Dans beaucoup d’entreprises, la conformité cybersécurité repose encore sur un assemblage fragile : un rapport d’audit en PDF, un plan d’action dans Excel, des preuves dans un dossier partagé, des mails pour les validations, quelques tickets pour les corrections, et parfois un tableau de bord reconstruit à la main avant chaque comité.
Au début, cela peut fonctionner. Mais dès que les audits se répètent, que les exigences clients augmentent, ou que plusieurs référentiels doivent être suivis, ce modèle atteint vite ses limites.
Le vrai problème n’est pas seulement la dispersion documentaire. Le vrai problème, c’est que l’entreprise ne sait plus relier clairement ce qui a été audité, ce qui doit être corrigé, quelle preuve existe, qui est responsable et où en est l’avancement.
Or les référentiels modernes vont dans le sens inverse : ISO/IEC 27001 demande d’établir, mettre en œuvre, maintenir et améliorer continuellement un système de management de la sécurité de l’information. Le NIST CSF 2.0 insiste sur la capacité à comprendre, évaluer, prioriser et communiquer les risques cyber. ENISA, dans sa guidance NIS2 2025, fournit des exemples de preuves et des mappings d’exigences pour aider les organisations à démontrer la mise en œuvre effective des mesures.
Un audit n’a de valeur que s’il débouche sur une amélioration réelle. Une preuve n’a de valeur que si elle est rattachée à une mesure ou à une exigence. Un plan d’action n’a de valeur que s’il est suivi, mis à jour et piloté dans le temps.
Pourtant, dans beaucoup d’organisations, ces trois éléments sont séparés :
Résultat : l’entreprise perd du temps, répète les mêmes efforts, et peine à démontrer sa progression.
Le problème n’est donc pas seulement de “ranger les documents”. Le vrai enjeu est de créer une chaîne claire :
audit → écart → action → responsable → preuve → statut → historique
C’est cette chaîne qui permet de passer d’une conformité déclarative à une conformité réellement pilotée.
Les fichiers Excel, dossiers partagés et documents Word ne sont pas mauvais en soi. Ils sont utiles pour démarrer. Mais ils deviennent vite limitants dès que la conformité doit être maintenue dans le temps.
Un fichier est envoyé à un client, un autre est modifié en interne, un troisième sert au consultant, puis une copie est utilisée pour le comité suivant. Très vite, personne ne sait plus quelle version fait foi.
Une capture d’écran, un rapport de test, un export d’outil ou un compte-rendu peut exister, mais être impossible à retrouver rapidement au moment de l’audit.
Or ENISA insiste sur les exemples d’évidences pour démontrer que les exigences ne sont pas seulement décrites, mais réellement mises en œuvre. Une preuve introuvable ou non contextualisée perd une grande partie de sa valeur.
Un plan d’action dans Excel peut vite devenir une photo figée. Si personne ne le met à jour régulièrement, il ne reflète plus la réalité.
Les échéances glissent, les responsables changent, les actions restent “en cours” trop longtemps, et les mêmes écarts réapparaissent au cycle suivant.
Quand les données sont dispersées, le reporting devient une reconstruction :
Cela prend du temps et augmente le risque d’erreur.
La direction ne veut pas parcourir plusieurs fichiers. Elle veut savoir :
Sans centralisation, cette lecture devient difficile.
Un bon outil ne doit pas simplement stocker des documents. Il doit relier les bons objets entre eux.
Chaque audit devrait pouvoir être rattaché à :
L’objectif n’est pas seulement d’archiver le rapport. L’objectif est de transformer les constats en actions suivies.
Une preuve doit être reliée à une mesure, une exigence ou un écart.
Elle doit idéalement avoir :
Une preuve isolée dans un dossier partagé est moins utile qu’une preuve rattachée à la bonne mesure.
Un plan d’action doit permettre de suivre :
C’est ce qui transforme une recommandation en action pilotable.
