Quatorze lignes sur une diapositive. Licences, renouvellements, un test d'intrusion, deux postes, une formation de sensibilisation, une montée de version du SIEM.
Votre DAF la regarde pendant environ onze secondes.
« Quelles trois lignes supprimeriez-vous ? »
Vous n'avez pas de réponse. Alors c'est lui qui en choisit trois.
Et vous venez de lui dire quelque chose de plus grave que n'importe quel chiffre sur cette diapositive. Vous lui avez dit que vous n'avez pas d'ordre de priorité. Maintenant, il en a un, construit à partir des mots qui lui ont semblé les moins essentiels, à lui qui ne travaille pas en sécurité.
Votre DAF ne coupe pas votre budget. Il coupe les lignes qu'il ne peut pas classer.
Un DAF signera deux cent mille euros qu'il comprend avant de signer quarante mille qu'il ne comprend pas. Ce n'est pas de l'hostilité. C'est la description de poste.
Ce que sont les cinq lignes
Pas des catégories de dépenses. Des catégories de décisions.
- Fonctionnement : ce que nous payons déjà
- Conformité : ce que nous avons promis par écrit
- Réduction : les expositions que nous réduisons cette année
- Capacité : personnes, jours, formation
- Le mauvais jour : ce dont nous avons besoin quand ça tourne mal
Quatre de ces lignes ne sont vraiment pas négociables, et le dire tôt est tout l'intérêt de la démarche. Il ne reste alors qu'une seule ligne à débattre, ce qui donne une réunion que vous pouvez effectivement gagner.
Voici chacune d'elles, et ce qui les tue.
1. Fonctionnement : ce que vous payez déjà
Licences, renouvellements, le service managé, la facturation des journaux, la maintenance des certificats.
Ce n'est pas une proposition. C'est un renouvellement. Le dire dans les trente premières secondes vide l'essentiel du débat avant qu'il commence, parce que personne ne discute la facture d'électricité.
Conseil : Tout budget sécurité contient une ligne que personne ne sait expliquer, généralement un outil acheté par quelqu'un qui est parti depuis. Trouvez la vôtre avant que votre DAF ne la trouve. Arriver en réunion en ayant déjà supprimé quelque chose est la crédibilité la moins chère que vous n'achèterez jamais, et cela change la façon dont le reste de la page est lu.
2. Conformité : ce que vous avez promis par écrit
Ce à quoi vous vous êtes engagé contractuellement, et ce que la loi exige. Le certificat. NIS 2. DORA. La clause sécurité du contrat avec votre plus grand compte.
Couper ici, c'est rompre quelque chose qui porte un nom, et la direction financière lit l'exposition contractuelle bien mieux qu'elle ne lit l'exposition technique.
Conseil : Nommez-le. « Exigence réglementaire » est invisible. « Article 8.3 du contrat avec notre plus grand client, qui se renouvelle en mars » ne l'est pas. L'un est une catégorie. L'autre est un chiffre que votre DAF peut déjà visualiser.
3. Réduction : la seule ligne qui vaille la peine d'être discutée
Les deux ou trois expositions que vous réduisez cette année, avec un montant en face de chacune.
C'est la seule ligne véritablement discrétionnaire de la page. Ce qui signifie que c'est là que la conversation doit se tenir, et nulle part ailleurs. Si vous avez bien structuré les quatre autres, toute la réunion converge vers cette ligne par construction.
Les chiffres viennent de votre registre des risques. Pas de votre tête, et pas d'un deck fournisseur. Si votre registre est une liste de contrôles manquants plutôt que de scénarios avec des conséquences associées, vous n'avez rien à mettre ici.
Conseil : Testez chaque entrée en commençant la phrase par « le risque que ». Si elle a encore du sens, elle appartient à la ligne trois. « Pas de MFA » échoue à ce test. C'est un écart, pas une exposition, et cela ne survivra pas à la question de votre DAF sur ce que ça vous coûte.
4. Capacité : la première coupée, et la plus coûteuse
Personnes. Jours externes. Formation.
Première coupée, plus difficile à défendre, parce que le coût de son absence se manifeste par de la lenteur plutôt que par une panne. Personne n'écrit jamais de rapport d'incident sur une équipe trop réduite pour abattre le travail.
Conseil : Attachez la capacité à quelque chose qui a une date. « Deux cents jours de support externe » meurt dans la salle. « Suffisamment de support externe pour clore le programme d'audit interne avant la visite de surveillance » survit, parce que cela protège désormais un résultat que votre DAF sait déjà exister.
5. Le mauvais jour : la ligne que la direction financière comprend le mieux
La convention de réponse aux incidents. La forensique en veille. Le conseil juridique qui connaît déjà votre environnement.
C'est en direction financière que la facture d'urgence arrive, c'est donc la ligne qu'elle lit le plus vite. La comparaison s'écrit d'elle-même : le coût de la convention, contre le coût d'acheter la même capacité à deux heures du matin pendant un incident, sans position de négociation et sans temps pour lancer un appel d'offres.
