Répondre au Questionnaire Sécurité et Conformité d'un Client Européen

Pourquoi votre client vous envoie ce questionnaire#

Votre client européen reste responsable de ce que vous faites pour lui. S'il est responsable du traitement au sens du RGPD, l'article 28 l'oblige à signer avec vous un contrat précis et vous oblige, en retour, à lui fournir les informations nécessaires pour démontrer votre conformité et à permettre des audits. Le questionnaire est la façon la plus simple, pour lui, de documenter ce choix.

Trois facteurs rendent ces questionnaires plus exigeants pour un prestataire marocain :

• Le Maroc n'a pas de décision d'adéquation de la Commission européenne. Chaque flux de données vers le Maroc doit donc reposer sur des garanties appropriées, en pratique les clauses contractuelles types, et sur une analyse des transferts. Le détail est traité dans notre guide sur le sous-traitant marocain d'un client européen.
• L'AI Act s'applique aux prestataires établis hors de l'Union lorsque les résultats de leurs systèmes d'IA sont utilisés dans l'Union (article 2). Votre client veut savoir quelle IA vous utilisez et quel est votre rôle.
• Les programmes de risque tiers des grands donneurs d'ordre se sont structurés. Le guide sur la gestion du risque tiers décrit ce dispositif du côté de l'acheteur ; cette page en est le pendant, du côté du fournisseur.

Les six domaines d'un questionnaire type#

Les formats varient (tableur maison, plateforme d'évaluation, questionnaire sectoriel), mais les thèmes reviennent presque toujours.

Pour l'IA, la question décisive est celle du rôle : un centre qui déploie le chatbot d'un éditeur n'a pas les mêmes obligations que celui qui le développe et le commercialise sous son nom. Le guide fournisseur ou déployeur permet de trancher. Si un agent conversationnel répond aux clients européens, attendez-vous aussi à une question sur l'obligation d'informer le client qu'il parle à une IA, applicable depuis le 2 août 2026.

ISO 27001 et ISO 27701 : une preuve, pas une obligation légale#

ISO/IEC 27001 certifie un système de management de la sécurité de l'information ; ISO/IEC 27701 l'étend à la gestion de la vie privée. Aucune des deux n'est imposée par le RGPD, par la loi 09-08 ou par l'AI Act. Leur intérêt est ailleurs : un certificat délivré par un organisme accrédité, accompagné de sa déclaration d'applicabilité, répond d'un coup à une grande partie du domaine sécurité.

Trois précautions s'imposent :

• Vérifiez le périmètre. Un certificat qui couvre le siège mais pas le plateau qui traite les données du client ne prouve rien pour ce client. Le périmètre figure sur le certificat.
• Ne confondez pas certification et conformité. ISO 27001 ne dit rien de vos clauses contractuelles types, de vos formalités CNDP ou de vos obligations au titre de l'AI Act.
• Préférez la vérité au calendrier. « Certification visée dans douze mois, audit à blanc réalisé » est une réponse acceptable. « Conforme ISO 27001 » sans certificat ne l'est pas.

Pour l'IA, la norme ISO/IEC 42001 joue un rôle comparable ; voir notre guide sur la certification ISO 42001.

Construire une salle de preuves#

Une salle de preuves est un espace documentaire, contrôlé et daté, où chaque affirmation du questionnaire renvoie à un document précis. Elle transforme une épreuve répétée en exercice de mise à jour.

1. Partez des questionnaires déjà reçus. Regroupez les questions par domaine et repérez celles qui reviennent.
2. Rédigez une réponse de référence par question, validée par le responsable du domaine, avec la date de validation.
3. Rattachez une preuve à chaque réponse : politique, procédure, extrait de registre, capture de paramétrage, rapport de test, contrat type.
4. Classez les preuves en deux niveaux : celles que vous pouvez transmettre (politiques, certificats) et celles que vous montrez seulement en audit ou en visioconférence (rapports de tests d'intrusion détaillés, architecture).
5. Nommez un propriétaire et une date de revue pour chaque document. Une preuve périmée est pire qu'une preuve absente.
6. Tenez un journal des envois : quel document, à quel client, sous quel accord de confidentialité, à quelle date.

Si vous faites de la prospection pour le compte de clients français, ajoutez un dossier consacré à la preuve du consentement, que la réglementation française met à la charge du professionnel.

Qui répond à quoi#

Le pilote unique est la clé : il garantit que les réponses ne se contredisent pas d'un domaine à l'autre ni d'un client à l'autre.

Les erreurs à éviter#

• Répondre « oui » à tout pour ne pas perdre l'affaire. Un audit ultérieur coûtera la relation.
• Copier les politiques d'un autre groupe sans les appliquer. Le client demandera des preuves d'application, pas des textes.
• Oublier les sous-traitants ultérieurs : l'éditeur du logiciel de téléphonie ou l'outil d'IA générative utilisé par les agents en font partie.
• Envoyer des documents sensibles sans accord de confidentialité ni journal des envois.
• Laisser le commercial répondre seul, sans validation des responsables de domaine.
• Traiter chaque questionnaire comme un cas unique, au lieu d'alimenter la salle de preuves.

Plan d'action#

• Désigner le pilote des questionnaires et les responsables de domaine.
• Rassembler les trois derniers questionnaires reçus et en extraire les questions récurrentes.
• Rédiger et faire valider les réponses de référence.
• Constituer la salle de preuves, avec propriétaire et date de revue par document.
• Tenir à jour la liste des sous-traitants ultérieurs et l'inventaire des systèmes d'IA.
• Vérifier le contrat article 28, les clauses contractuelles types et l'analyse des transferts de chaque client.
• Planifier une revue complète au moins une fois par an, et à chaque changement important.