Questionnaire SIG Lite : par où commencer quand on en reçoit un

Pour traiter un SIG Lite sans y passer des semaines, la méthode tient en quelques gestes : rassembler d'abord vos documents de sécurité datés, répondre domaine par domaine plutôt que ligne par ligne, signaler honnêtement les contrôles absents avec un plan d'amélioration, puis faire relire chaque domaine par la personne qui en porte la responsabilité. Le premier questionnaire construit une base de réponses réutilisable ; les suivants ne font que l'actualiser.

Qu'est-ce que le SIG, et le SIG Lite ?

Le SIG (Standardized Information Gathering) est un questionnaire d'évaluation du risque fournisseur publié et maintenu par Shared Assessments, une organisation de place spécialisée dans la gestion du risque tiers. Au lieu d'un questionnaire maison propre à chaque client, c'est un format partagé : les mêmes questions, la même structure, réutilisables d'un donneur d'ordre à l'autre.

Concrètement, le SIG se présente le plus souvent comme un classeur (généralement un tableur) organisé par domaines de risque. Shared Assessments en compte 21, par exemple le contrôle d'accès, la sécurité applicative, la gestion des actifs, la continuité d'activité, la réponse aux incidents, la gestion des tiers ou la sécurité du cloud. Chaque question appelle une réponse fermée (oui, non, non applicable) et un espace de commentaire. Shared Assessments révise ce contenu selon un cycle annuel.

Shared Assessments définit trois niveaux. Le SIG Lite sert à une diligence de base ou à une évaluation préliminaire : c'est la version courte, souvent le premier questionnaire reçu. Le SIG Core vise les tiers qui traitent des données sensibles ou réglementées, sur un périmètre plus large. Le SIG Detail approfondit un domaine précis, avec des questions détaillées puisées dans la bibliothèque de contenu. Cette bibliothèque n'est pas un niveau : c'est le réservoir de questions dans lequel on puise pour composer un questionnaire sur mesure. Le nombre précis de questions de chaque niveau évolue à chaque édition annuelle : fiez-vous à la version qu'on vous a transmise plutôt qu'à un chiffre général.

Le SIG est un standard maintenu par Shared Assessments et révisé chaque année. Son intérêt tient à sa réutilisabilité : préparées une fois, vos réponses servent à tous les clients qui l'adoptent.

Shared Assessments, programme SIG

Deux points le distinguent d'un questionnaire maison : il est standardisé, donc vos réponses sont largement réutilisables d'un client à l'autre, et il est structuré par domaines, donc vous pouvez le préparer par blocs cohérents plutôt que question par question.

Qui l'envoie, et pourquoi

Le SIG est surtout utilisé dans le secteur financier : banques, assurances, sociétés de gestion, grands comptes qui évaluent leurs prestataires avant de contracter, puis tout au long de la relation. Shared Assessments fait état de plus de 100 000 SIG échangés chaque année, ce qui en fait l'un des formats de référence de la gestion du risque tiers, même s'il déborde aujourd'hui au-delà de la finance.

En pratique, le SIG Lite arrive le plus souvent par l'équipe achats, le service de gestion des risques fournisseurs ou le responsable sécurité du client, au moment d'un référencement ou d'un renouvellement. L'objectif côté client est constant : documenter, pour son propre dossier de risque, la preuve que votre entreprise maîtrise ce qu'elle affirme maîtriser. La personne qui lit vos réponses ne cherche pas des « Oui » : elle cherche des réponses exploitables, avec une politique citée, une date, un périmètre.

Comment le remplir, section par section

La tentation est d'ouvrir le classeur et de répondre dans l'ordre, ligne après ligne. C'est le chemin le plus long : les questions d'un même domaine s'appuient presque toujours sur les deux ou trois mêmes documents. Il est bien plus rapide de partir des documents.

1. Constituer le socle documentaire

Avant de répondre à quoi que ce soit, rassemblez ce qui existe déjà. Pour un SIG Lite, le socle typique tient en une liste courte :

• politique de sécurité de l'information, datée et signée ;
• politique de gestion des accès et procédure d'arrivée et de départ ;
• politique de chiffrement (au repos, en transit, gestion des clés) ;
• plan de continuité et dernier test de restauration ;
• procédure de gestion des incidents et de notification ;
• registre des sous-traitants et localisation des données ;
• politique de développement sécurisé et dernier test d'intrusion ;
• certifications éventuelles avec leur périmètre (ISO 27001, SOC 2).

Chaque document retrouvé ici évite dix réponses improvisées plus tard. Et l'inventaire des manques que vous découvrez à cette étape est déjà, en soi, un livrable utile.

2. Répondre domaine par domaine

Traitez le SIG par blocs cohérents, dans l'ordre de ses 21 domaines de risque, pas dans l'ordre brut des lignes. Les questions d'un même domaine reposent sur les mêmes documents : les traiter ensemble garantit des réponses cohérentes entre elles et divise le temps de recherche.

Pour chaque question, la structure d'une bonne réponse est toujours la même : la position (oui, non, non applicable), la référence au document qui la prouve avec sa version et sa date, et le périmètre exact couvert. « Oui, voir Politique de gestion des accès v3, section 4, revue en janvier 2026, périmètre production » vaut infiniment mieux qu'un « Oui » sec.

3. Traiter les manques honnêtement

Toute entreprise de taille intermédiaire aura des contrôles absents ou partiels. C'est attendu. Ce qui disqualifie un dossier, ce n'est pas le manque : c'est le « Oui » invérifiable, qui sera repéré en revue ou, pire, lors d'une validation sur pièces.

Pour chaque manque, trois réponses possibles : « Non, prévu au trimestre prochain » avec un plan daté, « Non applicable » avec une justification d'une phrase, ou « Partiellement » avec le périmètre réellement couvert. Les équipes de gestion du risque tiers savent lire un plan d'amélioration crédible ; elles savent aussi repérer une case cochée trop vite.

4. Préparer la relecture interne

Un SIG engage votre entreprise. Avant l'envoi, chaque domaine doit passer devant la personne qui en répond : le responsable sécurité ou la personne qui en tient lieu pour les mesures techniques, le juridique pour la sous-traitance et les engagements contractuels, la direction pour les délais et les plans annoncés, le délégué à la protection des données lorsque des données personnelles sont en jeu. Préparez cette relecture en listant, domaine par domaine, qui valide quoi : c'est ce qui transforme trois semaines d'allers-retours en une réunion d'une heure.

Les erreurs qui coûtent des allers-retours

Les mêmes causes produisent les mêmes relances. Dans les SIG Lite qui reviennent avec une liste de questions complémentaires, on retrouve presque toujours :

• des « Oui » sans référence : la réponse existe peut-être, mais sans document cité, elle est invérifiable et sera challengée ;
• des périmètres mélangés : la politique du groupe citée pour un produit qu'elle ne couvre pas ;
• des dates absentes ou expirées : une politique non revue depuis trois ans dit le contraire de ce qu'elle affirme ;
• des incohérences entre domaines : un chiffrement « systématique » côté cryptographie, mais des exceptions côté sauvegarde ;
• des réponses qui contredisent un dossier précédent : si le même client vous a déjà évalué, il comparera d'une année sur l'autre.

La parade est la même pour toutes : une seule base de réponses, maintenue à jour, avec pour chaque réponse sa preuve, sa date et la personne qui l'a validée. Le premier SIG construit cette base ; les suivants ne font que l'actualiser.