Que contient un questionnaire d’évaluation fournisseur ?

• Gouvernance : qui porte la sécurité, quelles politiques existent, quelles certifications ou quels rapports d’audit le fournisseur détient (ISO 27001, SOC 2) et leur périmètre.
• Contrôle d’accès : authentification multifacteur, accès à privilèges, arrivées et départs, revues des accès.
• Protection des données : quelles données personnelles sont traitées, où elles sont stockées, chiffrement, conservation et suppression, et existence d’un accord de traitement des données.
• Exploitation : gestion des vulnérabilités, correctifs, journalisation et surveillance.
• Incidents : comment ils sont détectés, en combien de temps vous êtes prévenu et qui est votre contact.
• Continuité : sauvegardes, objectifs de reprise et plans de continuité testés.
• Chaîne d’approvisionnement : les sous-traitants sur lesquels le fournisseur s’appuie pour votre service.
• Contrat : droits d’audit, obligations de notification et accompagnement à la sortie.

Un long questionnaire envoyé à tous les fournisseurs fait perdre du temps à tout le monde. Notez d’abord chaque fournisseur selon votre dépendance et sa pénétration dans vos systèmes et vos données. Envoyez le questionnaire complet aux fournisseurs critiques, un questionnaire court au niveau intermédiaire, et appuyez-vous sur des certificats ou une simple attestation pour les autres. Pour les services TIC soumis à DORA, demandez aussi ce qu’il vous faut pour le registre d’informations et les clauses de l’article 30.

Un Oui sans preuve dit peu. Marquez les questions qui exigent une preuve, comme un certificat, une synthèse de test d’intrusion ou une politique, et vérifiez sa date. Notez ensuite chaque réponse, enregistrez les écarts comme constats avec une recommandation, et donnez au fournisseur un résultat global qui alimente son niveau de risque.

Dans le module TPRM d’Acuna GRC, chaque question porte une catégorie, une criticité, une option Preuve requise et des traductions en allemand, français et espagnol. Vous utilisez les modèles par défaut, les clonez, créez les vôtres ou les importez en CSV ou XLSX. Le fournisseur répond Oui, Non ou Non pertinent avec une justification et des preuves, dans un portail sans compte, et ses réponses enregistrées préremplissent le cycle suivant. Un évaluateur note chaque réponse et attribue à l’évaluation de un à trois boucliers. Voir le TPRM dans Acuna GRC.