Quand on achète un audit de conformité, on croit acheter de l'expertise. En réalité, on achète surtout du temps — et une part importante de ce temps ne va pas là où on l'imagine. Décomposer une mission en quatre phases permet de voir précisément ce qu'un outillage modifie, et ce qu'il ne modifiera jamais.
Phase 1 — La collecte, le gouffre invisible
Toute mission d'audit commence par rassembler la matière : politiques de sécurité, procédures, schémas d'architecture, inventaires d'actifs, contrats de sous-traitance, journaux de revue des droits, comptes rendus de comités. Dans une démarche traditionnelle, cette phase se déroule par échanges de courriels, listes de demandes envoyées au format tableur, relances, et réception de documents dans des versions parfois anciennes.
Le coût de cette phase est double. Côté cabinet, il est facturé. Côté client, il est absorbé par les équipes internes — et rarement comptabilisé dans le budget de la mission, alors qu'il s'agit souvent du poste le plus lourd pour la DSI.
C'est la phase que l'outillage transforme le plus radicalement, pour une raison simple : il s'agit essentiellement de manipulation d'information, pas de jugement. Dans GALEA, le socle documentaire que vous déposez sert directement à pré-remplir 54 contrôles de conformité. L'auditeur ne demande pas « avez-vous une politique de gestion des accès ? » : il voit ce que le document contient et pose la question suivante, celle qui porte sur la mise en œuvre réelle.
Phase 2 — L'analyse, là où l'humain reste irremplaçable
La deuxième phase consiste à confronter ce qui est écrit à ce qui se passe, puis à qualifier les écarts. C'est là que se joue la valeur professionnelle de l'audit : distinguer une non-conformité formelle sans conséquence d'un écart qui expose réellement l'organisation, comprendre pourquoi une mesure théoriquement obligatoire a été écartée, évaluer si la compensation en place tient.
Cette phase ne se raccourcit pas beaucoup, et il faut se méfier de tout discours qui prétend le contraire. Ce que l'outillage apporte ici est différent : il élargit le champ de vision. Les cinq ateliers EBIOS Risk Manager conduits dans GALEA s'appuient sur plus de 1 000 scénarios de référence et sur la matrice MITRE ATT&CK. L'auditeur ne part pas de sa mémoire personnelle pour imaginer les chemins d'attaque plausibles : il travaille sur une base de scénarios documentés qu'il écarte ou retient.
La règle posée par Phishia est explicite sur ce point : la validation humaine est obligatoire avant toute inscription au registre des risques. Un scénario proposé par l'agent TARS, adossé aux modèles de Mistral AI hébergés en France, est une hypothèse de travail, jamais une conclusion.
Phase 3 — La rédaction, un artisanat coûteux
Vient ensuite la production du livrable. Un rapport d'audit de conformité représente couramment plusieurs dizaines de pages, avec une synthèse pour la direction, un détail par exigence, une matrice d'écarts et un plan de remédiation. À cela s'ajoutent les passages en revue qualité, les allers-retours de relecture et la mise au format.
Cette phase est un artisanat : elle mobilise des compétences réelles, mais elle produit surtout de la mise en forme. Elle est aussi la principale source de délai entre la fin des travaux et la restitution effective, parfois plusieurs semaines.
Dans une approche outillée, le plan d'actions n'est pas rédigé, il est généré : 65 mesures priorisées issues des écarts constatés. Les exports destinés au comité de direction se régénèrent à la demande, avec les données du jour. La conséquence la plus utile n'est pas le gain de temps initial, c'est que le document n'a plus de date de péremption : vous ne présentez pas en mars un état des lieux arrêté en janvier.
Phase 4 — Le suivi, celle qu'on oublie de chiffrer
La quatrième phase n'apparaît dans presque aucun devis, parce qu'elle se déroule après la mission. Il faut suivre l'avancement des mesures, mettre à jour l'état de conformité, répondre aux sollicitations externes, préparer la revue suivante. Dans le modèle classique, ce suivi se fait dans un tableur maintenu par une personne, jusqu'à ce que cette personne change de poste.
