Excel, outil open source ou SaaS GRC : comment choisir selon votre maturité ?

Lorsqu’une PME commence à structurer sa conformité cybersécurité, Excel paraît souvent être le choix le plus évident.

Il est déjà disponible, connu des équipes et suffisamment flexible pour créer une première liste de mesures, un plan d’action ou un suivi des preuves.

Puis la démarche se développe.

Les référentiels se multiplient. Les audits reviennent. Les preuves vieillissent. Plusieurs responsables doivent contribuer. Les actions sont réparties entre différents fichiers et les tableaux de bord sont reconstruits manuellement.

L’entreprise commence alors à examiner deux autres options :

1. un outil GRC open source, potentiellement personnalisable et auto-hébergé ;
2. un SaaS GRC, prêt à l’emploi et maintenu par un fournisseur.

La bonne question n’est pas de savoir quelle technologie est la meilleure dans l’absolu.

Elle est plutôt :

Quel niveau d’outil correspond réellement à la maturité, aux ressources et aux usages de votre organisation ?

La réponse peut être résumée ainsi :

1. Excel convient pour démarrer et tester une méthode ;
2. un outil open source convient aux équipes capables de déployer, personnaliser et maintenir leur plateforme ;
3. un SaaS GRC convient aux organisations qui veulent structurer durablement leur pilotage sans gérer l’infrastructure technique.

La réponse rapide

Cette grille n’est pas absolue. Une entreprise très technique peut préférer l’open source tôt dans son parcours. Une petite structure peut rester longtemps sur Excel si son périmètre reste limité et son suivi rigoureux.

Excel : un bon point de départ, pas toujours un système durable

Excel est parfois présenté comme un mauvais outil de conformité. Ce jugement est trop catégorique.

Un tableur peut être très utile pour :

1. découvrir un référentiel ;
2. réaliser une première auto-évaluation ;
3. définir une posture actuelle et une cible ;
4. recenser les mesures ;
5. identifier les premières preuves ;
6. construire un plan d’action ;
7. tester une méthode avant d’investir.

Le NIST lui-même propose un modèle de profil organisationnel au format XLSX pour comparer une posture actuelle et une posture cible. Cela montre qu’un tableur peut parfaitement servir de support initial à une démarche structurée.

Les avantages d’Excel

1. coût marginal faible ;
2. prise en main immédiate ;
3. grande liberté de structure ;
4. calculs et filtres simples ;
5. export et partage faciles ;
6. absence de projet de déploiement ;
7. adaptation rapide à un besoin ponctuel.

Pour une PME qui commence avec un seul référentiel, un responsable et quelques dizaines de mesures, Excel peut suffire.

Quand Excel fonctionne encore bien

Excel reste pertinent lorsque :

1. le périmètre est limité ;
2. une seule personne pilote la démarche ;
3. les preuves sont peu nombreuses ;
4. les audits sont occasionnels ;
5. les contributeurs sont peu nombreux ;
6. le reporting reste simple ;
7. les mises à jour sont régulières et disciplinées.

Dans ce contexte, changer d’outil trop tôt peut créer davantage de travail que de valeur.

Les limites d’Excel apparaissent avec la croissance

Le problème n’est pas le tableur lui-même. Il apparaît lorsque l’organisation lui demande de devenir simultanément :

1. un référentiel ;
2. un outil d’audit ;
3. un plan d’action ;
4. un registre de preuves ;
5. un gestionnaire de tâches ;
6. un historique ;
7. un tableau de bord ;
8. un espace collaboratif ;
9. un système multi-normes.

Les versions se multiplient

Une copie est envoyée au consultant, une autre est utilisée en interne, une troisième sert au comité de direction.

Il devient difficile de savoir quelle version fait foi.

Les preuves sont séparées des mesures

Le fichier indique qu’une mesure est mise en œuvre, mais la preuve reste dans un dossier, un ticket ou une boîte mail.

La relation entre la déclaration et sa démonstration devient fragile.

L’historique est difficile à conserver

Lorsqu’une valeur est modifiée dans une cellule, l’état précédent disparaît souvent.

Il devient alors difficile de montrer :

1. le niveau initial ;
2. la progression ;
3. les changements de responsables ;
4. les anciennes échéances ;
5. les décisions prises ;
6. les preuves utilisées lors d’un audit précédent.

