# Questions fréquentes : fournisseurs, risques et conformité

CISAPP aide à organiser les fournisseurs, leurs évaluations, les risques et les informations de conformité. Retrouvez ici des réponses courtes aux questions de gestion des risques tiers, puis les procédures pour les mettre en pratique. Les modules accessibles dépendent de votre offre et de vos droits.

## Comment évaluer la sécurité d’un fournisseur ?

Définissez la prestation et les activités concernées, qualifiez l’importance du fournisseur, puis choisissez un questionnaire adapté aux informations à vérifier. Analysez les réponses et les preuves avant de décider des actions de suivi. Dans CISAPP, le parcours associe la fiche fournisseur à une évaluation ; un score seul ne remplace pas cette revue.

Suivez [Intégrer un fournisseur](https://docs.cisapp.eu/parcours/integrer-fournisseur), puis [Lancer une évaluation](https://docs.cisapp.eu/parcours/lancer-evaluation).

## Quelle différence entre criticité fournisseur et risque cyber ?

La criticité décrit l’importance du fournisseur pour votre activité et les conséquences de sa défaillance. Le risque porte sur un scénario, sa vraisemblance et son impact. Un fournisseur critique mérite une attention particulière, mais sa criticité ne démontre pas à elle seule une faiblesse de sécurité.

Consultez [Créer et qualifier un fournisseur](https://docs.cisapp.eu/registres/creer-fournisseur) et le [registre des risques](https://docs.cisapp.eu/risques/registre).

## Quels fournisseurs faut-il évaluer en priorité ?

Commencez par les fournisseurs qui soutiennent des activités importantes, présentent des dépendances fortes ou nécessitent une décision prochaine. Vérifiez les évaluations déjà réalisées et les informations manquantes pour éviter les demandes en double. La priorité dépend de votre contexte métier et de votre méthode de risque.

Utilisez les [cartes de dépendances](https://docs.cisapp.eu/pilotage/dependances) et le parcours [Préparer un comité risque tiers](https://docs.cisapp.eu/parcours/comite-risque).

## Comment choisir un questionnaire d’évaluation fournisseur ?

Choisissez un questionnaire dont la destination et les questions correspondent au sujet évalué. Relisez les sections, les réponses attendues et les preuves utiles avant de le sélectionner. Dans CISAPP, un questionnaire peut être absent du sélecteur en raison de sa finalité ou de vos droits.

Consultez la [bibliothèque de questionnaires](https://docs.cisapp.eu/evaluations/questionnaires) et les [types d’évaluation](https://docs.cisapp.eu/evaluations/types).

## Comment répondre à un questionnaire de sécurité reçu ?

Ouvrez l’invitation avec le compte associé à l’adresse destinataire, vérifiez le sujet et renseignez les réponses avec leurs preuves. Contrôlez l’enregistrement, puis le statut après soumission lorsque cette action est proposée. Une réponse sauvegardée n’est pas nécessairement une réponse finalisée.

Suivez [Répondre à un questionnaire reçu](https://docs.cisapp.eu/parcours/repondre-questionnaire).

## Que faire lorsqu’un répondant ne peut pas ouvrir son évaluation ?

Vérifiez l’adresse du compte, son activation, la validité de l’invitation et l’accès à la ressource. Le rôle dans l’entreprise et les droits sur l’évaluation sont deux contrôles distincts. Recréer une évaluation ne corrige pas nécessairement un problème de partage.

Consultez [Droits et partage](https://docs.cisapp.eu/organisation/droits) et le [dépannage](https://docs.cisapp.eu/aide/depannage).

## Comment transformer un risque en plan d’action ?

Décrivez le scénario, évaluez-le avec votre méthode, puis choisissez un traitement. Associez des mesures à des responsables et à des échéances, vérifiez leur réalisation et réévaluez le risque résiduel. Un plan d’action peut organiser les actions, mais sa création ne prouve pas que le risque est traité.

Suivez [Passer d’un risque à un plan de traitement](https://docs.cisapp.eu/parcours/traiter-risque).

