feat: unified VendorRiskScore — fuse gap analysis + contract review + questionnaire into one score per vendor

[AndreLiar]

Fusionner les 3 méthodes de due diligence en un score de risque unique par vendor, pondéré preuve > déclaration (sert le moat profondeur — cf. Product Vision). doragrc / questionnaire-only ne peut pas faire ça (il ne lit pas les preuves).

Les 3 signaux (déjà 0-100 dans le code)

Source	Champ existant	→ 0-100
Gap analysis DORA	Assessment.results.overallRisk (High/Medium/Low) + gaps[].gapLevel	High=0 · Medium=50 · Low=100 (déjà dans AssessmentRepository.getComplianceScore)
Contract review Art 30	Assessment.clauseSignoffs[].gapLevel (covered/partial/missing)	% clauses : covered=1 · partial=0.5 · missing=0
Questionnaire	VendorQuestionnaire.overallScore (0-100) + questions[].score	déjà 0-100

La fusion — VendorRiskScore

Pas une moyenne bête. 4 règles :

1. Pondérer preuve > déclaration : départ 0.40·Docs + 0.35·Contrat + 0.25·Questionnaire (calibrer via E1).
2. Confiance = n/3 signaux présents : afficher « 72 — basé sur 2/3 sources » ; renormaliser sur les signaux présents.
3. Fraîcheur / décroissance : signaux anciens pèsent moins (réutiliser memoryDecayQueue).
4. Overlay « gap critique » : une clause Art 30 critique (audit, exit, sous-traitance) missing → flag rouge par-dessus la moyenne (une moyenne cache un trou critique).

→ Sortie : score 0-100 + niveau de confiance (n/3) + flags critiques.

Usage selon le statut vendor (dépend de #409 niveau 2)

Statut	Rôle du score	Action
under-review	Décision GO/NO-GO (signer ?)	seuil < X ou clause critique manquante → ne pas signer ; pousse à collecter les sources manquantes ; alimente la décision de risque (proceed/conditional/reject)
active	Monitoring continu	tendance → alertes de dégradation ; cadence de ré-évaluation (nextReviewDate) ; alimente RoI + concentration
exited	Historique gelé	exclu des moyennes/alertes ; conservé pour audit trail (offboarding responsable)

→ « under-review = le score décide · active = il surveille · exited = il archive ».

Crochets d'implémentation

• getVendorRiskScore(workspaceId) — étendre le pattern de AssessmentRepository.getComplianceScore pour tirer les 3 sources
• Normalisation contract-coverage (% clauses) + réutiliser VendorQuestionnaire.overallScore
• Pondération + confiance (n/3) + overlay flags critiques
• Décroissance par fraîcheur (memoryDecayQueue)
• Gating par seuil branché sur vendorStatus (feat(ux): rendre le cycle de vie vendor réel (under-review → active → exited) + dates de contrat conditionnelles #409) + la décision de risque
• UI : badge score + confiance + flags sur la carte vendor / risk register
• Calibrer les poids via E1 (éval) — golden dataset

Dépendances

• feat(ux): rendre le cycle de vie vendor réel (under-review → active → exited) + dates de contrat conditionnelles #409 niveau 2 (cycle de vie vendor réel) — le score n'est actionnable que couplé au statut
• E1 ([E1] Evaluation & AI Quality #385) — calibration des poids / confiance

Réf code

• backend/repositories/AssessmentRepository.js (getComplianceScore) · models/Assessment.js (results.overallRisk, clauseSignoffs[].gapLevel) · models/VendorQuestionnaire.js (overallScore, questions[].score)

[AndreLiar]

Sous-cas : Contract review × statut vendor

Le signal Contrat du VendorRiskScore se comporte différemment selon vendorStatus — et surtout, une clause Art 30 missing a un coût/action radicalement différent :

Statut	Rôle du contract review	Clause missing =
under-review (pré-signature)	Levier de négociation (moment de plus forte valeur) : revue du draft → clauses manquantes repérées avant signature → recommendation = texte à exiger	« demande-la en négo » — actionnable, pas cher. Clause critique (audit/exit) manquante → gate : ne pas signer
active (signé)	Preuve de conformité + backlog de remédiation : documente la couverture du contrat actif (RoI, auditeur) ; sign-off = risque résiduel accepté/flaggé	« coincé » — avenant au renouvellement ou contrôle compensatoire + décision d'acceptation du risque. Cher.
exited (sorti)	Preuve d'audit gelée ; la couverture de Art.30(2)(d) (exit) prouve un offboarding contractuellement sain	leçon historique / evidence

Insight : la même clause manquante coûte un mail de négo en under-review, un avenant + décision de risque en active, une ligne d'audit en exited. → Le contract review a sa valeur max en under-review (corriger en négociant, gratuitement) — le moment que doragrc/questionnaire ne servent pas (= le wedge).

Implication pour le score : le signal Contrat est pondéré fort (preuve dure) ; en under-review une clause critique manquante déclenche un gate GO/NO-GO, pas juste une baisse de moyenne.