{"id":899,"date":"2026-10-19T07:00:00","date_gmt":"2026-10-19T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=899"},"modified":"2026-09-04T13:00:49","modified_gmt":"2026-09-04T18:00:49","slug":"banque-investisseur-preuve-cybersecurite","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/banque-investisseur-preuve-cybersecurite\/","title":{"rendered":"La banque exige une \u00e9valuation de cybers\u00e9curit\u00e9 : quoi fournir ?"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>La banque demande une \u00e9valuation de cybers\u00e9curit\u00e9 pour mesurer son propre risque de cr\u00e9dit, pas pour auditer toute votre infrastructure.<\/strong> Un pr\u00eateur ou un investisseur veut confirmer qu&rsquo;un incident ne compromettrait pas votre capacit\u00e9 \u00e0 rembourser. Un rapport d&rsquo;\u00e9valuation ind\u00e9pendant avec un plan de rem\u00e9diation dat\u00e9 suffit g\u00e9n\u00e9ralement \u00e0 la satisfaire, dans le d\u00e9lai d&rsquo;une transaction en cours.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/gouvernance_ti.png\" alt=\"la banque demande une \u00e9valuation de cybers\u00e9curit\u00e9 : les trois formes accept\u00e9es\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Si cette phrase est arriv\u00e9e dans un courriel de votre directeur de compte ou dans une lettre d&rsquo;intention d&rsquo;un investisseur, sans autre pr\u00e9cision, ce guide r\u00e9pond \u00e0 la question concr\u00e8te qui suit : quoi fournir, sous quelle forme, et dans quel d\u00e9lai.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#la-banque-demande-une-evaluation-de-cybersecurite-pourquoi-maintenant\">La banque demande une \u00e9valuation de cybers\u00e9curit\u00e9 : pourquoi maintenant ?<\/a><\/li><li class=\"\"><a href=\"#qu-est-ce-que-le-preteur-veut-vraiment-savoir\">Qu&rsquo;est-ce que le pr\u00eateur veut vraiment savoir ?<\/a><\/li><li class=\"\"><a href=\"#a-quoi-ressemble-une-evaluation-de-cybersecurite-acceptable-pour-un-preteur\">\u00c0 quoi ressemble une \u00e9valuation de cybers\u00e9curit\u00e9 acceptable pour un pr\u00eateur ?<\/a><\/li><li class=\"\"><a href=\"#combien-de-temps-ca-prend-quand-la-transaction-presse\">Combien de temps \u00e7a prend quand la transaction presse ?<\/a><\/li><li class=\"\"><a href=\"#que-contient-un-rapport-qui-satisfait-la-condition-de-financement-cybersecurite\">Que contient un rapport qui satisfait la condition de financement cybers\u00e9curit\u00e9 ?<\/a><\/li><li class=\"\"><a href=\"#le-rapport-peut-il-servir-ailleurs\">Le rapport peut-il servir ailleurs ?<\/a><\/li><li class=\"\"><a href=\"#et-si-l-evaluation-revele-des-faiblesses-je-perds-mon-financement\">Et si l&rsquo;\u00e9valuation r\u00e9v\u00e8le des faiblesses, je perds mon financement ?<\/a><\/li><li class=\"\"><a href=\"#par-ou-commencer\">Par o\u00f9 commencer ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"la-banque-demande-une-evaluation-de-cybersecurite-pourquoi-maintenant\" class=\"wp-block-heading\">La banque demande une \u00e9valuation de cybers\u00e9curit\u00e9 : pourquoi maintenant ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Les pr\u00eateurs int\u00e8grent de plus en plus le risque cyber dans leurs conditions de financement. Ce n&rsquo;est pas une lubie administrative. Un emprunteur dont l&rsquo;exploitation s&rsquo;arr\u00eate pendant plusieurs semaines \u00e0 cause d&rsquo;un ran\u00e7ongiciel devient un mauvais risque de cr\u00e9dit, peu importe la qualit\u00e9 de son bilan des trois derni\u00e8res ann\u00e9es.