puis-je utiliser les mêmes réponses pour le prochain questionnaire d'un autre client

Oui, pour les questions d'identité presque toujours

Oui, pour une grande partie de chaque questionnaire, la même réponse peut être réutilisée. Cela s'applique particulièrement aux données de base fixes : dénomination statutaire, numéro d'immatriculation au registre du commerce, adresse du siège, secteur d'activité, nombre de salariés et chiffre d'affaires. Ces données sont fixées dans le Registre du commerce et ne changent pas d'un client à l'autre. Que la question provienne d'une banque, d'un assureur ou d'un service achats qui demande des informations sur la durabilité : le numéro d'immatriculation de l'entreprise est la même réponse partout. Il en va de même pour une question sur l'assurance responsabilité civile ou sur la norme ISO 9001 : ce n'est pas un instantané, c'est un statut que vous enregistrez une fois et que vous réutilisez ensuite jusqu'à ce qu'il change.

Pour les questions de fond, c'est plus nuancé. Une question sur ISO/IEC 27001 demande dans une liste si le certificat existe, dans une autre les mesures de contrôle spécifiques de l'annexe A — par exemple le contrôle d'accès ou la réponse aux incidents. Une question renvoyant aux dix mesures de l'article 21, paragraphe 2, de la directive NIS2 est plus précise qu'une question générale sur la « cybersécurité », et la réponse doit correspondre à cette précision. Il en va de même pour les listes de durabilité : le module de base VSME d'EFRAG demande quelque chose de légèrement différent d'un client qui a lui-même sélectionné un ensemble d'indicateurs CSRD. Le fait sous-jacent — avez-vous la politique, avez-vous la mesure — reste le même, mais la question à laquelle la réponse doit correspondre varie. C'est pourquoi la réutilisation est la base, et il faut vérifier pour chaque question si elle mesure exactement la même chose que le contrôle qui s'y rapporte.

Pourquoi cela varie selon la source

Pour les données d'identité, c'est parce que la loi de 2007 sur le registre du commerce fixe ces données comme un ensemble unique et fixe, quel que soit qui les demande. Pour les questions de fond, la différence vient de la source à laquelle le questionnaire lui-même renvoie : les dix mesures de l'article 21, paragraphe 2, de la Directive (UE) 2022/2555 sont formulées légèrement différemment des mesures de contrôle de l'annexe A de la norme ISO/IEC 27001, et les indicateurs du module VSME d'EFRAG suivent un classement différent de la Directive (UE) 2022/2464. La même pratique sous-jacente peut donc apparaître dans différentes questions, avec une réponse légèrement différente à la clé.