C'est sur cette quatrième phase que l'écart de coût total se creuse le plus nettement. Phishia mesure sur l'ensemble de ses interventions une réduction moyenne de 60 % du coût total de conformité — jusqu'à 75 % pour les plus petites structures — et un time-to-compliance divisé par six. Ces ordres de grandeur ne s'expliquent pas par la seule phase d'audit : ils intègrent tout ce qui se passe entre deux audits.
La mutualisation multi-référentiels joue ici un rôle direct. Un contrôle satisfait au titre d'ISO 27001 alimente les exigences correspondantes de NIS2, DORA, du RGPD ou de l'hébergement de données de santé, sans qu'il faille refaire l'exercice pour chaque référentiel. GALEA couvre ces référentiels sur 19 modules.
Ce que l'outil ne change pas
Trois choses restent identiques, et il est important de le dire pour ne pas survendre l'approche.
D'abord, la certification. Un audit de certification ISO 27001 est réalisé par un organisme certificateur accrédité, indépendant du cabinet qui vous accompagne. Aucune plateforme ne raccourcit ce passage.
Ensuite, la qualité des entretiens. Comprendre qu'une procédure documentée n'est pas appliquée suppose de parler aux personnes concernées, de croiser les témoignages, de percevoir les non-dits. Aucun pré-remplissage ne produit cette information.
Enfin, la responsabilité. C'est un consultant qui signe l'analyse, pas un algorithme. Un cabinet traditionnel expérimenté reste par ailleurs parfaitement pertinent, en particulier lorsque la mission est très atypique : référentiel sectoriel rare, contexte multi-pays, contentieux en cours. L'outillage optimise ce qui est répétable ; il n'apporte rien sur ce qui ne l'est pas.
Récapitulatif
| Phase | Approche traditionnelle | Approche outillée (Phishia / GALEA) |
|---|---|---|
| Collecte | Listes de demandes, échanges de fichiers | 54 contrôles pré-remplis depuis le socle documentaire |
| Analyse | Expérience de l'auditeur, référentiels internes | 5 ateliers EBIOS RM, +1 000 scénarios, MITRE ATT&CK |
| Rédaction | Rapport rédigé, revue qualité, mise au format | Plan d'actions de 65 mesures généré et priorisé |
| Suivi | Tableur maintenu en interne, hors devis | Référentiel vivant, mutualisation multi-normes sur 19 modules |
| Validation | Humaine | Humaine, obligatoire avant inscription au registre |
Questions fréquentes
Un audit outillé est-il recevable par un organisme certificateur ?
Un audit d'accompagnement n'est jamais « recevable » en tant que tel : il prépare le passage devant l'organisme certificateur accrédité, qui conduit son propre audit. Ce qui compte pour ce dernier, c'est la qualité et la traçabilité des preuves, pas l'outil utilisé pour les rassembler.
Que faire si mon socle documentaire est incomplet ?
C'est le cas le plus fréquent et ce n'est pas bloquant. Le pré-remplissage porte sur ce qui existe ; les zones vides deviennent simplement des constats d'écart, qui alimentent le plan d'actions. Un socle pauvre allonge la phase de collecte, il ne l'empêche pas.
Peut-on n'acheter que la plateforme, sans mission d'audit ?
Oui. GALEA se souscrit seule, à partir de 200 €/mois pour une TPE, 300 € pour une PME et 700 € pour une ETI, avec deux mois offerts en facturation annuelle. Le conseil peut aussi être acheté seul, ou les deux en formule combinée.
Sources
- ANSSI — portail cyber.gouv.fr (méthode EBIOS Risk Manager)
- MITRE ATT&CK — matrice des techniques adverses
- ISO/IEC 27001 — page officielle de la norme
- Cofrac — accréditation des organismes de certification en France
- GALEA — modules, référentiels et tarifs publiés
Sources consultées le 23 septembre 2026. La décomposition en quatre phases est une grille de lecture proposée par Phishia à partir de son expérience de mission ; elle ne correspond pas à une norme d'audit publiée.