Pouvez-vous confier vos questionnaires à un outil ?

Un questionnaire arrive toujours sous la forme du classeur de l'acheteur. Y répondre manuellement implique d'y recopier les réponses précédentes ligne par ligne, de solliciter les experts pour combler les lacunes et de rétablir la mise en page avant la remise. L'automatisation des questionnaires rédige chaque réponse à partir de contenus déjà approuvés par votre équipe et renvoie le fichier de l'acheteur avec les réponses en place. La seule rédaction vous renseigne peu sur la fiabilité d'un outil. La confiance dépend du travail qui entoure le brouillon : lire le fichier jusque dans ses listes déroulantes et ses onglets, ne pas répondre lorsqu'aucune source approuvée n'existe, désigner un approbateur pour chaque question et renvoyer le fichier intact. Un essai sur un questionnaire que vous avez déjà remis permet de tester précisément ces points.

SEQUESTO lit le fichier de l'acheteur, rédige une réponse à chaque question à partir du Knowledge Hub et exporte le fichier dans sa structure d'origine. Pour en savoir plus sur les pratiques qui entourent cet outil, consultez notre article sur la réponse aux questionnaires.

Comment fonctionne l'automatisation des questionnaires, du chargement à l'export d'un fichier

L’automatisation des questionnaires réceptionne le fichier de l’acheteur, le convertit en liste de questions, rédige chaque réponse à partir de contenus approuvés, transmet à un expert les questions pour lesquelles elle ne trouve pas de source, consigne l’approbation d’une personne identifiée et exporte le fichier d’origine. L’exemple ci-dessous est fourni à titre d’illustration, il ne s’agit pas d’un cas client. Une banque vous évalue en tant que tiers et vous envoie un classeur de due diligence. Celui-ci comporte plusieurs onglets, un menu déroulant « oui ou non » à côté de nombreuses questions, avec une cellule de commentaire adjacente, ainsi qu’une demande visant à joindre votre rapport SOC 2.

James, l’agent avec lequel votre équipe travaille dans SEQUESTO, orchestre le processus. Il décide de l’étape suivante et du moment où faire appel à Agent Force, les agents spécialisés chargés de l’extraction et de la rédaction.

Lecture du fichier de l’acheteur

Les agents spécialisés regroupent tous les onglets dans une seule liste de questions. Chaque question conserve sa section, sa catégorie, sa pondération et son caractère obligatoire ou non. Dans un fichier Excel, les agents lisent également les options des listes déroulantes associées à chaque champ, afin que les réponses aux champs oui/non de la banque restent parmi les choix autorisés par le classeur. Les limites de mots et de caractères sont extraites avec les questions, afin que votre équipe puisse les vérifier avant la remise. Un questionnaire Word, un formulaire PDF structuré ou un document numérisé est traité de la même manière, et les documents numérisés sont lus par reconnaissance optique de caractères (OCR).

Rédiger à partir de réponses approuvées

Pour chaque question, la recherche interroge le Knowledge Hub en fonction du sens et renvoie les correspondances avec un score de confiance et l’extrait source. Le brouillon est élaboré à partir de ces contenus approuvés, du contexte propre au projet et de tout système connecté. Il indique les sources utilisées et le raisonnement suivi. Pour la banque, l’équipe peut limiter la recherche à une seule ligne de services, afin que le classeur s’appuie uniquement sur des éléments pertinents. Une réponse sur le contrôle des accès cite le document de politique et la clause dont elle est issue, et le rapport SOC 2 est joint à la réponse qui le demande.

Orienter les questions sans source

Une question à laquelle le Knowledge Hub ne peut pas répondre reçoit un faible score de confiance et est transmise à une personne désignée, par exemple une question de la banque sur un dispositif jamais traité dans votre bibliothèque. Elle est signalée comme nécessitant l'intervention d'un expert, plutôt que de faire l'objet d'une réponse fondée sur une supposition. Lorsque la question exige un justificatif et qu'aucun élément de la bibliothèque ne convient, la recherche indique le type de document qui permettrait de combler cette lacune. L'expert reçoit ainsi une demande précise plutôt qu'une cellule vide.

