La situation
Une entreprise SaaS comptant quelques centaines de clients reçoit un questionnaire de sécurité pour la plupart des nouveaux contrats grands comptes et pour de nombreux renouvellements : la feuille de calcul du client, un SIG Lite d’une banque, un CAIQ d’un acheteur à l’aise avec le cloud, la section confidentialité d’un organisme public. Chacun mobilise les mêmes personnes pendant plusieurs jours, les réponses divergent d’un client à l’autre, et l’équipe commerciale finit par redouter la phrase « notre équipe sécurité a quelques questions ».
Ce qui change avec une bibliothèque
La première chose à faire est d’arrêter de répondre à des questionnaires et de commencer à répondre à des faits. Chaque réponse approuvée, chaque politique et chaque certificat entre dans une base de connaissances unique, avec un responsable et une date. Les questionnaires terminés sont réintégrés. Le premier mois représente le travail principal ; ensuite, la plupart des lignes de tout nouveau questionnaire ont déjà une réponse.
Un questionnaire, de bout en bout
Le fichier Excel du client est importé tel quel : l’outil trouve les colonnes de questions et de réponses sur chaque feuille. En quelques minutes, chaque question a une réponse en brouillon construite à partir de la bibliothèque, avec les sources utilisées et un score de confiance. Le coordinateur lit les brouillons par ordre de confiance : ceux au niveau élevé sont approuvés par lots après un coup d’œil, ceux au niveau moyen sont lus, ceux au niveau faible et ceux sans source sont attribués au collègue qui sait. Le responsable infrastructure reçoit onze questions, le juridique en reçoit quatre, chacun répond au même endroit, et le coordinateur voit le questionnaire se remplir. Les preuves sont jointes depuis la bibliothèque lorsqu’une ligne les demande. Le fichier terminé est exporté avec les colonnes du client remplies, et les réponses approuvées retournent dans la bibliothèque.
Ce que voit l’équipe commerciale
Une date que l’équipe peut annoncer. Un questionnaire qui était auparavant « deux semaines, peut-être » devient « jeudi ». Les réponses qu’un client reçoit sont cohérentes avec celles reçues par le client précédent, ce qui compte lorsque les clients se parlent et lorsque le même relecteur voit deux de vos questionnaires.
Ce que voit le référent sécurité
Les questions qui reviennent sans réponse, c’est-à-dire la liste des politiques à rédiger ensuite. Les contrôles que la bibliothèque couvre par rapport à ISO 27001 et SOC 2, et ceux qu’elle ne couvre pas. Les certificats et rapports de test qui arrivent à expiration. Les heures gagnées, calculées à partir des questionnaires réellement terminés. Et une équipe qui répond aux questionnaires sans eux.
Par où commencer
Apportez à une démo le dernier questionnaire auquel vous avez répondu à la main et regardez-le être rédigé à partir de vos propres documents. Réservez-en une, ou lisez d’abord l’exemple détaillé.