Recevoir un questionnaire de sécurité, est-ce une bonne ou une mauvaise nouvelle pour le deal ?

Une bonne nouvelle : les questionnaires sont envoyés au stade des achats ou de la revue de sécurité, ce qui signifie que l'acheteur vous évalue sérieusement. Le risque n'est pas le questionnaire lui-même — c'est d'y répondre en retard, ou avec des affirmations qui s'effondrent en due diligence.

Puis-je demander à l'acheteur un report du délai ?

Vous pouvez le demander — une requête courte et précise (« nous voulons vous donner des réponses exactes plutôt que rapides ; pouvons-nous livrer vendredi ? ») fait partie du déroulement normal des évaluations fournisseurs. Qu'elle soit accordée dépend de l'acheteur. La meilleure position reste de ne pas en avoir besoin : connaissez votre mode de livraison avant de vous engager sur une date.

Qui doit répondre au questionnaire dans une petite société de logiciels ?

Chez les éditeurs d'environ 10 à 50 personnes, il n'y a souvent pas de responsable sécurité ou conformité dédié, et la tâche retombe sur un fondateur ou le CTO. Quel que soit le rédacteur, une seule personne doit garantir la cohérence : des réponses contradictoires entre sections sont un signal d'alerte fréquent en due diligence.

Dois-je répondre « oui » pour un contrôle que nous n'avons qu'en partie ?

Non. Décrivez ce qui existe aujourd'hui et ajoutez une mesure corrective avec une date. Les acheteurs acceptent couramment des lacunes honnêtes accompagnées d'un plan ; ce qu'ils ne pardonnent pas, c'est de découvrir plus tard un « oui » surestimé — cela ruine la crédibilité de l'ensemble du document.

Les sections IA changent-elles quelque chose à partir d'août 2026 ?

Oui. Les obligations de transparence de l'article 50 de l'EU AI Act s'appliquent à partir du 2 août 2026 et n'ont pas été reportées par le Digital Omnibus ; les sections IA (AI-CAIQ, domaine IA du SIG 2026, questions IA sur mesure) renvoient donc à des obligations applicables à compter de cette date. Si vous livrez des fonctionnalités d'IA sous votre propre marque, vérifiez quelles obligations de l'article 50 s'appliquent à vous avant de répondre.

Plan d'action

Vous avez reçu un questionnaire de sécurité ? Que faire dans les premières 24 heures

Dernière mise à jour : 28 juillet 2026 · Par l'équipe Deal Rescue · Répondre à ces questionnaires est tout notre métier ; voici le triage autour duquel notre service est construit.

Nos livrables et notre assistance sont en anglais — la langue standard des revues de sécurité des grands comptes. Cette page est une traduction fidèle de notre guide en anglais.

D'abord : c'est une bonne nouvelle. Les questionnaires de sécurité arrivent quand un deal atteint le stade des achats ou de la revue de sécurité — l'acheteur vous évalue sérieusement. Le questionnaire n'est pas la menace. Les menaces, ce sont (a) répondre en retard pendant que le deal perd son élan, et (b) répondre avec des affirmations qui s'effondrent plus tard en due diligence. Les premières 24 heures décident des deux.

Heure 1 : identifiez ce que vous avez réellement reçu

Ouvrez-le et classez-le avant que quiconque ne commence à taper. Le format vous indique l'effort et le plan d'action :

SIG Lite / SIG Core (Shared Assessments) : standardisés ; SIG Lite est le palier court, SIG Core est nettement plus long. Fréquents chez les acheteurs de la finance, de la santé et de l'assurance. Depuis la version 2026, il existe un domaine IA dédié — voir notre guide du domaine IA du SIG 2026.
CAIQ / AI-CAIQ (Cloud Security Alliance) : contrôles cloud ; l'AI-CAIQ (octobre 2025) s'impose comme un instrument courant de la due diligence IA — voir le guide AI-CAIQ.
Tableur ou portail sur mesure (Excel, OneTrust, Whistic, KY3P…) : de 20 à plusieurs centaines de questions. Vérifiez si les questions sont réellement formulées comme des questions — les bizarreries d'export comptent au moment d'estimer l'effort.
Section IA au sein de n'importe lequel des formats ci-dessus : de plus en plus standard. Si votre produit embarque des fonctionnalités d'IA, c'est là que l'exactitude compte le plus en ce moment — l'article 50 du règlement européen sur l'intelligence artificielle (règlement (UE) 2024/1689, l'« EU AI Act ») s'applique à partir du 2 août 2026.

