Audit interne : anticiper les risques géopolitiques et les ruptures d’approvisionnement

Après les vulnérabilités technologiques¹, ce deuxième article s’intéresse aux fragilités qui naissent hors des systèmes internes de l’organisation, mais qui peuvent rapidement affecter ses opérations, ses fournisseurs et ses engagements clients : tensions géopolitiques, restrictions commerciales, ruptures d’approvisionnement ou dépendances fournisseurs insuffisamment visibles.

Contexte

Ces dernières années, les organisations ont dû composer avec des perturbations logistiques ponctuelles : congestion portuaire, tensions sur certaines matières premières, allongement des délais de transport, restriction douanière, hausse du coût de transport, indisponibilité temporaire de composants critiques. Ces ruptures et perturbations tendent désormais à s’accumuler.

Une enquête menée auprès de plus de 900 entreprises européennes indique que 78 % des professionnels de la supply chain interrogés anticipent que les tensions géopolitiques, les droits de douane et l’évolution des règles du commerce international affecteront leurs opérations au cours des 12 à 24 prochains mois².

Cette augmentation des incidents a été prise en compte dans les travaux récents de l’IFACI et de l’ECIIA³, qui invitent les directions d’audit interne à dépasser la seule identification des risques géopolitiques pour apprécier la gravité réelle des expositions, la maturité des dispositifs de maîtrise et l’adéquation de la couverture d’audit sur ces sujets.

Dans le prolongement de ces travaux, cet article cherche à proposer de nouveaux axes de travail aux directions d’audit interne pour qu’elles puissent s’emparer de ces sujets devenus incontournables.

Analyser les impacts concrets des risques géopolitiques pour mieux s’en prémunir

Les tensions commerciales, les sanctions économiques, les restrictions à l’exportation, les politiques de souveraineté industrielle, les conflits régionaux ou les recompositions énergétiques peuvent modifier rapidement les conditions d’accès à un marché, à une technologie, à une matière première ou à un fournisseur.

Pourtant, dans de nombreuses organisations, le risque géopolitique reste souvent analysé comme un risque externe général, et non traduit en impacts opérationnels concrets.

L’auditeur interne a tout intérêt à déterminer comment ce risque générique peut affecter les activités et processus critiques de l’entreprise. Les questionnements porteront principalement sur les points suivants :

• quels fournisseurs sont le plus exposés ?
• quels flux logistiques en dépendent ?
• quels composants ou matières premières sont concernés ?
• quels contrats prévoient des clauses de substitution ?
• quels engagements clients pourraient être affectés ?
• quelles activités seraient les premières exposées en cas de restriction commerciale, de fermeture de corridor ou de hausse brutale des délais ?

Et sur la base de ces questionnements, l’audit interne doit identifier les moyens de maîtrise déployés ou absents : a-t-on cherché à diversifier des fournisseurs, et de quelle manière ? Le processus Achats prévoit-il des renégociations contractuelles régulières, des couvertures assurantielles ont-elles été ajustées, et des évolutions ont-elles été prévues dans notre politique de gestion des stocks ?

Anticiper les ruptures en challengeant les indicateurs suivis par les opérationnels

Pour l’audit interne, cette accumulation d’incidents pose aussi une autre question : les dispositifs de suivi actuels permettent-ils de détecter ces signaux faibles ou ne mesurent-ils que leurs conséquences une fois le risque matérialisé ?

Parmi les organisations qui ont mis en place des mesures, la majorité suivent encore des indicateurs rétrospectifs : taux de rupture, incidents fournisseurs, retards de livraison, évolution de tel ou tel coût, non-conformités de qualité.

En tant qu’auditeur interne, on doit se demander si l’organisation suit ou a la capacité de suivre la dépendance à des fournisseurs uniques, à la concentration géographique des fournisseurs critiques, à l’exposition des achats à des zones géopolitiques sensibles. Le délai réel de requalification d’un fournisseur alternatif, la part des fournisseurs critiques non couverts par une évaluation récente de continuité seront aussi des points à étudier.

