Que sont les questionnaires ?

Un questionnaire est en lui-même un instrument fixe : une liste définie de questions, présentées dans un ordre et un format déterminés, auxquelles chaque répondant répond dans les mêmes conditions afin que les réponses puissent être comparées ou notées. Les questions servent à recueillir des informations précises, statistiques ou personnelles, auprès de chaque répondant. L'instrument lui-même est un document, sur papier ou à l'écran, qui prévoit un espace défini pour chaque réponse. Cette structure de base (questions fixes, champs de réponse structurés, population de répondants définie) permet au questionnaire de servir d'outil d'évaluation plutôt que de correspondance ouverte.

Qu’est-ce qu’un questionnaire?

Structure et objectif

Un questionnaire sert à rendre de nombreuses réponses comparables, et pas seulement à recueillir des informations. Il vise à permettre une évaluation ou une prise de décision : une personne lira le questionnaire rempli, lui attribuera une note ou s'en servira pour porter un jugement sur le répondant.

Le mécanisme repose sur la standardisation. Chaque répondant voit une formulation identique, les questions dans le même ordre et, généralement, les mêmes formats de réponse (choix multiple, échelle, texte libre ou téléchargement de document). Cela élimine les variations qui apparaîtraient si chaque répondant était simplement invité à se décrire avec ses propres mots.

La conséquence est que la conception d’un questionnaire limite les enseignements que l’on peut en tirer. Une question mal formulée produit des données de mauvaise qualité, quelle que soit la rigueur avec laquelle les réponses sont ensuite évaluées. C’est pourquoi, dans les domaines des achats et de la conformité, la conception des questionnaires relève de la gouvernance, et non d’une simple tâche administrative.

Questionnaire ou enquête

Un questionnaire est l’instrument ; une enquête est le processus qui consiste à l’administrer, à recueillir les réponses et à analyser les résultats. Les deux termes sont souvent employés indifféremment dans le langage courant, mais cette distinction est importante dans les contextes commerciaux et de recherche, car elle permet de différencier l’outil conçu de la démarche qui l’utilise.

Un même questionnaire peut être réutilisé dans le cadre de nombreuses enquêtes, et une même enquête peut parfois combiner plusieurs questionnaires (par exemple, un security questionnaire et un questionnaire sur la solidité financière administrés conjointement dans le cadre d'une même procédure d'intégration d'un fournisseur). L'instrument est fixe ; son administration varie.

Pour une organisation qui répond, cette distinction est pratique plutôt que théorique. Le questionnaire détermine précisément les éléments auxquels il faut répondre et la manière de le faire. Le processus d’enquête qui l’entoure fixe les échéances, la pondération des scores et les personnes qui examinent les réponses au sein de l’organisation acheteuse. Confondre les deux conduit les équipes à négocier le mauvais point au mauvais stade.

Formats courants

Les questionnaires se présentent sous forme de formulaires imprimés, de portails en ligne, de feuilles de calcul et, de plus en plus, de champs structurés dans des plateformes de gestion des fournisseurs ou des risques fournisseurs. Le format détermine les possibilités de réutilisation et d’audit des réponses.

Les questions d’un questionnaire peuvent être ouvertes, fermées (oui/non, choix multiple, échelle de Likert) ou combiner les deux. Le questionnaire peut être administré par téléphone, en ligne ou en personne. Les formats fermés facilitent la notation et la comparaison ; les formats ouverts permettent des réponses plus nuancées, mais compliquent une évaluation cohérente d’un grand nombre de répondants.

Dans les contextes d’achats commerciaux et de conformité, les formats tableur et portail permettent d’exporter les réponses, de les versionner et de les associer aux pièces justificatives. Un questionnaire fourni sous la forme d’un document non structuré, par exemple une série de questions intégrées à un texte, est plus difficile à évaluer de manière cohérente.

