Questionnaires fournisseurs

Comment répondre aux questions de licence dans les questionnaires de sécurité ?

Répondez à partir d'un inventaire révisé, au niveau du produit et rattaché à une version nommée, pas depuis le tableur de l'an dernier. Les questionnaires attendent une divulgation stable et à jour. Voici comment répondre sans surpromettre.

Dernière mise à jour : 2 juillet 2026

Questionnaires de sécurité fournisseurs, SIG Lite, CAIQ, tableurs d'appel d'offres personnalisés : la plupart incluent une section sur l'open source, les logiciels tiers, ou la conformité des licences. Le vocabulaire varie. Le réviseur veut savoir si vous maîtrisez les obligations de licences tierces du produit qu'il évalue.

Ces questions arrivent en plein milieu d'une transaction, souvent répondues par quelqu'un qui n'a pas écrit le code. L'ingénierie n'a peut-être jamais centralisé d'inventaire. Le juridique n'a peut-être jamais vu la liste des dépendances. Ce guide relie les types de questions habituels à des réponses honnêtes, quand votre base de code change à chaque sprint.

Cette page recense les types de questions des questionnaires. Le flux de réponse, étape par étape, se trouve dans le guide « Demande de licences des achats ».

Où apparaissent les questions de licence

Les questionnaires dispersent les obligations de licence à travers plusieurs sections. Vous pouvez les trouver sous propriété intellectuelle, pratiques de développement logiciel, chaîne d'approvisionnement, conformité juridique, ou une annexe open source dédiée. Recherchez dans le PDF : OSS, open source, tiers, licence, SBOM, composant, attribution, copyleft, GPL.

Utilisez-vous du logiciel open source dans le produit examiné ?
Fournissez une liste des composants open source et de leurs licences.
Fournissez les textes de licence / mentions tierces.
Avez-vous une politique pour l'usage de l'open source ?
Comment suivez-vous la conformité des licences ?
Fournissez un SBOM ou une nomenclature logicielle.
Lien vers la page de divulgation open source / licences.
Des composants copyleft (GPL, AGPL, LGPL) ?

Que vérifient réellement les réviseurs dans un questionnaire de licences ?

Les réviseurs vérifient un contrôle opérationnel, pas une philosophie : si vous pouvez produire une liste de licences révisée, à l'échelle du produit, avec texte intégral, rattachée à une version nommée, qui survivra à votre prochain déploiement. Les questionnaires standardisés comme le SIG de Shared Assessments et le CAIQ de la CSA intègrent ces attentes dans des lignes de contrôle nommées.

Pouvez-vous produire une liste révisée pour ce produit ? Inclut-elle le texte intégral des licences ? Est-elle rattachée à une version qu'ils peuvent nommer ? Restera-t-elle exacte après votre prochain déploiement ?

Un « oui » sans preuve échoue à l'audit par échantillonnage : ils choisissent cinq composants et demandent le texte. Un PDF de politique sans inventaire échoue parce que les politiques ne sont pas livrées avec le binaire. Un SBOM sans licences révisées échoue parce que des identifiants ne constituent pas une divulgation.

L'existence d'un inventaire pour le produit spécifique, pas des déclarations vagues à l'échelle de l'entreprise.
Une preuve de révision, pas de simples métadonnées brutes du registre.
Le texte intégral des licences, pas des résumés.
Un processus de mise à jour, essentiel quand les équipes fusionnent des changements de dépendances quotidiennement.
Un périmètre honnête : SaaS, installable et embarqué peuvent différer.

Type de question	Réponse honnête	Preuve à joindre
Utilisez-vous du logiciel open source ?	Oui, avec un inventaire révisé par produit	Lien vers le dossier de divulgation publié
Fournir les composants et les licences	La liste révisée du produit examiné	Export URL, PDF ou JSON à partir d'un instantané approuvé
Fournir les textes de licence / mentions	Le texte intégral accompagne le dossier, pas seulement les identifiants SPDX	Le texte de licence par composant, présent dans le dossier
Du copyleft (GPL, AGPL, LGPL) ?	Répondu à partir d'un inventaire consulté, jamais de mémoire	Résultats de recherche et statut de révision par correspondance
Comment suivez-vous la conformité ?	Import, révision et publication à chaque version	Historique des révisions et signalements de dérive

Les types de questions les plus courants, avec la réponse honnête et la preuve qui résiste aux audits par échantillonnage.

