Un grand compte t'envoie 120 questions sur ta sécurité. Ce qu'il vérifie réellement, comment répondre sans mentir, et les six documents à préparer avant qu'on te les demande.
Tu as gagné l'intérêt. La démonstration s'est bien passée. Puis les achats t'envoient un tableur de cent vingt lignes intitulé « Vendor Security Assessment », et ton affaire s'arrête net pendant six semaines.
Ce moment tue plus de ventes B2B qu'on ne le croit — pas parce que les jeunes entreprises sont peu sûres, mais parce qu'elles n'ont rien de prêt à joindre.
Cent vingt questions, cinq préoccupations.
Où sont mes données, et qui peut les lire ? Que se passe-t-il si vous disparaissez ? Comment saurai-je qu'il y a eu un incident ? Vos employés sont-ils un risque ? Et la dernière, celle qui fait la différence entre une réponse acceptée et une réponse contestée : puis-je vérifier ce que vous affirmez ?
Un acheteur institutionnel redoute davantage ta faillite que ton piratage. C'est pour ça que la question de la réversibilité — sauvegardes, export, continuité — pèse plus lourd que tu ne l'imagines.
Ne coche jamais « oui » à ce que tu ne peux pas prouver le jour même.●
Un « oui » invérifiable découvert au moment de la vérification diligente coûte l'affaire, et souvent la relation. Un « non, prévu au T4, voici la mesure compensatoire en place aujourd'hui » passe presque toujours. Les acheteurs institutionnels travaillent quotidiennement avec des fournisseurs imparfaits ; ce qu'ils ne tolèrent pas, c'est la découverte tardive.
Trois réponses acceptables.
Oui, avec preuve jointe. Non, avec une date et une mesure compensatoire. Sans objet, avec la raison. Toute autre formulation est un drapeau rouge pour le lecteur.
Les six documents à préparer avant qu'on te les demande.
Une note d'architecture de sécurité, deux pages : flux de données, où elles reposent, qui y accède, comment elles sont chiffrées. La liste des sous-traitants avec leur région d'hébergement — tu hérites de la conformité de tes fournisseurs, autant l'utiliser. La procédure de réponse aux incidents : qui décide, dans quel délai on avise, qui rédige.
Puis la politique de contrôle des accès — moindre privilège, double authentification, revue trimestrielle, révocation au départ. La preuve de restauration, c'est-à-dire la date du dernier test réussi : une sauvegarde jamais restaurée n'est pas une sauvegarde, et un acheteur expérimenté pose exactement cette question. Et un modèle d'entente de sous-traitance prêt à signer, aligné sur la Loi 25 et le RGPD — l'avoir en main fait gagner deux semaines.
Ce que « nous sommes conformes SOC 2 » veut souvent dire.
Nous avons acheté un outil de conformité et nous sommes en cours d'audit. SOC 2 Type I atteste d'une conception à un instant donné ; Type II atteste d'un fonctionnement observé sur une période, généralement de trois à douze mois. Ce sont deux choses très différentes, et un acheteur averti demandera lequel des deux, avec la période couverte.
Si tu n'as ni l'un ni l'autre, dis-le. Beaucoup de fournisseurs sont retenus sans certification lorsque leur documentation est propre et leurs réponses vérifiables. Ce qui n'est jamais retenu, c'est une affirmation floue.
Le coût réel de l'impréparation.
Six semaines de cycle de vente allongé, un fondateur qui passe deux semaines à écrire des politiques au lieu de vendre, et un risque d'échec qui augmente à chaque semaine — parce qu'un dossier qui traîne perd son parrain interne. Ces six documents se produisent en quelques jours quand on les rédige à froid. En urgence, ils prennent trois fois plus de temps, et ça se voit.
Ce qu'on ne fait pas.
On ne remplit pas un questionnaire de sécurité à la place d'un client en cochant ce que le produit ne fait pas encore. On corrige ce qui est corrigeable en une semaine, et on rédige honnêtement le reste avec une date. C'est plus lent le premier mois, et beaucoup plus rapide au troisième client.