Questionnaires dans les marchés publics

Questionnaires de préqualification (PQQ)

Un questionnaire de préqualification est une liste de questions auxquelles les prestataires ou les fournisseurs doivent répondre avant d'être autorisés à soumettre une offre. Les organisations acheteuses l'utilisent pour présélectionner efficacement les candidats. Selon la Chambre de commerce et d'industrie de Londres, les questionnaires de préqualification permettent aux organisations acheteuses de présélectionner efficacement les fournisseurs en attribuant une note à leurs réponses.

Ce mécanisme constitue un filtre en amont de l’appel d’offres principal. Au lieu d’évaluer les offres complètes de chaque fournisseur intéressé, l’acheteur sélectionne les candidats selon leurs capacités de base, leur solidité financière et leurs antécédents en matière de conformité, à l’aide d’un questionnaire standardisé plus court. Seuls ceux qui satisfont aux critères peuvent ensuite soumettre une offre complète.

Pour les fournisseurs, cela signifie qu’un échec au PQQ met fin à leur participation avant même l’évaluation de la valeur technique ou commerciale de leur offre. Les réponses à un PQQ sont généralement factuelles et étayées par des preuves (chiffre d’affaires, niveaux de couverture d’assurance, performances passées), plutôt que persuasives. L’exactitude et l’exhaustivité priment donc sur la formulation.

Questionnaires spécifiques aux marchés publics (PSQ)

Un questionnaire spécifique aux marchés publics est un document standardisé de préqualification qui permet aux fournisseurs de démontrer leur conformité et leurs capacités lorsqu'ils soumissionnent à des marchés publics dépassant les seuils réglementaires. Il a remplacé les anciens questionnaires standard de sélection et de préqualification utilisés dans les marchés publics au Royaume-Uni, en regroupant des exigences similaires dans un format unique reconnu.

Le mécanisme repose sur la standardisation entre les pouvoirs adjudicateurs. Au lieu que chaque organisme public conçoive son propre formulaire de préqualification sur mesure, un PSQ applique une structure commune afin que les fournisseurs répondent à des questions globalement comparables, quelle que soit l'autorité qui organise l'appel d'offres. Cela réduit les efforts redondants pour les fournisseurs qui répondent à plusieurs procédures du secteur public.

Une limite pratique subsiste : la standardisation couvre les questions générales relatives aux capacités et à la conformité, mais les autorités peuvent toujours ajouter des questions complémentaires propres à un secteur ou à un contrat. Les fournisseurs ne doivent pas supposer qu’une réponse à un PSQ préparée pour un appel d’offres peut être reprise sans modification pour un autre, sans examen préalable.

Questionnaires commerciaux dans les appels d'offres publics

Dans le cadre d’un marché public, un questionnaire commercial est un document formel qui recueille des informations clés sur les capacités, l’expérience, la situation financière et la conformité réglementaire d’un fournisseur avant son passage à l’étape principale de l’appel d’offres. Il constitue le socle probatoire de l’étape de qualification.

Le mécanisme repose sur la communication d’informations structurées afin de comparer les soumissionnaires : le chiffre d’affaires des derniers exercices, les références de contrats pertinents, les attestations d’assurance et les déclarations de conformité réglementaire sont demandés dans un format fixe, afin que les évaluateurs puissent les noter selon des seuils définis. Aux États-Unis, la Federal Transit Administration indique que les questionnaires de qualification des soumissionnaires sont des éléments obligatoires des offres pour de nombreux marchés de travaux publics et de services dépassant certains seuils financiers, et qu’ils doivent être joints au dossier de soumission.

Pour les fournisseurs, cela signifie que les réponses aux questionnaires commerciaux sont souvent réutilisées dans de nombreux bids, car les données sous-jacentes (chiffre d’affaires, certifications, références) évoluent peu. Le maintien d’une source exacte et à jour pour ces réponses réduit le risque de soumettre des chiffres obsolètes ou contradictoires dans le cadre de bids simultanés.