Répondre quand l'inventaire est incomplet

Ne cochez pas « oui » en joignant un pied de page de site vitrine. Si vous êtes en train de construire le processus, dites-le : ce que vous avez aujourd'hui, quelle version vous pouvez couvrir, quand la divulgation complète sera prête.

Une honnêteté partielle préserve les transactions. Surpromettre échoue en revue juridique et détruit la confiance. De nombreux acheteurs acceptent un calendrier si des noms de l'ingénierie et de la conformité y sont associés.

Indiquez clairement l'état actuel : inventaire partiel, révision en cours, pas encore de publication.
Nommez le produit et la version que vous pouvez appuyer aujourd'hui.
Donnez une date pour la divulgation complète, et respectez-la.
Ne recopiez pas les réponses de l'année dernière si les dépendances ont changé.
Faites remonter les questions de copyleft ou de GPL à un juriste. Les réponses cochées à la légère sont risquées.

Répondre quand l'inventaire existe

Envoyez à partir du même instantané de publication approuvé : URL, export PDF, ou lot JSON, selon ce que permet le formulaire. Indiquez le nom du produit, le tag ou la date de version, et une phrase sur la façon dont vous republiez quand les dépendances changent.

Si le questionnaire demande à la fois le SBOM et la divulgation de licences, joignez les deux à partir de la même version, mais ne les traitez pas comme interchangeables. Le SBOM satisfait les lignes sécurité ; le texte de licence révisé satisfait les lignes juridiques.

Faites correspondre au produit examiné, pas à un SKU voisin.
Incluez la version ou la date que reflètent les données.
Joignez le texte intégral des licences, ou pointez vers la divulgation révisée.
Décrivez la maintenance : import, révision, publication à chaque version.
Nommez un responsable : contact ingénierie, conformité, ou juridique.

Comment répondre aux questions sur le copyleft et les licences à haut risque ?

Répondez aux questions sur le copyleft à partir d'un inventaire consulté et révisé, jamais de mémoire ou par supposition, car un faux « non » est la réponse la plus coûteuse que vous puissiez donner. Les conditions GPL, AGPL, LGPL et SSPL dépendent de la façon dont vous liez, distribuez et proposez le code source, si bien que les correspondances nécessitent généralement une interprétation juridique avant de signer.

Les questionnaires demandent souvent spécifiquement la GPL, l'AGPL, la LGPL ou le copyleft. Ceux-ci nécessitent un inventaire précis et souvent une interprétation juridique de la façon dont vous liez, distribuez et proposez le code source.

Ne répondez pas « non » parce que vous n'avez pas cherché. Importez les lockfiles, recherchez les identifiants de copyleft, faites remonter les correspondances avant de signer le questionnaire. Un faux négatif est pire qu'un « oui » signalé accompagné d'un plan d'atténuation.

Lancez une recherche d'inventaire pour la GPL, l'AGPL, la LGPL, la SSPL et les licences personnalisées.
Documentez chaque correspondance : version, contexte d'usage, statut de révision.
Impliquez un juriste sur les obligations de distribution et d'offre de code source.
Répondez au questionnaire avec des faits issus de l'inventaire révisé.
Mettez à jour vos réponses quand des composants copyleft sont ajoutés ou supprimés.

Questions de politique contre questions de preuve

De nombreux formulaires demandent votre PDF de politique open source. Les politiques comptent dans le contexte SOC 2 et ISO. Elles décrivent une intention. Les acheteurs demandent tout de même une preuve : la liste réelle du produit.

Répondez aux questions de politique avec votre politique. Répondez aux questions d'inventaire avec votre dossier révisé, pas avec la seule politique. Si la politique dit « nous respectons les licences » mais que vous n'avez aucun inventaire publié, la question de preuve échoue de toute façon.

Garder des réponses exactes après leur envoi

Les réponses aux questionnaires ont une durée de vie limitée. La semaine suivant votre envoi, quelqu'un peut fusionner une mise à jour majeure de dépendance. Votre attestation signée reste dans le dossier de l'acheteur, désormais obsolète.

Les équipes opérationnelles réimportent à chaque version, révisent à nouveau les changements, republient la divulgation, et informent les comptes clés quand la posture de licences change de façon significative. Des réponses statiques sans boucle de maintenance sont un risque lors des cycles de renouvellement et d'audit.

La réponse honnête la plus rapide

SourceTrust fait de cette boucle le comportement par défaut : importez le lockfile, révisez chaque licence une fois, publiez une page d'attestation à l'échelle du produit avec le texte intégral des licences, et republiez à chaque version. Le prochain questionnaire obtient une URL, pas une course contre la montre.