Quels justificatifs un fournisseur doit-il tenir à disposition ?

Les acheteurs doivent pouvoir justifier leur choix de fournisseurs – auprès de l'audit interne, des autorités de contrôle ou de leurs propres clients. Une case cochée sans justificatif n'a que peu de poids. C'est particulièrement vrai lorsque la loi exige un contrôle : pour les sous-traitants au sens de l'article 28, paragraphe 1, du RGPD (garanties suffisantes) et dans la chaîne d'approvisionnement en vertu du § 30, alinéa 2, BSIG.

Sécurité de l'information : un certificat ISO/IEC 27001 avec son périmètre, la synthèse d'un test d'intrusion récent, des politiques de protection des accès et d'authentification multifacteur, une gestion des vulnérabilités et des correctifs décrite.

Protection des données : le contrat de sous-traitance (DPA) au sens de l'article 28 du RGPD, les mesures techniques et organisationnelles au sens de l'article 32 du RGPD, la liste des sous-traitants ultérieurs avec le lieu de traitement et, lorsque c'est obligatoire, la désignation d'un délégué à la protection des données.

Continuité d'activité : plans d'urgence et de reprise, preuves de sauvegardes testées et, le cas échéant, une certification ISO 22301.

Qualité, environnement et chaîne d'approvisionnement : certificats ISO 9001 ou ISO 14001, un code de conduite fournisseurs, une déclaration de principe sur les droits humains et l'environnement, des notations ESG.

Aspects commerciaux : extrait du registre du commerce, attestations d'assurance, par exemple responsabilité civile exploitation et assurance cyber, informations sur la stabilité financière.

Validité : les certificats et rapports portent une date d'émission et souvent une date d'expiration. Un justificatif expiré n'a aucune valeur pour le client.

Périmètre : un certificat n'atteste que ce qui relève de son périmètre. S'il ne couvre pas la prestation dont bénéficie le client, il n'est guère utile.

Émetteur : pour les certifications, ce qui compte, c'est qui a certifié – en règle générale un organisme de certification accrédité.

Suivi : en gérant à un seul endroit les justificatifs dotés d'une date d'expiration, on les renouvelle à temps au lieu de s'apercevoir, lors de la prochaine demande d'un client, qu'ils sont périmés.

Sur Vendo4u, les fournisseurs téléversent leurs justificatifs directement au niveau du critère correspondant – au format PDF, JPG ou PNG jusqu'à 10 Mo. Pour les documents dotés d'une date d'expiration, la plateforme envoie un rappel avant l'échéance. Les documents ne sont visibles que par l'entreprise elle-même et par les acheteurs disposant d'un accès payant.