La revue de sécurité d’un ERP : ce qu’elle teste et ce qu’elle coûte
Aucun concurrent ne chiffre l'audit de sécurité. Un ERP porte la paie, les contrats, les données clients. Pour un périmètre de 7 sociétés et 40 utilisateurs, 10 000 € à 12 000 € HT. Montants HT, grille au 19 septembre 2026. Ordres de grandeur constatés sur nos projets, hors remise et hors périmètre spécifique. Le devis est établi après cadrage.
Pourquoi un ERP n’est pas un site vitrine
Un site vitrine fuit une page. Un ERP fuit une paie, un contrat, un fichier client, un flux bancaire. La revue de sécurité n'est pas un luxe de grand compte : c'est le poste que les pages « ERP sur mesure » du marché oublient, parce qu'il n'est pas glorieux, et parce qu'il se chiffre.
Nous le publions. Pas pour faire peur : pour que le budget d'un projet ressemble au projet. Montants HT, grille au 19 septembre 2026. Ordres de grandeur constatés sur nos projets, hors remise et hors périmètre spécifique. Le devis est établi après cadrage.
Le périmètre OWASP testé
La revue couvre, a minima, les risques de l'OWASP Top 10 appliqués à une application métier authentifiée, pas à un site public :
- contrôle d'accès entre sociétés, entre rôles, entre enregistrements — l'isolation d'un groupe n'est pas un décor ;
- injection (requêtes, commandes) sur les écrans de saisie et les imports ;
- authentification, sessions, réinitialisation de mot de passe ;
- exposition de données sensibles (paie, coordonnées bancaires, pièces d'identité) ;
- configuration de sécurité, secrets, journaux ;
- intégrité des flux (banque, facturation électronique) ;
- journalisation et détection, pas seulement le chiffrement au repos.
Ce n'est pas une checklist marketing. C'est le périmètre d'un rapport que vous pourrez faire relire par un RSSI, un DSI, ou un autre prestataire.
Ce qu’est un prestataire qualifié PASSI
PASSI est une qualification française de prestataires d'audit de la sécurité des systèmes d'information. Elle dit qu'un auditeur a été évalué, pas qu'un outil a été lancé. Nous ne réalisons pas la revue nous-mêmes : l'auditeur ne peut pas être le constructeur.
Nous ne nommons aucun cabinet. Le choix est le vôtre, sur un cahier des charges que nous rédigeons avec vous : périmètre, environnements, comptes de test, données anonymisées. Le prestataire contracte avec vous, pas avec nous. Le rapport vous appartient.
À quel moment la déclencher
Une première fois avant la bascule, sur le périmètre qui ira en production — pas sur une maquette, pas six mois après. Les correctifs rentrent dans le palier en cours, pas dans « une prochaine version ».
Puis annuellement, ou après une évolution majeure : nouveau module paie, nouvel échange bancaire, ouverture d'un site, changement d'hébergeur. Un ERP qui n'est plus audité est un ERP qui dérive.
Déclencher trop tôt, sur un pilote, produit un rapport que personne n'applique. Déclencher trop tard, après la bascule, produit un rapport que personne n'ose lire à voix haute.
Ce que ça coûte vraiment
Profil A, option : 6 000 € à 8 000 € HT. Profil B, 7 sociétés / 40 utilisateurs : 10 000 € à 12 000 € HT. Profil C, réseau : 15 000 € à 20 000 € HT. Montants HT, grille au 19 septembre 2026. Ordres de grandeur constatés sur nos projets, hors remise et hors périmètre spécifique. Le devis est établi après cadrage.
Ce montant n'inclut pas les correctifs. Un rapport sans budget de remédiation est un document de tiroir. Sur un profil B, nous prévoyons que les correctifs du premier audit rentrent dans la maintenance du trimestre, pas dans un palier surprise.
En face, la médiane d'un marché ERP d'éditeur est de 234 564 € (n = 211). Dix à douze mille euros de revue sur un projet à 98 000 € HT ne sont pas un luxe : ils sont le poste que le marché des agences a pris l'habitude d'oublier.
Ce que le rapport contient, et qui le lit
Le rapport contient : le périmètre réellement testé, les scénarios, les constats classés par sévérité, les preuves, les recommandations de remédiation, et ce qui n'a pas été testé. Un rapport sans « ce qui n'a pas été testé » n'est pas un rapport, c'est une brochure.
Qui le lit : vous, d'abord. Puis, si vous le souhaitez, votre DSI, votre RSSI, votre expert-comptable sur la partie paie, votre hébergeur sur la partie infrastructure. Nous le lisons avec vous pour prioriser. Nous ne le filtrons pas.
Le rapport n'est pas public. Il n'entre pas dans notre relevé de la commande publique. C'est un livrable de votre projet, comme le dépôt Git.
La revue se décide au cadrage, se déclenche avant la bascule. Le devis est établi après cadrage, jamais sur la seule lecture d'une grille.
Les questions que l’on nous pose
Quand déclencher la revue ?
Avant la bascule, sur le périmètre qui ira en production. Puis une fois par an, ou après une évolution majeure (nouveau module paie, nouvel échange bancaire, ouverture d'un site).
Qui lit le rapport ?
Vous. Le rapport vous appartient. Nous le lisons avec vous pour prioriser les correctifs du palier en cours, pas pour le réécrire.
Est-ce obligatoire ?
Non sur un profil A. Recommandée sur un profil B ou C : un ERP porte la paie, les contrats, les données clients. Ce n'est pas un site vitrine.
Qui réalise la revue ?
Un prestataire qualifié PASSI, extérieur au projet. Nous ne la réalisons pas nous-mêmes : l'auditeur ne peut pas être le constructeur.