La collaboration devient lourde

Plus le nombre de contributeurs augmente, plus le fichier demande :

1. des relances ;
2. des vérifications ;
3. des consolidations ;
4. des corrections de format ;
5. une gestion manuelle des droits.

Le multi-normes crée des doublons

Une même mesure peut être suivie dans plusieurs onglets :

1. ISO 27001 ;
2. NIS2 ;
3. ReCyF ;
4. exigences clients ;
5. cyber assurance.

L’entreprise finit par refaire plusieurs fois le même travail.

Les tableaux de bord sont reconstruits

Avant chaque réunion, il faut vérifier les cellules, consolider les statuts et actualiser les graphiques.

Le reporting devient une production manuelle au lieu d’être une conséquence naturelle du pilotage.

L’outil GRC open source : liberté, profondeur et responsabilité

Un outil GRC open source peut constituer une excellente étape suivante.

Des plateformes comme CISO Assistant proposent une couverture fonctionnelle large :

1. conformité ;
2. audits ;
3. gestion des risques ;
4. remédiations ;
5. tiers ;
6. incidents ;
7. reporting ;
8. nombreux référentiels ;
9. mappings entre cadres.

L’open source apporte plusieurs avantages :

1. accès au code ;
2. liberté de déploiement ;
3. personnalisation ;
4. possibilité d’auto-hébergement ;
5. contrôle de l’environnement ;
6. réduction possible du coût de licence ;
7. communauté et contributions.

Pour qui l’open source est-il adapté ?

Il convient particulièrement aux organisations qui disposent :

1. de compétences système ou DevOps ;
2. d’un responsable d’exploitation ;
3. d’une capacité de sauvegarde et de restauration ;
4. de processus de mise à jour ;
5. d’une supervision ;
6. d’une expertise GRC ;
7. d’un besoin de personnalisation important ;
8. d’une exigence d’hébergement maîtrisé.

Dans ce contexte, l’open source peut offrir une grande valeur à un coût logiciel réduit.

Installer n’est pas exploiter durablement

Le principal piège consiste à ne regarder que le temps d’installation initial.

Lancer une plateforme avec Docker peut être relativement rapide. La maintenir en production suppose ensuite de gérer :

1. le serveur ;
2. la base de données ;
3. les sauvegardes ;
4. les mises à jour ;
5. les secrets ;
6. le certificat HTTPS ;
7. la supervision ;
8. les performances ;
9. la sécurité de l’exposition réseau ;
10. les incidents ;
11. la réversibilité.

La documentation officielle de CISO Assistant propose une installation à l’aide de Docker et Docker Compose, mais avertit notamment de ne pas utiliser directement la branche principale en production et distingue les configurations adaptées à un environnement de production.

Ce n’est pas un défaut spécifique au produit. C’est la conséquence normale du self-hosting.

Le coût réel de l’open source

Le coût complet comprend potentiellement :

1. l’infrastructure ;
2. le temps d’installation ;
3. l’administration ;
4. les mises à jour ;
5. les tests de migration ;
6. les sauvegardes ;
7. le support ;
8. la personnalisation ;
9. la formation ;
10. la résolution des incidents.

L’open source peut donc être économique, mais il n’est pas automatiquement gratuit.

Le SaaS GRC : réduire la charge technique pour accélérer l’usage

Un SaaS GRC suit une logique différente.

L’application est hébergée, maintenue et mise à jour par le fournisseur. L’entreprise se concentre principalement sur :

1. ses référentiels ;
2. ses mesures ;
3. ses évaluations ;
4. ses preuves ;
5. ses audits ;
6. ses plans d’action ;
7. ses tableaux de bord.

Les principaux avantages

1. mise en service plus rapide ;
2. absence de serveur à administrer ;
3. mises à jour prises en charge ;
4. coût plus prévisible ;
5. support centralisé ;
6. sauvegardes intégrées au service ;
7. accès facilité pour plusieurs contributeurs ;
8. fonctionnalités prêtes à l’emploi.

Pour une PME sans équipe technique dédiée, cette réduction de charge peut représenter davantage de valeur que l’économie d’une licence open source.

