Réussissez la due diligence fournisseur avec des preuves documentées

Vous réussissez la due diligence fournisseur en fournissant à l’acheteur des preuves qu’il peut vérifier, et pas seulement des réponses à son questionnaire. Les banques, les assureurs et les grandes entreprises demandent les preuves qui étayent chaque réponse. Chacune doit donc être accompagnée d’un document daté que l’acheteur peut vérifier et conserver dans ses dossiers, sous la responsabilité d’une personne chargée de le tenir à jour. Ce guide suit les étapes dans l’ordre : identifier l’obligation à l’origine du questionnaire, vérifier ce que l’acheteur peut raisonnablement demander, constituer le dossier de preuves, répondre en fournissant des preuves, combler les lacunes à l’aide d’un plan, tenir les preuves à jour, puis examiner ce qui change lorsque l’acheteur est un organisme public.

Qui est responsable des réponses et quels éléments préparer

Dans toute l’entreprise, des responsables désignés par domaine sont garants des réponses. Ce guide s’adresse à l’équipe bid qui coordonne leur travail lorsqu’un fournisseur répond aux questionnaires de due diligence de banques, d’assureurs, d’investisseurs institutionnels et de grandes entreprises, que le contrôle précède un premier contrat, un renouvellement ou l’inscription sur une liste de fournisseurs agréés. Ces questionnaires comptent souvent des centaines de questions à portée réglementaire. Le travail plus large qu’implique leur traitement est abordé dans Réponse à un DDQ. Aucun bid manager ne peut y répondre seul.

Most of the answers sit with people outside the bid team. Agree a named owner for each topic before the next questionnaire lands: finance for accounts and insurance, legal for ownership, sanctions, anti-bribery and contract terms, information security for certifications and controls, HR for workforce and human rights policies, and sustainability for environmental and supply-chain risks. Each owner supplies the evidence for their topic and stands behind it. The bid manager keeps the final sign-off.

Préparez ces éléments avant de commencer :

• vos questionnaires remplis les plus récents, avec les documents que vous y avez joints
• la version en vigueur de chaque certificat, politique et rapport que vous prévoyez de citer
• une liste des responsables de chaque sujet, avec un suppléant pour chacun
• le questionnaire de l’acheteur, sa lettre d’accompagnement et tout code de conduite qu’il vous demande de signer

Identifiez l’obligation à l’origine du questionnaire

Lisez le questionnaire, sa lettre d’accompagnement et tout code de conduite joint afin d’identifier la loi ou l’autorité de régulation à l’origine de la demande. Cette obligation détermine les éléments que l’acheteur doit conserver dans ses dossiers et, par conséquent, ceux qui permettront d’y répondre. Un questionnaire faisant référence à une loi sur la chaîne d’approvisionnement ou à une autorité de régulation sectorielle exige des preuves, pas de simples assurances. Pour comprendre comment l’acheteur présente ce contrôle de son côté, consultez due diligence fournisseur.

La directive européenne sur le devoir de vigilance des entreprises en matière de durabilité, directive (UE) 2024/1760, telle que modifiée par la directive (UE) 2026/470, ne s’applique qu’à compter du 26 juillet 2029 et uniquement aux entreprises de plus de 5 000 salariés dont le chiffre d’affaires mondial net dépasse 1,5 milliard d’EUR. Une demande qui la cite doit donc être considérée comme une préparation, et non comme une exigence légale en vigueur.

Consignez le motif dans le projet avant toute rédaction. Vous saurez ainsi si une signature peut suffire à répondre à une question ou si l'acheteur a besoin d'un document qu'il peut vérifier et conserver.

Vérifiez ce que l’acheteur peut raisonnablement demander

Contestez toute demande que le niveau de risque associé à votre entreprise ne justifie pas, car un questionnaire envoyé à tous les fournisseurs sans distinction peut exiger bien plus que ne le justifie votre activité.

Posez quatre questions pour toute demande qui semble disproportionnée :

1. Quelle loi ou politique l’acheteur invoque-t-il, et y est-il assujetti
   ?
2. La question porte-t-elle sur un risque susceptible de se présenter dans votre entreprise ?
3. L’acheteur peut-il obtenir ces informations dans un registre public ou un rapport que vous publiez déjà ?
4. La réponse divulguerait-elle un secret commercial ?