Questionnaires de sécurité et de conformité

Security questionnaires

Un security questionnaire est un ensemble structuré de questions utilisé pour évaluer la posture de sécurité d’un fournisseur, généralement avant ou après son intégration, ou à intervalles réguliers lorsque les services ou les pratiques de traitement des données évoluent. Il s’agit d’une liste compilée, souvent technique et détaillée, visant à déterminer le niveau de sécurité et de conformité d’une entreprise.

Le mécanisme repose sur une auto-attestation étayée par des preuves. Les fournisseurs répondent à des questions sur les contrôles d’accès, le chiffrement, la réponse aux incidents et la gouvernance. Ils joignent souvent à leurs réponses rédigées des documents justificatifs, tels que des synthèses de tests d’intrusion ou des lettres de certification. L’équipe chargée de la sécurité ou des achats chez l’acheteur évalue ensuite la réponse au regard des seuils de risque internes.

Les security questionnaires restent un outil fondamental de la gestion des risques liés aux tiers, précisément parce qu’ils fournissent des données structurées et autodéclarées sur les contrôles, la gouvernance, les certifications et la capacité de réponse aux incidents des fournisseurs, sous une forme permettant de comparer de nombreux fournisseurs. Leur limite tient au fait qu’ils reposent sur des déclarations volontaires. Un questionnaire seul ne permet pas de vérifier qu’un contrôle existe, c’est pourquoi les acheteurs complètent souvent les réponses aux questionnaires par des rapports d’audit ou des certifications indépendantes.

Questionnaires de conformité en matière de sécurité

Un questionnaire de conformité en matière de sécurité est un document que les organisations utilisent pour déterminer si leurs fournisseurs respectent des normes de sécurité précises. Alors qu’un security questionnaire général évalue globalement la posture de sécurité, un questionnaire de conformité relie directement les questions à une norme désignée ou à une obligation réglementaire.

Le mécanisme repose sur une mise en correspondance : chaque question renvoie à une clause, à un contrôle ou à une exigence réglementaire spécifique. Une fois rempli, le questionnaire sert donc également de preuve de conformité. Cette structure permet à un acheteur de démontrer facilement, dans son propre audit trail, qu’il a évalué un fournisseur au regard d’une norme définie, plutôt que sur la base d’un ensemble informel de préoccupations.

Pour le fournisseur qui répond, cela implique d'employer un langage précis. Répondre « oui, nous chiffrons les données » ne revient pas à répondre à une clause précise exigeant le chiffrement des données au repos et en transit selon une norme d'algorithme spécifiée ; les questionnaires de conformité exigent généralement ce niveau de précision, et les réponses vagues sont souvent renvoyées pour clarification.

Questionnaires alignés sur ISO 27001

Un questionnaire ISO 27001 est un ensemble de questions qui évalue la manière dont une organisation gère la sécurité de l’information conformément à la norme ISO/IEC 27001. Il sert de liste de contrôle dans des domaines tels que les politiques de sécurité, la gestion des accès et la protection des données. C’est l’un des référentiels les plus couramment utilisés pour structurer les security questionnaires, car les domaines de contrôle de la norme correspondent naturellement aux différentes sections de questions.

Le mécanisme repose sur l’alignement plutôt que sur le transfert de certification : un fournisseur certifié ISO/IEC 27001 peut souvent répondre rapidement à ce type de questionnaire en se référant à sa déclaration d’applicabilité et à son certificat d’audit, puisque l’organisme de certification a déjà vérifié de manière indépendante les contrôles sous-jacents. Les fournisseurs non certifiés doivent répondre à chaque question de contrôle en partant de zéro.

La limite pratique tient au périmètre. La certification ISO/IEC 27001 couvre un périmètre défini du système de management de la sécurité de l’information, qui peut ne pas inclure tous les systèmes ou toutes les unités opérationnelles qui intéressent l’acheteur. Un fournisseur qui cite cette certification dans sa réponse à un questionnaire aligné sur la norme ISO doit vérifier que le périmètre certifié correspond bien à la demande de l’acheteur.

