{"id":17786,"date":"2026-05-29T16:55:27","date_gmt":"2026-05-29T14:55:27","guid":{"rendered":"https:\/\/citalid.com\/?p=17786"},"modified":"2026-10-01T18:48:24","modified_gmt":"2026-10-01T16:48:24","slug":"convaincre-cfo-budget-tprm-quantification-financiere","status":"publish","type":"post","link":"https:\/\/citalid.com\/fr\/resources\/convaincre-cfo-budget-tprm-quantification-financiere\/","title":{"rendered":"Pourquoi votre programme TPRM ne convainc pas votre Direction Financi\u00e8re"},"content":{"rendered":"La question que pose votre CFO, et pourquoi la plupart des programmes de gestion des risques cyber tiers<\/a> ne peuvent pas encore y r\u00e9pondre.<\/em>\r\n\r\nLa gestion du risque tiers (Third-Party Risk Management, TPRM) n’a jamais b\u00e9n\u00e9fici\u00e9 d’une telle visibilit\u00e9. Les attaques par la cha\u00eene d’approvisionnement<\/a> s’intensifient. La directive NIS2<\/a> et le r\u00e8glement DORA ont hiss\u00e9 la supervision des fournisseurs au rang de priorit\u00e9 strat\u00e9gique. L’exposition r\u00e9glementaire n’est plus hypoth\u00e9tique. Et pourtant, obtenir un budget TPRM s\u00e9rieux reste l’une des conversations internes les plus difficiles pour un RSSI.\r\n\r\nL’obstacle n’est pas la conscience du risque. Tout le monde s’accorde sur le fait que le risque est r\u00e9el. L’obstacle est structurel : la plupart des programmes TPRM, aussi rigoureux soient-ils, ne peuvent pas encore r\u00e9pondre \u00e0 la seule question qui d\u00e9bloque les budgets. Quelle est notre exposition financi\u00e8re actuelle, et que gagnons-nous \u00e0 investir davantage ? Cet article propose des \u00e9l\u00e9ments pour y r\u00e9pondre.\r\n

La question que pose votre CFO, et pourquoi les outils TPRM traditionnels n’ont pas \u00e9t\u00e9 con\u00e7us pour y r\u00e9pondre<\/h2>\r\nLe DAF n’est pas oppos\u00e9 \u00e0 l’investissement TPRM. La question qu’il pose est l\u00e9gitime : quelle est notre exposition aujourd’hui, et que nous apporte la d\u00e9pense suppl\u00e9mentaire ?\r\n\r\nC’est exactement la bonne question. Le probl\u00e8me, c’est que la plupart des programmes TPRM ne sont pas en mesure d’y r\u00e9pondre. Non par manque de rigueur, mais parce que les outils sur lesquels ils s’appuient ont \u00e9t\u00e9 con\u00e7us pour produire autre chose : des scores fournisseurs, des niveaux de criticit\u00e9, des statuts de questionnaires. Des donn\u00e9es utiles pour piloter le programme, mais qui ne se traduisent pas naturellement en exposition financi\u00e8re.\r\n\r\nIl en r\u00e9sulte un \u00e9cart structurel dans la conversation budg\u00e9taire. D’un c\u00f4t\u00e9, un risque r\u00e9el et document\u00e9. De l’autre, aucune base de comparaison avec ce que le DAF \u00e9value en permanence : des risques d’entreprise exprim\u00e9s en termes mon\u00e9taires, avec une probabilit\u00e9 et un impact estim\u00e9s.\r\n\r\nCe n’est pas un probl\u00e8me de pr\u00e9sentation. C’est un probl\u00e8me de capacit\u00e9. D’o\u00f9 la conception de la quantification financi\u00e8re du risque.\r\n\r\nLa m\u00e9thodologie existe, elle est d\u00e9j\u00e0 utilis\u00e9e dans les programmes les plus matures, et elle produit trois chiffres qui peuvent transformer la conversation.\r\n

Les trois chiffres qui recadrent la conversation<\/h2>\r\nVous n’avez pas besoin d’un mod\u00e8le parfait mais d’un mod\u00e8le d\u00e9fendable.\r\n

