Le prix d’abonnement d’un outil de conformité est une ligne, pas le coût de la décision. Le dossier d’achat doit aussi couvrir la reprise des données, les intégrations, le temps de revue des preuves, l’administration, les changements de périmètre et la sortie. Le guide du logiciel de conformité multi-référentiels expose les familles de coûts ; cette page fournit la feuille de calcul ligne par ligne, avec hypothèses, exemple et test de sensibilité nécessaires pour comparer deux offres. Elle ne classe aucun fournisseur.
Le calcul est une estimation du coût supporté par l’acheteur, pas une promesse d’économie. Les valeurs ci-dessous sont fictives et servent à rendre la méthode reproductible ; remplacez-les par des devis et des temps mesurés. Les références du NIST Cybersecurity Framework et du NIST SP 800-53A fournissent un contexte sur résultats et évaluation de contrôles. Elles ne prescrivent ni prix de logiciel ni formule comptable de TCO. L’acheteur doit choisir un horizon et une unité de comparaison avant de remplir les montants.
Définir l’horizon et le travail à comparer
Choisissez une période identique pour toutes les offres, par exemple trois ans à partir de la mise en production. Expliquez si le premier trimestre de déploiement entre dans l’année un, et si la sortie à la fin de l’année trois est incluse. Indiquez si les sommes sont hors taxes, si elles sont actualisées, et comment une devise étrangère est convertie. Pour une comparaison interne simple, une somme non actualisée peut suffire, à condition de ne pas la présenter comme une valeur financière nette. La même règle doit être appliquée à chaque option.
Décrivez le volume de travail : nombre d’équipes, de référentiels effectivement exploités, de campagnes de revue, d’utilisateurs qui modifient des contrôles, de lecteurs, de fournisseurs évalués et d’éléments de preuve renouvelés. Deux devis « 100 utilisateurs » peuvent couvrir des populations différentes si l’un facture les réviseurs et l’autre seulement les administrateurs. Le guide du logiciel d’audit RGPD traite un périmètre spécifique ; la présente feuille permet de comparer les charges de revue réelles quel que soit le référentiel concerné.
Écrivez aussi le scénario sans nouvel outil, mais ne supposez pas que chaque heure actuellement consacrée à un tableur disparaîtra. Une partie du travail, notamment le jugement sur un risque ou l’examen d’une preuve, reste nécessaire. Un logiciel peut déplacer l’effort vers la configuration, la qualité des données ou la correction des mauvaises liaisons. Mesurez les tâches qui changent, pas seulement les promesses de gain dans une présentation commerciale.
Feuille de calcul à recopier
Utilisez une ligne par coût, avec quantité, prix unitaire, fréquence, source et propriétaire de l’hypothèse. La colonne « coût trois ans » est quantité × prix unitaire × occurrences ; pour une charge interne, le prix unitaire est un coût horaire chargé choisi par l’entreprise, non un tarif fictif de marché. Si une dépense n’est pas connue, laissez une fourchette et consignez la question ouverte.
| Catégorie | Unité et quantité à relever | Calcul sur trois ans | Source à obtenir |
|---|---|---|---|
| Licence fixe | Montant annuel et indexation | Somme des trois factures prévues | Devis et clause de renouvellement |
| Utilisateurs ou entités | Nombre par rôle et par période | Tarif par rôle multiplié par volume | Grille tarifaire contractuelle |
| Intégrations | Jours de projet et maintenance | Mise en place plus maintien annuel | Atelier technique et devis |
| Migration | Objets, nettoyage, contrôles de reprise | Heures internes et prestation externe | Inventaire et essai d’import |
| Revue des preuves | Campagnes, dossiers, minutes par dossier | Volume multiplié par temps observé | Chronométrage pilote |
| Administration | Paramétrage, droits, mises à jour | Heures récurrentes par période | Responsable d’exploitation |
| Formation | Sessions et renouvellement des équipes | Heures participants et formateurs | Plan d’adoption |
| Sortie | Export, vérification, archivage, transition | Charge estimée à l’horizon choisi | Clause de réversibilité et test |
Ajoutez les coûts uniques de mise en place à l’année où ils surviennent. Ne les divisez pas arbitrairement par trois puis ne les comptez pas une seconde fois. Un coût de migration n’est pas seulement un nombre d’enregistrements importés : l’identifiant de risque doit rester lié à ses contrôles et à l’historique de preuve. La solution de gestion PSSI peut servir à délimiter des cas de gouvernance, mais la feuille TCO doit suivre les objets propres à votre système actuel.
