Qu'est-ce qu'un questionnaire SIG ?

SIG signifie Standardized Information Gathering, et le questionnaire est une bibliothèque structurée de questions, alignée sur des référentiels, que les fournisseurs remplissent pour décrire leurs propres contrôles de sécurité, de confidentialité et opérationnels. Il a été conçu pour remplacer les questionnaires ponctuels et incohérents que les acheteurs et les fournisseurs échangeaient auparavant dans le cadre des due diligences, en offrant aux deux parties un point de référence commun plutôt qu’un formulaire sur mesure créé pour chaque mission.

Structure et contenu

Bibliothèque de questions et conception modulaire

Le questionnaire SIG s’appuie sur une bibliothèque de contenu de plus de 1 800 questions validées, dans laquelle les organisations sélectionnent le sous-ensemble pertinent pour une relation fournisseur donnée. Cette conception modulaire permet à un même standard sous-jacent de produire des questionnaires très différents : un fournisseur de cloud hosting et un prestataire de paie peuvent chacun recevoir un questionnaire dérivé du SIG, adapté à leur service réel plutôt qu’un formulaire générique alourdi par des éléments non pertinents. La formulation et les correspondances avec les référentiels de chaque question restent standardisées, même lorsque la sélection évolue, ce qui préserve la comparabilité entre fournisseurs et entre cycles d’évaluation.

Domaines de risque couverts

Selon la version et l’année de publication, le questionnaire évalue les risques sur environ 19 à 21 domaines définis, couvrant le contrôle d’accès, la sécurité des applications, les services cloud, la gestion de la confidentialité, la résilience opérationnelle et les risques liés à la chaîne d’approvisionnement ou aux tiers et nièmes parties. Cette ampleur est intentionnelle. L’exposition d’un fournisseur se situe rarement dans une seule zone de contrôle, et un questionnaire limité à la sécurité réseau passerait à côté de la gestion de la confidentialité ou des risques liés aux sous-traitants qui peuvent avoir des conséquences équivalentes ou plus importantes. La structure par domaines permet également à un évaluateur d’approfondir une zone spécifique, comme la réponse aux incidents, sans devoir relancer l’ensemble du questionnaire.

Versions et périmètre

SIG Core

SIG Core est la version standard la plus complète, avec de l’ordre de 810 à 855 questions, et est destinée aux fournisseurs qui stockent, traitent ou gèrent des informations sensibles ou réglementées. Sa profondeur convient aux relations à haut risque ou critiques pour l’activité, où un examen superficiel laisserait des lacunes significatives non traitées. Comme il faut nettement plus de temps à un fournisseur pour le remplir et à un évaluateur pour l’examiner, les organisations ont tendance à réserver SIG Core aux fournisseurs dont une défaillance aurait des conséquences opérationnelles, financières ou réglementaires importantes.

SIG Lite

SIG Lite est une version plus courte, qui contient généralement environ 126 à 133 questions, conçue pour offrir une vue d’ensemble du niveau de sécurité d’un fournisseur. Il convient au filtrage initial ou aux tiers présentant un niveau de risque plus faible, lorsque réaliser un examen exhaustif serait disproportionné par rapport à l’exposition en jeu. De nombreux workflows de due diligence utilisent SIG Lite comme premier passage, en réservant SIG Core aux fournisseurs que ce premier filtre identifie comme plus risqués ou qui traitent directement des données clients sensibles.

SIG personnalisé

Comme la bibliothèque de questions sous-jacente dépasse 1 800 éléments, les organisations ne sont pas limitées aux modèles standard publiés. Un SIG personnalisé peut être assemblé pour correspondre à un type de service spécifique, à une obligation contractuelle ou à une exigence réglementaire, tout en conservant la formulation standardisée et les correspondances de contrôles qui rendent les réponses comparables entre fournisseurs. Cela compte pour les acheteurs qui ont besoin de cohérence sur un large portefeuille de fournisseurs sans imposer à chaque soumissionnaire un formulaire identique.

Correspondances avec les référentiels et comparaison avec le CAIQ

Correspondances croisées avec des référentiels externes

Chaque question du questionnaire SIG est associée à plusieurs contrôles externes et exigences réglementaires, ce qui permet un alignement sur des référentiels tels qu’ISO 27001, les recommandations NIST en matière de cybersécurité, PCI DSS, les critères SOC 2, le RGPD et HIPAA au sein d’une seule évaluation. Ce recoupement constitue une efficacité pratique : un fournisseur qui répond à une instance SIG fournit implicitement des éléments probants pertinents pour plusieurs référentiels à la fois, plutôt que de remplir des questionnaires distincts pour chacun. Les acheteurs en tirent également avantage, puisqu’un seul questionnaire complété peut couvrir plusieurs besoins de conformité et d’audit.

