Construire une offre de gouvernance cyber récurrente

La plupart des prestataires informatiques vendent déjà de la sécurité. Peu vendent de la gouvernance. La différence n'est pas sémantique : elle sépare une prestation ponctuelle, renégociée à chaque fois, d'un revenu mensuel adossé à une obligation que le client ne peut pas reporter.

Cet article décrit comment structurer cette offre — périmètre, livrables, prix, industrialisation.

Pourquoi l'audit ponctuel plafonne#

L'audit vendu à l'unité présente quatre défauts structurels.

Il se renégocie à chaque fois. Chaque mission repart d'une justification commerciale complète.

Il est saisonnier. Il arrive après un incident, une demande client ou une échéance d'assurance. Entre deux, rien.

Il ne se cumule pas. Le deuxième audit du même client recommence largement le premier, faute d'un état conservé entre les deux.

Il ne valorise pas l'entreprise. Un chiffre d'affaires de projet se valorise mal ; un revenu récurrent contractualisé se valorise bien. Pour un dirigeant de MSP qui envisage une cession à moyen terme, cet écart est déterminant.

La gouvernance corrige les quatre : c'est un état à maintenir, donc un abonnement.

Ce que contient l'offre#

Une offre crédible tient en quatre livrables, tous rattachés à un rythme.

1. Le diagnostic initial et sa reconduction#

Le point d'entrée. Un référentiel unique — les 42 mesures d'hygiène de l'ANSSI conviennent bien —, un score, une liste d'écarts, un chiffrage.

Reconduit chaque année, il devient la démonstration de progression qui justifie la reconduction du contrat.

2. Le plan d'actions suivi#

Chaque écart devient une action avec un responsable, une échéance et un coût. Le plan est revu à chaque point périodique. C'est ce qui distingue un rapport d'un pilotage.

3. Le registre de preuves#

Le livrable le plus sous-estimé, et le plus défendable commercialement. Chaque mesure appliquée s'accompagne d'une preuve datée : capture de configuration, procès-verbal de test de restauration, attestation de formation, politique signée.

C'est ce registre qui permet de répondre à un questionnaire client en 48 heures au lieu de trois semaines — et c'est très exactement ce que demandera un client soumis à l'obligation NIS2 de sécurité de la chaîne d'approvisionnement.

4. Le rapport de direction#

Une à quatre fois par an selon la formule : score, évolution, incidents, actions réalisées, budget engagé, recommandations. Une page, à destination du dirigeant.

Ce document est ce qui rend le service visible. Un service de gouvernance invisible est un service résilié à la première revue budgétaire.

Structurer les niveaux#

Trois niveaux suffisent. Au-delà, le client compare des lignes au lieu de choisir un résultat.

Le niveau haut n'a pas vocation à être le plus vendu : il existe pour rendre le niveau intermédiaire raisonnable. C'est le mécanisme d'ancrage le plus fiable en vente B2B.

La tarification#

Indexer sur le nombre d'utilisateurs#

Le nombre d'utilisateurs est la variable que le client comprend, qu'il ne conteste pas, et qui suit sa croissance. Facturer au nombre de serveurs ou de sites conduit à des discussions techniques stériles.

Positionner face au coût évité, pas au coût horaire#

Un abonnement de gouvernance pour une PME de quarante personnes se compare à une franchise d'assurance cyber, à trois jours d'arrêt d'activité, ou à une sanction réglementaire — pas à un taux journalier.

Facturer le diagnostic initial séparément#

Deux raisons : il représente une charge réelle non récurrente, et un client qui a payé son diagnostic s'engage davantage dans le plan d'actions qui suit. Le diagnostic offert est systématiquement le moins exploité.

Ne pas inclure la remédiation#

La gouvernance pilote ; elle ne réalise pas. Inclure la remédiation dans l'abonnement rend la marge imprévisible et transforme un service de pilotage en forfait d'intervention illimité. Les actions du plan se facturent au fil de l'eau — et c'est la principale source de chiffre d'affaires additionnel générée par l'offre.

Industrialiser, sinon la marge disparaît#

Une offre de gouvernance est rentable à partir du moment où le vingtième client ne coûte pas vingt fois le premier. Quatre conditions.

Un référentiel unique pour tout le portefeuille. Un référentiel par client interdit toute comparaison et toute réutilisation.

Des rapports générés, pas rédigés. Si produire un rapport de direction prend une demi-journée, l'offre ne passera pas l'échelle. C'est la tâche à automatiser en priorité.

Une vue portefeuille. Savoir en un écran quels clients ont un score en baisse, une action en retard ou une preuve périmée. Sans cette vue, le suivi se dégrade dès une dizaine de clients.

Des preuves collectées automatiquement quand c'est possible. Une partie de l'état de sécurité — MFA activé, postes à jour, sauvegardes exécutées — se lit directement depuis les outils déjà en place. Ce qui se collecte automatiquement ne se redemande pas au client.

Les objections courantes#

« Mon client ne paiera pas pour du reporting. » Il ne paie pas pour du reporting, il paie pour ne pas avoir à répondre lui-même à un questionnaire client, un assureur ou une autorité. Le reporting est le support, pas le produit.

« Je fais déjà tout ça, gratuitement. » C'est le cas le plus fréquent — et le plus coûteux. Le travail existe, il n'est simplement ni tracé ni facturé. Le formaliser ne change pas la charge, il change la facture.

« Je n'ai pas la compétence conformité. » Les 42 mesures d'hygiène ne demandent pas d'expertise juridique. Pour ISO 27001 et NIS2, la compétence s'acquiert sur les premiers dossiers — et l'audit final se sous-traite.

En résumé#

Passer de l'audit ponctuel à la gouvernance récurrente ne demande pas de nouvelles compétences techniques. Cela demande trois choses : un référentiel unique appliqué à tout le portefeuille, un rythme contractualisé, et des livrables qui rendent le travail visible pour le dirigeant.

C'est le chemin le plus court entre un chiffre d'affaires de projet et un revenu récurrent — au moment précis où la réglementation rend ce service non arbitrable.