Qu'est-ce qu'un DDQ ?

Un questionnaire de due diligence est une demande formelle et écrite d’informations qui invite le destinataire à décrire, pièces justificatives à l’appui, la structuré de propriété, la gouvernance, le financement, le fonctionnement et le contrôle de son organisation. Il se distingue d’une demande informelle d’informations par son caractère structuré et reproductible, ainsi que par le fait qu’il vise à constituer un dossier documentaire plutôt qu’à engager une conversation. L’organisation qui l’envoie, qu’il s’agisse d’un investisseur institutionnel, d’un acquéreur ou d’une fonction achats d’entreprise, utilise le DDQ pour constituer une base factuelle en vue d’une décision à prendre ou d’une relation sur laquelle elle continue de s’appuyer.

Qu’est-ce qu’un DDQ
?

Définition et objectif principal

Un DDQ sert à consigner l’état interne d’une organisation, sa structuré de propriété, sa situation financière, son programme de conformité et ses contrôles opérationnels dans un document écrit et vérifiable qu’une autre partie peut évaluer. C’est là son objectif principal
: apporter des preuves, et non convaincre.

Le mécanisme est simple. Un expéditeur transmet une liste fixe de questions, souvent accompagnée d’une liste des documents requis. Le destinataire doit répondre à chacune d’elles de manière factuelle, en joignant des preuves plutôt que des descriptions. Un questionnaire de due diligence est un document formel comportant des questions destinées à vérifier la conformité d’un tiers aux normes du secteur, aux lois, aux réglementations et aux pratiques de cybersécurité pertinentes pour l’entreprise qui procède à l'évaluation.

Pour les destinataires, les réponses vagues ou non étayées ont un coût réel. Une réponse à un DDQ sans certificat, extrait de politique ou rapport d’audit joint est considérée comme non vérifiée. Or, les réponses non vérifiées retardent ou bloquent la décision sous-jacente. C’est pourquoi la réponse aux DDQ est de plus en plus considérée comme une discipline à part entière, distincte de la rédaction générale des offres.

Ce qui distingue un DDQ du processus global de due diligence

Un DDQ est un outil de due diligence, et non le processus lui-même. La due diligence comprend également des visites sur site, des entretiens, des recherches indépendantes et des vérifications de références. Le DDQ constitué le socle documentaire qui relie ces activités.

Cette distinction est importante, car un DDQ, aussi approfondi soit-il, contient des informations déclaratives. Un DDQ est un ensemble structuré de questions qu’une organisation adresse à une autre afin de vérifier son fonctionnement avant d’engager des capitaux, de lui attribuer un marché ou de poursuivre une relation. Une fois rempli, le questionnaire est intégré au dossier formel de due diligence de l’organisation qui l’a envoyé. Les analystes et les équipes chargées des risques le considèrent comme le point de départ de la vérification, et non comme la vérification elle-même.

En pratique, cela signifie qu’une réponse solide à un DDQ peut tout de même être suivie d’une visite sur site, d’un appel de référence ou d’un audit indépendant. Un destinataire qui considère le questionnaire comme l’unique étape de validation, plutôt que comme le point de départ d’un examen plus approfondi, se méprend sur ce qui est réellement évalué.

Dans quels contextes les DDQ sont utilisés

Due diligence des investisseurs institutionnels

Les investisseurs institutionnels utilisent des DDQ pour évaluer les gestionnaires de fonds avant d’engager des capitaux. Cette pratique est formalisée au moyen de modèles standardisés. Selon l’ILPA, un DDQ standardisé destiné aux investisseurs sur les marchés privés vise à harmoniser les principaux domaines sur lesquels portent leurs questions lors de la due diligence des gestionnaires, et à fournir un cadre pour suivre, dans la durée, les progrès réalisés dans des domaines tels que la diversité, l’équité et l’inclusion.

Le mécanisme repose ici sur la comparabilité. Lorsque de nombreux gestionnaires répondent au même ensemble standardisé de questions, les investisseurs et les consultants peuvent comparer les réponses des candidats présélectionnés, plutôt que d’adapter les formats spécifiques de chaque gestionnaire. Le DDQ de l’ILPA, largement utilisé dans le capital-investissement, couvre de nombreux sujets liés à la due diligence des fonds, notamment les performances passées, afin que les investisseurs puissent poser systématiquement des questions cohérentes à tous les gestionnaires.

