La plupart des mauvais achats de logiciels se décident avant la première démonstration, et les logiciels de gestion des risques sont plus touchés que bien d’autres catégories.
Voici le scénario habituel. Un fondateur découvre un fournisseur lors d’une conférence, ou un confrère évoque l’outil qu’il utilise. Une démonstration est réservée. Elle est réussie, car les démonstrations sont conçues pour l’être. Viennent ensuite une comparaison des fonctionnalités avec deux concurrents, une négociation tarifaire et un bon de commande. Dans tout ce processus, la seule question qui compte vraiment n’est jamais posée à voix haute : contre quoi cherchons-nous à nous protéger ?
Le résultat est un échec bien particulier. Ce n’est pas un mauvais outil. C’est un bon outil, qui fonctionne exactement comme prévu, et qui résout un problème que vous n’aviez pas.
Ce guide explique ce que recouvre réellement cette catégorie, les critères à examiner, son coût, ce qu’elle rapporte, puis propose une démarche de sélection en cinq étapes. Trois de ces étapes précèdent tout examen d’un fournisseur. Si vous commencez par une liste de fonctionnalités, vous commencez à l’étape quatre, ce qui explique en grande partie les regrets qui suivent.
Autant vous prévenir : pour une bonne partie des lecteurs, la conclusion honnête sera que vous n’avez pas besoin de ce que nous vendons, ou que vous n’avez rien à acheter du tout. Je le dirai quand ce sera le cas. Un guide d’achat qui ne peut pas vous dissuader d’acheter n’est pas un guide, c’est une brochure.
Qu’est-ce que la gestion des risques d’entreprise, au juste ?
Commençons par le terme, car la plupart de ces logiciels sont commercialisés sous cette appellation et il faut en préciser le sens.
La gestion des risques d’entreprise, ou ERM, consiste à identifier, évaluer et gérer l’ensemble des risques auxquels une organisation est confrontée dans une vision coordonnée, plutôt que de laisser chaque service gérer ses propres risques de façon isolée.
Tout est dans cette dernière proposition. Avant l’ERM, la finance gérait le risque financier, l’informatique le cyberrisque, le juridique les contentieux et les opérations le risque opérationnel, sans que personne dispose d’une vue d’ensemble. L’ERM est née pour réunir tous ces éléments sur une même cartographie, afin que la direction et le conseil d’administration puissent voir l’exposition totale de l’organisation et établir leurs priorités à cette échelle plutôt qu’en silos.
En pratique, les logiciels ERM rendent cette coordination possible à grande échelle. Un registre recense tous les risques identifiés. Des outils permettent de les noter et de les hiérarchiser. Les contrôles sont associés aux risques concernés. Des processus attribuent les responsabilités et suivent les mesures d’atténuation. Enfin, les rapports sont suffisamment clairs pour être présentés à un comité des risques du conseil d’administration.
C’est une discipline importante et, à l’échelle pour laquelle elle a été conçue, incontournable. Un établissement réglementé qui gère des centaines de contrôles et onze référentiels ne peut pas piloter ses risques dans un tableur. Les plateformes ERM existent parce que ce problème est réel.
Un point mérite toutefois d’être relevé dès le départ, car il détermine toute la suite de ce guide. L’ERM a été conçue pour coordonner les risques qu’une organisation peut observer en son sein. Son objet central est le registre interne des risques. Elle n’a jamais été conçue pour surveiller le monde extérieur à votre place. Or, pour certaines entreprises, c’est précisément là que se situe l’essentiel du risque. Gardez cette idée à l’esprit.
Le problème d’un achat guidé d’abord par les fonctionnalités
Un « logiciel de gestion des risques » ne désigne pas une seule chose. Cette appellation regroupe plusieurs catégories de produits qui ne se substituent pas les unes aux autres. L’erreur la plus coûteuse sur ce marché consiste à en acheter une en attendant les capacités d’une autre.