Relecture et approbation par question

Chaque question a son propre responsable, son statut, son échéance, son relecteur et son approbateur. Les questions de sécurité de la banque sont adressées à votre responsable de la sécurité, les questions contractuelles au service juridique et les questions techniques à l'expert métier qui en est responsable. Chaque relecteur voit ce que le système a fait et peut accepter, modifier ou rejeter le projet de réponse. L'approbation relève d'une décision humaine, prise question par question, et les revues de conformité, juridiques et techniques suivent chacune leur propre circuit.

Restitution du fichier

Une fois les réponses approuvées, l’export renseigne le classeur de la banque. Il en conserve la structure, les sections et l’ordre, y compris tous les onglets. Le principe est le même pour un questionnaire Word ou un formulaire PDF de l’acheteur : les réponses sont réintégrées dans le document et le format de l’acheteur.

Ce qu’il ne fait pas et ce qui reste du ressort de votre équipe

L’outil rédige et achemine les réponses, mais il ne les remet pas, ne les approuve pas et ne répond pas à une question pour laquelle il ne dispose d’aucune source. L’approbation elle-même, ainsi que le jugement qui la sous-tend, restent du ressort de votre équipe.

Limites de l’outil

L’outil ne remet rien. Un membre de votre équipe récupère l’export et le dépose sur le portail de l’acheteur. Il ne donne pas non plus son approbation : la formulation finale et la validation restent du ressort de l’humain, et James demande votre accord avant toute action hors du périmètre convenu pour le projet. Comme indiqué plus haut, l’outil transmet toute question sans source à un expert plutôt que d’y répondre.

L’outil ne peut pas non plus garantir l’exactitude d’un brouillon fondé sur une source. Le Stanford HAI AI Index 2026 présente les résultats du classement de Vectara sur les hallucinations. Ce classement mesure la fréquence à laquelle les modèles ajoutent de fausses informations lorsqu’ils résument les documents qui leur sont fournis. Les 15 premiers modèles obtiennent des scores compris entre 1,8 % et 5,4 %. Ce test porte sur des articles de presse, et non sur des questionnaires, mais l’enseignement reste valable. Travailler à partir d’une source fournie n’élimine pas les erreurs. Chaque réponse doit donc toujours être vérifiée par une personne au regard de sa source.

Ce que votre équipe conserve

Votre équipe décide du niveau de contrôle à appliquer, qui varie fortement d’une organisation à l’autre. Dans l’étude de McKinsey sur l’état de l’IA, 27 % des répondants dont l’organisation utilise l’IA générative ont indiqué que les collaborateurs contrôlaient l’intégralité de ses contenus avant de les utiliser. Une proportion similaire a déclaré que 20 % ou moins des contenus étaient contrôlés. Une banque ou un assureur s’appuiera sur vos réponses au questionnaire. Définissez donc le niveau de contrôle par type de question avant le début du travail. Déterminez quelles questions doivent faire l’objet d’une vérification complète par rapport à leur source et lesquelles nécessitent une lecture plus légère, puis intégrez ces niveaux à la chaîne de validation.

La bibliothèque reste également sous la responsabilité de votre équipe. Les contenus doivent être validés par des personnes avant que le Knowledge Hub ne les considère comme approuvés, et les réponses approuvées y sont réintégrées après chaque réponse. Chaque élément conserve un responsable, un cycle de révision et une date d’expiration. Les éléments expirés sont signalés avant d’être intégrés à un brouillon. La plateforme conserve les dates, mais un membre de votre équipe doit rester responsable de chaque réponse et intervenir lorsque sa révision arrive à échéance. Nous approfondissons ce sujet dans notre article sur la création d’une bibliothèque auditable.

Sa place dans SEQUESTO aOS

Dans SEQUESTO aOS, l'automatisation des questionnaires n'est pas une fonctionnalité unique. Elle repose sur quatre des huit couches qui fonctionnent ensemble, avec la validation finale du bid manager.