Une limite mérite d’être soulignée : la standardisation réduit les frictions, mais ne dispense pas d’exercer son jugement. Deux gestionnaires peuvent répondre avec exactitude aux mêmes questions standardisées tout en présentant des profils de risque sensiblement différents lorsqu’un investisseur évalue leurs réponses au regard de son propre mandat.

Fusions et acquisitions

Dans le cadre d’une opération de fusion-acquisition, un acquéreur adresse un DDQ à une société cible afin d’obtenir, avant la finalisation de la transaction, des informations sur l’actionnariat, les performances financières, les contrats, les contentieux et la situation réglementaire. Ce questionnaire complète les travaux juridiques, financiers et opérationnels, sans les remplacer.

Le mécanisme est le suivant : les réponses de la cible et les documents qui y sont joints alimentent directement l'évaluation, la négociation des garanties et la définition des conditions de réalisation de la transaction. Une lacune ou une incohérence dans une réponse à un DDQ peut entraîner des investigations complémentaires, un ajustement du prix ou une indemnisation spécifique dans l’accord de transaction.

Gestion des risques liés aux fournisseurs et aux tiers

Les fonctions achats et de gestion des risques liés aux tiers utilisent les DDQ pour évaluer les fournisseurs potentiels et existants avant leur intégration, puis à intervalles réguliers. Dans le cadre de l’évaluation des fournisseurs, le questionnaire d’identification constitué, dans de nombreux programmes de gestion des risques liés aux tiers, le principal outil d’évaluation des risques avant la signature du contrat. Il demande au fournisseur potentiel de décrire ses contrôles de sécurité, ses certifications, son historique d’incidents, ses relations avec ses sous-traitants et ses pratiques de traitement des données.

Cette activité est d’une ampleur considérable. Selon les données d’enquête citées dans les guides sur les DDQ, les entreprises envoient en moyenne 55 questionnaires à des tiers, chacun comprenant 101 à 350 questions. Ces chiffres montrent pourquoi les équipes bid et conformité des fournisseurs considèrent les réponses aux DDQ comme une charge opérationnelle récurrente plutôt que comme une tâche ponctuelle.

Un questionnaire de due diligence structuré, utilisé dans la gestion des risques fournisseurs, comporte généralement 100 à 200 questions portant sur le profil de l’entreprise, sa santé financière, sa situation juridique et sa conformité, la sécurité de l’information, la continuité opérationnelle et les critères ESG. Une seule réponse peut donc mobiliser presque toutes les fonctions d’une organisation fournisseur.

Ce que couvre généralement un DDQ

Actionnariat, gouvernance et données financières

La plupart des DDQ commencent par des questions sur la structuré juridique, l’actionnariat, la composition du conseil d’administration et la situation financière, car ces éléments permettent d’identifier la contrepartie avant d’évaluer tout aspect opérationnel. Cette section répond à une question fondamentale : qui est responsable et cette contrepartie est-elle solvable ?

Le mécanisme repose sur les informations communiquées relatives à l’actionnariat et à la gouvernance, qui révèlent les conflits d’intérêts, les accords entre parties liées et les fragilités financières qui demeureraient autrement invisibles dans un échange purement opérationnel. Les états financiers, les rapports des auditeurs et les organigrammes constituent les justificatifs habituels.

Un questionnaire de due diligence est un questionnaire complet qui permet d’évaluer une opportunité d’investissement, un partenariat commercial ou une cible d’acquisition potentiels en recueillant des informations détaillées sur les activités de l’entreprise, ses performances financières ainsi que sa conformité juridique et réglementaire. C’est pourquoi cette section apparaît rarement indépendamment des sections suivantes consacrées à la conformité.

Conformité et posture réglementaire

Les sections consacrées à la conformité visent à déterminer si l’organisation respecte les lois, les réglementations et les normes sectorielles applicables à la juridiction et au secteur de l’expéditeur. Elles permettent d’établir si la contrepartie peut exercer ses activités légalement et de manière fiable dans le cadre de la relation envisagée.

Le mécanisme repose sur des preuves documentaires : licences, déclarations réglementaires, résultats des contrôles, sanctions, historique des contentieux et attestations relatives aux politiques. Un questionnaire de due diligence est un document formel comportant des questions visant à vérifier la conformité d’un tiers aux normes sectorielles, aux lois et aux réglementations applicables à l’entreprise qui procède à l’évaluation. Les réponses dépourvues de pièces justificatives sont généralement considérées comme incomplètes.

