PREUVE / Feuillet de consultation
Consulter plusieurs cabinets de pentest : grille d’analyse des offres
Mis à jour le
Évaluer des réponses à un besoin commun
Comparer plusieurs cabinets commence après la préparation d’une consultation commune. Chaque candidat doit recevoir le même périmètre et les mêmes attentes de rapport. Si les offres reposent sur des hypothèses différentes, demandez une clarification avant notation. La grille d’analyse des offres se distingue du cahier des charges : elle organise la décision à partir des réponses reçues, sans modifier silencieusement le besoin pour favoriser un candidat.
Séparez les critères éliminatoires et les critères de préférence. Une qualification explicitement exigée par le client peut être éliminatoire si elle n’est pas démontrée. Une disponibilité proposée reste conditionnelle jusqu’à confirmation. Le prix doit être comparé sur la même couverture, y compris le retest et les langues. Aucun cabinet n’est déclaré partenaire ou présélectionné par cette page.
Vérifier la compréhension du SaaS
Examinez les questions posées par le candidat sur les API, les rôles et les organisations clientes. Une réponse doit expliquer les scénarios proposés et les informations nécessaires. Demandez des preuves de compétence partageables : démarche, qualifications vérifiables et exemples anonymisés autorisés. Une liste de références non contextualisée ne prouve pas que le cabinet comprend votre architecture ou la clause du grand compte.
La qualité d’un prestataire ne se mesure pas au nombre de failles qu’il promet. Il doit proposer une évaluation bornée, documenter les résultats et reconnaître les limites. Une promesse d’absence de risque ou d’acceptation automatique du client mérite une clarification. Le rapport attendu doit être exploitable par les développeurs et compréhensible dans sa version commerciale.
Construire une grille explicite
Vous pouvez utiliser des critères tels que couverture, méthode, compétences applicatives, confidentialité, calendrier et retest. Définissez les pondérations avant d’attribuer les notes. Elles sont propres à votre contexte ; le site ne propose pas de score universel. Une appréciation doit renvoyer à un élément de réponse vérifiable. Conservez les réserves et les demandes de clarification au lieu de transformer une information absente en note favorable.
Pour le calendrier, comparez la disponibilité réellement proposée et les prérequis. Pour la confidentialité, examinez les canaux et les droits de diffusion. Pour le retest, relevez les constats inclus, la fenêtre et la pièce amendée. Pour le prix, vérifiez les options et les mécanismes de changement de périmètre. Ces colonnes permettent de comprendre un écart sans supposer que l’offre la moins chère est nécessairement comparable.
Examiner les conditions contractuelles
Les règles d’engagement, les autorisations, les responsabilités et les limites d’impact doivent être validées avant mission. Une bonne réponse technique ne suffit pas si les actifs ne sont pas autorisés ou si les données ne peuvent pas être utilisées dans le cadre proposé. Faites examiner le contrat par les personnes compétentes lorsque les responsabilités ou les modalités de traitement restent incertaines.
Vérifiez aussi la relation entre qualification annoncée et prestation commandée. L’entité qui signe, la portée et la validité doivent correspondre. Si une sous-traitance est envisagée, demandez comment elle intervient et quelles conditions s’appliquent. Le cabinet doit confirmer le droit de partager la synthèse avec le grand compte selon le cadre retenu.
Formaliser l’arbitrage
La décision indique les critères retenus, les points forts documentés et les réserves à lever. Le CTO valide la couverture ; le commercial confirme l’attente client ; le décideur achat accepte les conditions. Si un critère reste non confirmé, il devient une condition avant commande. Conservez la version finale de l’offre et la consultation à laquelle elle répond.
Avant de fixer les dates, confirmez les accès, les données fictives et les contacts. Le planning comprend les corrections et le retest lorsqu’ils sont nécessaires à la vente. Le cabinet ne garantit pas la décision d’achat du grand compte. Une sélection argumentée donne un cadre de mission ; la preuve remise dépendra des observations et du traitement effectif des constats.
Grille de vérification avant commande
Pour « Consulter plusieurs cabinets de pentest : grille d’analyse des offres », conservez les réponses suivantes dans votre dossier achat. Une case vide devient une demande de clarification. Elle ne doit pas être interprétée comme un engagement inclus dans le prix ou comme une preuve déjà disponible.
- Grille de scoring périmètre, expérience SaaS, méthode, calendrier, confidentialité et retest. Demandez au candidat de préciser sa proposition, les éléments nécessaires et les limites. Conservez sa réponse avec la version de la consultation pour que le CTO et la direction commerciale puissent vérifier l’offre retenue.
- Distinguer cette analyse des offres de la trame de cahier des charges. Demandez au candidat de préciser sa proposition, les éléments nécessaires et les limites. Conservez sa réponse avec la version de la consultation pour que le CTO et la direction commerciale puissent vérifier l’offre retenue.
- Exiger preuves de compétence et qualifications annoncées, sans faux partenaires ni faux tarifs. Demandez au candidat de préciser sa proposition, les éléments nécessaires et les limites. Conservez sa réponse avec la version de la consultation pour que le CTO et la direction commerciale puissent vérifier l’offre retenue.
| Décision | Pièce à conserver | Responsable à désigner |
|---|---|---|
| Périmètre et exclusions acceptés | Version de la consultation et réponse détaillée du candidat, avec les interfaces et rôles concernés | Responsable technique de l’application |
| Format de preuve attendu | Confirmation du grand compte sur les documents, la langue et les conditions de revue | Interlocuteur commercial avec l’équipe sécurité client |
| Traitement des résultats | Plan de correction, critères de recette et conditions de retest proposées au devis | Équipe de développement et décideur de risque |
| Autorisation et diffusion | Mandat validé et droits de partage du rapport ou de la synthèse expurgée | Personne habilitée à engager la mission |
La consultation doit conserver les hypothèses qui peuvent changer le prix ou la date : accès non prêts, fonction indisponible, nouvelle version ou extension du périmètre. Demandez au cabinet comment une modification sera approuvée. Le rapport doit refléter la prestation effectivement réalisée. Une correction future, une disponibilité souhaitée et l’accord du grand compte restent des éléments à confirmer, chacun par son responsable.
Sources primaires consultées
Vérification éditoriale : 1er octobre 2026. Les conseils de consultation de ce feuillet sont une application pratique à discuter avec vos responsables et le cabinet.