Les services achats des clients incluent désormais des demandes de conformité sécurité dans les processus de contractualisation. Il s'agit généralement d'un questionnaire Excel comportant entre 150 et 300 lignes, à compléter et retourner dans un délai de dix jours. Dans les PME, ce document arrive souvent sur le bureau du référent sécurité, fréquemment le CTO ou le DSI, dont l'agenda est déjà chargé. Cela entraîne généralement la mobilisation d'heures supplémentaires pour rechercher des informations dans les anciens documents, la réutilisation de réponses issues de questionnaires précédents qui ne correspondent plus exactement à la situation actuelle, et un allongement des délais de contractualisation.
Cette pratique répond à des exigences réglementaires croissantes. Pour celles qui reçoivent ce type de demandes, mettre en place une méthode structurée permet de traiter les questionnaires de manière efficace et cohérente.
Pourquoi vous en recevez de plus en plus
La pression ne vient plus seulement d'acheteurs prudents. Elle est devenue réglementaire. Les entités soumises à la directive NIS2 doivent gérer la sécurité de leur chaîne d'approvisionnement, y compris la relation avec leurs fournisseurs directs (article 21, paragraphe 2, point d). Dans la finance, le règlement DORA encadre le risque lié aux prestataires TIC tiers dans son chapitre V, et les banques comme les assureurs répercutent ces exigences sur leurs sous-traitants. Et dès que vous traitez des données personnelles pour un client, l'article 28 du RGPD lui impose de ne retenir que des sous-traitants présentant des « garanties suffisantes ». Il faut bien qu'il les vérifie d'une manière ou d'une autre.
Autrement dit, votre client ne vous questionne pas par excès de zèle. Il transfère une obligation qui pèse sur lui. La conformité descend la chaîne de sous-traitance, et rien n'indique qu'elle remontera.
À quoi ressemblent ces questionnaires
Trois grandes familles reviennent. Les standards publics d'abord : le CAIQ v4 de la Cloud Security Alliance (261 questions alignées sur la Cloud Controls Matrix) pour les fournisseurs cloud et SaaS, et le SIG de Shared Assessments, très répandu chez les grands comptes et dans la finance, avec une version « Lite » d'environ 125 questions et une version « Core » qui en compte plusieurs centaines. Viennent ensuite les Excel maison, qui mélangent des questions tirées d'ISO 27001, du RGPD, parfois de NIS2 ou de DORA, dans le vocabulaire propre du client. Et enfin les plateformes d'évaluation fournisseurs, où vous répondez en ligne et où chaque « non » ou « partiel » déclenche des sous-questions.
Le piège : ces familles posent en réalité les mêmes questions (contrôle des accès, chiffrement, sauvegardes, gestion des incidents, sensibilisation, sous-traitants), mais chacune dans son dialecte. Répondre questionnaire par questionnaire, c'est retraduire la même réalité à chaque fois. Avec, à la clé, le risque de se contredire d'un client à l'autre.
La méthode en 5 étapes
Constituez une base de réponses unique, adossée à un référentiel pivot. Décrivez vos pratiques une seule fois, dans un langage neutre et structuré. Le NIST CSF 2.0 est un bon pivot : ses 106 sous-catégories couvrent l'essentiel de ce que demandent CAIQ, SIG et questionnaires maison, et il se projette vers ISO 27001, SOC 2 et l'article 32 du RGPD via des tables de correspondance publiées.
Répondez depuis la base, jamais de mémoire. Pour chaque question entrante, retrouvez la ou les pratiques pivot concernées et reformulez dans le vocabulaire du client. Vous gagnez du temps, et surtout de la cohérence : la réponse envoyée à un client en mars ne contredit pas celle envoyée à un autre en juin. Une incohérence détectée déclenche généralement des demandes de clarification supplémentaires.
Déclarez les écarts existants. « Non, pas encore, prévu au T4 avec telle mesure compensatoire » est une réponse acceptable. Un écart documenté, accompagné d'un plan de remédiation daté, est généralement accepté dans les évaluations fournisseurs. Un écart déclaré comme couvert puis constaté lors d'un audit ou d'un incident remet en cause l'ensemble des réponses.
Préparez les preuves avant qu'on les demande. Les questionnaires sérieux réclament des pièces jointes : politique de sécurité, plan de réponse à incident, attestation de tests de restauration, registre des traitements. Si ces documents découlent de la même évaluation que vos réponses, ils sont cohérents par construction. Et déjà prêts.
Historisez et mettez à jour. Datez chaque campagne de réponses, notez le questionnaire source, et rejouez la mise à jour quand vos pratiques évoluent. La plupart des clients ré-évaluent leurs fournisseurs chaque année : la deuxième campagne doit prendre une heure, pas une semaine.
Impact sur l'évaluation fournisseur
Un questionnaire complété et retourné en 48 heures, avec des réponses cohérentes et des preuves à l'appui, fournit à l'acheteur des éléments concrets pour son évaluation. Un délai de trois semaines et des réponses imprécises allongent le processus d'acquisition. Pour une PME, la capacité à répondre rapidement et avec précision aux demandes clients influence les décisions d'approvisionnement. Cette étape marque souvent un point de départ pour des projets de certification ISO 27001 ou SOC 2 ultérieurs.
Par où commencer
La base de réponses de l'étape 1, c'est ce que produit une évaluation Komplyo : vos pratiques capturées une fois sur la colonne vertébrale CSF 2.0, projetées automatiquement vers ISO 27001, SOC 2, RGPD et NIS2, avec les documents de preuve générés à partir des mêmes réponses. Le diagnostic gratuit (23 questions, environ 5 minutes) vous donne le point de départ, et vos réponses sont conservées si vous poursuivez.