C’est pourquoi une liste de fonctionnalités est un mauvais point de départ. Elle suppose que vous savez déjà quelle catégorie vous concerne. La plupart des acheteurs ne le savent pas, et la démonstration ne le leur dira pas : chaque fournisseur la conçoit pour donner l’impression que sa catégorie représente tout le marché.
La démarche ci-dessous suit donc un ordre délibéré. D’abord le périmètre des risques. Ensuite la catégorie. Puis le choix entre développer et acheter. Ce n’est qu’après que viennent les fonctionnalités et les fournisseurs. Voici comment procéder.
Première étape : cartographiez votre périmètre de risques avant de consulter le moindre site de fournisseur
Vous ne pouvez pas choisir un outil pour gérer vos risques avant d’avoir consigné par écrit ce qu’ils sont réellement. Cela paraît évident. Presque personne ne le fait avant de chercher une solution, d’où cette première étape.
Pas dans l’abstrait. Concrètement. Prenez le temps de répondre honnêtement à trois questions.
Qu’est-ce qui pourrait réellement nous coûter de l’argent ou de la crédibilité ? Les expositions réelles, celles qu’il vous faudrait expliquer en réunion, pas celles qui donnent à un document une apparence d’exhaustivité.
Pour chacune, où se situe-t-elle ? À l’intérieur de l’entreprise ou à l’extérieur ? C’est la distinction la plus importante.
Et comment en serions-nous informés aujourd’hui, et dans quel délai ? Soyez honnêtes jusqu’à l’inconfort. Si, pour un risque, la vraie réponse est « nous l’apprendrions si quelqu’un nous le disait », écrivez-le.
La distinction entre interne et externe détermine toute la suite. Une entreprise dont le risque est surtout interne — ses propres contrôles, ses équipes, ses systèmes — a besoin d’un outil fondamentalement différent de celui d’une entreprise dont le risque se situe dans des entités externes qu’elle ne contrôle pas. Ces deux entreprises examineront le même fournisseur, et l’une des deux se trompera.
Si vous souhaitez une méthode structurée, nous avons consacré un article à la bonne manière de cartographier les risques et à la dimension que la plupart des cartographies omettent. Commencez par la cartographie. Tout devient plus simple ensuite.
Deuxième étape : déterminez la catégorie qui vous concerne réellement
Cinq catégories partagent cette appellation. Les voici, présentées brièvement et sans parti pris.
Plateformes ERM et GRC. Les systèmes de référence décrits plus haut. Registres des risques, gestion des politiques, rapports au conseil d’administration, processus. Archer, LogicGate, OneTrust, Resolver. Si vous avez des centaines de contrôles et un comité des risques du conseil d’administration, il vous en faut une. Si vous êtes onze, presque certainement pas.
Automatisation de la sécurité et de la conformité. Contrôles internes et certification selon des référentiels. SOC 2, ISO 27001. Vanta, Drata, Sprinto, Hyperproof. Si vous vendez à de grandes entreprises et devez démontrer votre propre niveau de sécurité, c’est la bonne catégorie, et elle est solide.
Identité et LCB-FT. Vérification et filtrage des clients à l’entrée en relation et par la suite. Sumsub, Persona, Onfido. Si vous faites entrer en relation des utilisateurs ou des entreprises et devez répondre de leur risque de criminalité financière, vous en avez besoin.
Fournisseurs de données sur les risques. Les flux bruts, tels que les sanctions, les médias défavorables et les registres des entreprises. LexisNexis Risk Solutions, Moody’s, OpenCorporates. Ce sont des données d’entrée, pas des produits finis. Vous ou votre fournisseur construisez la couche d’analyse par-dessus.
Intelligence des risques liés aux entités en continu. Surveillance des entités externes auxquelles vous êtes exposé sans effectuer de transactions avec elles, comme les sociétés du portefeuille, les contreparties et les fondateurs. C’est notre catégorie, et je la présente comme l’une des cinq plutôt que comme la réponse à votre question, car elle ne le sera pas pour la plupart des lecteurs.
