qui dans notre entreprise doit approuver les réponses avant de les soumettre

Celui qui signe décide lui-même au sein de l'entreprise, pas le système

Notre système propose uniquement des réponses à partir du dossier de chaîne ; la confirmation de chaque réponse est un choix du client, et nous ne prescrivons pas qui doit le faire en interne. Dans une entreprise, le responsable qualité peut cocher une question ISO et le CISO confirmer une question sur la sécurité de l'information ; dans une plus petite entreprise, une seule personne fait tout. Ce que votre client demande porte rarement sur un seul domaine : un questionnaire mélange souvent des données factuelles sur l'entreprise avec des évaluations substantielles, et cela ne demande pas toujours le même confirmateur.

La distinction qui est pertinente : pour un fait comme le numéro d'enregistrement sous lequel l'entreprise est immatriculée confirmer c'est surtout vérifier que le dossier est exact. Pour une question qui s'appuie sur les dix mesures de l'article 21, paragraphe 2, de la directive NIS2, ou sur les mesures de contrôle de l'Annexe A de la norme ISO/IEC 27001, celui qui signe confirme en fait que la mesure sous-jacente a réellement été mise en œuvre — c'est une autre responsabilité que de recopier une adresse. C'est l'entreprise elle-même qui décide en interne qui a ce mandat ; le système n'enregistre que qui a confirmé quelle réponse et à quel moment.

D'où vient cette distinction entre proposer et confirmer

Le fait que nous proposions et que le client confirme découle du principe selon lequel aucune évaluation, score ou approbation n'a lieu chez nous : chaque réponse qui atteint le portail du client a été approuvée par le client lui-même. Pour les questions provenant du module de base EFRAG VSME — par exemple celles concernant le nombre de salariés ou les pays d'implantation — les données sources sont souvent déjà fixées dans le dossier de chaîne, par exemple chez le nombre de salariés de l'entreprise ou les pays dans lesquels l'entreprise a des établissements ; confirmer signifie surtout vérifier que le dossier est à jour. Pour les questions qui touchent aux obligations de la directive CSRD (2022/2464) ou aux mesures NIS2, la confirmation est substantiellement plus importante, et c'est précisément pour cette raison que la plateforme ne prescrit aucun rôle : cette évaluation relève de l'entreprise, pas de l'outil qui propose la réponse.