Un écart doit rester visible jusqu’à sa résolution. Il doit être possible de savoir :
La centralisation doit permettre de produire une lecture claire :
Le NIST CSF 2.0 recommande justement d’utiliser les profils pour décrire une posture actuelle et cible, identifier les écarts, prioriser les actions et communiquer les progrès aux parties prenantes.
Centraliser ne veut pas dire tout complexifier. Pour une PME ou une ETI, la bonne approche doit rester simple.
La mesure doit devenir l’objet central.
Par exemple :
Ensuite, chaque mesure peut être reliée :
C’est beaucoup plus robuste que de raisonner uniquement par documents.
Une preuve doit répondre à une question simple :
qu’est-ce que cette preuve démontre ?
Si elle ne démontre rien de précis, elle devient difficile à défendre.
Un audit ne doit pas rester un PDF. Chaque constat utile doit générer :
Un bon outil doit permettre de passer du détail opérationnel à une lecture synthétique :
Prenons une PME qui vient de réaliser un audit interne.
L’audit remonte trois écarts :
Le rapport reste en PDF.
Le plan d’action est créé dans Excel.
Les preuves sont ajoutées dans un dossier partagé.
Les relances se font par mail.
Trois mois plus tard, il faut tout reconstituer pour savoir où en sont les actions.
Chaque écart est relié à une mesure.
Chaque mesure a un responsable et une échéance.
Chaque preuve est rattachée au bon contrôle.
Le statut est visible.
Le reporting est disponible immédiatement.
La différence n’est pas seulement administrative. Elle change la capacité à piloter.
Moins de recherche d’informations, moins de consolidation manuelle, moins de fichiers à maintenir.
Les audits, preuves et plans d’action parlent enfin le même langage.
Chaque décision, action ou preuve peut être reliée à son contexte.
L’entreprise peut montrer non seulement ce qui est fait, mais aussi comment elle suit et maintient ses actions dans le temps.
La cybersécurité devient compréhensible, mesurable et pilotable.
Dès qu’une entreprise suit plusieurs référentiels, la centralisation devient encore plus importante.
Une même mesure peut couvrir :
Si chaque norme a son propre tableau, la charge explose. Si les mesures sont centralisées, les preuves peuvent être mutualisées et les vues peuvent être adaptées selon le besoin.
ENISA va précisément dans ce sens avec ses mappings d’exigences et ses exemples de preuves, qui montrent qu’il est possible de rapprocher les exigences au lieu de les traiter comme des silos indépendants.
Un outil de conformité cyber ne doit pas devenir une couche de complexité supplémentaire.
Il doit éviter :
Pour une PME, la valeur vient surtout de la clarté :
C’est exactement sur ce besoin que CompliKey se positionne.
CompliKey n’a pas vocation à remplacer vos outils techniques, vos audits ou vos consultants. Son rôle est de centraliser ce qui permet de piloter la conformité dans le temps :
L’objectif est simple : éviter que la conformité repose sur des fichiers dispersés et permettre aux PME, ETI et consultants de suivre leur posture dans un cockpit unique.
C’est particulièrement utile pour :
Centraliser vos audits, preuves et plans d’action dans un seul outil permet de passer d’une conformité dispersée à une conformité pilotée.
Le vrai enjeu n’est pas de tout stocker au même endroit.
Le vrai enjeu est de relier :
C’est cette centralisation qui permet de gagner du temps, de réduire les oublis et de rendre la conformité plus défendable.
Parce qu’ils sont interdépendants. Un audit produit des écarts, les écarts produisent des actions, les actions doivent produire des preuves, et l’ensemble doit être suivi dans le temps.
Il peut suffire au départ, mais il montre vite ses limites. Une preuve doit être contextualisée et rattachée à une mesure ou à une exigence précise pour être vraiment utile.
Le meilleur outil est celui qui permet de relier les audits, les écarts, les preuves et les plans d’action dans une même logique de suivi, sans créer de complexité inutile.
Excel permet de démarrer, mais il devient fragile dès qu’il faut gérer plusieurs référentiels, plusieurs périmètres, des preuves, de l’historique et du reporting régulier.
