RCM
Pas de test d’intrusion
QUESTIONNAIRE · SOUS-TRAITANT RGPDAudit d’un sous-traitant RGPD.
Audit d’un sous-traitant RGPD.
Le questionnaire fournisseur.
La sélection d’un fournisseur ne se résume pas à demander s’il est conforme au RGPD. Il faut vérifier son rôle, les données confiées, le contrat, les accès, les localisations, les sous-traitants ultérieurs et les preuves de sécurité disponibles.
Un audit documentaire de sous-traitant combine un formulaire d’entrée, une revue du DPA, une cartographie des hébergements et accès, une analyse des transferts, une revue des réponses de sécurité et une décision de risque assortie d’actions correctives.
Accepter, corriger, refuser
Questionnaire téléchargeable
Informations d’entrée
Service et finalité
Décrire le service, la population concernée, les catégories de données et la finalité poursuivie.
Rôle et instructions
Qualifier le rôle et vérifier que les traitements pour compte sont limités aux instructions documentées.
Cycle de vie
Documenter collecte, accès, support, sauvegarde, conservation, restitution et suppression.
Contrat et chaîne de sous-traitance
Article 28
Vérifier les clauses obligatoires, l’assistance, l’audit, la confidentialité et la sécurité.
Sous-traitants ultérieurs
Obtenir la liste, les localisations, les fonctions et le mécanisme de changement.
Fin de contrat
Choisir restitution ou suppression et définir les exceptions de conservation justifiées.
Sécurité, transferts et décision
Preuves de sécurité
Analyser politiques, certifications, tests disponibles, gestion des accès, incidents et continuité.
Transferts
Identifier chaque accès hors EEE ou hors Maroc et qualifier les garanties nécessaires.
Décision
Consigner risques, conditions d’acceptation, actions, propriétaires, échéances et date de réexamen.
MISE EN PRATIQUE
Passer de la checklist à une décision documentée
Adapter la profondeur de revue au risque
Commencez par classer le fournisseur selon les données, les accès, la criticité, le volume, les personnes concernées et la capacité à remplacer le service. Un outil sans données personnelles ne nécessite pas la même revue qu’un hébergeur, une plateforme RH ou un support disposant d’un accès administratif. La justification du niveau de contrôle doit être conservée.
Cette approche évite deux erreurs : envoyer un questionnaire très long à chaque fournisseur ou accepter une simple déclaration pour les services critiques. Définissez des niveaux avec des pièces minimales, un approbateur, une durée de validité et des déclencheurs de réexamen.
Lire ensemble le DPA et les preuves de sécurité
Le DPA doit refléter le service réel : instructions, confidentialité, mesures, assistance, droits d’audit, sous-traitants ultérieurs, fin de contrat et transferts. Comparez chaque clause importante aux réponses du questionnaire et aux documents techniques. Une incohérence doit devenir une question, une action ou une condition d’acceptation.
La revue de sécurité reste documentaire. Elle peut examiner une description des contrôles, des rapports indépendants, des politiques ou des résultats de tests disponibles, sans conclure qu’aucune vulnérabilité n’existe. Pour un risque élevé, prévoyez l’intervention d’un spécialiste cybersécurité capable d’évaluer techniquement le périmètre convenu.
Documenter la décision et surveiller le fournisseur
La sortie attendue n’est pas seulement un score. Elle précise les risques, les écarts bloquants, les mesures compensatoires, les actions, les responsables et l’échéance. La direction ou le propriétaire du risque accepte, refuse ou conditionne le fournisseur selon les règles internes; le DPO ou le conseil vie privée éclaire cette décision.
Après l’entrée en service, surveillez les changements de sous-traitants, localisations, finalités, incidents et conditions contractuelles. Une revue périodique doit être fondée sur le risque. RCM n’assure pas ici la négociation juridique complexe, les tests d’intrusion ni une certification du fournisseur.
PDF · RESSOURCE PRATIQUE
Recevoir la version PDF
Recevez la trame PDF pour cadrer une première revue fournisseur.
FAQ
Questions fréquentes
Le fournisseur peut-il simplement déclarer être conforme ?+
Non. La décision doit s’appuyer sur des informations et preuves proportionnées au risque.
Faut-il auditer chaque fournisseur ?+
La profondeur doit être proportionnée aux données, accès, criticité et risques du service.
Un certificat ISO suffit-il ?+
Non. Il peut constituer une preuve utile mais ne répond pas seul aux exigences contractuelles et de transfert.
RCM réalise-t-il des tests d’intrusion ?+
Non. La revue est documentaire; les tests techniques sont confiés à un expert cybersécurité qualifié.
Quand refaire la revue ?+
Lors d’un changement important, d’un incident, d’une évolution contractuelle ou selon une périodicité fondée sur le risque.
Ce guide fournit un cadre général et ne remplace pas l’analyse de votre situation ni un conseil juridique réservé.
RCM
Découvrir le Vendor Desk →Confier la revue d’un fournisseur
RCM transforme les réponses en décision documentée et actions correctives.
Un questionnaire RGPD fournisseur sert à organiser une revue ; il ne prouve pas à lui seul la conformité. Chaque réponse importante doit renvoyer à une pièce ou à un contrôle vérifiable. Les incertitudes doivent apparaître comme des questions ouvertes, avec un responsable et une date de retour.
Choisir le bon niveau de détail
Une solution de paie et un outil de prise de rendez-vous ne justifient pas nécessairement la même profondeur de revue. Commencez par la nature du service, les données, les accès et la criticité. Expliquez ensuite les pièces demandées. Un questionnaire proportionné est plus facile à compléter et à exploiter qu’une liste exhaustive sans lien avec la prestation.
Répondre sans surpromettre
Distinguez « en place », « partiellement en place », « prévu » et « non applicable », avec une justification. Faites relire les réponses techniques par l’équipe qui exploite le système. Ne transformez pas une fonctionnalité disponible en contrôle effectivement activé. Les engagements pris par l’équipe commerciale doivent rester cohérents avec les contrats et la réalité.
Protéger les pièces transmises
Partagez les preuves nécessaires par un canal adapté et limitez leurs destinataires. Expurgez les noms, données clients et secrets techniques qui n’aident pas la revue. Un extrait anonymisé ou une démonstration encadrée peut être préférable à un document intégral. Conservez la version des réponses envoyée pour pouvoir expliquer les changements lors du renouvellement.
Documenter la décision
Le donneur d’ordre doit pouvoir identifier les points bloquants, les mesures proposées et les validations attendues. Préparez un tableau des actions plutôt qu’un score sans explication. Le responsable désigné accepte ou refuse les risques dans son organisation. RCM peut structurer la revue documentaire et les demandes complémentaires dans une mission par fournisseur.
Questions pratiques
Que préparer avant de contacter RCM ?
Préparez : Service et niveau de risque; Réponses reliées aux pièces; Validation IT et métier; Décision, actions et date de revue. Indiquez votre échéance et les décisions encore ouvertes. Un résumé suffit pour le premier échange.
Un premier échange remplace-t-il la mission ?
Non. L’échange sert à comprendre le besoin. La proposition définit ensuite les documents examinés, les livrables, les responsabilités et le prix avant le début du travail. Les décisions du client ou de l’autorité ne sont pas garanties.
Sources officielles
Guide d’information générale. Le périmètre de la mission et les règles applicables sont examinés selon votre situation.
PASSER À L’ACTION
Faire examiner mon questionnaire fournisseur
Décrivez votre entreprise, votre besoin et votre échéance. Nous vous aidons à définir un périmètre avant tout engagement.