Exemple chiffré de deux offres fictives
Une organisation fictive compare l’offre A, moins chère en abonnement mais plus manuelle, et l’offre B, plus chère mais potentiellement plus simple à intégrer. L’horizon est de trois ans, hors taxes, sans actualisation. Le coût interne choisi pour cet exercice est 50 € par heure ; ce n’est ni un salaire type ni une estimation du secteur. Les volumes sont des hypothèses à vérifier au pilote. Les nombres permettent seulement de montrer la mécanique du calcul.
| Ligne sur trois ans | Offre A | Offre B | Calcul ou hypothèse |
|---|---|---|---|
| Licence | 54 000 € | 72 000 € | A : 18 000 €/an ; B : 24 000 €/an |
| Intégrations initiales | 12 000 € | 6 000 € | Devis projet fictif |
| Maintenance des intégrations | 9 000 € | 6 000 € | A : 3 000 €/an ; B : 2 000 €/an |
| Migration et nettoyage | 10 000 € | 12 000 € | Prestations et heures valorisées |
| Revue humaine | 45 000 € | 27 000 € | A : 300 h/an ; B : 180 h/an, à 50 €/h |
| Administration | 18 000 € | 15 000 € | A : 120 h/an ; B : 100 h/an |
| Formation | 6 000 € | 7 500 € | Hypothèse projet et rotation |
| Sortie et reprise future | 8 000 € | 10 000 € | Test d’export et transition estimés |
| Total trois ans | 162 000 € | 155 500 € | Somme des huit lignes |
Le total B est inférieur de 6 500 € dans cet exemple, bien que sa licence soit supérieure de 18 000 €. Le résultat dépend surtout des 18 000 € de différence dans le temps de revue. Si le pilote ne confirme pas cette économie de 120 heures par an, la conclusion change. L’exemple n’affirme aucune performance de produit réel. Il montre pourquoi une comparaison fondée sur le seul abonnement aurait choisi A sans regarder la tâche dominante.
Mesurer les heures de revue sans inventer des gains
Prenez un échantillon de dossiers représentatifs : une preuve simple encore valide, une preuve expirée, un contrôle partagé entre deux référentiels et un écart nécessitant une décision. Chronométrez la collecte, la lecture, la vérification du périmètre, le retour au propriétaire, l’approbation et l’archivage. Répétez sur les deux produits avec les mêmes personnes et le même corpus. Le temps de démonstration d’un vendeur n’est pas celui d’un responsable novice en situation réelle.
Séparez le temps supprimé du temps déplacé. Un formulaire prérempli peut accélérer la saisie et demander ensuite une revue supplémentaire des liens automatiques. Une notification peut réduire les relances manuelles et produire davantage de dossiers à qualifier. Un contrôle partagé peut éviter une collecte double si les critères sont réellement identiques, mais créer un risque de réutilisation d’une preuve hors périmètre. Notez le taux de dossiers qui demandent correction et pas seulement la moyenne des dossiers faciles.
Le guide des preuves périmées aide à identifier le temps nécessaire pour requalifier une pièce selon sa date et son objet. Une revue sérieuse n’est pas un défaut du logiciel : elle constitue parfois le travail de conformité lui-même. La feuille doit donc valoriser les heures qui resteront même si l’interface est excellente. Cela évite de vendre au décideur une disparition imaginaire du contrôle humain.
