Répondre au questionnaire de sécurité d'une banque ou d'un partenaire

Les formulaires vont de deux pages à un tableur de plusieurs centaines de lignes, et les familles restent les mêmes.

• Gouvernance. Qui est responsable de la sécurité, si les politiques sont approuvées, si les risques sont évalués.
• Accès. Si la MFA est imposée, comment les droits sont attribués et retirés, qui est administrateur.
• Données. Où se trouvent les données des clients, si elles sont chiffrées, comment elles sont supprimées.
• Incidents. S'il existe une procédure de réponse, qui prévient le partenaire et dans quel délai, si les événements sont journalisés.
• Fournisseurs. Quels services cloud et prestataires traitent les données et comment vous les contrôlez.
• Continuité. Si des sauvegardes existent et si la restauration a été testée.

Questionnaire sécurité partenaire : les formats courants

Certaines banques envoient leur propre formulaire. Les entreprises cloud et SaaS reçoivent souvent le CAIQ de la Cloud Security Alliance, dont la version 4.1 est parue le 27 janvier 2026. La plupart des formulaires recoupent l'ISO/IEC 27001 et le NIST CSF 2.0 : une base de réponses vérifiée sert à plusieurs questionnaires.

L'ISO indique que l'entreprise qui met en œuvre l'ISO/IEC 27001 décide elle-même de se faire certifier ou non, et que le certificat est délivré par un organisme d'évaluation de la conformité accrédité. Selon les règles de l'AICPA, un rapport SOC est un examen que réalise un cabinet de CPA. Sans l'un ni l'autre, ce sont vos mesures effectives qui portent le questionnaire.

Le prix d'un oui trop optimiste

Les réponses peuvent devenir des déclarations contractuelles que la banque vérifie. DORA l'inscrit pour les entités financières de l'UE : lorsque votre service soutient une fonction critique ou importante, le contrat donne à la banque des droits d'accès, d'inspection et d'audit (art. 30(3)(e)), et la banque fixe la fréquence des audits selon le risque (art. 28(6)). Un oui sans preuve devient un manquement contractuel le jour du premier audit.

Le règlement (UE) 2022/2554 (DORA) impose à l'entité financière, avant de conclure un contrat de services TIC, d'évaluer les risques de l'accord et de mener une due diligence sur le prestataire (art. 28(4)). Elle ne peut contracter qu'avec des prestataires qui respectent des normes appropriées de sécurité de l'information (art. 28(5)). Chaque contrat de ce type est inscrit au registre d'informations de l'entité, que l'autorité de surveillance peut demander dans son intégralité (art. 28(3)).

Ce qui passe du questionnaire au contrat

L'article 30(2) énumère les clauses obligatoires : protection des données, assistance du prestataire lors d'un incident TIC, lieux de traitement des données. Vos réponses servent de base à ces clauses.

Entreprises hors de l'UE

DORA vise les entités financières de l'UE et atteint le prestataire par le contrat. Une société du Canada, des Émirats ou du Royaume-Uni qui sert une banque de l'UE reçoit les mêmes questions. La licence de la fintech elle-même relève de notre pratique conformité.

1. Tri. Nous regroupons les questions par famille et repérons celles où la banque attend une pièce jointe.
2. Lettre de cadrage (scope letter). Elle fixe les systèmes examinés, les documents préparés, le calendrier et un prix forfaitaire. Rien n'est vérifié avant signature.
3. Vérification des faits. Nous examinons accès, MFA, sauvegardes, messagerie et cloud avec les personnes qui les administrent. Chaque constat est vérifié par une personne.
4. Réponses et preuves. Nous remplissons le formulaire au format de la banque, joignons un document ou une capture du réglage à chaque oui, et un plan à chaque « en partie » et à chaque non.
5. Correction des écarts. Les corrections rapides, nous les faisons nous-mêmes ou avec votre prestataire informatique, puis nous revérifions et mettons la réponse à jour.

Les réponses et les documents vous appartiennent. Lorsque le questionnaire accompagne un dossier KYC d'ouverture de compte, notre pratique bancaire coordonne le travail.