Fournisseurs

Le module est ouvert en écriture aux Administrateurs et RSSI, en lecture aux Auditeurs. Le rôle Contributeur n’y a pas accès : les menus Fournisseurs et Questionnaires fournisseurs restent affichés, mais les pages ne se chargent pas.

Les fournisseurs

Indicateurs en haut de page : total des fournisseurs, fournisseurs critiques, évaluations en retard, contrats expirés, contrats arrivant à expiration (dans les 60 jours), questionnaires en attente (envoyés depuis au moins 30 jours et pas encore soumis). Un clic sur un indicateur, sauf le total, filtre la liste.

Une fiche fournisseur comporte : nom, criticité (Critique, Élevé, Moyen, Faible), pays, type de service, contact et e-mail du contact, date d’expiration du contrat, l’option « Prestataire ICT » avec sa criticité DORA (Critique, Non critique), et les clauses de sécurité.

Statut : Actif ou En revue, à choisir en modifiant la fiche. Le bouton « Archiver » retire le fournisseur de la liste ; l’archivage est définitif, aucune action ne permet de désarchiver un fournisseur.

Une réévaluation est attendue 365 jours après la précédente pour un fournisseur Critique ou Élevé, 730 jours pour un fournisseur Moyen ou Faible. Un fournisseur qui n’a encore jamais été évalué compte d’emblée parmi les évaluations en retard.

Importer : fichier CSV, XLSX ou XLS au format des modèles téléchargeables (« Template CSV », « Template Excel ») ; les valeurs des listes s’écrivent en anglais.

Les questionnaires

Modèles

Questionnaires fournisseurs liste les modèles. Cinq modèles maîtres sont fournis : « NIS2 — Sécurité de la chaîne d’approvisionnement », « DORA — Prestataire ICT tiers », « ISO 27001 — Évaluation fournisseur », « RGPD — Sous-traitant données personnelles » et « Questionnaire simplifié ». Vous pouvez en cloner un (« Cloner depuis un master »), créer le vôtre ou en importer un (JSON, 5 Mo au plus). Les modèles ont des versions (brouillon, publiée, remplacée, archivée) ; la publication est réservée aux Administrateurs et RSSI.

Envoyer

Depuis la fiche fournisseur, « Envoyer » adresse un questionnaire au contact du fournisseur (l’e-mail du contact est obligatoire), avec une date limite facultative. Le fournisseur reçoit un lien valable 60 jours ; tant qu’il n’a pas soumis ses réponses et que la date limite éventuelle n’est pas dépassée, une relance lui est envoyée tous les 15 jours. Le lien peut aussi être copié pour un envoi manuel.

Ce que voit le fournisseur

Sans compte, depuis le lien : il répond à chaque question par Oui, Partiellement, Non ou N/A (enregistrement automatique), peut joindre des fichiers (PDF, PNG ou JPEG, 10 Mo au plus), puis clique sur « Soumettre les réponses ». Une fois soumises, les réponses ne sont plus modifiables.

Revue et score

Une fois les réponses soumises, ouvrez le questionnaire depuis la fiche fournisseur et cliquez sur « Valider » ou « Rejeter », avec un commentaire facultatif. Un rejet remet le questionnaire au statut « Envoyé » et efface son score : le fournisseur peut de nouveau répondre avec le même lien tant que celui-ci est valide, mais aucun e-mail ne l’avertit du rejet en dehors des relances. Quand il soumet à nouveau ses réponses, la revue précédente est levée et le questionnaire peut être revu une nouvelle fois (« Valider » ou « Rejeter »). Le bloc Historique des revues de la page du questionnaire conserve chaque revue, la plus récente en premier : décision, date, auteur, score au moment de la revue et commentaire.

Le score d’un questionnaire part de 100 et retire des points par réponse : « Non » retire 20, 10 ou 5 points selon que la question est critique, importante ou standard ; « Partiellement » en retire 10, 5 ou 2. Le score du fournisseur est la moyenne pondérée de ses questionnaires validés (poids : 2 pour le modèle maître NIS2, 3 pour le modèle maître DORA, 1 pour tous les autres, y compris les modèles clonés, créés ou importés) et donne son niveau de risque : 80 et plus Faible, 60 et plus Modéré, 40 et plus Élevé, en dessous Critique. Le score d’un questionnaire est calculé à la soumission des réponses, mais ne compte dans celui du fournisseur qu’une fois le questionnaire validé ; un questionnaire rejeté perd son score, et un questionnaire rejeté puis soumis à nouveau ne compte qu’après sa nouvelle validation. Sans questionnaire validé, le fournisseur n’a pas de score. La date de dernière évaluation du fournisseur est celle de la dernière validation.

Registre d’informations DORA

Le bouton « ROI DORA » de la page Fournisseurs ouvre le registre d’informations (article 28 de DORA) des prestataires ICT non archivés, avec un statut de conformité par fournisseur (Conforme, Partiel, Non évalué, Non conforme) et un taux de complétion (part des prestataires ICT disposant d’un score). « Exporter Excel » produit un classeur en cinq onglets (« RT.01 - Registre », « RT.02 - Services », « RT.03 - Risques », « RT.04 - Contrats », « RT.05 - Synthèse ») ; le bouton n’est actif qu’à partir de 80 % de complétion. Ce classeur est une synthèse simplifiée : il ne suit pas le format de dépôt défini par l’ABE. Vérifiez-le et adaptez-le avant toute transmission à l’autorité.