L’esp\u00e9rance de perte annuelle (Annual Loss Expectancy, ALE)<\/h3>\r\nLe premier chiffre r\u00e9pond \u00e0 la question de base : que vous co\u00fbte votre exposition tiers actuelle, en moyenne, sur une ann\u00e9e donn\u00e9e ? Pas un sc\u00e9nario catastrophe. Une estimation probabiliste de la perte annuelle attendue avant tout investissement suppl\u00e9mentaire.\r\n\r\nPour illustrer avec un sc\u00e9nario mod\u00e9lis\u00e9 : un \u00e9tablissement financier europ\u00e9en comptant 340 fournisseurs ICT actifs a estim\u00e9 son ALE avant programme \u00e0 6,2 M\u20ac. Un chiffre qui n’a rien de catastrophique. Une base de d\u00e9part, calcul\u00e9e selon la m\u00e9thodologie FAIR (Factor Analysis of Information Risk), qui d\u00e9rive l’ALE en multipliant la fr\u00e9quence des \u00e9v\u00e9nements de perte par leur magnitude financi\u00e8re. Le mod\u00e8le est auditable, d\u00e9fendable devant les r\u00e9gulateurs, et reproductible.\r\n
Note m\u00e9thodologique.<\/strong> Les chiffres utilis\u00e9s dans cette section sont illustratifs et issus d’un sc\u00e9nario mod\u00e9lis\u00e9 construit sur des hypoth\u00e8ses FAIR. La cr\u00e9dibilit\u00e9 de l’approche repose sur la transparence des donn\u00e9es d’entr\u00e9e et la documentation des hypoth\u00e8ses, non sur la pr\u00e9cision d’un r\u00e9sultat isol\u00e9. Une estimation bien document\u00e9e avec des hypoth\u00e8ses explicites est plus d\u00e9fendable devant un conseil d’administration ou un r\u00e9gulateur qu’un chiffre sans d\u00e9rivation.<\/blockquote>\r\n

L’exposition r\u00e9siduelle apr\u00e8s mise en oeuvre du programme<\/h3>\r\nUn programme TPRM mature ne vise pas \u00e0 \u00e9liminer le risque. Il vise \u00e0 le r\u00e9duire \u00e0 un niveau acceptable. Dans le m\u00eame sc\u00e9nario mod\u00e9lis\u00e9, apr\u00e8s segmentation par criticit\u00e9 et surveillance continue des fournisseurs de rang 1, l’\u00e9tablissement a ramen\u00e9 son ALE \u00e0 2,4 M\u20ac, soit une r\u00e9duction de 61 % de l’exposition.\r\n\r\nC’est ce chiffre qui rend la priorisation possible. Tous les fournisseurs ne m\u00e9ritent pas le m\u00eame niveau d’attention. Une approche pilot\u00e9e par la menace concentre l’effort l\u00e0 o\u00f9 l’attention des adversaires est la plus \u00e9lev\u00e9e, et non l\u00e0 o\u00f9 la valeur contractuelle est la plus grande. Les fournisseurs qui importent le plus d’un point de vue risque ne sont pas toujours ceux qui importent le plus d’un point de vue commercial.\r\n

Le retour sur investissement s\u00e9curit\u00e9 (Return on Security Investment, ROSI<\/a>)<\/h3>\r\nCo\u00fbt du programme sur 12 mois : 180 K\u20ac. R\u00e9duction de l’exposition : 3,8 M\u20ac. ROSI : 21x.\r\n\r\nC’est le seul format qui met le DAF en mesure de d\u00e9cider plut\u00f4t que d’arbitrer entre deux options opaques. C’est aussi le format qui se connecte directement \u00e0 la fa\u00e7on dont le reste de l’entreprise \u00e9value l’allocation du capital.\r\n
Point cl\u00e9.<\/strong> Vous n’avez pas besoin d’un mod\u00e8le FAIR complet avant votre premi\u00e8re conversation budg\u00e9taire. Une estimation approximative mais document\u00e9e, construite sur des hypoth\u00e8ses d\u00e9fendables, constitue une ouverture plus solide qu’aucun chiffre du tout. Une approximation d\u00e9fendable surpasse toujours la certitude vague.<\/blockquote>\r\n

Quatre arguments, dans l’ordre o\u00f9 les utiliser<\/h2>\r\nChaque conversation budg\u00e9taire ne commence pas dans la m\u00eame salle. L’ordre des arguments est d\u00e9terminant.\r\n

Avec le DAF : ouvrir sur l’exposition financi\u00e8re<\/h3>\r\nALE, exposition r\u00e9siduelle, ROSI. M\u00eame un mod\u00e8le sommaire d\u00e9place la conversation de \u00ab\u00a0combien cela co\u00fbte-t-il\u00a0\u00bb \u00e0 \u00ab\u00a0combien cela co\u00fbte-t-il de ne pas l’avoir\u00a0\u00bb. L’objectif n’est pas la pr\u00e9cision. C’est la comparabilit\u00e9 avec les autres risques d’entreprise d\u00e9j\u00e0 sur le bureau du DAF<\/a>.\r\n

