chaque client demande son propre format, ce système peut-il s'y adapter

Un dossier de chaîne, chaque format sa propre série de questions

Oui, le système peut le gérer — c'est précisément pourquoi il existe un dossier de chaîne au lieu d'une archive contenant des listes remplies. La banque formule la question sur le nombre de salariés différemment que l'assureur, et la liste de durabilité du client A regroupe les questions différemment de celle du client B. Mais sous tous ces formats se retrouve généralement le même ensemble de faits: le nombre de salariés, les pays dans lesquels l'entreprise a des établissements, ou l'existence d'un certificat ISO 9001. Le système reconnaît la question dans le format du client et l'associe au fait correct dans le dossier, indépendamment de la formulation exacte de la question.

Ce qui compte vraiment : plus la question est spécifique, moins l'association est automatique. « Avez-vous une politique de sécurité de l'information » n'est pas du même niveau que « lesquelles des mesures de contrôle de l'annexe A d'ISO/IEC 27001 sont mises en œuvre » — cette dernière demande un dossier organisé à ce niveau de détail, pas seulement un indicateur oui/non. Il en va de même pour les dix mesures de l'article 21, paragraphe 2, de la directive NIS2 : si un client souhaite des preuves pour chaque mesure, le dossier doit offrir quelque chose pour chaque mesure, pas seulement une déclaration générale. Le système propose alors ce qui convient ; la confirmation de chaque réponse reste du ressort du client.

Reconnaissance par question, non par format

L'association fonctionne au niveau de la question individuelle, non au niveau de la liste entière — cela est nécessaire parce qu'aucun deux formats de clients ne sont identiques, même pas au sein de la même norme. Une question sur le module de base EFRAG VSME peut être un champ de texte libre dans le format d'un client et une question oui/non distincte par indicateur dans le format d'un autre client ; le dossier fournit dans les deux cas le même fait sous-jacent, présenté seulement différemment. Quand un format demande quelque chose qui ne se trouve pas dans le dossier — par exemple un détail qui n'a pas encore été enregistré, comme ou l'entreprise déploie des systèmes d'IA — le système ne propose aucune réponse, car il n'y a pas de source à indiquer.