mon client veut des pièces justificatives pour les réponses au questionnaire de durabilité

Les documents justificatifs font partie de la réponse, et non séparément

Une demande de documents justificatifs signifie généralement que la réponse en elle-même ne suffit pas : le client veut pouvoir vérifier sur quoi elle est fondée. Pour les questions d'identité, c'est souvent simple — le numéro d'immatriculation peut être vérifié via le Registre du commerce, ce qui constitue immédiatement le document justificatif. Pour les questions provenant du module de base de l'EFRAG VSME, c'est différent : on demande souvent un document sous-jacent, comme une facture d'énergie pour la consommation ou une politique pour une mesure mentionnée. Si ce document n'existe pas, la réponse honnête est que le document justificatif n'est pas encore disponible — ne pas inventer un document justificatif qui n'existe pas, et ne pas modifier la réponse sous-jacente pour qu'elle corresponde accidentellement à ce qui existe.

Les documents justificatifs demandent également de la précision sur la forme. « Une déclaration de la direction » est différente d'un « document de politique signé », et un client qui demande spécifiquement un certificat — comme pour ISO 9001 — entend le certificat lui-même, et non une procédure de qualité interne qui y ressemble sur le plan du contenu. Si le document demandé n'existe pas, « non, pas encore disponible » est une réponse plus complète et plus durable que de télécharger un document justificatif qui dit légèrement autre chose que ce qui est demandé.

D'où vient la demande de preuve

La CSRD (Directive (UE) 2022/2464) exige des entreprises soumises à l'obligation de rapportage des informations fondées et vérifiables, et cette attente se répercute sur les fournisseurs qui sont interpellés pour fournir des preuves dans la chaîne. Dans les listes de cybersécurité, la demande de preuve peut souvent être directement retracée aux dix mesures de l'article 21, paragraphe 2, de la directive NIS2, ou aux mesures de contrôle de l'Annexe A de la norme ISO/IEC 27001 — les deux demandant une mesure démontrable, pas une intention.