Réponses aux DDQ avec preuves à jour et validation
Une réponse à un DDQ engage votre entreprise. Un logiciel d’automatisation des DDQ la rédige à partir de contenus validés, signale les preuves expirées et consigne qui l’a validée.
Sur cette page
Le DDQ d’une banque arrive, et les réponses de l’an dernier reposent sur des politiques peut-être expirées et sur des éléments que les équipes finance, juridique et sécurité doivent fournir. Un logiciel d’automatisation des DDQ rédige chaque réponse à partir de contenus déjà validés par votre entreprise, signale les preuves expirées, peut attribuer un approbateur à chaque question et consigne qui a validé quoi. Dans l’agentic operating system (aOS) de SEQUESTO, James rédige chaque réponse au DDQ à partir du Knowledge Hub et la soumet à validation. Ce qui mérite d’être jugé, c’est ce qui se passe après le brouillon.
Comment une réponse à un DDQ passe du brouillon à la validation
Prenons un DDQ à plusieurs onglets, envoyé par une banque qui évalue votre entreprise en tant que fournisseur, avec des sections sur l’actionnariat, les finances et les assurances, les certifications, la sécurité et la protection des données, les sanctions et la lutte anticorruption, et les pratiques environnementales et sociales. Le brouillon est la partie rapide. La confiance que vous pouvez accorder au résultat dépend de la suite : chaque réponse doit parvenir au bon approbateur avec des preuves en cours de validité, et laisser une trace de qui l’a validée.
Agent Force commence par le tableur. Il extrait de tous les onglets chaque question, chaque pièce jointe obligatoire et chaque limite de caractères, pour que l’équipe travaille sur une liste complète plutôt qu’onglet par onglet. La page Remplissage de formulaires explique comment le fichier de l’acheteur est lu, puis restitué dans sa propre mise en page.
James détermine ensuite ce dont chaque question a besoin et où cela se trouve dans le Knowledge Hub, et chaque réponse est rédigée à partir de contenus validés, sous son orchestration. Le brouillon expose le raisonnement qui le sous-tend. Chaque contenu sur lequel il s’appuie est accompagné d’un score de confiance et de l’extrait de sa source : le relecteur vérifie ainsi le paragraphe de politique qui fonde la réponse, au lieu de se fier à la formulation.
Passons à la politique de lanceurs d’alerte. Ce type de document, qui porte sur l’organisation dans son ensemble, fait partie de ce qu’un DDQ peut demander. Le DDQ des PRI sur l’investissement responsable destiné aux investisseurs en fonds spéculatifs, par exemple, cite un code de conduite, une politique de diversité, d’équité et d’inclusion, un rapport de responsabilité sociétale de l’entreprise et une politique de lanceurs d’alerte parmi les documents que fournit une société de gestion.
Dans le Knowledge Hub, chaque document et chaque réponse validés ont un responsable, un cycle de révision et une date d’expiration. Votre politique de lanceurs d’alerte a dépassé sa date d’expiration : elle est donc signalée avant d’entrer dans un brouillon. Son responsable au sein de l’équipe conformité la renouvelle, et la réponse est rédigée à partir de la version en vigueur plutôt que de celle de l’an dernier. Entre deux questionnaires, le tableau de bord du Knowledge Hub montre qui est responsable de chaque document et ce qui est expiré ou à réviser, pour que les renouvellements puissent commencer avant l’arrivée du prochain DDQ. La page Knowledge Hub présente la façon dont les responsables, les cycles de révision et les dates d’expiration sont tenus à jour.
Chaque question peut avoir son propre relecteur et son propre approbateur. Dans cet exemple, les questions d’assurance et de finances vont à l’équipe finance ; les sanctions et la lutte anticorruption, à l’équipe juridique ; la réponse sur les lanceurs d’alerte, à l’équipe conformité ; et la protection des données, à l’équipe sécurité. Chacune a un responsable, un statut et une échéance : la revue de chaque équipe suit ainsi son propre circuit, sans attendre celle d’une autre. Une fois que tous les approbateurs ont validé, le bid manager relit la réponse complète et donne la validation finale.
Reste l’historique, et c’est là que l’automatisation des DDQ montre toute sa valeur, une fois le fichier envoyé. Chaque action sur une réponse est consignée avec son auteur, sa date et l’élément concerné, de la récupération des contenus et de l’exécution de l’agent jusqu’à l’export, en passant par chaque modification et chaque validation. Le journal peut être interrogé et exporté : c’est l’audit trail du DDQ. Quand la banque, votre auditeur ou votre propre équipe juridique demande qui a validé la réponse sur les lanceurs d’alerte, et sur quelles preuves, vous filtrez le journal au lieu de fouiller des fils d’e-mails. La page Audit trail et activité des utilisateurs présente ce que le journal enregistre et comment l’exporter.