Questionnaire Standardized Information Gathering (SIG)

Le questionnaire Standardized Information Gathering est un ensemble complet de questions couvrant plusieurs domaines de risque. Il vise à recueillir des informations cohérentes sur les risques liés aux tiers et à évaluer la posture de sécurité des fournisseurs dans le cadre d’un programme plus large de gestion des risques liés aux tiers. Il a pour objectif de limiter la multiplication des security questionnaires sur mesure dans l’ensemble du secteur.

Le mécanisme repose sur une banque de questions partagée. Au lieu que chaque acheteur conçoive de toutes pièces son propre questionnaire de sécurité des fournisseurs, les acheteurs adoptent un ensemble commun de questions couvrant des domaines tels que le contrôle des accès, la continuité d’activité et la confidentialité des données. Les fournisseurs peuvent ainsi préparer un jeu unique de réponses de référence couvrant la plupart ou la totalité de ces questions.

Pour les fournisseurs qui répondent à de nombreux security questionnaires, l’avantage réside dans la réutilisation : une réponse au questionnaire SIG bien tenue peut être adaptée aux questions complémentaires propres à chaque acheteur, au lieu d’être recréée de zéro à chaque fois. La limite tient au fait que les acheteurs ajoutent encore souvent leurs propres questions au corpus standardisé. Une réponse au questionnaire SIG réduit donc l’effort nécessaire, sans éliminer entièrement le travail sur mesure.

Risques liés aux fournisseurs et due diligence

Questionnaires d’évaluation des risques fournisseurs

Un questionnaire d’évaluation des risques fournisseurs évalue le profil de risque d’un fournisseur dans plusieurs domaines, notamment les pratiques de cybersécurité, la conformité aux réglementations sur la protection des données, la stabilité financière et la fiabilité opérationnelle. Son périmètre est plus large que celui d’un simple security questionnaire, car il examine également la continuité d’activité et le risque financier, et pas seulement les contrôles techniques.

Le mécanisme repose sur une notation multidomaine : un questionnaire d’évaluation des risques liés aux fournisseurs produit généralement un score ou une note de risque composite couvrant plusieurs catégories. La fonction chargée des risques ou des achats chez l’acheteur s’en sert pour décider de référencer un fournisseur, de renforcer son suivi ou de l’écarter. Lors du calcul du score composite, les réponses dans un domaine, par exemple une instabilité financière, peuvent contrebalancer de bonnes réponses dans un autre, par exemple un niveau élevé de maturité en matière de sécurité.

Un ensemble standardisé de questions, utilisé spécifiquement pour évaluer la manière dont les fournisseurs tiers gèrent la sécurité, protègent les données et maîtrisent les cyberrisques, est parfois transmis comme une section plus restreinte de ce questionnaire général, consacrée uniquement à la cybersécurité. Avant de rédiger leurs réponses, les fournisseurs doivent confirmer le périmètre qu'ils sont invités à couvrir, car une réponse limitée à la sécurité ne répondra pas à une demande d'évaluation complète des risques.

Due diligence questionnaires

Un due diligence questionnaire est un outil complet qui permet d’évaluer une opportunité d’investissement, un partenariat commercial ou une opération de fusion-acquisition potentiels, en recueillant des informations sur les activités d’une entreprise, ses performances financières, sa conformité juridique et d’autres domaines clés. Il se distingue des questionnaires liés aux achats et aux risques fournisseurs par l’importance des enjeux et le niveau de détail requis : les réponses peuvent avoir une incidence significative sur la valorisation ou la réalisation d’une transaction.

Le mécanisme repose sur une communication structurée des informations afin de faire apparaître les passifs avant tout transfert de capitaux ou toute formalisation d'un partenariat. Les questions portent généralement sur la structure de l'entreprise, l'historique des litiges, les contrats significatifs, la propriété intellectuelle et la situation réglementaire. Chacune exige des pièces justificatives, et non un simple exposé.