Une limite pratique tient au décalage entre les juridictions : un cadre de conformité conçu pour un environnement réglementaire donné peut ne pas s’appliquer clairement à une contrepartie opérant dans plusieurs environnements. C’est pourquoi les DDQ transfrontaliers comportent souvent des questions complémentaires propres à chaque marché.

Sécurité de l’information et résilience opérationnelle

Les questions de sécurité et de résilience examinent la manière dont la contrepartie protège les données, gère les incidents et assure la continuité de service. Elles représentent désormais une part importante dans la plupart des DDQ fournisseurs. Cette section permet de déterminer si une perturbation opérationnelle chez la contrepartie entraîne une perturbation pour l’expéditeur.

Le mécanisme repose sur des certifications, des synthèses de tests d’intrusion, des registres de réponse aux incidents et des plans de continuité d’activité, fournis à titre d’éléments de preuve en complément des réponses rédigées. Dans le cadre d’une évaluation des fournisseurs, un questionnaire de due diligence demande à un fournisseur potentiel de décrire ses contrôles de sécurité, ses certifications, son historique d’incidents, ses relations avec ses sous-traitants ultérieurs et ses pratiques de traitement des données avant son intégration.

Comme ce domaine évolue rapidement, les sections consacrées à la sécurité sont les plus susceptibles d’être signalées comme obsolètes lors de l’actualisation. Les destinataires doivent le plus souvent mettre à jour les éléments de preuve entre deux cycles de DDQ, plutôt que de simplement soumettre à nouveau leurs réponses.

DDQ et instruments connexes

DDQ et RFP : comparaison

Un DDQ vérifie le fonctionnement d’une organisation ; un RFP lui demande comment elle propose de résoudre un problème donné. Ces deux instruments interviennent à des étapes différentes d’une relation et sont souvent confondus, car ils se présentent tous deux sous la forme de longues séries de questions structurées.

Un RFP est généralement émis au début d’un cycle d’achat afin de comparer les solutions, les tarifs et les approches de plusieurs fournisseurs concurrents. Un DDQ est axé sur les risques et la conformité. Il est émis lorsqu’un fournisseur, un fonds ou une cible figure sur la liste restreinte, afin de vérifier les contrôles de référence, la préparation opérationnelle et la conformité réglementaire au moyen de réponses factuelles et auditables, plutôt que d’offres visant à convaincre.

La conséquence pratique est que les équipes qui répondent aux deux doivent adopter des postures différentes. Les réponses à un RFP peuvent légitimement décrire l’approche envisagée ; les réponses à un DDQ doivent décrire la situation actuelle, avec preuves à l’appui. Traiter les deux de la même manière produit des réponses à un DDQ qui relèvent davantage du discours marketing que de la preuve.

DDQ et questionnaires de sécurité à domaine unique

Un DDQ a une portée plus large qu’un security questionnaire, car il couvre l’ensemble de l’entreprise plutôt qu’un seul domaine de contrôle. Cette distinction est importante, car un destinataire qui n’a constitué aucun élément constitutif de la sécurité de l’information devra encore combler des lacunes lorsqu’il recevra un DDQ complet.

Les questionnaires de sécurité, notamment ceux fondés sur des référentiels comme SIG ou sur des formats de type CAIQ, portent spécifiquement sur les contrôles de sécurité techniques et organisationnels. Un DDQ comprend généralement une section consacrée à la sécurité, ainsi que des sections sur l’actionnariat, les aspects financiers et juridiques, et la gouvernance. Il couvre donc l’entreprise dans son ensemble plutôt qu’un seul domaine de contrôle.

Les organisations qui considèrent leur bibliothèque de preuves pour les questionnaires de sécurité comme suffisante pour répondre aux DDQ découvrent souvent, en cours de processus, que les sections financières et de gouvernance nécessitent une chaîne de preuves entièrement distincte, qu’elles n’ont pas encore centralisée.

Modèles DDQ standardisés

Modèles publiés par des associations

Plusieurs organismes professionnels publient des modèles de DDQ standardisés afin que les investisseurs puissent poser des questions cohérentes et que les gestionnaires puissent préparer un ensemble unique et réutilisable de réponses. Selon l’AIMA, les DDQ publiés par des associations ont aidé les investisseurs à évaluer les investissements qu’ils envisageaient dans des fonds, et les gestionnaires de fonds à choisir les prestataires de services, les administrateurs et les conseils d’administration de ces fonds.

