Commencer par le travail réellement effectué
Que finance l’accompagnement, et que restera-t-il à faire en interne ? Pour répondre, décrivez les tâches actuelles : qualification des alertes, recherche de preuves, coordination, comités, suivi des actions et anticipation des fins de support. Le nombre d’alertes ou le budget logiciel ne représente qu’une partie du coût de ce travail.
Observez une période représentative et relevez le temps des personnes impliquées. Séparez le récurrent des opérations exceptionnelles. Comptez le temps de chaque participant, mais ne le comptez pas deux fois dans des catégories qui se recouvrent, par exemple qualification et préparation de comité. Vous obtenez une base de comparaison que les équipes peuvent vérifier.
Distinguer capacité, dépenses, prévisibilité et risque
Les heures libérées peuvent être affectées à d’autres travaux. Leur valorisation traduit une capacité disponible ; elle ne réduit pas automatiquement la masse salariale ou les sorties de trésorerie. Une dépense évitée correspond à autre chose : une intervention externe ou un achat qui n’a effectivement plus lieu. Conservez le justificatif et évitez de valoriser deux fois le même travail.
La prévisibilité des migrations et la qualité des décisions comptent également. Vous pouvez les apprécier par le préavis disponible, les arbitrages préparés ou les preuves retrouvables. Ces bénéfices n’ont pas nécessairement un prix immédiat. Une sanction ou une attaque hypothétique évitée ne constitue pas une économie certaine à ajouter au calcul.
Comparer un périmètre et un niveau de service semblables
Dans la charge après accompagnement, incluez la fourniture des données, les réponses, les arbitrages, la coordination et les interventions conservées. Comparez les mêmes tâches et la même couverture. Si le service ajoute un suivi jusque-là absent, présentez ce supplément comme tel : il peut répondre à un besoin, même sans réduire une charge existante.
Tenez compte des outils déjà disponibles. Dependency-Track propose, par exemple, du suivi de composants ; le devis doit permettre de comprendre le travail complémentaire de qualification et de pilotage. Distinguez aussi la mise en place du coût récurrent, sans compter à nouveau ce qui est déjà inclus dans le prix mensuel.
Sources : Dependency-Track v4.14, capacités de suivi du portefeuille
Un calcul explicite avec vos propres entrées
Notez H0 la charge interne actuelle par mois, H1 la charge estimée après accompagnement, C le coût horaire interne chargé, F le prix mensuel de prestation et I le coût initial. Les heures réaffectables valent H0 − H1. La capacité annuelle valorisée vaut 12 × (H0 − H1) × C.
Avec le prix F renseigné, l’écart annuel estimé vaut 12 × (H0 − H1) × C − 12 × F − I. Si F est connu et C strictement positif, le seuil mensuel de temps à libérer vaut (F + I / 12) / C. Sans devis, vous pouvez déjà estimer les heures et leur valorisation ; la comparaison complète attendra le prix. Ce calcul compare des charges et ne prédit pas un gain de trésorerie.
Exemple de calcul sur des hypothèses fictives
Avec H0 = 35 heures, H1 = 15 heures et C = 65 €, la capacité réaffectable est de 20 heures par mois. Elle représente 1 300 € par mois, soit 15 600 € par an avant prestation. Les salaires peuvent rester inchangés : l’intérêt est alors le travail supplémentaire que les équipes pourront prendre en charge.
Ajoutons F = 1 400 € par mois et I = 600 €. L’écart annuel vaut 15 600 − 16 800 − 600 = −1 800 €. Le seuil est d’environ 22,31 heures par mois, supérieur aux 20 heures libérées. Sur ces hypothèses, la seule valorisation du temps ne couvre pas la prestation. Tous les montants de cet exemple sont des hypothèses à remplacer par vos coûts et le devis reçu.
Vérifier les bénéfices pendant la mission
Comparez le temps de qualification et de préparation des revues, les dossiers reconstruits, les actions sans responsable et les retards. Gardez des périmètres comparables. Pour les travaux liés à vos exigences NIS2, CRA ou DORA, selon leur applicabilité, identifiez les tâches et preuves effectivement préparées. Une baisse d’alertes doit aussi expliquer les regroupements ou changements de couverture.
CyberLifeCycle définit avec vous la veille, la qualification, la priorisation et les restitutions à prendre en charge à partir de vos inventaires ou SBOM. Le devis précise ce périmètre, les responsabilités et les indicateurs de suivi. L’estimateur de la page MCS permet d’explorer vos hypothèses avant cet échange. Gardez séparée l’analyse du risque : un score de base CVSS mesure une sévérité, pas une perte financière, comme le rappelle FIRST.
Sources : FIRST, guide CVSS v4.0 : limites du score de base pour le risque
Sources consultées
- Dependency-Track v4.14, capacités de suivi du portefeuilleConsulté le 30 octobre 2026.
- FIRST, guide CVSS v4.0 : limites du score de base pour le risqueConsulté le 30 octobre 2026.