rapport initial d’incident majeur est fourni sous 48 heures après détection et son rapport post-mortem sous 5 jours après résolution. Un Plan d’Assurance Sécurité détaillant les mesures appliquées est contractuel et auditable.

Le support renforcé est assuré pendant 3 mois pour chaque déploiement, puis le support se poursuit durant le marché. Les délais minimaux en exploitation sont : incident bloquant, prise en charge sous 1 heure, contournement sous 4 heures ouvrées, solution permanente sous 3 jours ouvrables ; incident majeur, 4 heures, 8 heures ouvrées et 5 jours ouvrables ; incident mineur, 8 heures, 24 heures ouvrées et 7 jours ouvrables. L’interruption du suivi réglementaire ou des relances est une anomalie bloquante. Les mises à jour correctives, de sécurité et les évolutions réglementaires sont incluses ; les évolutions non réglementaires peuvent être commandées selon les modalités prévues au marché.

La gouvernance comprend ateliers de paramétrage pendant la phase d’intégration, comité de pilotage mensuel et comité de projet hebdomadaire. Le reporting téléchargeable donne notamment les contrôles, leur montant détaillé, les utilisateurs par entité, les incidents et les taux journaliers de disponibilité.

Réversibilité

Le plan de réversibilité est formalisé dès la signature et révisé annuellement ; la réversibilité sortante est comprise dans le forfait de mise en œuvre. Dans le mois suivant la fin du marché, le titulaire restitue les données des tiers, documents, historiques de contrôles, relances, mises en demeure, indicateurs, rapports et logs utilisateurs, en format standard exploitable avec modèle de données. Les données résiduelles sont détruites de façon sécurisée et irréversible sous 30 jours après restitution, avec attestation. Les preuves du dossier sont conservées 10 ans, avec anonymisation à partir de 3 ans après la mise en production.