À quelle fréquence dois-je tenir le dossier à jour

La mise à jour suit un rythme différent par rubrique

Il n'y a pas de fréquence de mise à jour fixe pour l'ensemble du dossier de la chaîne : chaque rubrique suit le rythme de la source qui la sous-tend. Les données du Registre du commerce — dénomination, forme juridique, adresse du siège — ne changent que si l'entreprise elle-même effectue une modification, et dans ce cas, la mise à jour consiste surtout à vérifier si la mutation auprès de la Chambre de commerce et d'industrie a bien été enregistrée. Cela s'applique par exemple à l'adresse d'établissement de l'entreprise et à le numéro d'enregistrement sous lequel l'entreprise est immatriculée : ces éléments changent rarement, mais lorsque cela se produit, le dossier est incomplet jusqu'à ce moment.

D'autres rubriques suivent effectivement un rythme naturel. Le chiffre d'affaires et l'effectif augmentent généralement chaque année en fonction des comptes annuels — pertinent pour le chiffre d'affaires annuel de l'entreprise et pour l'effectif. Un certificat ISO 27001 a une date de validité fixée par l'organisme de certification, et après une recertification ou un audit de surveillance, c'est le déclencheur pour réexaminer à nouveau les mesures de l'annexe A. Les dix mesures de l'article 21, paragraphe 2, de la directive NIS2 et un rapport VSME ne disposent pas d'une date de mise à jour légale dans le dossier lui-même, mais sont en pratique réexaminés chaque année car les chiffres et les évaluations des risques sous-jacents deviennent obsolètes après un an. Celui qui remplit pour la première fois une liste de développement durable relevant du périmètre de la directive CSRD a intérêt à lier cette rubrique à l'exercice comptable sur lequel porte le rapport.

D'où vient ce rythme

Aucune des cinq sources ne prescrit un délai de mise à jour pour le dossier de la chaîne ; la loi de 2007 sur le registre du commerce impose bien la notification des modifications aux données légales, et la directive CSRD (Directive (UE) 2022/2464) et la norme VSME d'EFRAG fonctionnent selon un cycle de rapport annuel car elles s'alignent sur l'exercice comptable. La directive NIS2 (Directive (UE) 2022/2555, article 21, paragraphe 2) et l'annexe A de la norme ISO/IEC 27001 ne mentionnent pas de délai calendaire, mais supposent une évaluation périodique des mesures dans le cadre de la gestion des risques. Le dossier de la chaîne suit donc pour chaque rubrique le cycle de la source, non une règle unique et englobante.