Sa place dans les différentes couches

• Context & Knowledge contient le Knowledge Hub, lit le fichier de l'acheteur et récupère les contenus approuvés avec leur score de confiance.
• Agent Force exécute le travail. James orchestre, décide de la suite et de l'agent à solliciter, tandis que les agents spécialisés extraient les questions et rédigent les réponses.
• Bid Capabilities regroupe le workflow configurable : les responsables, relecteurs et approbateurs pour chaque question, ainsi que l’export.
• Security & Governance consigne chaque action avec son auteur, son horodatage et l’élément concerné. Le journal couvre l’ingestion et la récupération, ainsi que les appels aux agents, les modifications, les changements d’autorisations, les approbations et l’export.

Le journal peut être consulté et exporté pour un contrôle de conformité ou le questionnaire de due diligence d’un client. Il indique qui a approuvé chaque réponse et à quel moment, tandis que le brouillon en précise la source. Les accès sont définis par utilisateur et par rôle, jusqu’au niveau des fichiers et des dossiers, et les contenus ne passent pas d’un projet à l’autre.

Les piliers qu'il porte

Selon nous, l’automatisation des questionnaires porte les trois piliers de valeur de SEQUESTO, dans cet ordre. Governance vient en premier : l’exécution suit votre propre workflow, avec les circuits de relecture et la logique d’approbation que vous définissez. Vient ensuite Human-in-control. James orchestre et Agent Force exécute, tandis que le bid manager garde la maîtrise de la stratégie, du ton et de la décision finale, et assume la responsabilité juridique de chaque réponse. Auditability complète l’ensemble : chaque réponse cite sa source et reste traçable.

Le point de vue de l'acheteur renforce encore cette exigence. Gartner prévoit que d'ici 2028, 70 % des organisations et des fournisseurs utiliseront l'IA générative pour remplir et analyser des questionnaires de gestion des cyberrisques liés aux tiers. Gartner conseille aux RSSI de faire valider ce travail par des analystes humains pour les tiers critiques. Si vous êtes un fournisseur critique, un modèle peut lire vos réponses, puis un analyste peut les vérifier. Lorsque l'analyste revient avec une question, vous pouvez défendre une réponse qui cite sa source et désigne la personne qui l'a approuvée. Les critères qui permettent à une réponse de sécurité de résister à cet examen sont présentés dans des réponses défendables aux questionnaires de sécurité. Les auteurs de McKinsey soulignent un point similaire du côté des utilisateurs : les entreprises qui déclarent tirer parti de l'IA générative intègrent des mécanismes human-in-the-loop à leurs processus afin d'en valider les résultats.

Testez-le sur un questionnaire que vous avez déjà remis

Testez tout outil de questionnaires sur un questionnaire que vous avez déjà remis. Votre propre équipe le compare à votre méthode actuelle, en utilisant le fichier remis comme corrigé. Une démonstration sur les contenus d'un fournisseur est choisie pour bien se dérouler, tandis que votre propre fichier clôturé comprend vos onglets, vos lacunes et vos approbateurs.

Préparer le test

Choisissez un questionnaire clôturé qui comporte les éléments les plus susceptibles de poser problème : plusieurs onglets, des champs avec listes déroulantes, des pièces jointes demandées par l’acheteur et des limites de mots. Figez la bibliothèque dans l’état où elle se trouvait à la date de la remise, puis supprimez les réponses remises afin qu’aucune solution ne puisse les recopier. Introduisez ensuite des lacunes connues. Avant le test, retirez la source approuvée pour plusieurs questions et consignez lesquelles, sans en informer la personne qui utilise l’outil.

Appliquez votre méthode actuelle au même fichier, avec la même bibliothèque figée et les mêmes personnes. Cette méthode peut reposer sur un assistant généraliste comme ChatGPT, Microsoft Copilot, Claude ou Gemini, qui permet à la personne qui saisit le texte de produire rapidement un premier jet correct. Il peut aussi s'agir d'une bibliothèque enrichie par l'IA, d'une solution développée en interne ou d'une plateforme conçue spécifiquement pour gérer les réponses. Si votre équipe travaille aujourd'hui dans Copilot, ce comparatif présente les arguments en faveur de son maintien ou d'un changement de solution.