Comptez les questions, notez le délai indiqué et notez qui l'a envoyé (les achats, l'équipe sécurité, ou votre sponsor interne qui le transfère — votre sponsor est votre allié pour le contexte et les reports).

Heure 2 : protégez le calendrier

Accusez réception le jour même. Une ligne à l'expéditeur : vous l'avez reçu, vous vous en occupez, et voici quand il aura les réponses. Le silence, c'est ainsi que les deals s'enlisent.
Engagez-vous sur une date que vous pouvez réellement tenir. Décidez d'abord du mode de livraison (section suivante), puis promettez la date.
Si le délai est impossible, demandez tôt, pas le jour de l'échéance. Une demande courte et précise, axée sur l'exactitude, fait partie du déroulement normal des évaluations fournisseurs. Demander le premier jour donne l'image d'une équipe organisée ; demander à l'échéance donne l'image d'une équipe qui coule.

Heure 3 : décidez qui y répond

Trois voies viables — les critères de décision honnêtes sont dans notre comparatif complet avec les vrais prix 2026 :

En interne : le bon choix quand quelqu'un dans l'équipe connaît les référentiels demandés et que le deal peut attendre du temps interne. La méthode : comment répondre à la section IA.
Un service au questionnaire : le bon choix quand le questionnaire est l'exception et que le deal est bloqué maintenant. C'est ce que nous faisons : 490 $ forfaitaires jusqu'à 60 questions, brouillons en 48 heures, chaque affirmation juridique citée à son article, paiement après livraison — jugez d'abord l'exemple public.
Une plateforme GRC : le bon choix quand c'est votre cinquième questionnaire de l'année et que la conformité devient un programme, pas un incident — voir plateforme vs service vs fait maison.

Quelle que soit la voie choisie, une seule personne garantit la cohérence. Les contradictions entre sections (chiffrement « oui » dans un onglet, « partiellement » dans un autre) sont un signal d'alerte classique en due diligence.

Les deux erreurs qui tuent réellement des deals

Le « oui » optimiste. Répondre « oui » pour un contrôle que vous n'avez qu'en partie semble anodin, et c'est l'erreur la plus coûteuse du document. Décrivez ce qui existe aujourd'hui ; mettez ce qui manque dans un constat de lacune, avec une mesure corrective et une date. Les acheteurs acceptent les lacunes honnêtes accompagnées d'un plan. Ils ne pardonnent pas de découvrir un oui surestimé.
Des affirmations juridiques sans sources. Les sections IA renvoient désormais à un règlement en vigueur. Les paraphrases sans source (« nous sommes conformes à l'EU AI Act ») appellent des questions de suivi dont vous ne voulez peut-être pas. Chaque affirmation juridique devrait citer son article — cela montre aussi que vous connaissez le terrain mieux que le relecteur.

Si votre produit embarque des fonctionnalités d'IA : vérifiez quelles obligations de transparence de l'article 50 s'appliquent réellement à votre fonctionnalité avant de répondre quoi que ce soit à son sujet — la réponse dépend de ce que fait la fonctionnalité et du fait que vous la livriez ou non sous votre propre marque. Notre vérificateur gratuit de l'article 50 en dresse la carte en six questions, sans e-mail requis. Pour aller plus loin : qui doit quoi au titre de l'article 50.

La check-list des premières 24 heures

☐ Format classé (SIG / CAIQ / AI-CAIQ / sur mesure) et questions comptées
☐ Délai, expéditeur et sponsor interne notés
☐ Réception accusée, avec une date d'engagement
☐ Mode de livraison choisi (interne / service / plateforme)
☐ Un responsable unique de la cohérence désigné
☐ Fonctionnalités d'IA passées au vérificateur de l'article 50 (le cas échéant)