Petit montant, concret, facile à accepter. Cela fait aussi passer le registre de toute la conversation de la dépense à l'assurance, un langage que la direction financière parle déjà couramment.
6. Règles pour la réunion
Apportez votre propre coupe. Entrez avec les cinq lignes et une deuxième version à soixante pour cent, et dites clairement ce que la version à soixante pour cent cesse de faire. On ne vous demandera pas de justifier votre budget dans cette réunion. On vous demandera quelle version retenir, ce qui est une conversation différente, et que vous menez désormais.
Chaque ligne répond à « et si c'est zéro ». Si vous ne pouvez pas dire ce qui casse, la ligne est déjà morte. Supprimez-la vous-même, avant la réunion, et comptez ça comme une victoire.
Un chiffre par ligne. Cinq chiffres. Pas un tableur. S'ils veulent le détail, ils le demanderont, et vous répondrez alors à une question au lieu de défendre un document. Ces deux situations se ressentent très différemment de l'autre côté de la table.
Nommez le responsable métier de chaque réduction. Pas vous. La personne qui est propriétaire du processus que vous protégez. Une ligne avec un directeur des opérations derrière elle cesse d'être un coût sécurité et devient un coût métier que la sécurité gère par ailleurs.
Ne dites jamais « bonne pratique ». Votre DAF entend « aucun business case ». Idem pour « standard du secteur » et « les auditeurs l'attendent ». Les deux sont vrais. Ni l'un ni l'autre n'est un argument.
Vous ne rivalisez pas avec le non. Vous rivalisez avec deux commerciaux de plus. C'est la vraie comparaison qui se fait dans la salle, alors faites-la vous-même : deux recrutements commerciaux contre ce qui vous évite de perdre le compte que vous avez déjà. La direction financière peut chiffrer ça. Elle ne peut pas chiffrer un paysage de menaces.
Anecdote : La réunion budgétaire la plus utile que j'aie jamais eue a duré quatre minutes. J'ai ouvert avec la ligne un et j'ai dit que nous allions couper un outil que nous payions depuis 2021 et que personne ne pouvait rattacher à une décision. Tout ce qui a suivi a été lu comme un document sérieux plutôt que comme une liste de souhaits, et la ligne trois est passée sans une seule question. Je n'ai jamais autant gagné en rendant de l'argent.
7. S'ils coupent la ligne trois, consignez-le
Ils pourraient le faire. C'est la ligne discrétionnaire, et discrétionnaire signifie exactement ce que le mot veut dire. C'est une décision commerciale légitime qui leur appartient.
C'est aussi une acceptation de risque.
Elle va donc dans le registre. Datée, décrite, avec leur nom dessus. Pas comme une menace et pas par vengeance, mais parce que c'est ce que la clause 6.1.3 de l'ISO/IEC 27001 prévoit lorsqu'un propriétaire de risque décide de vivre avec quelque chose. Votre DAF est propriétaire de risque, que quelqu'un ait ou non utilisé cette expression devant lui.
Deux choses changent dès que vous faites ça.
La décision cesse d'être une ligne budgétaire et devient un enregistrement de gouvernance, ce qui signifie qu'elle apparaît dans la revue de direction et devant votre auditeur. Et l'année suivante, quand la même exposition est encore sur la page, la conversation repart d'une décision qu'ils ont prise plutôt que d'une demande que vous répétez.
Ces deux réunions se déroulent très différemment.
Conseil : Envoyez l'entrée du registre la même semaine, en deux phrases, avec la date d'acceptation et une date de révision. Pas une note de service, pas un avertissement. Un enregistrement. Si vous avez besoin d'un mot d'accompagnement pour expliquer pourquoi vous l'envoyez, c'est que vous l'avez mal rédigé.
Pensée finale
La plupart des budgets sécurité échouent parce qu'ils sont une liste de courses défendue par celui qui veut faire les courses. Cinq lignes, chacune avec un propriétaire, c'est un document de gouvernance qui comporte des chiffres.
Même contenu. Réunion complètement différente.
« Quelles trois lignes supprimeriez-vous ? »
Avec quatorze lignes, cette question met fin à la conversation. Avec cinq, elle en ouvre une.
Tout ce qui précède relève du domaine 1 du CISM. Construire le business case, aligner les dépenses sécurité sur ce que l'organisation cherche réellement à accomplir, et rendre compte à des personnes qui ne travaillent pas en sécurité. Le domaine 2 est là d'où viennent les chiffres de la ligne trois. Si vous voulez mener ces conversations à partir d'un référentiel plutôt que d'un instinct, c'est ce que nous enseignons dans le **CISM : Certified Information Security Manager**. Quatre jours, accrédité ISACA, les quatre domaines et l'examen. Certifié ou remboursé.