Les points de vigilance

Le SaaS implique également des questions importantes :

1. où sont hébergées les données ?
2. quelles preuves sont stockées dans la plateforme ?
3. quelles garanties de disponibilité existent ?
4. comment les données sont-elles exportées ?
5. quelle est la politique de sauvegarde ?
6. comment fonctionne la réversibilité ?
7. quels sont les coûts à mesure que le périmètre augmente ?
8. quelles fonctions sont réellement incluses ?

Le SaaS ne dispense donc pas d’une analyse du fournisseur.

Matrice de choix selon votre maturité

Niveau 1 : démarrage de la démarche

Votre situation

1. aucun référentiel réellement piloté ;
2. premières demandes clients ;
3. quelques actions de cybersécurité ;
4. peu de preuves structurées ;
5. une personne porte le sujet.

Besoin principal

Comprendre la situation et tester une méthode.

Choix recommandé

Excel peut suffire.

Commencez avec :

1. un périmètre ;
2. un référentiel ;
3. un état actuel ;
4. un niveau cible ;
5. un responsable ;
6. une preuve attendue ;
7. une action ;
8. une échéance.

Quand envisager un autre outil ?

Lorsque le fichier commence à nécessiter davantage de temps de gestion que d’analyse.

Niveau 2 : croissance du plan d’action

Votre situation

1. plusieurs responsables contribuent ;
2. les preuves se multiplient ;
3. des actions restent en retard ;
4. les audits doivent être suivis ;
5. le reporting devient régulier.

Besoin principal

Créer une source de vérité et conserver l’historique.

Choix recommandé

Un SaaS GRC simple devient souvent le choix le plus proportionné.

Un outil open source peut également convenir si l’entreprise dispose déjà des ressources nécessaires pour le maintenir.

Signal de sortie d’Excel

Vous passez plus de temps à :

1. rechercher les informations ;
2. relancer les contributeurs ;
3. corriger les versions ;
4. consolider les statuts ;

qu’à décider et suivre les améliorations.

Niveau 3 : audits clients et cyber assurance

Votre situation

1. questionnaires sécurité réguliers ;
2. demandes de preuves ;
3. audits clients ;
4. renouvellement d’assurance ;
5. besoin de démontrer les contrôles rapidement.

Besoin principal

Relier les mesures aux preuves et vérifier leur fraîcheur.

Choix recommandé

Un SaaS GRC est généralement plus adapté.

Les fonctions prioritaires deviennent :

1. rattachement des preuves ;
2. dates de revue ;
3. responsables ;
4. historique ;
5. plans de remédiation ;
6. export ;
7. tableaux de bord.

Excel peut encore fonctionner, mais la collecte manuelle crée rapidement une charge importante.

Niveau 4 : multi-normes

Votre situation

Vous suivez plusieurs cadres :

1. ISO 27001 ;
2. NIS2 ;
3. ReCyF ;
4. RGPD ;
5. CRA ;
6. exigences clients.

Besoin principal

Mutualiser les mesures et éviter la duplication.

Choix recommandé

SaaS GRC ou plateforme open source structurée.

La différence se fera surtout sur les ressources disponibles.

Choisissez plutôt l’open source si :

1. vous voulez personnaliser fortement les mappings ;
2. vous disposez d’une équipe technique ;
3. l’auto-hébergement est important ;
4. vous avez une expertise GRC interne.

Choisissez plutôt le SaaS si :

1. vous voulez démarrer rapidement ;
2. vous ne souhaitez pas administrer l’infrastructure ;
3. vous recherchez des référentiels prêts à l’usage ;
4. vous privilégiez un coût et un support lisibles.

Niveau 5 : consultant ou RSSI externalisé

Votre situation

1. plusieurs clients ;
2. plusieurs référentiels ;
3. audits et revues récurrentes ;
4. nécessité de séparer les espaces ;
5. production fréquente de rapports.

Besoin principal

Industrialiser les missions sans mélanger les données ni uniformiser artificiellement les clients.

Choix recommandé

Un SaaS avec espace consultant ou une plateforme open source solidement administrée.

Excel devient particulièrement fragile dans ce contexte :

1. un fichier par client ;
2. plusieurs versions ;
3. preuves dispersées ;
4. reporting manuel ;
5. difficultés de collaboration.

