Un questionnaire unique envoyé à tout le monde donne souvent des réponses que personne ne peut vérifier. Le client connaît les usages réels. Le prestataire connaît ses opérations techniques. Le DPO doit rapprocher ces deux descriptions, pas choisir celle qui paraît la plus rassurante.
Le cas concret
Une organisation confie une partie de la gestion de la paie à un prestataire. Le DPO veut vérifier le périmètre, les accès et la fin de prestation, sans lancer un audit général de sécurité.
Résultat recherché : une matrice de constats étayés et un plan de correction limité à cette prestation.
Hors périmètre : test d'intrusion, audit exhaustif de sécurité, contrôle de tous les sous-traitants ultérieurs et validation globale du contrat. Une question technique non vérifiable reste ouverte ; elle n'est pas réputée résolue.
L'astuce dans DPO SUITE
DPO SUITE permet de créer un audit et d'en envoyer tout ou partie au client ou au prestataire. Utilisez cette possibilité pour répartir le questionnaire selon la compétence de chaque répondant, tout en conservant un périmètre d'audit commun.
Le bénéfice n'est pas seulement d'envoyer moins de questions. Vous évitez qu'un prestataire décrive à la place du client des usages qu'il ne connaît pas, et vous rendez visibles les contradictions entre la configuration annoncée et l'utilisation réelle.
Avant de diffuser le questionnaire, vérifiez les destinataires, le contenu partagé et l'absence de pièces confidentielles destinées à un autre répondant. La répartition des questions ne remplace pas l'examen des réponses et des preuves par le DPO.
1. Préparer un périmètre en quatre lignes
Modèle adaptable (exemple fictif) :
- Prestation : préparation des bulletins pour l'établissement A ; outil et entité prestataire à identifier.
- Période examinée : [dates] ; documentation et configuration valables à cette période.
- Questions : données transmises, accès effectifs, chaîne de sous-traitance, restitution et suppression.
- Échantillon : un flux décrit, une revue d'habilitations et une procédure de sortie ; choisir des preuves expurgées plutôt que des bulletins nominatifs.
Associer chaque question à un identifiant stable, par exemple PAIE-01. Cet identifiant servira au rapprochement des réponses, y compris si leur suivi est effectué dans un tableau complémentaire.
2. Ne partager que les questions utiles au répondant
| ID | Question au client / métier | Question au prestataire | Preuve attendue et critère de revue |
|---|---|---|---|
| PAIE-01 | Quelles opérations sont réellement confiées ? Qui valide les variables et le résultat ? | Quelles opérations exécutez-vous sur instruction, et lesquelles relèvent d'un autre rôle à analyser ? | Périmètre contractuel et schéma d'échange datés ; les opérations décrites de part et d'autre doivent correspondre. Un désaccord entraîne une clarification du rôle et du périmètre. |
| PAIE-02 | Quelles données transmettez-vous effectivement ? Par quels canaux ? | Quelles données recevez-vous et quels champs sont indispensables à la prestation ? | Liste de champs ou exemple fictif, description du canal ; chaque champ doit avoir un usage identifié. Ne pas demander de vrais bulletins pour démontrer le format. |
| PAIE-03 | Qui peut déposer, consulter, corriger ou télécharger côté client ? Comment les départs sont-ils traités ? | Qui peut accéder aux données côté prestataire, notamment en support ? Comment sont accordés et retirés ces accès ? | Matrice de rôles et résultat expurgé d'une revue datée ; accès rattachés à des fonctions justifiées, écarts et comptes obsolètes explicités. |
| PAIE-04 | Quels prestataires et lieux de traitement pensiez-vous utiliser ? | Quels intervenants ultérieurs et lieux de traitement interviennent réellement sur cette prestation ? | Liste datée rattachée au service, documentation contractuelle pertinente ; comparer les deux visions, identifier tout acteur ou lieu non expliqué, analyser séparément les transferts éventuels. |
| PAIE-05 | À la sortie, quelles données faut-il récupérer et qui vérifie leur réutilisabilité ? | Selon le choix du responsable de traitement, comment restituez-vous ou supprimez-vous les données en fin de prestation ? Comment traitez-vous les copies, les sauvegardes et les éventuelles obligations légales de conservation ? | Procédure de sortie et, si disponible, compte rendu de test expurgé ; responsabilités, formats, étapes et exceptions explicites. Une promesse de suppression sans périmètre reste déclarative. |
| PAIE-06 | Qui décide et suit les corrections dans l'organisation ? | Qui répond des écarts de votre côté et quelle preuve de correction pourrez-vous fournir ? | Action nominativement attribuée en interne ou par fonction, échéance acceptée et preuve de clôture définie ; ne pas fermer sur la seule annonce "corrigé". |
Pourquoi certaines lignes comportent deux questions : elles testent une même réalité sous deux angles. Les réponses doivent se rejoindre ; une contradiction est un résultat d'audit utile, pas une anomalie à masquer.
