que remplir si une question de la liste ne s'applique pas à moi

N.a. n'est justifié que si la question ne correspond vraiment pas

Vous ne remplissez « N.a. » que si la question porte sur quelque chose qui ne se produit structurellement pas dans votre entreprise — pas si vous ne connaissez pas la réponse ou si vous n'avez pas la preuve à portée de main. Cette distinction est importante, car une équipe d'approvisionnement ou un auditeur vigilant interprétera « n.a. » comme une exclusion intentionnelle, que vous devez pouvoir justifier. Une question sur les systèmes d'IA est par exemple vraiment n.a. si votre entreprise n'en utilise pas — mais attention : l'entreprise utilise-t-elle des systèmes d'IA dans la fourniture de ses services ? s'interprète largement : un outil externalisé comportant une composante IA y est souvent inclus. En cas de doute, « non, non applicable dans le champ d'application demandé » est plus précis qu'un simple « n.a. ».

Les cas douteux surgissent surtout pour des questions issues d'un cadre plus large et qui ne correspondent pas un-à-un à l'échelle des PME. Le module de base VSME d'EFRAG est lui-même clair à ce sujet : certains indicateurs ne sont pertinents que si l'entreprise exerce une certaine activité ou atteint une certaine taille. Dans ce cas, mieux vaut remplir brièvement la raison — « l'entreprise n'a pas de parc automobile propre », « l'activité X n'est pas exercée » — qu'uniquement l'étiquette. Il en va de même pour les questions issues des dix mesures de l'article 21, paragraphe 2, de la directive NIS2 : si une mesure porte sur la sécurité de la chaîne d'approvisionnement et vous n'avez pas de fournisseurs externes de TIC ayant accès à vos systèmes, c'est un n.a. justifié, pas une réponse manquante.

Où cette distinction est retrouvée dans les sources

Le module de base VSME distingue explicitement les indicateurs obligatoires et conditionnels : un indicateur conditionnel est précisément la catégorie où « n.a. » s'applique, à condition que la condition d'applicabilité fasse défaut. En ISO/IEC 27001, ce principe est formalisé dans les mesures de contrôle de l'Annexe A : une mesure qui ne s'applique pas doit être justifiée dans la Déclaration d'applicabilité par une raison, et non simplement cochée. Cette même obligation de justification est aussi pratique pour les questions d'identité — si une question sur les établissements dans plusieurs pays ne correspond pas, cela peut être ramené à dans quels pays l'entreprise a-t-elle des établissements ? et une brève explication de la situation factuelle suffit.