Les fonctions indispensables sont :

1. gestion multi-client ;
2. droits d’accès ;
3. modèles réutilisables ;
4. audits ;
5. maturité ;
6. preuves ;
7. remédiations ;
8. exports ;
9. historique.

Niveau 6 : préparation d’une certification

Votre situation

1. périmètre défini ;
2. analyse de risques ;
3. exigences documentaires ;
4. audit interne ;
5. DDA ;
6. collecte de preuves ;
7. audit de certification à préparer.

Besoin principal

Maintenir la cohérence entre les mesures, les risques, les preuves, les audits et les actions.

Choix recommandé

SaaS ou open source selon la stratégie.

Un SaaS sera particulièrement adapté si vous voulez :

1. réduire la charge d’exploitation ;
2. utiliser un parcours prêt à l’emploi ;
3. collaborer avec un consultant ;
4. consolider rapidement le dossier d’audit.

L’open source sera intéressant si vous voulez :

1. adapter fortement le modèle ;
2. gérer plusieurs méthodologies ;
3. maîtriser le déploiement ;
4. intégrer l’outil à un environnement GRC plus large.

Tableau comparatif

Comment calculer le coût total ?

Comparer uniquement le prix d’achat conduit souvent à une mauvaise décision.

Le coût total doit inclure :

Pour Excel

1. temps de création ;
2. consolidation ;
3. relances ;
4. recherche des preuves ;
5. préparation des rapports ;
6. correction des versions ;
7. perte éventuelle d’historique.

Pour l’open source

1. hébergement ;
2. installation ;
3. mises à jour ;
4. sauvegardes ;
5. supervision ;
6. sécurité ;
7. support ;
8. administration ;
9. personnalisation.

Pour le SaaS

1. abonnement ;
2. paramétrage ;
3. formation ;
4. éventuels utilisateurs supplémentaires ;
5. options ou modules ;
6. accompagnement.

La bonne comparaison porte sur le coût permettant d’obtenir un résultat réel :

1. audit préparé ;
2. mesures évaluées ;
3. preuves organisées ;
4. plan d’action suivi ;
5. reporting produit.

Les erreurs à éviter

Quitter Excel uniquement parce qu’il paraît peu professionnel

Excel peut rester parfaitement adapté à une démarche simple.

Le changement doit répondre à une limite réelle.

Rester sur Excel par habitude

Le faible coût apparent peut masquer beaucoup de travail manuel.

Choisir l’open source uniquement pour éviter une licence

Le temps d’exploitation et de maintenance doit être intégré.

Déployer un SaaS trop complexe

Un GRC enterprise peut nécessiter un projet de paramétrage disproportionné.

Importer immédiatement tous les référentiels

Commencez par les cadres réellement utiles.

Automatiser avant de structurer

Une intégration ne corrige pas des responsabilités floues ou des mesures mal définies.

Négliger la réversibilité

Quel que soit le modèle, vous devez pouvoir récupérer :

1. les mesures ;
2. les preuves ;
3. les plans d’action ;
4. les audits ;
5. les historiques ;
6. les rapports.

Comment reconnaître qu’il est temps de quitter Excel ?

Le passage vers un outil spécialisé devient pertinent lorsque plusieurs de ces signaux apparaissent :

1. personne ne sait quelle version est à jour ;
2. les preuves sont difficiles à retrouver ;
3. plusieurs collaborateurs modifient le fichier ;
4. les mêmes mesures sont dupliquées entre référentiels ;
5. les actions en retard sont mal suivies ;
6. les audits repartent de zéro ;
7. les tableaux de bord sont reconstruits manuellement ;
8. plusieurs clients ou entités doivent être séparés ;
9. la direction demande une vue régulière ;
10. le fichier dépend d’une seule personne.

Excel n’est alors plus seulement un support. Il devient une limite opérationnelle.

Là où CompliKey se positionne

CompliKey se situe volontairement entre trois extrêmes :

1. plus structuré et robuste qu’un suivi exclusivement réalisé dans Excel ;
2. plus simple à déployer qu’un GRC enterprise surdimensionné ;
3. plus immédiatement utilisable qu’une plateforme open source à auto-héberger et administrer.