L’essentiel est que ces catégories ne sont pas rivales. Une fintech peut avoir besoin de trois d’entre elles. Acheter une plateforme ERM alors qu’il vous fallait une surveillance des entités ne vous donne pas une version moins performante de cette surveillance. Cela vous donne un classeur, et un classeur coûteux.
Nous avons cartographié les cinq catégories en détail ici, si vous bloquez à la deuxième étape, ce qui est le cas le plus fréquent.
Troisième étape : décidez entre développer et acheter
C’est la question sur laquelle les acheteurs sérieux se penchent réellement, et la plupart des guides l’évitent parce que la réponse est parfois « n’achetez rien ». Je vais tout de même l’aborder.
Si votre risque est bien défini, que vous disposez d’ingénieurs et d’une équipe de données, et que le besoin est stable, vous pouvez parfois souscrire aux flux sous-jacents et développer vos propres outils. Certaines grandes organisations font exactement cela, et c’est le bon choix pour elles.
Si la plupart de ceux qui essaient le regrettent, ce n’est pas à cause des données. Les données sont la partie facile, et elles s’achètent. La difficulté est la couche qui détermine la pertinence : transformer dix mille signaux bruts par semaine en quatre signaux utiles, puis maintenir ce dispositif à mesure que les sources évoluent, que les formats changent et que des lacunes de couverture apparaissent. Cette couche représente l’essentiel du travail réel, elle n’est jamais terminée et elle est presque toujours sous-estimée lors de la planification.
Le test honnête est le suivant : si distinguer les signaux du bruit sur l’ensemble de votre périmètre de risques est une compétence centrale que vous voulez maîtriser et doter durablement d’une équipe, développez. Si vous avez besoin que cela fonctionne sans vouloir y consacrer une équipe, achetez. La plupart des entreprises appartiennent à la seconde catégorie et se persuadent d’appartenir à la première.
Que rechercher dans un logiciel de gestion des risques d’entreprise
Si la deuxième étape vous oriente vers une plateforme ERM ou GRC, c’est-à-dire si vos risques sont principalement internes et si votre taille justifie un système de référence, voici ce qui distingue réellement une bonne solution d’une solution simplement coûteuse.
Un registre des risques que les équipes utiliseront réellement. Le registre est le cœur d’un système ERM, et un registre que personne n’actualise n’est qu’une base de données des inquiétudes de l’an dernier. Ici, la simplicité de saisie compte plus que la richesse des fonctionnalités.
Une cartographie des contrôles qui reflète votre fonctionnement réel. L’intérêt de l’ERM est de voir quels contrôles répondent à quels risques, et où se trouvent les lacunes. Si associer un contrôle prend vingt minutes, personne ne le fera et la cartographie deviendra obsolète.
Des rapports qu’un conseil d’administration acceptera sans difficulté. C’est souvent la véritable raison de l’achat du logiciel : autant tester ce point directement. Peut-il produire en un clic un document que votre comité des risques lira ?
Un processus qui attribue les responsabilités. Sans responsable, un risque ne reçoit aucune réponse. Un bon outil ERM rend les responsabilités explicites et relance les personnes concernées. Un outil médiocre laisse les risques indéfiniment sans responsable dans le registre.
La prise en charge des référentiels, si vous en avez besoin. Si vous travaillez selon ISO 31000, COSO ou un régime réglementaire précis, la plateforme doit intégrer cette logique d’origine plutôt que vous obliger à l’adapter après coup.
Et une capacité d’adaptation réaliste à votre taille. Certains outils ERM sont conçus et tarifés pour les entreprises du Fortune 500 et accableront une entreprise de taille intermédiaire d’une complexité inutile. D’autres sont si légers qu’ils ne sont guère plus que des tableurs améliorés. Choisissez une solution proportionnée à votre taille.