Si l’acheteur n’est pas soumis à la législation qu’il cite, si la question ne concerne aucun risque auquel votre entreprise pourrait raisonnablement être exposée, ou si les informations figurent déjà dans un registre public ou un rapport que vous publiez, répondez dans la mesure du possible, renvoyez vers l’autre source et demandez quel risque la question est censée couvrir. Si la réponse devait révéler un secret commercial, répondez dans la mesure du possible sans le divulguer et expliquez pourquoi vous ne communiquez pas cette information. Si aucun des quatre cas ne s’applique, répondez intégralement à la demande.

Constituez le dossier de preuves avant qu’il ne soit demandé

Rassemblez un document à jour par thème avant de recevoir tout questionnaire. Chacun doit indiquer un responsable désigné, une date d’émission et une date d’expiration ou de révision, car l’acheteur vérifie le document, et non votre formulation. Utilisez ce modèle :

Conservez chaque document sous une forme que l'acheteur peut archiver : version définitive, signée et datée, jamais un brouillon de travail. Nommez chaque fichier par thème, document et date afin qu'une réponse puisse y faire référence avec précision.

Si vous participez à une initiative sectorielle ou multipartite, conservez son dernier rapport dans le dossier et renvoyez-y chaque fois qu'une question porte sur un sujet qu'il traite déjà.

Répondez par des preuves, pas par des assurances

Rattachez chaque réponse à un document nommé et daté, ainsi qu'à la clause qui l'étaye, car un acheteur tenu de procéder à des vérifications ne peut pas se contenter de classer « oui, nous sommes en conformité ». Une formule courte couvre la plupart des questions : « Oui. [Nom de la politique], version [x], approuvée le [date], section [y]. [Certificat] joint, valable jusqu'au [date]. » La réponse énonce le fait, et la référence permet à l'acheteur de le vérifier sans avoir à vous solliciter de nouveau. Pour les questions de sécurité en particulier, consultez des réponses étayées aux questionnaires de sécurité.

Rédigez comme si la réponse devait être lue longtemps après son envoi. Quelqu’un peut la consulter des années plus tard avec pour seul contexte la pièce jointe. Évitez donc « comme convenu » et ne faites jamais référence à un document que vous n’avez pas envoyé.

Veillez à la cohérence de vos réponses. L'acheteur peut comparer votre réponse à celle que vous lui avez donnée lors du dernier renouvellement et à vos publications officielles. Répondez de la même manière à une même question, quel que soit l'acheteur, sauf si les faits ont changé. Dans ce cas, précisez ce qui a changé et à quelle date.

Vérifiez chaque brouillon rédigé avec l’aide d’une IA généraliste. Gartner prévoit que d’ici 2028, 70 % des organisations et des fournisseurs utiliseront l’IA générative pour remplir et analyser des questionnaires sur les cyberrisques liés aux tiers. Gartner indique que cela rend les résultats moins exploitables et recommande aux analystes humains de valider le travail de l’IA générative pour les tiers critiques. Demandez à chaque responsable thématique de vérifier ses réponses par rapport au document cité avant tout envoi. Une réponse bien formulée qui cite la mauvaise version fait plus de tort qu’une réponse courte.

Dans SEQUESTO : votre équipe rédige chaque réponse dans SEQUESTO aOS en citant le document de politique et la clause dont elle est issue, joint directement à la réponse des justificatifs tels qu’un rapport SOC 2, puis la fait approuver avant export par le réviseur désigné pour cette question.

Répondre à un écart par un plan de remédiation

Répondez à une lacune par un plan de remédiation assorti d’échéances, jamais par le silence ou une vague assurance, car une affirmation non étayée donne précisément à l’acheteur chargé de la vérification une raison de revenir vers vous. Avant l’envoi, recherchez trois types de réponses qui laissent l’acheteur dans le doute : une affirmation sans document justificatif, un document arrivé à expiration et une réponse qui en contredit une autre ou une offre remise précédemment. Corrigez les deuxième et troisième cas avant l’envoi. Dans le premier cas, lorsque la preuve n’existe pas encore, le plan constitue votre réponse.

Incluez ces éléments dans chaque plan :

• l’exigence à laquelle vous ne répondez pas encore, formulée dans les termes de l’acheteur
• les mesures que vous prenez et la personne qui en est responsable
• la date à laquelle chaque étape sera terminée
• les éléments qui prouveront que chaque étape est terminée, ainsi que la date à laquelle l’acheteur les recevra

Un acheteur qui constate un écart a besoin d’un plan suffisamment crédible pour justifier de vous conserver comme fournisseur. Une fois ce plan envoyé, rendez compte du respect de ses échéances sans attendre qu’on vous le demande.