Comme les réponses aux due diligence questionnaires sont souvent directement intégrées aux documents de transaction ou aux garanties, toute inexactitude peut avoir des conséquences juridiques qui dépassent la perte d'une vente. Les organisations qui y répondent soumettent généralement leurs réponses à une validation juridique avant leur soumission, contrairement aux questionnaires courants liés aux achats, plus souvent validés par les seules équipes bid ou commerciales.

Questionnaires NIST sur les risques liés à la chaîne d'approvisionnement

Un questionnaire de cadrage pour l’évaluation de la gestion des risques liés à la chaîne d’approvisionnement précise les informations clés nécessaires pour définir le périmètre, le fonctionnement et l’architecture sous-jacente d’un système avant de procéder à une analyse détaillée des risques. Le National Institute of Standards and Technology inclut ce type de questionnaire dans ses recommandations sur la gestion des risques liés à la chaîne d’approvisionnement, comme étape préparatoire à une évaluation plus approfondie.

Le mécanisme consiste à définir le périmètre avant d’attribuer une note : au lieu de passer directement à une évaluation contrôle par contrôle, le questionnaire détermine d’abord le système, la relation avec le fournisseur ou le segment de la chaîne d’approvisionnement examiné, ainsi que ses limites. Cela évite qu’une évaluation détaillée ultérieure ne soit appliquée à tort à un périmètre inadéquat.

La conséquence pratique concerne l’ordre des étapes. Les organisations qui suivent cette approche doivent s’attendre à ce qu’un questionnaire de cadrage précède, sans la remplacer, une évaluation plus complète des risques techniques. Elles doivent également considérer les premières réponses de cadrage comme le socle avec lequel les réponses ultérieures à des questionnaires plus détaillés devront rester cohérentes.

Le point de vue de l’organisation répondante

Charge de travail et coordination

Répondre aux questionnaires, en particulier ceux portant sur la sécurité et la conformité, mobilise plusieurs fonctions, notamment les équipes de sécurité, juridiques, de conformité, commerciales ou bid. Aucune fonction ne peut s’en charger seule. Un seul questionnaire d’évaluation des risques liés aux fournisseurs peut couvrir, dans un même document, les contrôles techniques, les clauses contractuelles, les informations financières et les certifications.

Le mécanisme qui permet de gérer ce volume repose sur la coordination : une équipe bid ou chargée des offres pilote généralement le questionnaire de bout en bout, transmet chaque section au Subject Matter Expert le mieux placé pour y répondre avec précision, puis consolide et révise la réponse complète avant sa soumission.

Sans cette coordination, les réponses aux questionnaires manquent souvent de cohérence, car elles sont fournies par la personne qui reçoit la demande. Cela allonge les délais de traitement et accroît le risque d’erreur factuelle. Les organisations qui traitent de nombreux questionnaires chaque année définissent généralement des responsabilités formelles plutôt que de procéder au cas par cas.

Risque de réponses incohérentes ou inexactes

Des réponses inexactes ou incohérentes aux questionnaires exposent l’organisation qui répond à des risques juridiques, commerciaux et réputationnels, et ne constituent pas un simple désagrément administratif. Une mesure de contrôle décrite de manière erronée dans un security questionnaire peut, si l’acheteur s’y fie, constituer une fausse déclaration entraînant des conséquences contractuelles.

Le mécanisme à l’origine de ce risque est la confiance accordée aux réponses : les clients s’appuient sur les réponses aux questionnaires pour prendre leurs décisions d’intégration, évaluer les risques ou définir les conditions contractuelles. Une réponse donnée sans précaution a donc le même poids qu’une réponse soigneusement formulée. Dans la plupart des processus, aucune distinction formelle n’est faite entre une réponse donnée dans l’urgence et une réponse vérifiée.

Les incohérences entre des questionnaires traités simultanément aggravent le risque. Si deux acheteurs vérifient séparément les réponses d’un fournisseur et constatent des chiffres contradictoires concernant un même fait sous-jacent, par exemple l’effectif ou le statut d’une certification, cet écart constitue en soi un signal d’alerte, que l’une ou l’autre des réponses soit exacte ou non.