Le véritable retour sur investissement d’un logiciel de gestion des risques
Chaque fournisseur propose un calculateur de retour sur investissement, et la plupart relèvent de la multiplication créative. Voici d’où vient réellement le rendement, et d’où il ne vient pas.
Le gain indirect, mais réel, est le temps. Les tâches qui occupaient les analystes pendant des jours — réunir les preuves, relancer les responsables, compiler les rapports — sont prises en charge par le logiciel. Ce gain est mesurable et c’est le plus facile à défendre, mais aussi le plus facile à exagérer.
Le gain plus difficile à mesurer, et plus important, tient aux pertes évitées. Il est réellement difficile à quantifier, car on chiffre des événements qui n’ont pas eu lieu. Un risque détecté tôt coûte moins cher que le même risque détecté tard, parfois dans des proportions considérables. Le problème est qu’une année sans incident présente le même bilan, que votre logiciel ait évité trois catastrophes ou qu’aucune ne se soit profilée. Aucun calculateur ne permet de trancher.
Pour rendre ce calcul concret plutôt qu’hypothétique, chiffrez un seul risque manqué. Que vous coûte réellement un risque significatif découvert trop tard, en pertes directes, remédiation, frais juridiques, réputation et temps des dirigeants ? Comparez le coût du logiciel à ce montant : le calcul cesse alors de porter sur les fonctionnalités et commence à porter sur la valeur attendue.
Nous avons élaboré un modèle de calcul complet précisément à cette fin, car si vous devez défendre la dépense en réunion budgétaire, il vous faut un chiffre qui résiste à l’examen, pas un multiplicateur proposé par un fournisseur.
Une réserve : méfiez-vous de toute démonstration de rentabilité fondée sur la plus grande catastrophe historique de votre secteur, multipliée par un taux de prévention supposé de cent pour cent. Aucun outil ne prévient tout, et un modèle qui le suppose vous vend un sentiment, pas une prévision.
Les fonctionnalités qui méritent réellement leur place
Dans toutes les catégories, certaines fonctionnalités permettent réellement de prévoir si vous serez satisfait de votre achat, tandis que d’autres relèvent de la mise en scène en démonstration. Voici la distinction honnête.
Une couverture adaptée à votre périmètre de risques. Chaque mot compte. Pas « le plus grand nombre de sources », qui est un indicateur de façade, mais les bonnes sources pour vos expositions réelles. Un outil couvrant onze mille sources dont aucune ne concerne votre risque particulier ne couvre rien d’utile pour vous.
Le rapport signal/bruit. Interrogez directement les fournisseurs sur leurs taux de faux positifs et méfiez-vous de ceux qui refusent d’en parler. Un outil qui génère quatre cents alertes par semaine que personne ne lit est, dans les faits, identique à un outil qui ne remonte rien, tout en coûtant plus cher. Le filtrage est le produit. La couverture est la matière première.
La traçabilité des sources. Je précise clairement que nous y attachons de l’importance : tenez-en compte dans votre appréciation. Chaque résultat peut-il être relié à une source primaire que vous pouvez ouvrir et vérifier, ou s’agit-il d’une conclusion qu’on vous demande de croire ? Ce point devient de plus en plus important à mesure que les outils génèrent des synthèses, et la question mérite d’être posée à tous les fournisseurs du marché, nous compris. La bonne réponse est un lien, pas un paragraphe.
Le délai avant les premiers bénéfices. Quelques jours, quelques semaines, ou six mois de déploiement accompagnés d’une ligne de facturation pour des prestations de services ? Dans certaines catégories, un long déploiement est inévitable. Dans d’autres, c’est le signe que le produit vous demande de faire son paramétrage à sa place.
L’intégration aux habitudes de travail de votre équipe. Un outil qui impose de se connecter à un tableau de bord distinct que les équipes oublieront de consulter sera ignoré dès la sixième semaine, quelle que soit la qualité de sa détection. Il doit rejoindre l’équipe là où elle travaille déjà.