Contrôler les coûts d’intégration et de migration
Pour chaque intégration annoncée, listez système source, données échangées, fréquence, identité technique, erreurs à traiter et équipe propriétaire. « Connexion disponible » peut signifier une API générique qui nécessite encore un développement, une connectivité à sens unique ou une fonction sous licence séparée. Demandez un essai avec un objet difficile, par exemple un contrôle supprimé puis recréé, et mesurez le temps de résolution d’une erreur. La maintenance après changement d’API est un coût récurrent, même si le projet initial est terminé.
La migration demande un inventaire des identifiants, relations, pièces, dates, historiques et propriétaires. Estimez le nettoyage des doublons et la vérification manuelle d’un échantillon. Un devis au nombre de lignes ne révèle pas la charge de réconcilier un risque avec ses contrôles et les preuves associées. Préparez une règle d’acceptation et une liste d’exceptions ; si l’éditeur ne peut pas préserver certaines relations, chiffrez le travail manuel ou le risque d’une reprise partielle. Ne créditez pas l’offre d’une migration parfaite sur la base d’une importation de démonstration.
Intégrez aussi la conduite du changement. Les utilisateurs peuvent connaître leur processus actuel mais devoir apprendre les nouveaux rôles, la nomenclature et les règles de revue. Une journée de formation peut être peu coûteuse en facture et significative en temps de travail. Estimez les séances initiales et l’accueil des nouveaux collaborateurs. Si plusieurs langues ou entités utilisent des circuits différents, validez les écarts au lieu de supposer qu’une configuration unique convient à tous.
Chiffrer la sortie dès l’achat
La réversibilité a un coût même si l’entreprise espère ne jamais changer de fournisseur. Demandez quels objets peuvent être exportés, dans quels formats, avec quelles relations, pièces, dates et versions. Testez un export avant de signer si la décision dépend de ces garanties. Un fichier CSV qui contient les titres mais pas les liens vers les preuves ne restitue pas le dossier de décision. Prévoyez le coût d’un stockage transitoire, de la lecture des formats, de la vérification d’intégrité et du travail de rapprochement.
L’estimation de sortie du tableau est une provision méthodologique, pas une somme exigée par un fournisseur précis. Vérifiez les tarifs d’assistance contractuelle, les droits d’accès pendant la transition, les délais de mise à disposition et la suppression des copies restantes. Si le contrat laisse ces points ouverts, indiquez une fourchette plutôt que zéro. Le décideur peut alors demander une clause ou prévoir une réserve. Un prix d’entrée bas assorti d’une sortie impraticable n’est pas directement comparable à une offre plus portable.
Tester la sensibilité du résultat
Reprenez l’exemple. Si B économise seulement 60 heures de revue par an au lieu de 120, sa ligne de revue passe de 27 000 € à 36 000 € sur trois ans, car 240 h/an × 50 € × 3 = 36 000 €. Son total devient 164 500 € ; A reste à 162 000 €. La préférence financière s’inverse de 2 500 €. Le pilote doit donc tester ce point avant la décision. Si le coût interne choisi varie, recalculer les deux offres évite de tirer une conclusion d’une valeur supposée unique.
Testez ensuite une croissance de volume : davantage de réviseurs payants, de campagnes et de pièces. Distinguez les coûts proportionnels de ceux qui restent fixes. Une licence par utilisateur peut augmenter plus vite qu’un abonnement d’organisation ; inversement, une intégration développée une fois peut être amortie sur davantage de dossiers. Demandez des paliers tarifaires écrits. Un scénario bas, central et haut permet de voir si l’offre préférée reste stable ou dépend d’une seule hypothèse optimiste.
Ne réduisez pas la décision à l’euro le plus bas. Certaines exigences sont éliminatoires : contrôle d’accès insuffisant, impossibilité d’exporter les preuves nécessaires, absence d’historique de décision ou résidence non compatible avec vos obligations. Évaluez-les séparément avant de comparer le TCO des offres recevables. Une économie calculée sur un produit qui ne peut pas soutenir le processus n’a pas de valeur. En sens inverse, évitez d’ajouter au budget une prétendue fonction « conformité garantie » sans démonstration et sans obligation clairement définie.
