tous nos établissements ont-ils un dossier commun unique ou chacun le leur

Un dossier de chaîne unique, plusieurs profils d'établissement

La réponse : le dossier fonctionne ensemble, mais pas comme un seul conteneur de réponses pour tout le monde. En pratique, vous configurez un dossier de chaîne unique pour l'ensemble de l'organisation, et au sein de celui-ci, vous spécifiez par établissement ce qui s'écarte. L'adresse d'établissement de l'entreprise et les pays dans lesquels l'entreprise a des établissements sont la première distinction : certains questionnaires demandent explicitement la situation à un lieu spécifique, et non au groupe dans son ensemble.

Ce qui est bien partagé : les réponses de gouvernance, le certificat ISO 27001 s'il a été émis au niveau de la personne morale, et les chiffres CSRD/VSME s'ils sont rapportés de manière consolidée. Ce qui diffère souvent par établissement : le nombre d'employés sur ce site, les certifications locales, et parfois le périmètre des mesures de sécurité de l'information si tous les établissements ne relèvent pas du même périmètre ISO. Vous remplissez donc une seule fois la partie concernant l'ensemble du groupe, et vous ajoutez par établissement un niveau où le questionnaire vous le demande concrètement.

Pourquoi cette différence existe : enregistrement par rapport au périmètre de rapportage

Ceci découle de la manière dont l'enregistrement et la rapportage sont juridiquement séparés. La Loi 2007 sur le registre du commerce enregistre les établissements comme des unités distinctes au sein d'une même entreprise — c'est pourquoi un client demande parfois par numéro d'établissement plutôt que par immatriculation principale au registre du commerce. La CSRD (Directive 2022/2464) et la norme VSME de l'EFRAG rapportent plutôt au niveau de l'entité déclarante, généralement le groupe, donc ces chiffres sont par définition consolidés et ne peuvent pas être ventilés par établissement. NIS2 (Directive 2022/2555, article 21, paragraphe 2) et ISO/IEC 27001 Annex A dépendent du périmètre que l'organisation elle-même a établi pour son système de management : si ce périmètre couvre un établissement, le certificat ne s'applique pas automatiquement aux autres. C'est pourquoi la réponse à cette question n'est pas uniformément « ensemble » ou « séparé », mais dépend de la partie du dossier que vous examinez.