## Quelle différence entre risque initial et risque résiduel ?

Le risque initial correspond au niveau évalué avant le traitement prévu. Le risque résiduel est le niveau restant après prise en compte des mesures. Sa réévaluation doit s’appuyer sur les mesures effectivement réalisées et les preuves disponibles.

Consultez le [plan de traitement](https://docs.cisapp.eu/risques/traitement) et le [glossaire](https://docs.cisapp.eu/aide/glossaire).

## Quels indicateurs préparer pour un comité risque fournisseurs ?

Rassemblez les fournisseurs critiques, l’avancement des évaluations, les réponses ou preuves manquantes, les risques à décider et les actions à suivre. Ajoutez les dépendances importantes et, avec un compte autorisé, les dérogations proches de leur échéance. Datez les éléments et indiquez le périmètre couvert.

Suivez [Préparer un comité risque tiers](https://docs.cisapp.eu/parcours/comite-risque) et le [guide du tableau de bord](https://docs.cisapp.eu/pilotage/tableau-bord).

## Comment organiser les preuves de conformité ?

Reliez les exigences applicables aux mesures et aux preuves qui démontrent leur réalisation. Vérifiez les accès aux documents pour que les personnes chargées de la revue puissent les consulter. Une preuve stockée ne constitue pas, à elle seule, une validation de conformité.

Consultez les [exigences, mesures et preuves](https://docs.cisapp.eu/conformite/exigences-mesures) et la [gestion des fichiers](https://docs.cisapp.eu/collaboration/fichiers).

## À quoi sert un Trust Center ?

Un Trust Center présente des informations de confiance et permet leur partage selon les accès configurés. Il complète les évaluations et les échanges documentaires ; il ne remplace pas la revue des informations reçues. Sa disponibilité dans CISAPP dépend de l’activation du module et de l’offre.

Consultez [Configurer et utiliser le Trust Center](https://docs.cisapp.eu/conformite/trust-center).

## Quelle différence entre une évaluation fournisseur et l’ASM ?

Une évaluation collecte et analyse des informations sur un sujet à l’aide de questionnaires et de preuves. L’ASM concerne la surface d’attaque externe : périmètres, actifs exposés et vulnérabilités. Ces approches apportent des informations complémentaires, sans couvrir à elles seules tous les risques.

Consultez [Évaluer un fournisseur](https://docs.cisapp.eu/evaluations/fournisseur) et [ASM et surface d’attaque](https://docs.cisapp.eu/securite/perimetres-analyses).

## Peut-on importer un questionnaire depuis Excel ?

Oui, lorsque l’import de questionnaires Excel est activé pour votre offre. CISAPP analyse le classeur ; vous devez ensuite relire les feuilles, les sections et les éléments reconnus, corriger les correspondances si nécessaire, puis publier le questionnaire. Contrôlez particulièrement les cellules fusionnées et les en-têtes ambigus.

Suivez le [guide des imports Excel](https://docs.cisapp.eu/evaluations/import-excel).

## CISAPP permet-il déjà d’utiliser les écrans NIS2 et DORA ?

Les écrans dédiés NIS2 et DORA sont en construction dans la version vérifiée. Leur présence dans un menu ne signifie pas que le parcours est opérationnel. Consultez les fonctions de conformité disponibles et les limites documentées avant d’organiser votre suivi.

Consultez [NIS2, DORA et AI Act](https://docs.cisapp.eu/conformite/vue-ensemble) et la [disponibilité des fonctions](https://docs.cisapp.eu/aide/disponibilite).

## Comment consulter cette documentation avec un assistant IA ?

Donnez à l’assistant l’article utile en Markdown ou l’index correspondant à votre langue, puis demandez-lui de citer ses sources et de préciser les conditions d’accès. Si l’outil ne sait pas consulter les URL, joignez le fichier téléchargé. La documentation publique ne donne aucun accès aux données de votre compte.

Consultez [Utiliser la documentation avec une IA](https://docs.cisapp.eu/aide/utiliser-avec-ia).