Faire vivre la feuille après la signature
Conservez la version choisie avec ses sources : devis, volumes, temps du pilote, clauses, hypothèses de croissance et date de calcul. Après six ou douze mois, comparez les heures de revue et coûts d’intégration observés aux estimations. Analysez les écarts : mauvais volume, tâche oubliée, modification de périmètre ou fonctionnalité non utilisée. Cette revue améliore le prochain achat et permet de négocier un changement de contrat sur des faits.
Le livrable utile est un tableur ou une page interne où chaque ligne peut être corrigée sans perdre sa provenance. L’acheteur peut alors expliquer pourquoi l’offre à licence plus chère peut coûter moins sur trois ans, ou pourquoi un gain annoncé ne résiste pas au pilote. C’est une décision fondée sur le travail réel de l’organisation, et non une comparaison de colonnes tarifaires isolées.
Traiter les dépenses conditionnelles et éviter le double comptage
Un tarif peut dépendre du nombre de contrôles, de projets, d’entités ou du volume de stockage. Ne choisissez pas la tranche la plus basse sans vérifier les volumes de l’année trois. Inscrivez la règle tarifaire complète, les seuils, le coût de dépassement et la façon de compter les comptes inactifs. Si le vendeur facture une fonction seulement après activation, indiquez l’événement qui déclenche la dépense. L’incertitude commerciale peut être modélisée en fourchette, plutôt que noyée dans une réserve générale impossible à justifier.
Évitez de compter deux fois la même heure. Le temps de nettoyage des données avant migration n’est pas à reprendre dans l’administration annuelle si cette opération n’a lieu qu’une fois. Inversement, la correction mensuelle des données importées n’est pas couverte par le seul forfait de migration. Une intégration incluse dans la licence peut demander du temps interne de paramétrage : la facture est nulle pour cette ligne, mais le travail ne l’est pas. Le catalogue des contrôles et preuves peut aider à identifier les objets qu’une migration doit préserver ; calculez néanmoins la charge sur l’inventaire réel.
Pour comparer un service hébergé et un outil installé localement, explicitez les frontières du coût. L’option locale peut exiger infrastructure, sauvegardes, mises à jour et supervision que le prix d’un service hébergé inclut partiellement. Le service hébergé peut lui aussi nécessiter configuration d’identité et suivi de contrats. Ne forcez pas une symétrie artificielle : créez des lignes supplémentaires lorsque l’architecture l’exige, puis comparez à périmètre fonctionnel et niveau de sécurité acceptables. Le guide de gestion PSSI aide à poser le périmètre d’utilisation avant d’additionner les factures.
Écrire les formules de manière auditable
Dans un tableur, attribuez une cellule à chaque hypothèse : coût horaire interne, nombre de dossiers annuels, minutes de revue par dossier, croissance annuelle, coût d’une intégration et prix de sortie. Liez les résultats à ces cellules, sans recopier manuellement le même chiffre dans plusieurs lignes. Par exemple, coût de revue = dossiers × minutes par dossier ÷ 60 × coût horaire. Si 500 dossiers demandent 24 minutes chacun à 50 € de l’heure, l’estimation est 10 000 € pour l’année. Ce résultat est illustratif ; un pilote doit confirmer le temps moyen et la distribution des cas difficiles.
Indiquez à côté de chaque cellule si elle vient d’un devis, d’une mesure, d’une hypothèse métier ou d’une estimation prudente. Deux chiffres identiques peuvent avoir une fiabilité très différente. Un tarif de licence signé est plus ferme qu’une économie de temps annoncée oralement. Quand la conclusion dépend de la donnée la moins fiable, signalez ce fait dans la note de décision et organisez l’essai qui pourrait le vérifier. L’auditabilité du calcul importe autant que son total.