Préparation aux subventions et aux appels d'offres pour les entreprises de technologies à double usage

Les entreprises de technologies à double usage (celles qui vendent des produits ayant à la fois des applications civiles et de défense) se heurtent à un obstacle documentaire que les startups purement commerciales rencontrent rarement. Les appels à projets européens et proches du secteur de la défense, qu'ils émanent du Fonds européen de la défense (FED), d'Horizon Europe ou de programmes nationaux d'innovation d'un ministère de la Défense, comportent des vérifications d'éligibilité en matière de conformité. Elles peuvent vous disqualifier avant qu'un seul évaluateur ne lise votre proposition technique. Bonne nouvelle : presque tous les documents demandés peuvent être préparés à l'avance, testés en interne et gérés en version bien avant l'ouverture d'un appel. Cet article passe en revue les catégories de documents, explique ce que recherchent réellement les évaluateurs et propose une démarche concrète pour vous préparer.

Pourquoi l'éligibilité en matière de conformité est un filtre, pas une note

La plupart des évaluations de subventions et d'appels d'offres séparent l'éligibilité du mérite. L'éligibilité est binaire : vous êtes admis ou non. Un document requis manquant, un certificat expiré ou la référence à une norme que vous n'avez pas réellement mise en œuvre peut vous retirer entièrement du processus. Les évaluateurs des programmes proches de la défense sont particulièrement stricts, car les financements s'accompagnent souvent d'obligations liées au contrôle des exportations ou aux informations classifiées. Pour une startup à double usage dont les fonctions support sont limitées, le dossier de conformité mérite donc autant de préparation que le récit technique.

L'ensemble documentaire de base

Chaque appel a ses propres annexes, mais la plupart des programmes européens et proches de la défense puisent dans un socle commun de documents requis. Voici une liste des éléments que vous rencontrerez le plus souvent.

1. Preuves relatives au système de management de la qualité (SMQ). Les évaluateurs veulent constater que votre organisation adopte une approche structurée de la qualité. Un SMQ structuré autour d'ISO 9001 est le cadre le plus largement accepté. Vous n'avez pas toujours besoin d'un certificat délivré par un tiers au stade de l'éligibilité, mais vous devez disposer de processus documentés : maîtrise des informations documentées, traitement des non-conformités, comptes rendus de revue de direction et procédures d'action corrective. Le module SMQ de ComplyTrain est construit autour de cette structure (voir /product/qms pour savoir comment il correspond aux exigences des articles d'ISO 9001).

2. Déclaration de conformité au contrôle des exportations. Les biens à double usage relèvent du règlement européen sur les biens à double usage (UE 2021/821). Les évaluateurs attendent une politique écrite décrivant comment votre entreprise classe les produits par rapport à la liste de contrôle de l'UE, vérifie les utilisateurs finaux et demande les licences d'exportation. Si votre produit touche à la cryptographie, aux capteurs ou à certaines catégories de logiciels, ce document n'est pas négociable.

3. Politique de sécurité de l'information. Les programmes de subventions de défense demandent régulièrement des preuves que vous protégez les données du projet. Ils veulent voir une politique de sécurité de l'information, des procédures de contrôle des accès, des plans de réponse aux incidents et, lorsque des informations classifiées sont en jeu, une habilitation de sécurité d'établissement ou un plan pour l'obtenir. Soyez précis sur ce que vous avez mis en œuvre et sur ce qui est prévu. Surestimer votre posture mène à la disqualification plus vite que la sous-estimer.

4. Documentation sur le traitement des données et la protection de la vie privée. Si le projet implique des données à caractère personnel (et beaucoup de projets d'IA à double usage ou proches de la surveillance en impliquent), vous avez besoin d'un registre des traitements conforme au RGPD, d'un modèle d'analyse d'impact relative à la protection des données et d'accords de sous-traitance. Indiquer où vos données sont hébergées compte. ComplyTrain, par exemple, héberge toutes les données des clients dans AWS eu-central-1 (Francfort), ce qui simplifie les déclarations de résidence des données pour les projets financés par l'UE.

5. Déclarations de bénéficiaires effectifs et de contrôle des sanctions. Les appels du FED exigent une déclaration de la structure de propriété et la confirmation qu'aucune entité sous sanctions ne détient une participation de contrôle. Préparez ce document une fois, mettez-le à jour lorsque votre table de capitalisation change, et conservez-le en version avec vos autres fichiers de conformité.

6. Plan de gestion de la propriété intellectuelle (PI). La plupart des subventions de défense exigent une description de la PI préexistante que vous apportez au projet et des règles régissant la PI générée pendant celui-ci. Rédigez dès maintenant un modèle de plan de gestion de la PI. Vous l'adapterez à chaque appel, mais le travail de base (recensement de votre PI préexistante et des conditions de licence standard) ne doit pas attendre l'échéance.

Constituer le dossier : une démarche concrète

Vouloir produire tous ces documents dans les deux dernières semaines avant une échéance de dépôt entraîne des erreurs, des incohérences et des lacunes. Mieux vaut construire le dossier de conformité par couches, en commençant par les documents les plus longs à mûrir.