Le mécanisme repose sur l’efficacité à l’échelle du réseau : une fois qu’un modèle est largement adopté, un gestionnaire peut réutiliser une grande partie de la réponse dans le cadre de plusieurs relations avec des investisseurs, en ne mettant à jour que ce qui a changé. Cela réduit les efforts redondants de part et d’autre de l’échange.

Une limite tient au fait que les modèles standardisés couvrent bien les sujets communs, mais ne traitent rarement les questions de suivi spécifiques, notamment lorsque le mandat, la juridiction ou l’appétence au risque d’un investisseur sortent du périmètre par défaut du modèle.

Adaptation selon la structuré du fonds

Les DDQ standardisés sont de plus en plus souvent adaptés à des structuré de fonds spécifiques plutôt que proposés sous la forme d’un questionnaire générique unique. Le cadre de l’INREV pour l’immobilier non coté comprend trois questionnaires adaptés : un pour les véhicules immobiliers non cotés, un pour les fonds de fonds et les véhicules structurés multigérants, et un pour les véhicules de dette immobilière. Ils répondent ainsi aux besoins des différentes structuré de fonds tout en maintenant un niveau élevé de contrôle.

Cette adaptation tient compte du fait que les véhicules de dette et de fonds propres présentent des facteurs de risque distincts. Un questionnaire unique omettrait donc des questions importantes ou imposerait aux répondants des questions non pertinentes. Le DDQ d’INREV consacré à l’immobilier a aidé les investisseurs et les consultants à comprendre la structuration, la stratégie et l’activité d’un gestionnaire de fonds, ainsi que la stratégie, les processus de gestion des risques et les conditions propres à un véhicule donné.

Pour les répondants, cela signifie qu’un gestionnaire de fonds exploitant plusieurs types de véhicules ne peut pas s’appuyer sur un seul DDQ complété. Chaque structuré nécessite généralement sa propre version adaptée, même si une grande partie des justificatifs sous-jacents se recoupe.

Répondre à un DDQ

Pratiques en matière de preuves et de documentation

Une réponse efficace à un DDQ repose sur l’ajout, à chaque réponse, de preuves à jour et vérifiables, plutôt que sur le seul contenu narratif. C’est la pratique qui distingue le plus une réponse dont l’examen est validé rapidement d’une autre qui suscite des demandes complémentaires.

Les recommandations spécialisées sur les réponses aux DDQ insistent sur plusieurs points : lire l’intégralité du document avant de répondre, attribuer les sections à leurs responsables dès le premier jour, s’appuyer sur la documentation à jour plutôt que sur les soumissions antérieures et joindre des éléments probants à chaque réponse. Les recommandations d’experts sur le développement des capacités de réponse aux DDQ soulignent également l’importance de centraliser les éléments probants dans un référentiel sécurisé avec gestion des versions, et d’associer directement les contrôles aux éléments probants.

Conséquence concrète : une section sur la sécurité renseignée à partir d’une politique obsolète ou arrivée à expiration est considérée comme une réponse fausse ou trompeuse, et non comme une simple omission, car les éléments de preuve du DDQ sont censés refléter la situation actuelle.

Actualisation régulière et suivi continu

Un DDQ complété est rarement un document ponctuel. La plupart des programmes institutionnels et de gestion des risques liés aux fournisseurs exigent des mises à jour périodiques afin que le dossier de diligence raisonnable de l’expéditeur demeure à jour à mesure que la contrepartie évolue.

Les bibliothèques avancées de preuves pour les DDQ reposent sur des principes tels que l’immutabilité et le contrôle des versions. Chaque document, capture d’écran ou politique dispose d’un historique des versions clair, et les mises à jour sont archivées plutôt que supprimées, ce qui crée un audit trail attestant de l’état de conformité au fil du temps. L’émetteur peut ainsi retracer précisément les déclarations d’une contrepartie à chaque actualisation, et non seulement ses déclarations actuelles.

Pour les destinataires, la conséquence est opérationnelle : sans bibliothèque de preuves tenue à jour, chaque cycle d’actualisation revient, en pratique, à reprendre la réponse à zéro. C’est précisément cette charge que les référentiels de preuves centralisés, gouvernés et soumis à un contrôle de version sont conçus pour éliminer.