Qui chez nous dans l'entreprise peut consulter ou modifier le dossier de chaîne

Rôles et droits, pas un compte unique pour tout le monde

Qui peut consulter ou modifier le dossier de chaîne est déterminé par l'organisation elle-même : il ne s'agit pas d'un rôle légal mais d'un paramètre du système. En pratique, cela fonctionne avec des rôles : un administrateur qui peut modifier les champs et associer des sources, et des collègues qui ne peuvent que consulter ou ne peuvent compléter qu'une partie spécifique — par exemple l'informatique pour les questions sur la sécurité de l'information, et la finance pour les données de chiffre d'affaires. De cette façon, tout le monde n'a pas besoin d'accéder à tout, et il reste clair qui a saisi ou confirmé chaque réponse.

Cette distinction est comparable à celle que Les services en ligne de l'entreprise répondent-ils aux exigences d'accessibilité ? et d'autres composants techniques demandent : tout salarié n'a pas la même connaissance pour évaluer une réponse. La même logique s'applique aux champs sensibles tels que L'entreprise utilise-t-elle des systèmes d'IA dans sa prestation de services ? — là, vous voulez que la personne qui confirme la réponse comprenne aussi ce que la question demande. Qui finalement clique sur « oui » ou « non » dans un questionnaire relève d'un choix de l'organisation elle-même ; le système enregistre uniquement qui l'a fait et à quel moment.

Pourquoi la répartition des rôles est pertinente

Cette organisation ne découle pas d'un article légal spécifique, mais de la nature des exigences sous-jacentes elles-mêmes. Les dix mesures de l'article 21, paragraphe 2, de la directive NIS2 mentionnent explicitement le contrôle d'accès comme mesure de gestion, et l'annexe A de l'ISO/IEC 27001 la développe davantage avec des contrôles concrets pour déterminer qui peut consulter ou modifier quelles données. Un dossier de chaîne contenant des réponses à ce type de questionnaire relève de la même logique : non pas parce que la loi prescrit la plateforme, mais parce que les questionnaires eux-mêmes demandent souvent comment l'accès aux données d'entreprise est organisé. La répartition des rôles dans le dossier est donc un reflet pratique de ce qui est déjà demandé dans ces exigences, et non une obligation distincte.