Pour remplir un questionnaire CAIQ sans repartir de zéro, la méthode tient en quatre gestes : constituer d'abord un socle de documents datés, répondre ensuite domaine par domaine plutôt que ligne par ligne, signaler honnêtement les contrôles absents avec un plan d'amélioration, puis faire relire chaque domaine par la personne qui en porte la responsabilité. Une entreprise qui capitalise ses réponses validées remplit son premier CAIQ en quelques jours, et les suivants en quelques heures.

Qu'est-ce que le questionnaire CAIQ ?

Le CAIQ (Consensus Assessments Initiative Questionnaire) est le questionnaire standard publié par la Cloud Security Alliance, l'organisation de référence sur la sécurité du cloud. Il sert à évaluer les pratiques de sécurité d'un fournisseur de services cloud : hébergeur, éditeur de logiciel en ligne, prestataire d'infogérance.

Concrètement, c'est une liste de questions fermées (oui, non, non applicable) accompagnées d'un champ de commentaire. Chaque question correspond à un contrôle de la Cloud Controls Matrix (CCM), le référentiel de contrôles de la même organisation. La version 4 du CAIQ compte environ 260 questions réparties en 17 domaines : gouvernance, gestion des accès, chiffrement, continuité d'activité, gestion des incidents, conformité, sous-traitance, entre autres.

La Cloud Security Alliance publie le CAIQ gratuitement et maintient le STAR Registry, un annuaire public où les fournisseurs peuvent déposer leur CAIQ rempli pour le rendre consultable par leurs clients.

Cloud Security Alliance, programme STAR

Deux points le distinguent des questionnaires maison : il est standardisé, donc vos réponses sont réutilisables d'un client à l'autre, et il est public, donc vous pouvez le préparer avant même qu'on vous le demande.

Qui l'envoie, et pourquoi

Le CAIQ arrive généralement par deux canaux. Premier cas : un grand compte (banque, industriel, assureur, grand éditeur) évalue votre entreprise avant de signer, et son équipe achats ou son responsable sécurité vous transmet le CAIQ tel quel ou dans une version adaptée. Second cas : vous le remplissez de votre propre initiative pour le publier ou l'annexer à vos réponses commerciales, précisément pour éviter de re-remplir un questionnaire maison à chaque prospect.

Côté client, l'objectif est toujours le même : documenter, pour son propre dossier de gestion des risques, la preuve que votre entreprise contrôle ce qu'elle affirme contrôler. La personne qui lit vos réponses ne cherche pas des « Oui » : elle cherche des réponses exploitables, avec une politique citée, une date, un périmètre.

Comment le remplir, section par section

L'erreur classique consiste à ouvrir le fichier et à répondre dans l'ordre, ligne après ligne. C'est le chemin le plus long : les 260 questions mobilisent en réalité une trentaine de documents sources. Il est beaucoup plus rapide de partir des documents.

1. Constituer le socle documentaire

Avant de répondre à quoi que ce soit, rassemblez ce qui existe déjà. Pour un CAIQ, le socle typique tient en une liste courte :

  • politique de sécurité de l'information, datée et signée ;
  • politique de gestion des accès et procédure de départ ;
  • politique de chiffrement (au repos, en transit, clés) ;
  • plan de continuité et dernier test de restauration ;
  • procédure de gestion des incidents et de notification ;
  • registre des sous-traitants et localisation des données ;
  • certifications éventuelles avec leur périmètre (ISO 27001, SOC 2) ;
  • rapport du dernier test d'intrusion, même partiel.

Tout document retrouvé à cette étape évite dix réponses improvisées plus tard. Et l'inventaire des manques que vous découvrez ici est déjà, en soi, un livrable utile.

2. Répondre domaine par domaine

Traitez le CAIQ par blocs cohérents, pas dans l'ordre des lignes. Toutes les questions d'un même domaine (chiffrement, par exemple) s'appuient sur les deux ou trois mêmes documents : les traiter ensemble garantit des réponses cohérentes entre elles et divise le temps de recherche.

Pour chaque question, la structure d'une bonne réponse est toujours la même : la position (oui, non, non applicable), la référence au document qui la prouve avec sa version et sa date, et le périmètre exact couvert. « Oui, voir Politique de chiffrement v3, section 4, revue en janvier 2026, périmètre production » vaut infiniment mieux qu'un « Oui » sec.

3. Traiter les manques honnêtement

Sur 260 questions, une entreprise de taille intermédiaire aura toujours des contrôles absents ou partiels. C'est attendu. Ce qui disqualifie un dossier, ce n'est pas le manque : c'est le « Oui » invérifiable qui sera repéré en revue ou, pire, en audit.

Pour chaque manque, trois réponses possibles : « Non, prévu au trimestre prochain » avec un plan daté, « Non applicable » avec une justification d'une phrase, ou « Partiellement » avec le périmètre réellement couvert. Les équipes d'évaluation savent lire un plan d'amélioration crédible ; elles savent aussi repérer une case cochée trop vite.

4. Préparer la relecture interne

Un CAIQ engage votre entreprise. Avant l'envoi, chaque domaine doit passer devant la personne qui en répond : le responsable sécurité ou la personne qui en tient lieu pour les mesures techniques, le juridique pour la sous-traitance et les engagements contractuels, la direction pour les délais et les plans annoncés. Préparez cette relecture en listant, domaine par domaine, qui valide quoi : c'est ce qui transforme trois semaines d'allers-retours en une réunion d'une heure.

Les erreurs qui coûtent des allers-retours

Les mêmes causes produisent les mêmes relances. Dans les dossiers CAIQ qui reviennent avec une liste de questions complémentaires, on retrouve presque toujours :

  • des « Oui » sans référence : la réponse existe peut-être, mais sans document cité, elle est invérifiable et sera challengée ;
  • des périmètres mélangés : la politique du groupe citée pour un produit qu'elle ne couvre pas ;
  • des dates absentes ou expirées : une politique non revue depuis trois ans dit le contraire de ce qu'elle affirme ;
  • des incohérences entre domaines : un chiffrement « systématique » au domaine cryptographie, mais des exceptions au domaine sauvegarde ;
  • des réponses contradictoires avec un dossier précédent : si le même client vous a déjà évalué, il comparera.

La parade est la même pour toutes : une seule base de réponses, maintenue à jour, avec pour chaque réponse sa preuve, sa date et la personne qui l'a validée. Le premier CAIQ construit cette base ; les suivants ne font que l'actualiser.