Phase 1 (mois 1 à 2) : mettez en place votre SMQ. Documentez vos processus de base, formez votre équipe à la maîtrise des documents et menez au moins un cycle d'audit interne. Si vous utilisez la plateforme ComplyTrain, le flux de travail structuré selon ISO 9001 vous guide dans une mise en œuvre article par article (voir /standards/iso-9001 pour la correspondance des articles). Un SMQ ayant traversé un cycle de revue est bien plus crédible aux yeux des évaluateurs qu'un SMQ créé la semaine précédant le dépôt.

Phase 2 (mois 2 à 3) : rédigez votre politique de contrôle des exportations et votre politique de sécurité de l'information. Ce sont les deux documents les plus susceptibles de nécessiter une relecture juridique ou l'intervention d'un conseil externe. Commencez tôt afin de disposer du temps nécessaire aux révisions. Classez vos produits par rapport à la liste de contrôle des biens à double usage et documentez la logique de classement.

Phase 3 (mois 3) : préparez votre documentation RGPD, votre déclaration de bénéficiaires effectifs et votre modèle de plan de gestion de la PI. Ces documents sont plus courts, mais dépendent d'informations exactes venant de la finance (table de capitalisation), du juridique (accords de sous-traitance) et de l'ingénierie (inventaire de la PI préexistante).

Phase 4 (en continu) : maintenez la gestion des versions et les dates de revue. Un dossier de conformité n'est pas un livrable ponctuel. Attribuez un responsable à chaque document, fixez des intervalles de revue (trimestriels pour la politique de sécurité, annuels pour le manuel du SMQ) et consignez les modifications. À l'ouverture d'un appel, vous extrayez les versions à jour, adaptez les parties propres au projet et déposez.

Erreurs fréquentes qui disqualifient les candidatures

Après avoir examiné les retours post-dépôt de plusieurs évaluations de programmes européens, quelques erreurs récurrentes ressortent. D'abord, référencer des normes ou des certifications que votre entreprise ne détient pas réellement. Les évaluateurs vérifient les affirmations, et une référence non étayée à une certification que vous n'avez pas obtenue est traitée comme une fausse déclaration substantielle. N'indiquez que ce que vous avez mis en œuvre, et précisez si vous détenez un certificat ou si vous suivez simplement un cadre.

Ensuite, soumettre des politiques qui sont manifestement des modèles génériques avec votre logo collé dessus. Les évaluateurs en lisent des dizaines. Ils remarquent lorsqu'un document mentionne « Entreprise X » dans un paragraphe et votre nom réel dans le suivant, ou lorsqu'une politique décrit des mesures qui ne correspondent pas à la pile technologique que vous avez déclarée.

Enfin, ignorer les annexes propres à l'appel. Chaque appel du FED ou d'Horizon Europe comporte des annexes qui modifient les exigences standard. Lisez-les ligne par ligne. Une seule exigence supplémentaire enfouie dans l'Annexe 3 (comme une auto-évaluation de maturité en cybersécurité ou une justification du niveau de maturité technologique) peut faire la différence entre l'éligibilité et le rejet.

L'importance de l'isolation multi-locataire pour les projets de défense

Les projets proches de la défense impliquent souvent des données de plusieurs partenaires d'un consortium, chacun ayant des niveaux de classification et des restrictions d'accès différents. Si vous utilisez une plateforme SaaS pour votre SMQ ou vos informations documentées de conformité, le modèle d'isolation des locataires de la plateforme compte. ComplyTrain repose sur une architecture de type silo : un schéma par locataire, un pool Cognito par locataire et un bucket par locataire. Vos données ne sont donc mêlées à celles d'aucun autre client, ni au niveau de la base de données, ni à celui de l'authentification, ni à celui du stockage. Lorsqu'un évaluateur ou un responsable de programme demande comment vous cloisonnez les données du projet, vous pouvez fournir une réponse concrète et vérifiable plutôt qu'une assurance vague.

La préparation aux subventions de défense est une capacité opérationnelle, pas un sprint

Les entreprises qui remportent régulièrement des subventions de défense ne sont pas nécessairement celles qui ont la meilleure technologie. Ce sont celles qui traitent la préparation à la conformité comme une fonction opérationnelle continue. Elles maintiennent leur SMQ, tiennent à jour leurs politiques de sécurité, gèrent en version leurs classements de contrôle des exportations et savent constituer un dossier de candidature conforme en quelques jours plutôt qu'en quelques semaines. Pour une startup à double usage, développer cette capacité tôt (avant votre première candidature majeure) est l'un des investissements au plus fort effet de levier que vous puissiez faire.

Si vous préparez un prochain appel à projets européen ou proche de la défense et avez besoin d'un SMQ structuré autour d'ISO 9001 dès le premier jour, demandez une présentation de la plateforme ComplyTrain à l'adresse /product/qms. Nous vous montrerons précisément comment le système correspond aux exigences documentaires décrites ci-dessus, sans engagement et sans mise en scène commerciale.