3. Lire les réponses sans confondre déclaration et preuve
Attribuer à chaque contrôle un statut local, sans présumer qu'il existe tel quel dans le produit :
- Étayé dans le périmètre examiné : une preuve datée, pertinente et cohérente avec l'usage a été examinée.
- Écart observé : un fait contredit le critère retenu ; décrire le fait et sa conséquence.
- Non vérifié : réponse absente, trop générale, preuve manquante ou contrôle nécessitant une autre compétence.
- Non applicable justifié : raison et périmètre documentés ; pas une simple case cochée.
Une certification ou un rapport d'audit tiers constitue un élément à examiner : vérifier sa validité, son périmètre et sa pertinence pour le service utilisé. Ce n'est pas une réponse universelle à toutes les questions.
4. Traiter une contradiction avant de conclure
Exemple fictif : le client pense que seuls deux gestionnaires peuvent exporter les données ; le prestataire répond que tous les comptes administrateurs le peuvent.
Le bon réflexe n'est pas de choisir une des réponses. Demander la configuration de l'organisation concernée, vérifier les rôles réellement attribués avec une personne habilitée, puis décider de l'action adaptée. Si la preuve n'arrive pas, le contrôle reste "non vérifié" et son risque est signalé.
5. Transformer le constat en correction vérifiable
| Constat | Action attendue | Responsable | Échéance convenue | Preuve de clôture | Vérification |
|---|---|---|---|---|---|
| Rôle d'export trop largement attribué (exemple fictif) | Revoir les habilitations et documenter les exceptions justifiées | [Client / prestataire selon le paramétrage] | [Date] | Revue d'accès expurgée et résultat d'un test par une personne habilitée | [Date, vérificateur, résultat] |
La clôture doit répondre au constat initial. Une nouvelle procédure ne démontre pas à elle seule que les accès ont été corrigés. Le DPO formule son appréciation ; le responsable compétent prend la décision et assume les suites.
Ce qui relève de la méthode, et ses limites
- Recommandation : répartir les questions, croiser les réponses et documenter les limites de preuve.
- Modèle adaptable : les six contrôles et la grille de clôture sont proposés pour ce cas fictif ; ils ne constituent pas la liste exhaustive des exigences applicables.
- Obligations : la vérification juridique du rôle des parties, de l'encadrement contractuel et des autres exigences applicables doit être menée avec les sources primaires à jour. Cette fiche ne transforme pas son questionnaire en checklist légale exhaustive.
Un petit audit ne délivre ni certification ni garantie globale de conformité. Sa conclusion peut être utile même si elle comporte des inconnues, à condition de les montrer et de décider comment les lever.
Sources et version
- RGPD, article 28, paragraphe 3, g : CNIL : choix du responsable de traitement entre suppression et renvoi, suppression des copies sauf conservation requise par le droit.
- Méthode de collecte des preuves et de suivi correctif : proposition éditoriale DPO FRANCE. Les exemples sont fictifs.