La plateforme est conçue pour les PME, ETI et consultants qui veulent centraliser :

1. leurs référentiels ;
2. les mesures de sécurité ;
3. les niveaux de maturité ;
4. les preuves par liens ;
5. les tâches et échéances ;
6. les coûts ;
7. les audits internes ;
8. les constats et remédiations ;
9. la déclaration d’applicabilité ;
10. les tableaux de bord ;
11. l’historique.

Son espace consultant permet également de gérer plusieurs clients dans des environnements distincts.

CompliKey n’a pas vocation à remplacer :

1. un SIEM ;
2. un SOC ;
3. un outil de scan ;
4. une plateforme enterprise extrêmement personnalisable ;
5. une infrastructure open source maîtrisée par une équipe GRC mature.

Son positionnement répond plutôt à une situation fréquente :

Excel devient insuffisant, mais l’entreprise ne veut ni administrer elle-même une plateforme ni déployer une usine à gaz.

En bref

Le bon outil dépend de votre maturité.

Choisissez Excel si :

1. vous démarrez ;
2. le périmètre est limité ;
3. un seul référentiel est suivi ;
4. peu de personnes contribuent ;
5. vous testez encore votre méthode.

Choisissez un GRC open source si :

1. vous disposez de compétences techniques ;
2. vous voulez maîtriser l’hébergement ;
3. vous avez besoin d’une forte personnalisation ;
4. votre programme GRC est déjà structuré.

Choisissez un SaaS GRC si :

1. Excel commence à montrer ses limites ;
2. plusieurs personnes doivent collaborer ;
3. les preuves et audits doivent être historisés ;
4. vous suivez plusieurs référentiels ;
5. vous ne voulez pas gérer l’infrastructure ;
6. vous recherchez une mise en œuvre plus rapide.

La bonne décision ne consiste pas à choisir l’outil le plus puissant.

Elle consiste à choisir celui que votre organisation peut réellement utiliser et maintenir.

FAQ

Excel suffit-il pour gérer la conformité cybersécurité ?

Oui, au démarrage ou pour un périmètre limité. Il devient moins adapté lorsque les preuves, contributeurs, audits et référentiels se multiplient.

Quand faut-il quitter Excel ?

Lorsque la gestion des versions, la recherche des preuves et la consolidation prennent trop de temps, ou lorsque plusieurs personnes et référentiels doivent être suivis.

Un outil GRC open source est-il gratuit ?

Le code peut être disponible gratuitement, mais l’hébergement, la maintenance, les sauvegardes, les mises à jour et le support représentent un coût.

Quel est l’avantage d’un SaaS GRC ?

Il permet de disposer d’un outil prêt à l’emploi sans gérer l’infrastructure, avec des coûts généralement plus prévisibles.

Quel modèle convient le mieux à une PME ?

Une PME peut commencer avec Excel, puis passer à un SaaS lorsque son pilotage devient récurrent. L’open source convient davantage si elle possède des compétences techniques et un besoin de personnalisation.

Quel outil choisir pour plusieurs référentiels ?

Un SaaS GRC ou une plateforme open source permet généralement de mutualiser les mesures et les preuves plus facilement qu’un ensemble de fichiers Excel.

Quel outil choisir pour un consultant GRC ?

Une solution multi-client avec audits, maturité, preuves, plans d’action et exports sera plus adaptée qu’un fichier par client.

CompliKey remplace-t-il Excel ?

CompliKey constitue une évolution naturelle lorsque l’entreprise veut conserver la simplicité d’usage tout en ajoutant de la structure, de l’historique, des audits et un pilotage multi-référentiels.

Conclusion

Excel, l’open source et le SaaS ne correspondent pas à trois niveaux de qualité.

Ils correspondent à trois modèles d’organisation.

Excel offre de la liberté et de la rapidité pour démarrer.

L’open source apporte de la maîtrise et de la personnalisation aux équipes capables de l’exploiter.

Le SaaS réduit la charge technique et facilite l’industrialisation du suivi.

Le meilleur choix dépend donc moins de la taille du catalogue fonctionnel que de questions très concrètes :

1. combien de personnes vont contribuer ;
2. combien de référentiels devez-vous suivre ;
3. qui maintiendra l’outil ;
4. à quelle fréquence devrez-vous produire des preuves et des rapports ;
5. combien de temps pouvez-vous consacrer à son administration ?

L’outil devient pertinent lorsqu’il réduit la charge de pilotage au lieu d’en créer une nouvelle.