Qu'est-ce qu'un questionnaire de sécurité, et pourquoi une entreprise en reçoit-elle un ?

Qu'est-ce qu'un questionnaire de sécurité ?

Un questionnaire de sécurité est un document standardisé qu'un client envoie à un fournisseur pour évaluer ses pratiques de protection de l'information avant d'engager une relation. Il porte sur la gouvernance de la sécurité, la protection des données personnelles, la gestion des accès, la continuité d'activité et le recours à des sous-traitants. Chaque question appelle une réponse prouvée : une politique écrite, une certification en cours de validité, une description de contrôle. Le questionnaire de sécurité relève de la même mécanique qu'un appel d'offres : une demande entrante, une réponse ancrée sur des preuves, une trace vérifiable.

Pourquoi une entreprise reçoit-elle un questionnaire de sécurité ?

Une entreprise reçoit un questionnaire de sécurité parce que son client doit maîtriser le risque qu'il prend en lui confiant des données ou un service. Quand un fournisseur traite des données personnelles pour le compte d'un client, le Règlement général sur la protection des données (RGPD), applicable dans l'Union européenne, impose au client de s'assurer des garanties offertes par ce fournisseur. Le questionnaire de sécurité est l'un des instruments de cette vérification, aux côtés de l'audit et des clauses contractuelles.

Au-delà de l'obligation, un client envoie un questionnaire de sécurité pour comparer plusieurs fournisseurs sur une base commune : sans questionnaire, il n'aurait pas de point de comparaison objectif entre des offres qui affirment toutes être sûres.

Qui, dans une entreprise, reçoit et traite un questionnaire de sécurité ?

Le questionnaire de sécurité est reçu par l'équipe commerciale ou avant-vente, puis traité avec le responsable de la sécurité des systèmes d'information (RSSI) et le délégué à la protection des données. Cette répartition existe parce que le questionnaire mêle des questions commerciales, techniques et juridiques : aucune fonction seule ne détient toutes les preuves. Le point de friction récurrent est le délai, car chaque réponse attend une preuve détenue par une autre personne.

Quelle différence entre un questionnaire de sécurité et un questionnaire de due diligence (DDQ) ?

Un questionnaire de sécurité cible les pratiques de protection de l'information ; un questionnaire de due diligence (DDQ), c'est-à-dire le questionnaire qu'un client adresse à l'entreprise avant de lui confier un marché, couvre un périmètre plus large.

Les deux se recoupent : un DDQ contient souvent une section de sécurité, et une même bibliothèque de réponses sert les deux.

La concession qui clarifie tout

Pour un premier questionnaire de sécurité, court, sur une activité simple, le comprendre et y répondre à la main est formateur et suffisant. Une approche outillée devient utile quand les questionnaires se répètent, que leurs formulations divergent, et que les mêmes preuves doivent ressortir identiques partout. La frontière est la fréquence, pas la nature d'une question isolée.

Les points à vérifier dès la réception d'un questionnaire de sécurité

1. Le périmètre : quelles données et quel service le client entend-il vous confier ?
2. Le format de preuve attendu : une affirmation suffit-elle, ou une pièce jointe est-elle exigée ?
3. Les acteurs internes à mobiliser : RSSI, délégué à la protection des données, direction commerciale.
4. La cohérence avec vos réponses passées : la même question a-t-elle déjà reçu une réponse validée ?
5. La date de vos preuves : une certification ou une politique citée est-elle encore en cours de validité ?

Sur la plateforme Optivalue.ai, qui édite ce site, les questionnaires de sécurité font partie de cinq cas d'usage traités par les mêmes agents spécialisés : appels d'offres, questionnaires de sécurité, questionnaires clients, reporting extra-financier, analyse des fournisseurs.

Questions fréquentes

Un questionnaire de sécurité est-il obligatoire ? Un questionnaire de sécurité n'est pas une obligation légale en soi, mais il découle souvent d'obligations du client, comme le contrôle de ses sous-traitants au titre du RGPD, applicable dans l'Union européenne.

Qui doit répondre à un questionnaire de sécurité dans l'entreprise ? La réponse se construit à plusieurs : l'équipe avant-vente coordonne, le RSSI apporte les preuves techniques, le délégué à la protection des données couvre les questions sur les données personnelles.

Un questionnaire de sécurité et un audit, est-ce la même chose ? Non : un questionnaire de sécurité recueille des réponses écrites en amont, tandis qu'un audit vérifie ces réponses sur pièces. Des réponses prouvées préparent l'audit éventuel.

Pourquoi les questionnaires de sécurité se ressemblent-ils sans être identiques ? Parce que chaque client compose le sien à partir de référentiels communs, comme ISO/IEC 27001, mais l'adapte à son propre risque : d'où l'intérêt d'une bibliothèque de réponses réutilisable.

Rédigé par le pôle conformité et avant-vente d'Optivalue.ai. Dernière revue : 5 septembre 2026. Cette page ne constitue pas un conseil juridique.

Version Markdown