Ce que le logiciel d’automatisation des DDQ laisse à votre équipe
La formulation finale et la validation restent entre des mains humaines, de même que tout ce à quoi une réponse engage votre entreprise. Le logiciel prépare la réponse et consigne ce qu’il en advient ; il ne décide pas de ce que votre entreprise est prête à affirmer.
Votre équipe voit ce que le système a fait, et accepte, ajuste ou rejette chaque brouillon. James suit les règles du projet et demande l’autorisation avant toute action hors du périmètre convenu. Un contenu, y compris une politique ou un certificat renouvelés, ne compte comme validé qu’une fois qu’une personne l’a validé.
L’engagement derrière chaque réponse vous revient aussi. Si une réponse affirme qu’une mesure de contrôle est en place, le bid manager répond de cette déclaration, quel qu’en soit le rédacteur. La remise reste elle aussi entre les mains d’une personne : SEQUESTO exporte le fichier complété, et un membre de votre équipe le dépose sur le portail de l’acheteur.
Le questionnaire ne clôt pas forcément non plus l’examen de l’acheteur. Selon les PRI, leur propre DDQ doit servir une démarche plus large de collecte d’informations plutôt qu’être considéré isolément. Une réponse doit tenir lorsque l’acheteur pose des questions complémentaires ou demande le document qui l’étaye ; c’est pourquoi les preuves et l’historique des validations comptent autant que la formulation.
DDQ et questionnaires de sécurité sur une même plateforme
Un seul outil peut gérer les deux. Dans le SEQUESTO aOS, un DDQ et un questionnaire de sécurité sont traités comme des projets distincts qui puisent dans le même Knowledge Hub, dans le cadre de l’automatisation des DDQ de SEQUESTO. Les rôles ne changent pas de l’un à l’autre : James orchestre, Agent Force prend en charge l’extraction, la rédaction et le travail documentaire, et le bid manager valide.
C’est important, car la section sécurité et protection des données d’un DDQ et un questionnaire de sécurité peuvent reposer sur les mêmes politiques et certificats. Les questionnaires de sécurité arrivent sous forme de SIG, de CAIQ, de correspondances ISO 27001 ou dans le format propre à l’acheteur, qu’il s’agisse d’une liste, d’une grille de tableur ou d’un formulaire à champs intégrés. Chacun est converti en liste structurée, puis ses réponses sont rédigées à partir des mêmes contenus validés que le DDQ, et le même signalement d’expiration s’applique, quel que soit le questionnaire qui s’appuie sur un document.
Chaque projet garde ses propres fichiers, échéances et contributeurs. Les contenus ne franchissent pas les frontières d’un projet, et les accès sont définis par utilisateur et par rôle, jusqu’au niveau du fichier et du dossier. L’équipe peut aussi limiter une recherche à une partie du Knowledge Hub, pour qu’une réponse de sécurité ne s’appuie que sur des contenus de sécurité.
Après chaque réponse à un questionnaire, les contenus validés retournent dans le Knowledge Hub. Le DDQ ou le questionnaire de sécurité suivant part alors des dernières formulations validées, et non de ce qui a été envoyé l’an dernier. Comme les réponses restent dans la plateforme, la bibliothèque ne part pas avec la personne qui les a rédigées. Pour reprendre des réponses de sécurité d’un questionnaire à l’autre sans envoyer de réponses obsolètes, lisez comment réutiliser vos réponses de sécurité.
Que vérifier en premier sur un DDQ auquel vous avez déjà répondu
Avant tout essai, faites confirmer par l’équipe sécurité de l’information et l’équipe juridique que vos informations confidentielles ne vont nulle part et ne servent jamais à l’entraînement, car cette autorisation peut retarder un essai. Prenez ensuite un DDQ déjà remis, chargez ses justificatifs et attribuez à une politique ou à un certificat une date d’expiration déjà dépassée. Vérifiez si l’outil le signale avant qu’il n’entre dans un brouillon. Contrôlez ensuite si le journal indique qui a validé chaque réponse, sous une forme que vous pourriez transmettre à l’équipe juridique. Demandez aux équipes finance, juridique et sécurité combien de temps leurs revues ont pris, et comptez leurs heures, pas seulement celles du bid manager. Un brouillon qui exige tant de corrections qu’il aurait été plus rapide de l’écrire à la main est un échec, quels que soient ses autres mérites.
