dois-je remplir ce questionnaire de durabilité entièrement chaque année

Remplir à nouveau chaque année n'est généralement pas nécessaire

Ce qui change, vous devez le mettre à jour ; ce qui reste identique, vous devez seulement le confirmer. C'est la différence pratique avec « remplir complètement à nouveau ». La plupart des champs d'une liste de durabilité — forme juridique, nombre de salariés, chiffre d'affaires, établissements — ne changent pas ou très peu d'une année à l'autre. Si la réponse dans votre dossier de chaîne est toujours correcte, une confirmation par oui suffit. Seulement là où la situation a réellement changé, ou là où le client demande cette année une pièce justificative différente, vous devez réexaminer.

La distinction que vous devez faire vous-même est : s'agit-il d'une donnée de base ou d'une déclaration périodique. Les données de base comme l'adresse d'établissement de l'entreprise ou le nombre de salariés restent fixes jusqu'à ce qu'il y ait un véritable changement. Les déclarations périodiques — comme les émissions du scope 1/2/3, ou le nombre d'incidents au cours de l'exercice écoulé — font par définition partie d'une seule période et doivent être communiquées chaque année avec de nouveaux chiffres, même si la méthode reste inchangée. Ne confondez pas les deux : présenter un ancien chiffre d'émission comme réponse actuelle n'est pas un gain de temps, c'est une réponse incorrecte.

Pourquoi certains champs sont fixes et d'autres ne le sont pas

Cela découle de la nature des données demandées, non d'un choix du destinataire. Les données d'identité et de structure correspondent à ce qui est enregistré au Registre du commerce (Loi de 2007 sur le registre du commerce) et ne changent qu'en cas de modification factuelle, comme l'ouverture d'un nouvel établissement ou un changement d'adresse. Les chiffres de durabilité selon le module de base VSME de l'EFRAG, établi dans le cadre de la Directive (UE) 2022/2464, sont par définition liés à une période : un chiffre d'émission pour 2023 n'est pas une réponse valide à une question sur 2024. En matière de sécurité de l'information, c'est plus nuancé : les dix mesures de l'article 21, paragraphe 2, de la Directive (UE) 2022/2555 et les mesures de contrôle de l'Annexe A de la norme ISO/IEC 27001 décrivent une politique structurelle, qui ne change qu'en cas de modification de cette politique — par exemple concernant l'utilisation de systèmes d'IA ou un plan de continuité. Là aussi, s'applique : vous pouvez confirmer, tant que la politique sous-jacente n'a pas changé.