Bibliothèques de réponses et réutilisation

Une bibliothèque de réponses est un référentiel tenu à jour qui regroupe des réponses à des questionnaires préalablement approuvées. Une organisation s'en sert pour répondre à de nouveaux questionnaires plus rapidement et de manière cohérente. Elle permet de gérer le volume généré chaque année par les nombreux questionnaires de sécurité, de conformité et d'achats qui se recoupent.

Le principe repose sur la réutilisation avec vérification : au lieu de rédiger chaque réponse de zéro, une équipe bid ou conformité retrouve la réponse antérieure la plus proche, la vérifie au regard des faits et justificatifs actuels, puis l’adapte à la formulation de la question avant de la soumettre à nouveau. Cette méthode est plus rapide qu’une nouvelle rédaction, mais sa fiabilité dépend de la mise à jour de la bibliothèque elle-même.

Une bibliothèque qui n’est pas activement tenue à jour devient un passif plutôt qu’un actif. En effet, la réutilisation sans vérification d’une réponse obsolète peut réintroduire précisément les risques d’incohérence et d’inexactitude décrits ci-dessus. Les organisations qui s’appuient largement sur des bibliothèques de réponses désignent généralement un responsable chargé de tenir les entrées à jour en fonction de l’évolution des certifications, des politiques et des contrôles.

Les questionnaires dans l’écosystème global des bid et de la conformité

Lien avec les RFP et les appels d'offres

Les questionnaires sont souvent intégrés aux demandes d'offres et aux appels d'offres, ou menés en parallèle, plutôt que traités dans le cadre de processus entièrement distincts. Un questionnaire de préqualification précède généralement l'étape principale du RFP, tandis que les questionnaires de sécurité et de conformité sont souvent joints en annexe au RFP lui-même.

Le mécanisme repose sur un enchaînement au sein d’un même cycle d’achat : les questionnaires de qualification servent à sélectionner les candidats, le RFP évalue les offres présélectionnées selon leur qualité et leur prix, et des questionnaires complémentaires (sécurité, conformité, aspects financiers) accompagnent l’offre afin d’apporter les éléments probants qu’une réponse narrative ne peut présenter efficacement.

Il est important de les traiter comme un exercice unique et cohérent plutôt que comme des documents isolés, car les incohérences entre les affirmations formulées dans l'offre et les réponses factuelles apportées dans un questionnaire suscitent souvent des réserves chez les évaluateurs. Un fournisseur qui affirme dans son offre disposer d'une solide maturité en matière de sécurité, tout en donnant des réponses superficielles ou génériques dans le security questionnaire associé, affaiblit la crédibilité des deux.

Lien avec les contrats et les audits

Les réponses aux questionnaires servent souvent de référence dans le contrat qui en résulte et lors des audits ultérieurs, au lieu de perdre leur pertinence une fois la décision prise. Les informations communiquées dans un due diligence questionnaire peuvent être intégrées aux garanties de la transaction ; les réponses à un security questionnaire fournisseur peuvent être citées dans les contrats de service ou réexaminées lors des audits périodiques des fournisseurs.

Le mécanisme repose sur la traçabilité : les acheteurs conservent les questionnaires remplis afin de pouvoir, en cas de défaillance ultérieure d’un contrôle ou de litige, comparer les déclarations initiales avec les mesures effectivement en place. Le questionnaire reste ainsi pertinent bien au-delà de la décision d’achat qu’il a initialement éclairée.

Pour l’organisation qui répond, cela signifie que les réponses au questionnaire doivent être traitées avec le même soin qu’une déclaration contractuelle, puisque c’est ce qu’elles peuvent effectivement devenir. Une réponse formulée sans rigueur au cours d’un cycle de vente soutenu peut réapparaître, inchangée, lors d’un audit mené des années plus tard.