Ne pas négliger les dépendances de rang 2, rang 3 et les risques de concentration masqués

Si la plupart des entreprises ont une bonne vision de leurs fournisseurs directs les plus critiques, peu disposent d’une vision suffisamment précise de leurs dépendances de rang 2 ou de rang 3.

Or, les vulnérabilités se situent aussi au-delà du premier niveau de contractualisation. Une organisation peut disposer de plusieurs fournisseurs directs, mais dépendre indirectement d’un même producteur de composant, d’une même zone industrielle, d’un même port, d’un même prestataire logistique ou d’une même technologie propriétaire.

Cette dépendance indirecte relève de la notion de « fourth-party risk » et peut créer un risque de concentration masqué. Celui-ci peut rester invisible dans les référentiels achats traditionnels lorsque les fournisseurs directs sont diversifiés, alors même qu’une dépendance commune existe plus en amont de la chaîne.

Exemple Le secteur des semi-conducteurs illustre bien ce mécanisme. Taïwan concentre plus de 90 % de la capacité mondiale de fabrication des puces logiques avancées, une capacité largement dominée par TSMC4, tandis qu’ASML est actuellement le seul fabricant mondial de systèmes de lithographie EUV, utilisés pour les couches les plus critiques des puces les plus avancées5. Des entreprises peuvent ainsi avoir diversifié leurs fournisseurs directs tout en restant indirectement exposées à un même fondeur, à un même équipementier critique ou à une même zone géographique.

Pour l’audit interne, la criticité de telles dépendances indirectes peut ainsi être caractérisée selon quatre dimensions : leur concentration, leur substituabilité, le délai de bascule vers une solution alternative et le niveau de visibilité dont dispose l’organisation sur ces dépendances.

Il est nécessaire d’être capable d’identifier ces points de convergence vers des fournisseurs de second ou troisième rang pour les composants critiques, les géographies d’approvisionnement sensibles. Ce qui implique de se poser les questions suivantes : des fournisseurs de secours sont-ils déjà qualifiés, dépendent-ils des mêmes composants ou infrastructures que le fournisseur principal, et les délais de bascule sont-ils compatibles avec les engagements clients ?

Adapter la démarche d’audit interne

Les tensions géopolitiques et les ruptures des chaînes d’approvisionnement obligent les directions d’audit interne à adapter leurs méthodes.

La première évolution touche le plan d’audit annuel, qui ne peut plus être construit uniquement à partir d’une cartographie statique. Le plan d’audit doit être ajusté plus fréquemment et être nourri par l’évolution du contexte géopolitique.

Le deuxième chantier concerne la donnée. Les directions d’audit doivent exploiter davantage les informations issues des systèmes achats et de suivi des stocks, mais également de sites externes (statistiques sectorielles, bases de données portant sur la solidité financière des parties prenantes, etc.) pour identifier les vulnérabilités éventuelles avant qu’elles ne se transforment en incident.

Le troisième axe relève de la façon d’aborder les analyses. Les audits traditionnels centrés sur un processus doivent être complétés par des audits transverses fondés sur des scénarios tels que l’indisponibilité d’un fournisseur critique pendant six semaines, la restriction d’exportation sur un composant stratégique, la dépendance indirecte de deux sites à la même infrastructure logistique ou encore la crise affectant un prestataire majeur dans une zone sensible.

Enfin, les informations remontées aux comités de gouvernance doivent gagner en précision. Les comités d’audit attendent toujours une opinion sur l’efficacité des contrôles existants, certes, mais également des analyses précises portant sur les vulnérabilités engendrées par l’évolution du contexte géopolitique.

¹ Voir notre article paru dans la Lettre d’actualités techniques n° 69, juin 2026.

² Maersk, From uncertainty to opportunity: How European businesses can achieve growth amid supply chain volatility, September 2025.

³ IFACI / ECIIA, Risk in Focus 2026/2027 – Interim Report, May 2026.

⁴ U.S. International Trade Commission, U.S. Exposure to the Taiwanese Semiconductor Industry, November 2023.

⁵ ASML Holding N.V., 2025 Annual Report.