Avec le conseil d’administration ou le DG : renforcer avec les enjeux r\u00e9glementaires<\/h3>\r\nLes sanctions NIS2 peuvent atteindre 10 M\u20ac ou 2 % du chiffre d’affaires annuel mondial. Les obligations DORA<\/a> pour les entit\u00e9s financi\u00e8res sont d\u00e9sormais explicites et applicables. Le cadrage s’impose de lui-m\u00eame : la question n’est pas de savoir s’il faut investir dans le TPRM. C’est de savoir si on le fait avant ou apr\u00e8s un constat de non-conformit\u00e9.\r\n

Avec les achats : formuler l’argument d’efficience<\/h3>\r\nCombien de jours-analyste par mois sont absorb\u00e9s par la relance de r\u00e9ponses \u00e0 des questionnaires, le suivi de documentations manquantes et la production de rapports manuels ? Ce co\u00fbt est d\u00e9j\u00e0 dans le budget, comptabilis\u00e9 comme surcharge op\u00e9rationnelle. Une plateforme TPRM<\/a> bien con\u00e7ue r\u00e9duit le temps de cycle des \u00e9valuations, \u00e9largit la couverture fournisseurs sans augmenter les effectifs, et supprime la charge de reporting manuel. L’argument d’efficience ne se substitue pas \u00e0 l’argument risque. Il constitue un second vecteur pour la m\u00eame d\u00e9cision.\r\n

Face \u00e0 un interlocuteur sceptique : l’argument s\u00e9curit\u00e9 comme conclusion, non comme introduction<\/h3>\r\nNon pas parce qu’il porte moins de poids, mais parce qu’il atterrit mieux une fois que les enjeux financiers et op\u00e9rationnels ont d\u00e9j\u00e0 \u00e9t\u00e9 \u00e9tablis. \u00c0 ce stade, l’argument s\u00e9curit\u00e9 confirme ce que les chiffres avaient d\u00e9j\u00e0 sugg\u00e9r\u00e9.\r\n

Combler l’\u00e9cart est d\u00e9sormais \u00e0 port\u00e9e<\/h2>\r\nLa conversation budg\u00e9taire autour du TPRM \u00e9choue lorsqu’elle est pr\u00e9sent\u00e9e comme un investissement s\u00e9curit\u00e9 en comp\u00e9tition avec d’autres investissements s\u00e9curit\u00e9 pour une enveloppe fixe. Elle r\u00e9ussit lorsqu’elle est correctement formul\u00e9e : remplacer un processus manuel, h\u00e9t\u00e9rog\u00e8ne et finalement co\u00fbteux par une capacit\u00e9 qui exprime le risque tiers en termes financiers, d\u00e9fendable aussi bien devant un r\u00e9gulateur que devant un conseil d’administration.\r\n\r\nVous avez une r\u00e9union budg\u00e9taire dans les 30 prochains jours et pas encore de chiffres d\u00e9fendables ?<\/strong> L’\u00e9valuation TPRM Citalid vous donne une vue structur\u00e9e des lacunes de votre programme sur trois dimensions (personnes, processus, technologies) en moins de 10 minutes. Faire le test.\r\n\r\nPr\u00eat \u00e0 construire le business case complet ?<\/strong> La partie VI du TPRM Buyer’s Guide de Citalid d\u00e9taille la m\u00e9thodologie de quantification FAIR, la documentation des hypoth\u00e8ses et une structure de pr\u00e9sentation adapt\u00e9e au conseil d’administration. T\u00e9l\u00e9charger le guide.","protected":false},"excerpt":{"rendered":"La question que pose votre CFO, et pourquoi la plupart […]","protected":false},"author":175698820,"featured_media":17785,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"content-type":"","rank_math_description":"La plupart des programmes TPRM ne peuvent pas r\u00e9pondre \u00e0 la question cl\u00e9 du DAF. Voici comment la quantification financi\u00e8re du risque comble cet \u00e9cart.","footnotes":""},"categories":[6638],"tags":[],"topic":[6747],"class_list":["post-17786","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article-de-blog","topic-tprm"],"acf":[],"_links":{"self":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/17786","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/users\/175698820"}],"replies":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/comments?post=17786"}],"version-history":[{"count":1,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/17786\/revisions"}],"predecessor-version":[{"id":19981,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/posts\/17786\/revisions\/19981"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/media\/17785"}],"wp:attachment":[{"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/media?parent=17786"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/categories?post=17786"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/tags?post=17786"},{"taxonomy":"topic","embeddable":true,"href":"https:\/\/citalid.com\/fr\/wp-json\/wp\/v2\/topic?post=17786"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}