Monter une offre d'audit récurrente plutôt qu'un audit ponctuel
Un audit ponctuel est une bonne vente et une mauvaise affaire. Le même travail, structuré en séquence avec un contre-audit et un comité trimestriel, transforme des honoraires en abonnement — et produit de meilleurs résultats de sécurité, ce qui est la raison pour laquelle les clients l'acceptent.
Pourquoi l'audit ponctuel déçoit tout le monde
Le schéma est connu. Vous livrez cent constats, le client est impressionné, trois mois plus tard rien n'a changé et ni l'un ni l'autre n'a envie d'en parler. L'audit était juste et inutile, pour une raison structurelle : une photographie ne corrige rien, et personne n'était responsable de l'intervalle entre deux photographies.
Le modèle récurrent existe parce que la valeur est dans la remédiation, pas dans la mesure — et que la remédiation se compte en trimestres, pas en jours.
La séquence
Cadrage — une demi-journée
Créer la fiche client, convenir du périmètre par écrit, et choisir la baseline à partir d'un modèle normatif : CIS pour une restitution technique, MCSB pour un client déjà aligné sur Defender for Cloud, NIS2 ou DORA quand l'enjeu est réglementaire. Puis demander les accès — c'est le chemin critique, donc on le lance ici et pas la semaine d'avant.
Audit initial — une journée
L'exécuter, l'épingler comme audit de référence, y attacher une note de contexte. Exporter le rapport par référentiel en HTML et le même audit en JSON, ce qui donne une preuve horodatée qui ne coûte rien à conserver.
Restitution — deux heures, et l'ordre compte
Ouvrir avec l'image — le graphe des chemins d'attaque sur Active Directory. Puis le niveau de maturité, qui est une phrase plutôt qu'un nombre. Le pourcentage vient en troisième, ou pas du tout. Laisser le rapport de direction en PDF et le plan de remédiation en tableur.
Remédiation — le trimestre du client
Il corrige, dans l'ordre que donne le modèle de maturité. Vous restez disponible pour l'arbitrage plutôt que de faire le travail — dès l'instant où vous prenez la remédiation, vous avez vendu un projet et non un abonnement, et l'audit suivant devient l'audit de votre propre travail.
Contre-audit — une demi-journée
Même baseline, même périmètre. La valeur est dans la comparaison de dérive : les constats résolus prouvent le travail du trimestre objet par objet, et les nouveaux constats montrent ce qui est apparu entre-temps. C'est cette seconde liste qui justifie le trimestre suivant sans que vous ayez à plaider.
Comité trimestriel — une heure
Score, tendance, ce qui a régressé avant ce qui s'est amélioré, les cinq priorités. Puis le cycle reprend.
Ce qui rend l'offre rentable
| Levier | Effet |
|---|---|
| L'audit lui-même est automatisé | Le temps facturable est la restitution et l'arbitrage, pas la collecte. C'est la seule raison pour laquelle l'économie tient. |
| La baseline est réutilisable | Le cadrage se paie une fois par client, puis s'amortit sur toutes les exécutions suivantes. |
| Une fiche par client | Historique, connecteur et marque des rapports sont cloisonnés par client : un portefeuille ne devient pas un problème de tableur. |
| Les rapports portent votre marque | Le client voit votre cabinet, pas un éditeur. C'est ce qui en fait une offre et non une revente. |
| Deux périmètres | Le même client peut être audité sur le tenant et l'annuaire — deux missions à partir d'une seule conversation de cadrage. |
Comment la tarifer sans deviner
Les deux variables qui bougent réellement sont le nombre de périmètres et le nombre de comités par an. Tout le reste — nombre de contrôles, nombre de ressources — ne vous coûte presque rien de plus, puisque l'exécution est automatisée. La structure honnête est donc un forfait de cadrage, puis un abonnement par périmètre et par trimestre, plutôt qu'un taux journalier qui vous punirait d'être rapide.
Le piège à éviter : facturer au constat, ou à l'écart corrigé. Cela aligne votre revenu contre l'amélioration du client, et les clients le remarquent. Facturez la cadence, pas les dégâts.
Ce qu'il faut promettre, et ce qu'il ne faut pas
Promettez une posture mesurée, un périmètre documenté, un plan priorisé et la preuve datée des progrès. Ne promettez pas la conformité — aucun audit n'octroie un statut NIS2, ISO 27001 ou SOC 2, et un client qui aurait compris l'inverse sera mécontent exactement au mauvais moment. Ne promettez pas non plus la surveillance continue : un audit est une photographie prise délibérément, et le dire clairement est ce qui donne son sens à la cadence trimestrielle.