Des alertes et une procédure d’escalade qui désignent une personne. Une détection sans orientation vers un responsable n’est que du bruit. Les meilleurs outils attribuent un responsable nommé et un délai de réponse à chaque signal remonté. Les moins bons se contentent de le faire remonter et considèrent le travail terminé.
Et le coût total, moyens humains compris. La licence est un montant. La personne qui exploite l’outil en représente un autre, souvent plus élevé. Un outil bon marché qui nécessite un analyste à temps plein n’est pas un outil bon marché.
Ce qui séduit à tort : une interface soignée, le nombre brut de sources, une abondance de fonctionnalités que vous n’utiliserez jamais et une démonstration réalisée sur un exemple soigneusement choisi. Tous ces éléments semblent probants lors d’une évaluation, mais ne prédisent presque rien de votre satisfaction un an après l’achat.
Quelles fonctionnalités apportent le plus de valeur concrète ?
Si je devais ramener la liste ci-dessus aux trois critères qui distinguent le plus sûrement un outil que vous conserverez d’un outil que vous cesserez discrètement d’utiliser, ce seraient ceux-ci.
Le filtrage, d’abord et avant tout. Toute la valeur d’un logiciel de gestion des risques consiste à transformer un volume d’informations en une courte liste d’éléments qui méritent réellement votre attention. Un outil qui le fait bien mérite d’être conservé, même s’il est faible ailleurs. Un outil qui le fait mal ne vaut rien, même s’il est performant sur tous les autres points, car vous serez submergé.
Ensuite, la vérifiabilité. Vous devrez, à un moment donné, agir sur la base de ce que le logiciel vous indique, et peut-être justifier cette action auprès d’un régulateur, d’un investisseur du fonds ou d’un conseil d’administration. Si vous ne pouvez pas relier l’affirmation à une source, vous agissez sur la foi d’une croyance, ce qui n’est pas une position défendable dans une fonction de gestion des risques.
Puis l’adéquation à vos processus de travail. L’outil doté de la meilleure détection au monde échoue s’il se trouve à un endroit que votre équipe ne consulte jamais. La valeur concrète dépend en partie de l’utilisation réelle de l’outil, et cette utilisation dépend surtout de l’endroit où ses résultats apparaissent.
Cinquième étape : testez la solution face aux quatre causes d’échec
Avant de signer, confrontez la solution que vous vous apprêtez à acheter aux quatre modes d’échec qui expliquent la plupart des regrets dans cette catégorie. Chacun correspond à une question à poser à voix haute au fournisseur, en observant sa réponse.
| Mode d’échec | La question à poser |
| Le contenant vide | Détecte-t-il des risques ou organise-t-il seulement ceux que je lui fournis ? |
| Le déluge d’alertes | À quoi ressemble une semaine normale d’alertes, et combien justifient une action ? |
| Le mauvais périmètre | Me surveille-t-il, ou surveille-t-il les entités auxquelles je suis exposé ? |
| Le résultat invérifiable | Quand il m’indique quelque chose, puis-je le vérifier à partir d’une source ? |
Le contenant vide est le piège propre à l’ERM sur lequel il faut s’attarder. Un système de référence n’est pas une source de renseignement. Il organise ce que vous y saisissez et ne découvre rien de lui-même. Des entreprises achètent une solution ERM en s’attendant à ce qu’elle détecte les risques externes, puis constatent des mois plus tard que le registre contient exactement ce que quelqu’un y a saisi. Si vous aviez besoin d’un outil qui recherche et découvre des informations, une plateforme ERM ne répond pas à ce besoin. Le confirmer avant de signer évite bien des déceptions.
Un mot sur l’IA, puisque tous les fournisseurs la revendiquent désormais
Tous les produits de ce marché affichent désormais l’IA sur leur page d’accueil, le nôtre compris. Sa présence ne vous apprend donc rien. La question utile est plus précise.