SIG par rapport à CAIQ

Le Consensus Assessments Initiative Questionnaire (CAIQ) de la Cloud Security Alliance est l’instrument le plus comparable, mais il est défini spécifiquement pour les fournisseurs de services cloud et structuré autour de la Cloud Controls Matrix. SIG a un périmètre plus large, couvrant des fournisseurs non cloud et un ensemble plus vaste de domaines opérationnels et de confidentialité, et n’est pas lié à une taxonomie de contrôles unique comme l’est CAIQ à la sécurité cloud. Les organisations qui évaluent un fournisseur cloud demandent parfois les deux, en utilisant CAIQ pour le détail des contrôles spécifiques au cloud et SIG pour une vision plus large des risques.

Nature auto-évaluative et rôle probatoire

Ce que l’achèvement démontre réellement

Un questionnaire SIG complété est une auto-évaluation, pas un audit ni une certification. Les fournisseurs renseignent eux-mêmes les réponses, puis un évaluateur les examine ; il n’y a pas de vérification indépendante intégrée à l’outil. Le questionnaire complété sert donc de preuve documentaire que la due diligence a eu lieu et que les contrôles déclarés par le fournisseur ont été examinés, et non de preuve que ces contrôles fonctionnent comme décrit. Considérer un SIG retourné comme équivalent à un rapport SOC 2 ou à un certificat ISO surestime ce qu’une auto-évaluation peut établir.

Conservation et suivi continu

Les questionnaires complétés sont généralement conservés avec les documents justificatifs, comme les politiques, les certifications et les plans de réponse aux incidents, et constituent une partie du dossier de risque fournisseur. Ce dossier n’est pas un artefact ponctuel. Comme le contenu SIG évolue chaque année et que l’environnement de contrôle du fournisseur change lui aussi au fil du temps, un questionnaire datant de deux cycles offre une preuve limitée de la posture actuelle. Les programmes de suivi continu prévoient en général une nouvelle évaluation selon une fréquence liée au niveau de risque du fournisseur, plutôt que de s’appuyer sur une seule réponse historique.

Mise en œuvre et outils

En pratique, le questionnaire SIG est un document Excel généré à partir de modèles de cadrage stockés par un outil compagnon, le SIG Manager de Shared Assessments, selon Shared Assessments. Cet outil permet aux utilisateurs de créer, personnaliser, stocker, comparer et rappeler des instances de questionnaire dans le cadre d’un processus plus large de gestion des risques liés aux tiers, plutôt que de traiter chaque évaluation comme un fichier isolé. Cette distinction est importante : le questionnaire est l’artefact qu’un fournisseur remplit, tandis que l’outillage de gestion est ce qui le génère, le versionne et l’archive pour l’ensemble d’un portefeuille de fournisseurs. Confondre les deux amène les équipes à sous-estimer l’ampleur de la configuration et du contrôle de version qui se cache derrière ce qui ressemble, en surface, à une simple feuille de calcul.

Adoption et évolution annuelle

Utilisation par rapport aux questionnaires personnalisés

Les données d’enquête sur les programmes de gestion des risques liés aux tiers indiquent qu’environ 18 % utilisent un questionnaire standard du marché comme SIG, tandis qu’environ 57 % s’appuient sur des questionnaires personnalisés développés en interne. Cela suggère que SIG est largement reconnu comme un standard de référence sans être le choix par défaut pour la plupart des programmes, probablement parce que la création ou la maintenance d’un questionnaire sur mesure semble encore plus adaptée à certaines équipes risques, même si cela se fait au détriment de la comparabilité entre fournisseurs.

Cycle de mise à jour annuel

Le contenu de SIG est mis à jour chaque année afin d’intégrer les nouvelles réglementations, les risques émergents et l’évolution des bonnes pratiques. Les chiffres publiés pour le nombre de questions et de domaines, par exemple de 810 à 855 questions dans SIG Core ou de 19 à 21 domaines, varient légèrement d’une version à l’autre pour cette raison. Il ne s’agit pas de caractéristiques figées du standard, mais d’un instantané d’un questionnaire vivant, entretenu dans la durée plutôt que publié une fois pour rester statique.