le client demande des pièces justificatives pour les réponses au questionnaire

Le document justificatif correspond au type de réponse

Ce que tu fournis dépend de ce qui est exactement demandé : un fait, un choix politique ou une mesure démontrable. Pour les questions d'identité et de taille — la dénomination statutaire, le numéro d'immatriculation ou le nombre de salariés — le document justificatif est simple : un extrait du Registre du commerce suffit, car ces données y sont inscrites légalement. Pour une question sur ISO 27001, c'est différent : on ne demande souvent pas le système de gestion complet, mais le certificat lui-même ou une déclaration sur les mesures de l'Annexe A qui sont mises en œuvre. Pour les questions NIS2 sur l'article 21 paragraphe 2, la preuve est généralement une description par mesure — par exemple comment la gestion des incidents ou le contrôle d'accès est organisé — non pas un certificat isolé, car NIS2 lui-même n'a pas de schéma de certification.

Pour les questions de durabilité provenant du module de base VSME ou de la CSRD, « preuve » n'est généralement pas un document isolé mais le calcul sous-jacent ou la source d'un chiffre : le contrat d'énergie derrière un chiffre de consommation, la liste des fournisseurs derrière une déclaration sur la chaîne. Si tu n'as pas le document justificatif demandé, la réponse la plus honnête est de mettre la réponse sur « non » ou « non applicable » au lieu de fournir un document qui ne couvre pas ce qui est demandé — c'est pourquoi le système ne propose jamais un « oui » sans qu'une source soit attachée au dossier.

D'où provient l'obligation de preuve par question

Le document justificatif logique découle de l'origine de la question : la Loi de 2007 sur le registre du commerce pour les données de base, EFRAG VSME et Directive (UE) 2022/2464 pour les chiffres de durabilité, ISO/IEC 27001 Annexe A pour les mesures de sécurité de l'information, et article 21 paragraphe 2 de la Directive (UE) 2022/2555 pour les dix mesures NIS2. Chaque source détermine son propre type de preuve ; il n'existe pas de norme englobante qui dise ce qu'une « preuve suffisante » est pour tous les questionnaires ensemble.