L’IA transforme réellement une tâche : lire d’énormes volumes d’informations non structurées et en extraire la fraction utile, dans des langues et des sources qu’aucune équipe humaine ne pourrait couvrir. Cette capacité est réelle, et c’est elle qui mérite d’être payée.
Elle présente un véritable danger sur un point : affirmer une conclusion dont on ne peut pas retrouver l’origine. Une synthèse erronée, formulée avec assurance et faisant autorité dans votre dossier, est pire qu’une absence de synthèse, car vous agirez sur cette base sans jamais savoir qu’elle était fausse.
Le critère d’achat n’est donc pas la présence d’IA dans un outil, mais la possibilité de vérifier ce qu’elle vous indique. Demandez le lien vers la source à tout le monde, et considérez son absence comme une réponse à une question plus importante.
Déployer la solution sans les regrets habituels
L’achat est la partie facile. C’est au déploiement que de bons outils sont abandonnés. Voici six points à bien traiter, volontairement présentés brièvement.
Activez la surveillance d’un ou deux risques, pas de trente. Un déluge dès le premier jour apprend simplement aux équipes à ignorer le canal, et une fois qu’elles cessent de le lire, le reste de vos efforts ne sert plus à rien.
Désignez qui traite chaque alerte avant de l’activer. Sinon, elle arrive chez tout le monde, ce qui revient à ne l’attribuer à personne.
Attendez-vous à ce que vos premiers seuils soient mal réglés. C’est le cas pour tout le monde. Ajustez-les chaque mois pendant un certain temps, pas une seule fois.
Acheminez les alertes là où l’équipe travaille déjà. Derrière un tableau de bord dont personne ne se souvient, elles pourraient aussi bien ne pas exister.
Fixez dès maintenant une date de révision. Les outils de gestion des risques deviennent obsolètes comme les politiques, et un rendez-vous dans le calendrier est le seul moyen fiable de s’en rendre compte.
C’est tout. Nous avons traité séparément le point le plus important, à savoir l’acheminement et la hiérarchisation des signaux remontés par l’outil, dans l’article sur l’acheminement des alertes.
Questions fréquentes
Conclusion
L’essentiel d’un bon choix se joue avant même de regarder un fournisseur. Cartographiez le périmètre. Identifiez la catégorie. Tranchez la question du développement interne. Si vous réussissez ces trois étapes, la comparaison finale des fournisseurs devient presque mécanique, car vous savez déjà ce que vous cherchez et, tout aussi utilement, ce que vous ne cherchez pas.
Si vous vous trompez sur ces points, aucune matrice de fonctionnalités ne vous sauvera : vous comparerez avec une grande précision les mauvais éléments dans la mauvaise catégorie.
Un dernier mot pour un type précis de lecteur, puisque ce guide a beaucoup insisté sur la distinction entre interne et externe. Si la première étape a montré que vos risques se situent surtout hors de vos murs, dans les sociétés du portefeuille, les contreparties, les fondateurs et les entités auxquelles vous êtes exposé sans les contrôler, une plateforme ERM organisera parfaitement tout ce que vous savez déjà sans rien vous apprendre sur le monde extérieur. Ce n’est pas un défaut de l’ERM. Ce n’est simplement pas sa fonction.
Ce monde extérieur correspond à notre catégorie.
Beady AI surveille les entités auxquelles vous êtes exposé en couvrant les sanctions, les médias défavorables, les registres des entreprises et les usurpations d’identité, chaque signal étant relié à sa source. Réservez une session et nous testerons la plateforme sur vos participations réelles pour que vous puissiez l’évaluer à partir de vos propres risques plutôt que de notre démonstration.
Et si la première étape vous a orienté ailleurs, vers Vanta, vers une plateforme ERM, vers un développement interne ou vers la conclusion qu’un tableur et une date de révision suffisent réellement pour le moment, alors ce guide a rempli son rôle. C’est aussi un bon résultat, et un résultat honnête.
