Un client vous envoie un questionnaire de sécurité : comment y répondre sans y passer trois semaines

Cela commence toujours pareil : un email du service achats d'un client important, avec un tableur en pièce jointe et une date de retour à quinze jours. Personne dans l'entreprise ne sait par où commencer, et le dirigeant finit par y passer ses soirées.

Pourquoi vous en recevez de plus en plus

Vos clients les plus gros sont, ou seront, soumis à des obligations de cybersécurité qui couvrent leur chaîne d'approvisionnement. Ils ne peuvent pas s'y conformer sans savoir à qui ils achètent. Ils répercutent donc l'exigence sur leurs fournisseurs — c'est-à-dire sur vous.

Ce mécanisme de cascade est le point important, et il est très mal compris : vous pouvez être totalement hors du périmètre d'une réglementation et en subir intégralement les effets, parce que votre client, lui, est dedans. Aucune exemption de taille ne vous protège de la question d'un donneur d'ordre.

« Vous n'êtes pas obligé de vous conformer. Vous êtes obligé de répondre — ou de renoncer au contrat. »

L'erreur qui coûte le plus cher

C'est de traiter chaque questionnaire comme un exercice ponctuel. On le remplit dans l'urgence, on l'envoie, on referme le fichier. Six mois plus tard, un autre client envoie le sien, avec 70 % de questions identiques posées autrement — et on recommence de zéro.

Pire : les réponses divergent. Le premier questionnaire disait que les sauvegardes sont quotidiennes, le second qu'elles sont hebdomadaires, parce que ce n'est pas la même personne qui a répondu. Le jour où deux clients comparent, ou qu'un audit arrive, la crédibilité est perdue.

La méthode : une base de réponses, pas des fichiers

L'unité de travail n'est pas le questionnaire, c'est la réponse. Une fois qu'une question a reçu une réponse validée, elle est réutilisable pour tous les clients, pour plusieurs années, à condition d'être datée et révisée.

• Chaque réponse porte son auteur, sa date de validation et sa date de revue.
• Chaque réponse s'appuie sur une preuve : une capture, une procédure, une ligne de registre — pas sur une affirmation.
• Une réponse périmée est signalée avant d'être réutilisée, jamais après.
• Un nouveau questionnaire est d'abord pré-rempli automatiquement, puis relu — pas rédigé.

Les quatre registres qui reviennent toujours

Quelle que soit la forme du questionnaire, les mêmes documents sont demandés. Les tenir à jour en continu vaut mieux que les reconstituer dans l'urgence.

• L'inventaire des actifs : quels équipements, quels logiciels, quelles données, sous la responsabilité de qui.
• Le registre des incidents : ce qui est arrivé, quand, ce qui a été fait. Un registre vide est suspect ; un registre honnête inspire confiance.
• Le registre des fournisseurs et sous-traitants : à qui vous confiez quoi, et avec quel niveau d'accès.
• La procédure de sauvegarde et de restauration, avec la date du dernier test réel. C'est la question sur laquelle presque tout le monde bute.

Ce qu'un questionnaire ne demande jamais

Il ne demande pas d'être irréprochable. Il demande de savoir où vous en êtes. Une réponse « non, pas encore, prévu pour le premier trimestre » est infiniment mieux reçue qu'un « oui » approximatif qui s'effondre à la première vérification.

L'objectif du donneur d'ordre est d'évaluer un risque, pas de vous recaler. Ce qu'il cherche, c'est un fournisseur qui sait de quoi il parle et qui tient ses documents. Le reste se discute.