Questionnaire fournisseur : un modèle et une méthode pour répondre.

Qu’est-ce qu’un questionnaire fournisseur ?

C’est un document qu’un client adresse à un prestataire pour comprendre son organisation, ses pratiques et les risques liés à une prestation. Il peut porter sur la qualité, la sécurité, les données, la continuité d’activité ou les engagements environnementaux. Le fichier rempli sert de base à un échange : une réponse déclarative ne remplace ni la vérification des preuves ni un audit.

Côté fournisseur, l’enjeu est de répondre précisément sans repartir de zéro à chaque demande. Côté client, il est de poser des questions adaptées au service acheté. Un prestataire qui héberge des données ne nécessite pas le même questionnaire qu’un fournisseur de mobilier.

Les questions du modèle

Gardez uniquement les questions utiles à la prestation et précisez leur périmètre. Les preuves ci-dessous sont des suggestions, pas une liste de documents obligatoires.

1. Identité

   1. Quelle entité fournit la prestation et dans quel pays est-elle immatriculée ?

   Preuve suggérée : Informations publiques de la société.

2. Identité

   2. Qui coordonne les réponses au questionnaire ?

   Preuve suggérée : Fonction et contact professionnel autorisé.

3. Prestation

   3. Quels services et sites sont inclus dans la réponse ?

   Preuve suggérée : Périmètre contractuel ou description de service.

4. Prestation

   4. Quelles activités sont confiées à des sous-traitants ?

   Preuve suggérée : Liste des activités et prestataires concernés.

5. Qualité

   5. Comment traitez-vous les réclamations clients ?

   Preuve suggérée : Procédure et circuit de suivi.

6. Qualité

   6. Comment vérifiez-vous la qualité avant livraison ?

   Preuve suggérée : Description des contrôles.

7. Qualité

   7. Disposez-vous de certifications pertinentes pour cette prestation ?

   Preuve suggérée : Certificat avec périmètre et date de validité, si applicable.

8. Sécurité

   8. Comment les accès aux outils sont-ils attribués et retirés ?

   Preuve suggérée : Procédure de gestion des accès.

9. Sécurité

   9. Quels accès sont protégés par une authentification multifacteur ?

   Preuve suggérée : Périmètre couvert et exceptions.

10. Sécurité

    10. Comment les mises à jour de sécurité sont-elles suivies ?

    Preuve suggérée : Processus de maintenance.

11. Sécurité

    11. Comment signalez-vous et traitez-vous un incident ?

    Preuve suggérée : Procédure et contact autorisé.

12. Données

    12. Quelles données client sont nécessaires à la prestation ?

    Preuve suggérée : Description des catégories et usages.

13. Données

    13. Où les données sont-elles hébergées et qui peut y accéder ?

    Preuve suggérée : Pays, prestataires et catégories de personnes habilitées.

14. Données

    14. Comment la restitution ou la suppression des données est-elle organisée en fin de prestation ?

    Preuve suggérée : Processus et conditions contractuelles.

15. Continuité

    15. Quelles sauvegardes couvrent les données nécessaires à la prestation ?

    Preuve suggérée : Périmètre et fréquence des sauvegardes.

16. Continuité

    16. Quand une restauration a-t-elle été testée pour la dernière fois ?

    Preuve suggérée : Date et synthèse du test, sans données sensibles.

17. Continuité

    17. Comment maintenez-vous le service en cas d’indisponibilité majeure ?

    Preuve suggérée : Organisation de continuité et limites connues.

18. Engagements

    18. Quels engagements environnementaux sont pertinents pour cette prestation ?

    Preuve suggérée : Actions documentées et périmètre.

19. Engagements

    19. Comment gérez-vous les conflits d’intérêts liés à cette prestation ?

    Preuve suggérée : Règles internes ou processus de déclaration.

20. Validation

    20. Qui a vérifié les réponses et à quelle date ?

    Preuve suggérée : Fonction du validateur et date de revue.

Comment répondre sans perdre la trace des preuves ?

1. Délimitez la demande. Identifiez le client, le service concerné, l’échéance et les personnes qui doivent valider. Conservez une copie intacte du fichier reçu.
2. Associez une source à chaque réponse. Notez le document, sa version et la section utile. Une ancienne réponse peut aider à retrouver une source, mais elle ne prouve pas que la pratique est toujours en place.
3. Distinguez les situations. « Non », « non applicable » et « à confirmer » ne sont pas interchangeables. Expliquez une exclusion et attribuez les points ouverts à un responsable.
4. Faites relire les engagements. Une formulation comme « tous les accès » ou « aucune interruption » peut dépasser la réalité. Précisez les systèmes couverts, les exceptions et les limites.
5. Contrôlez l’envoi. Vérifiez les cellules manquantes, les commentaires internes, les onglets masqués et les pièces jointes. Partagez seulement les documents autorisés, puis archivez la version transmise.

Pour réutiliser ce travail, un passeport de conformité permet d’organiser les informations de l’entreprise. L’automatisation des questionnaires clients doit conserver une étape de validation : une réponse proposée n’est pas une réponse approuvée.

Exemple de réponse : préciser plutôt que cocher « oui »

À la question « Quels accès sont protégés par une authentification multifacteur ? », une réponse exploitable décrit le périmètre et les exceptions. Exemple fictif, à ne pas copier sans vérification :

« L’authentification multifacteur est activée pour les comptes administrateurs de notre outil de gestion. Les accès des utilisateurs standard sont en cours de revue. Source : procédure de gestion des accès, section 3, version validée par le responsable informatique. »

Si la preuve manque, indiquez « à confirmer » et la personne chargée de vérifier. Ne transformez pas une action prévue en mesure déjà déployée.

Questions fréquentes