Critères de réussite et d’échec

Définissez chaque critère avant l'exécution, puis évaluez toutes les options de la même manière.

• Le fichier est restitué intact. Évaluation effectuée une fois par fichier : chaque onglet, ligne et colonne conserve son ordre d’origine, et le fichier est prêt à être remis sans remise en forme.
• Les champs de liste déroulante contiennent les choix autorisés. Évalué pour chaque occurrence, avec une limite fixée à zéro.
• Les lacunes introduites sont signalées, jamais comblées. Chaque lacune introduite est évaluée, et une seule lacune comblée suffit à invalider l'option. Introduisez suffisamment de lacunes pour qu'une réussite due au hasard soit peu probable.
• Chaque brouillon indique une source que le relecteur peut ouvrir. Évalué pour chaque occurrence, avec une limite fixée à zéro.
• Les limites et les instructions sont respectées. Évaluation sur chaque réponse : un seul dépassement du nombre maximal de mots ou de caractères, ou un seul non-respect des instructions propres au questionnaire, invalide l'option.
• Chaque réponse consigne le nom de l'approbateur et l'heure d'approbation. Évalué une fois par fichier.
• Les brouillons résistent à la comparaison avec le corrigé. Évaluation selon un seuil prédéfini. La proportion de brouillons qu'un relecteur accepte sans modifier un fait, un chiffre ou un engagement doit être au moins égale à celle obtenue avec votre méthode actuelle sur le même fichier.

Évaluer le coût et décider

Consignez les heures de chaque contributeur, par personne et par question. Cela inclut le bid manager, les rédacteurs, les experts, les équipes juridiques et de sécurité. Affectez chaque heure à une seule colonne : réponse à une lacune ou relecture d’un brouillon. Cette distinction est importante, car les brouillons de faible qualité reportent le travail sur leurs destinataires. Une étude de BetterUp Labs et de Stanford, publiée dans la Harvard Business Review, a révélé qu’aux États-Unis, 41 % des salariés interrogés avaient reçu des contenus de faible qualité générés par l’IA, entraînant près de deux heures de reprise à chaque fois. Cette étude ne portait pas sur les équipes bid, mais dans le cadre d’un questionnaire, les destinataires des brouillons sont vos experts et vos relecteurs.

Ajoutez ensuite les coûts récurrents pour chaque option : mise en place, validation par la sécurité des systèmes d’information et la gouvernance de l’information, ainsi que formation de tous les contributeurs. Consignez-les également pour votre option actuelle, y compris les ressources nécessaires à sa validation initiale. Conserver votre solution actuelle implique toujours que votre équipe mette en place et maintienne le processus autour de l’outil. Une solution développée en interne nécessite aussi des autorisations pour chaque contributeur, une relecture et une validation pour chaque question, une bibliothèque de réponses approuvées, ainsi qu’une évaluation de la qualité des réponses à mesure que les modèles évoluent. Il faut également quelqu’un pour l’administrer lorsque la personne qui l’a développée quitte ses fonctions. Un développement interne convient à une équipe disposant de capacités d’ingénierie pérennes et d’un processus unique, simple et stable.

La règle de décision découle des critères. Toute option qui ne satisfait pas à un critère éliminatoire est écartée. Parmi les options restantes, retenez celle qui nécessite le moins d’heures au total pour obtenir un fichier prêt à être remis, en tenant compte de ses coûts récurrents. La qualité est déjà prise en compte dans le seuil, ne la comptabilisez donc pas une seconde fois. Si l’écart avec votre méthode actuelle est inférieur à la marge que vous avez définie avant l’évaluation, conservez votre solution actuelle, car changer implique aussi de transférer votre bibliothèque.

Choisissez le questionnaire et figez la bibliothèque avant que quiconque ne réserve une démo.