Maintenez les preuves à jour entre les contrôles

Attribuez à chaque document une date de révision et une liste d’événements déclenchant une révision anticipée, car une réponse exacte au moment de la signature peut ensuite être contredite par ce que constate l’acheteur. Lorsqu’un acheteur exerce un suivi, l’expiration d’un certificat peut être détectée bien avant votre prochain questionnaire.

Définissez les dates de révision par type de document :

• Pour un document assorti d’une date d’expiration, tel qu’une attestation d’assurance ou un certificat ISO 27001, prévoyez sa révision avant cette date, en tenant compte au minimum du délai nécessaire à son renouvellement.
• Pour une politique, suivez son propre cycle d’approbation.
• <ul><li>Pour les comptes, effectuez une revue à chaque nouveau dépôt.</li></ul>
• Pour la propriété et le contrôle, effectuez un examen à chaque modification du registre.

Procédez à une revue sans attendre dans chacun des cas suivants : changement de propriétaire, de contrôle ou de dirigeants ; expiration d’un certificat ou réduction de son périmètre ; mise à jour d’une politique ; ou incident. Commencez par mettre à jour le document. Repérez ensuite toutes les réponses qui s’appuyaient sur l’ancienne version et déterminez avec leur responsable s’il faut informer un acheteur du changement. Cette étape n’est possible que si la bibliothèque sur laquelle repose le dossier permet de retracer les responsables et les versions, comme l’explique une bibliothèque auditable.

Dans SEQUESTO : chaque élément du Knowledge Hub conserve les informations sur son responsable, son cycle de révision et sa date d’expiration. Les contenus expirés sont ainsi signalés avant d’être intégrés à un brouillon. Lorsqu’une politique est mise à jour, chaque réponse qui en est issue est signalée pour examen par votre équipe.

Lorsque l’acheteur est un organisme public

Dans un appel d'offres public, la vérification s'effectue dans l'ordre inverse : vous déclarez d'abord, puis apportez les preuves ultérieurement.

Appels d'offres de l'UE et DUME

Dans les appels d’offres publics de l’UE, le document unique de marché européen est une déclaration sur l’honneur, et les justificatifs sont demandés ultérieurement. Remplissez le DUME à partir du dossier de preuves, et non de mémoire, puis vérifiez chaque déclaration au regard du document que vous devriez produire si vous remportiez le marché.

Appels d'offres au Royaume-Uni relevant du Procurement Act 2023

En Angleterre, au pays de Galles et en Irlande du Nord, le Procurement Act 2023 régit les nouvelles procédures de passation de marchés publics depuis le 24 février 2025. Les fournisseurs tiennent à jour un dossier sur Find a Tender comprenant des informations générales, les comptes des derniers exercices, les personnes liées, notamment celles exerçant un contrôle significatif, ainsi que les informations relatives aux motifs d’exclusion prévus aux annexes 6 et 7 de la loi. La fiche d’information de GOV.UK sur la Central Digital Platform précise que le fournisseur est responsable de l’exactitude des informations qu’il communique, que la plateforme ne fournit aucune assurance et que l’organisme acheteur vérifie ces informations dans le cadre de sa propre due diligence. Considérez ce dossier comme faisant partie du dossier de réponse : en cas de changement concernant l’actionnariat, les comptes ou votre situation au regard des motifs d’exclusion, mettez-le à jour le jour même où vous actualisez le document.

Checklist de due diligence fournisseur

• La loi ou l’autorité de régulation à l’origine du questionnaire est consignée dans le projet.
• Chaque demande étendue a été examinée au regard de son périmètre, de sa pertinence, des autres sources et des secrets d’affaires, et toute question a été adressée à l’acheteur.
• Chaque thème du dossier de preuves comporte un document à jour, un responsable désigné, une date d’émission et une date d’expiration ou de révision.
• Chaque réponse indique le document, la version, la date et la clause correspondants, et a été vérifiée par le responsable du sujet.
• Chaque écart est assorti d’un plan de remédiation précisant un responsable, des dates et les éléments de preuve qui permettront de le combler.
• Chaque document comporte une date de révision et une liste des événements qui déclenchent une révision anticipée.
• Dans le cadre d’un appel d’offres public, chaque déclaration ESPD et chaque entrée Find a Tender correspondent au document que vous produiriez.

Commencez par le questionnaire auquel vous avez répondu le plus récemment. Associez chaque réponse au document qui l'étaye. Les réponses sans document justificatif vous indiqueront les éléments du dossier à traiter en priorité.