Agent de Revue de Sécurité Fournisseur
Lit ce que le rapport d'assurance dit réellement
- 8règles strictes
- Ce qu'il ne doit jamais faire, appliqué à chaque exécution
- 5règles de transfert
- Les cas où il s'arrête et confie le travail à une personne
- 11champs de sortie
- Un résultat structuré, pas un paragraphe à relire
- ≤8étapes par exécution
- Travail borné : au plus 6 appels d'outils, imposé par le moteur d'exécution
Lecture seule par conception. Cet agent n'a aucun moyen d'envoyer, de dépenser, de publier ou de valider quoi que ce soit. Là où cette limite est le produit, la retirer supprimerait la raison de faire confiance au résultat.
Aperçu
L'examen de sécurité des tiers est devenu un rituel. Un fournisseur envoie un questionnaire rempli et un rapport d'assurance, quelqu'un les classe, et le fournisseur est approuvé. Ces documents sont rarement lus de près, car le faire correctement suppose de savoir quoi chercher dans cent pages d'un langage écrit pour rassurer.
Ce qui compte n'est presque jamais dans les réponses. C'est dans l'énoncé de périmètre — un rapport d'assurance couvrant un autre produit que celui que vous achetez est courant et ne vous vaut rien. C'est dans les réserves, que tout rapport comporte et qu'aucun résumé ne mentionne. C'est dans la période, car un rapport couvrant une année close il y a quatorze mois ne dit rien de l'entreprise d'aujourd'hui. C'est dans les sous-traitants ultérieurs, la chaîne du fournisseur qui hérite de vos données, généralement listée sur une page web plutôt qu'engagée dans un contrat.
Et c'est surtout dans l'écart entre ce que le questionnaire affirme et ce que le rapport a réellement testé. C'est le contrôle le plus utile qui soit et presque personne ne le fait, car il suppose de lire les deux documents l'un contre l'autre.
Cet agent fait cette lecture et rapporte ce qu'il a trouvé, ce qu'il n'a pas pu vérifier, et les questions précises à renvoyer au fournisseur. Il n'approuve rien et ne note rien : une décision de risque appartient à la personne qui en répond.
Bénéfices
Des examens qui examinent vraiment
Plutôt que de classer des documents et d'appeler cela de la diligence.
Des questions précises à renvoyer
C'est ce qui fait bouger un fournisseur, pas une relance générique.
Une trace défendable
De ce qui a été contrôlé et de ce qui a été accepté, avec les raisons.
Ce qu'il fait
Il contrôle d'abord le périmètre
Un rapport couvrant un autre produit que celui que vous achetez est courant, ne vaut rien, et tient en un paragraphe que personne ne lit.
Il trouve les réserves
Tout rapport en comporte et aucun résumé ne les mentionne. Une opinion avec quatre réserves n'est pas une opinion sans réserve.
Il vérifie que la période est à jour
Un rapport clos il y a quatorze mois décrit une entreprise qui n'existe peut-être plus sous cette forme.
Il cartographie les sous-traitants ultérieurs
Le trajet suivant de vos données. En général une page web que le fournisseur peut modifier sans vous le dire.
Il confronte les affirmations aux preuves
Là où le questionnaire affirme quelque chose que le rapport n'a jamais testé. Le contrôle le plus utile qui soit, et le moins pratiqué.
Il n'approuve rien
Il produit des constats et les questions à poser. Accepter un risque appartient à la personne qui en répond.
Ce que cela change
Ce que cela change à votre semaine
- Ce qu'il reprend
- Lire réellement le questionnaire d'un fournisseur et son rapport d'assurance l'un contre l'autre.
- Fait aujourd'hui par
- Celui qui les classe, ce qui n'est pas la même chose que les lire.
- À quelle fréquence
- Au référencement et chaque année, sur le papier.
- Effort manuel habituel
- Cent pages d'un langage d'assurance écrit pour rassurer.
Pourquoi Cybersécurité en particulier. Ce qui compte n'est jamais dans les réponses — c'est dans le paragraphe de périmètre, dans les réserves que le résumé omet, dans la période close il y a plus d'un an, et dans les affirmations que le rapport n'a jamais testées.
Fonctionne sans surveillance
Lancé par vous ou par un événement, il termine seul. Rien n'attend que quelqu'un soit à son bureau.
La même exigence à chaque fois
Le deux centième élément est tenu au niveau du premier. La régularité est la part que les humains ne tiennent pas.
Il ne peut pas agir de lui-même
Agent de Revue de Sécurité Fournisseur n'a aucun moyen d'envoyer, de dépenser ou d'engager quoi que ce soit. C'est précisément cette limite qui rend son résultat sûr à exploiter.
