Un calcul de retour sur investissement en sécurité se défend rarement sur son résultat : il se défend sur sa méthode. Une direction financière n'attend pas un pourcentage impressionnant, elle attend de savoir d'où vient chaque variable, laquelle est mesurée et laquelle est estimée. Voici comment construire ce calcul avec vos propres données, sans emprunter de moyennes sectorielles invérifiables.
La structure du calcul
Le retour se compose de deux blocs très différents par leur nature et par leur crédibilité.
| Bloc | Composantes | Nature | Solidité devant un CFO |
|---|---|---|---|
| Gains mesurables | tickets de réinitialisation évités, temps d'accès récupéré, abandons de parcours réduits, coûts d'audit allégés | observable dans vos systèmes | forte, chiffrable |
| Risque évité | incidents non survenus, fraude non subie, sanctions non encourues | probabiliste | faible si présentée comme une certitude |
| Coûts | licence, intégration, matériel, support, conduite du changement | prévisionnel | forte si le cadrage est fait |
La règle qui sauve un dossier : présenter le bloc mesurable comme un calcul, et le bloc risque comme un scénario. Un projet qui s'autofinance par les seuls gains opérationnels devient beaucoup plus facile à défendre, le risque évité venant alors en argument complémentaire plutôt qu'en justification principale.
Les variables mesurables, et où les trouver
Toutes ces données existent déjà chez vous. Aucune n'a besoin d'être empruntée à une étude externe.
- Volume de tickets liés à l'authentification sur douze mois glissants : outil de ticketing, filtré sur les catégories réinitialisation, déblocage, enrôlement, perte d'appareil.
- Temps moyen de traitement d'un ticket : même source, champ de résolution.
- Coût horaire chargé d'un agent de support : contrôle de gestion ou direction des ressources humaines.
- Temps d'indisponibilité de l'utilisateur pendant l'incident : durée entre l'ouverture et la clôture, pondérée par le coût horaire chargé de la population concernée.
- Taux d'abandon sur les parcours d'authentification client, si vous opérez un service en ligne : outil de mesure d'audience, étape par étape.
- Charge de préparation des audits : jours-homme consacrés à la production de preuves d'accès lors du dernier exercice.
Ces six variables suffisent à construire un gain opérationnel annualisé. Elles ont l'immense avantage d'être contestables et vérifiables en interne, ce qui est exactement ce qu'une direction financière recherche.
Traiter le risque évité sans inventer de chiffre
Le réflexe courant consiste à multiplier une probabilité d'incident par un coût moyen trouvé dans un rapport. Le résultat impressionne, puis s'effondre à la première question sur la provenance des chiffres. Deux approches plus solides :
L'approche par scénario. Décrivez un incident précis et plausible pour votre organisation : compromission d'un compte d'administration, fraude au virement, exfiltration via une session volée. Chiffrez-en les composantes avec vos données internes — coût de mobilisation des équipes, prestation de réponse à incident, indisponibilité, notification, honoraires. Vous produisez alors un ordre de grandeur maison, discutable mais traçable.
L'approche par seuil de rentabilité. Renversez la question : au lieu d'estimer la probabilité d'un incident, calculez à partir de quelle fréquence d'incident l'investissement devient rentable. La phrase produite — « ce dispositif se rembourse si nous évitons un incident de ce type tous les N ans » — laisse la direction juger elle-même de la vraisemblance. C'est intellectuellement honnête et généralement plus convaincant qu'une estimation présentée comme certaine.
L'horizon et le rythme
| Horizon | Ce qui est visible | Erreur fréquente |
|---|---|---|
| 0 à 6 mois | coûts d'intégration, pic de support pendant les vagues | conclure trop tôt à un retour négatif |
| 6 à 18 mois | baisse des tickets, stabilisation de l'exploitation | oublier le double run encore facturé |
| 18 à 36 mois | gain opérationnel régulier, allègement des audits | ne pas mesurer, donc ne rien pouvoir démontrer |
| au-delà | effet sur la couverture assurantielle et les exigences clients | attribuer au projet des gains venus d'ailleurs |
Deux conséquences pratiques. D'abord, un calcul sur douze mois est presque toujours défavorable : alignez l'horizon sur la durée d'engagement contractuel. Ensuite, mesurez avant de démarrer. Sans photographie initiale de la volumétrie de support, aucun gain ne pourra être démontré, et le projet sera jugé sur des impressions.
Consolider le dossier avant de le présenter
L'analyse de sensibilité, ce qui distingue un bon dossier
Un calcul à valeur unique invite à la contestation. Un calcul assorti d'une analyse de sensibilité déplace la discussion vers les hypothèses, ce qui est exactement le bon terrain.
| Variable | Fourchette à tester | Effet observé |
|---|---|---|
| Volume de tickets évités | pessimiste, médian, optimiste | mesure la dépendance du dossier à ce seul poste |
| Nombre d'applications à raccorder | recensé, recensé majoré | teste la robustesse du budget d'intégration |
| Rythme d'adoption | lent, conforme, rapide | décale la date d'atteinte du seuil de rentabilité |
| Coût d'un incident de référence | trois hypothèses assumées | montre que le dossier tient sans l'hypothèse haute |
Le message à faire passer au comité : le projet reste défendable dans le scénario pessimiste. Si ce n'est pas le cas, il faut réduire le périmètre initial plutôt que gonfler les hypothèses.
Les gains que l'on oublie de compter
- La réduction du périmètre de conformité. Moins de secrets à protéger, moins de données personnelles détenues : la charge de preuve diminue pour le RGPD comme pour NIS2 et DORA.
- Le temps d'ingénierie libéré par le retrait des mécanismes de contournement et des dérogations.
- La levée d'un point bloquant commercial. Dans les appels d'offres, les exigences d'authentification des clients grands comptes ont un effet direct sur le chiffre d'affaires accessible.
- L'effet sur les parcours clients. Une friction retirée d'un parcours d'inscription a une valeur que la direction marketing sait chiffrer, souvent mieux que la direction sécurité.
Sur les organisations qui exploitent déjà une MFA, une part importante du coût peut être évitée en raisonnant en superposition plutôt qu'en remplacement : ajouter un facteur d'intention humaine devant l'existant limite le poste intégration, qui est justement celui qui pèse le plus dans le calcul.
FAQ
Faut-il présenter un ROI ou une réduction de risque ?
Les deux, mais séparément et dans cet ordre : le gain opérationnel chiffré d'abord, la réduction de risque ensuite. Fusionner les deux affaiblit le dossier, parce que la partie la plus solide se retrouve contaminée par la partie la plus discutable.
Sur quelle durée amortir l'investissement ?
Alignez l'horizon sur la durée d'engagement contractuel, en général trois ans, et faites apparaître la date de franchissement du seuil de rentabilité. Un calcul sur douze mois donnera presque toujours un résultat trompeur.
Comment estimer le coût d'un incident sans étude externe ?
En reconstituant un scénario avec vos propres coûts internes : mobilisation des équipes, prestation externe, indisponibilité, obligations de notification, honoraires. Le résultat est un ordre de grandeur maison, dont vous pouvez défendre chaque ligne.
Que répondre à « nous n'avons jamais eu d'incident » ?
Que l'absence d'incident constaté n'est pas une mesure de risque, et que le dossier repose d'abord sur des gains opérationnels observables. C'est précisément pour cela qu'il faut construire le calcul sur le bloc mesurable.
Aller plus loin : pilier : authentification cognitive · les postes de coût d'une solution MFA · coût d'une violation de données · le coût caché du mot de passe