Questions fréquentes
Quels points de la checklist sont bloquants ?
Une douzaine sont bloquants (ex : DPA signé, identification du sous-traitant ultérieur, transferts hors UE sans garanties). Les autres sont à arbitrer en fonction du contexte et de la criticité du fournisseur.
Combien de temps prend l'onboarding d'un fournisseur ?
Pour un Tier 1 : 4 à 8 semaines. Pour un Tier 3 : 2 à 5 jours si la checklist est outillée. Le facteur limitant n'est jamais l'analyse — c'est la collecte des pièces.
Faut-il refaire la checklist à chaque renouvellement de contrat ?
Oui, au moins les points RGPD et sécurité : certifications expirées, nouveaux sous-traitants, changement de localisation des serveurs. Un onboarding n'est valable qu'au jour où il a été réalisé.
Un scan RGPD peut-il remplacer une partie de la checklist ?
Il peut couvrir une partie du bloc conformité RGPD : politique de confidentialité, DPA public, sous-traitants déclarés. Les points contractuels et opérationnels, eux, nécessitent toujours une vérification directe auprès du fournisseur.