Comment il fonctionne
Cet agent s'exécute côté serveur via l'environnement d'exécution PROMIVO. Chaque exécution est journalisée étape par étape et chaque appel d'outil est soumis à une vérification des autorisations avant d'être exécuté.
- 1EntréeValidée par rapport au schéma d'entrée de l'agent
- 2Modèleclaude-opus-5 avec repli automatique
- 3Outilssearch_knowledge, extract_structured_data
- 4PermissionsExécute automatiquement les actions READ ; tout ce qui est au-dessus attend une validation
- 5SortieRésultat structuré conforme au schéma de sortie
- 6JournalisationJetons, durée et chaque étape sont enregistrés
Démo
Données de démonstrationIllustrative sample output, abridged.
Entrée
{
"vendor": "Northwind Analytics",
"reviewDate": "2026-09-02",
"serviceBeingBought": "Hosted reporting platform"
}Sortie
{
"scope": {
"note": "You are buying the hosted reporting platform. The report covers the data warehouse product only. Everything below applies to a system you are not purchasing.",
"entityCovered": "Northwind Holdings Inc.",
"productCovered": "Northwind Data Warehouse",
"matchesServiceBought": false
},
"period": {
"covers": "1 Jan 2025 – 31 Dec 2025",
"current": false,
"endedMonthsAgo": 20
},
"escalate": true,
"disclaimer": "A reading of the documents supplied. No vendor system was tested or contacted, no approval or risk rating is given, and no statement is made that this vendor is secure or compliant. An untested claim is unverified rather than false.",
"exceptions": [
{
"meaning": "The same control failure that would put your data in reach of someone who has left their company. Present in the detail; absent from the summary they sent.",
"exception": "Two instances where access for departed personnel was not revoked within the stated period.",
"affectsOurData": true
}
],
"subprocessors": [
"A cloud hosting provider (US)",
"A support ticketing provider (US)",
"An email provider (EU)"
],
"couldNotAssess": [
"Incident response times — no evidence supplied and the report does not test them."
],
"escalationReason": "The assurance report covers a different product than the one being bought, its period ended 20 months ago, and a questionnaire claim about subprocessor location is contradicted by the vendor's own published list.",
"questionsToSendBack": [
"Send the assurance report covering the hosted reporting platform, or confirm in writing that none exists.",
"Confirm whether customer-managed keys are available on the reporting platform, and whether any assessment has tested it.",
"Reconcile questionnaire item 6.1 with the two US subprocessors on your published list."
],
"claimsVersusEvidence": [
{
"claim": "\"All customer data is encrypted at rest with customer-managed keys.\"",
"source": "Questionnaire item 4.2. The report tests encryption at rest but says nothing about customer-managed keys.",
"status": "asserted-but-untested"
},
{
"claim": "\"We do not use subprocessors outside the EU.\"",
"source": "Their published subprocessor list names two US-based providers.",
"status": "contradicted"
}
],
"canAddSubprocessorsWithoutNotice": true
}Prérequis
Intégrations
Aucune intégration requise.
Avant de commencer
- Le questionnaire rempli par le fournisseur
- Son rapport d'assurance ou sa certification, dans une base de connaissances
- Les données et les accès dont disposera le fournisseur
- Nécessite le forfait Accès complet ou supérieur
Cas d'usage
Référencer un fournisseur
Avant que les données ne lui parviennent, tant que vous avez encore un levier.
Réévaluation annuelle
Si l'assurance de l'an dernier décrit encore le fournisseur de cette année.
Avant un renouvellement
Ce qui a changé dans sa posture et dans sa chaîne.
Répondre à la diligence de votre propre client
Savoir ce que vos fournisseurs supporteraient.
Tarifs
Accès complet
Facturé mensuellement via votre abonnement PROMIVO. Résiliable à tout moment.
Les exécutions consomment le quota de votre offre pour les exécutions d’agents et les tokens. Voir les limites de l’offre
FAQ
Approuve-t-il ou rejette-t-il des fournisseurs ?
Non. Il rapporte ce que les documents soutiennent et ce qu'ils ne soutiennent pas. Accepter un risque est une décision qui appartient à celui qui en répond, avec un contexte métier qu'il ne peut pas voir.
Teste-t-il les systèmes du fournisseur ?
Jamais. Il ne réalise aucun scan, sondage ou test d'aucune sorte. Il lit les documents qu'on vous a remis.
Et si le fournisseur n'a rien fourni d'utile ?
Alors c'est le constat, énoncé clairement. « Aucune preuve d'assurance n'a été fournie » vaut mieux qu'un examen qui traite des supports marketing comme des preuves.
Avis
Les avis s'ouvrent une fois que des clients ont exécuté cet agent.
Vous voulez que cet agent fonctionne autrement ?
Dites-nous ce qui doit changer et notre équipe cadrera une version sur mesure pour votre entreprise.
Personnaliser cet agent