<\/p>\n\n<p class=\"wp-block-paragraph\">Le principe est le m\u00eame que pour une police d&rsquo;assurance incendie sur un b\u00e2timent financ\u00e9 : le pr\u00eateur prot\u00e8ge la valeur de ce qu&rsquo;il finance. La <a href=\"https:\/\/www.bdc.ca\/fr\" target=\"_blank\" rel=\"noopener nofollow\">Banque de d\u00e9veloppement du Canada<\/a> consacre des ressources \u00e0 la gestion du risque d&rsquo;affaires des PME emprunteuses. Le risque cyber s&rsquo;y ajoute d\u00e9sormais aux c\u00f4t\u00e9s des risques op\u00e9rationnels plus classiques, comme une panne prolong\u00e9e ou un sinistre mat\u00e9riel.<\/p>\n\n<p class=\"wp-block-paragraph\">Le d\u00e9clencheur varie selon votre situation. Un pr\u00eat \u00e0 terme, une marge de cr\u00e9dit renouvel\u00e9e, une ronde de financement aupr\u00e8s d&rsquo;investisseurs institutionnels : chacun peut d\u00e9sormais porter une clause de diligence raisonnable en cybers\u00e9curit\u00e9. La formulation re\u00e7ue est presque toujours vague, sans pr\u00e9ciser la forme attendue ni qui est habilit\u00e9 \u00e0 la produire. C&rsquo;est cette impr\u00e9cision qui bloque les dirigeants, pas l&rsquo;exigence elle-m\u00eame.<\/p>\n\n<h2 id=\"qu-est-ce-que-le-preteur-veut-vraiment-savoir\" class=\"wp-block-heading\">Qu&rsquo;est-ce que le pr\u00eateur veut vraiment savoir ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Quand la banque demande une \u00e9valuation de cybers\u00e9curit\u00e9, elle n&rsquo;\u00e9value pas votre conformit\u00e9 technique fine. Elle \u00e9value une chose : la probabilit\u00e9 que votre entreprise continue de g\u00e9n\u00e9rer les revenus qui remboursent le pr\u00eat, malgr\u00e9 un incident de s\u00e9curit\u00e9 plausible.<\/p>\n\n<p class=\"wp-block-paragraph\">Cette distinction change la pr\u00e9paration du dossier du tout au tout. Un audit de cybers\u00e9curit\u00e9 technique cherche des vuln\u00e9rabilit\u00e9s pr\u00e9cises : une configuration mal ficel\u00e9e, un correctif manquant, un port ouvert qui ne devrait pas l&rsquo;\u00eatre. Une \u00e9valuation destin\u00e9e \u00e0 un pr\u00eateur r\u00e9pond \u00e0 des questions plus larges :<\/p>\n\n<ul class=\"wp-block-list\"><li>Avez-vous une sauvegarde qui fonctionne r\u00e9ellement, test\u00e9e, pas seulement planifi\u00e9e ?<\/li><li>Avez-vous un plan si un syst\u00e8me tombe ?<\/li><li>Avez-vous une gouvernance minimale qui emp\u00eache un seul clic malheureux de paralyser l&rsquo;entreprise ?<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Le niveau de d\u00e9tail attendu ressemble \u00e0 celui d&rsquo;un dirigeant qui en rassure un autre, pas \u00e0 celui d&rsquo;un ing\u00e9nieur qui en convainc un autre. Le <a href=\"https:\/\/www.cyber.gc.ca\/fr\/petites-moyennes-entreprises\" target=\"_blank\" rel=\"noopener nofollow\">Centre canadien pour la cybers\u00e9curit\u00e9<\/a> propose un guide destin\u00e9 aux PME qui couvre exactement ces mesures de r\u00e9f\u00e9rence : sauvegardes, gestion des acc\u00e8s, formation des employ\u00e9s et gestion des incidents. Notre <a href=\"https:\/\/factero.ca\/blog\/audit-ti-independant-guide\/\">guide complet de l&rsquo;audit informatique<\/a> explique cette distinction plus en profondeur pour qui veut situer la d\u00e9marche de financement dans l&rsquo;ensemble des types d&rsquo;audits possibles.<\/p>\n\n<h2 id=\"a-quoi-ressemble-une-evaluation-de-cybersecurite-acceptable-pour-un-preteur\" class=\"wp-block-heading\">\u00c0 quoi ressemble une \u00e9valuation de cybers\u00e9curit\u00e9 acceptable pour un pr\u00eateur ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Trois formes reviennent le plus souvent, avec des degr\u00e9s de rigueur diff\u00e9rents.<\/p>\n\n<figure class=\"wp-block-table\"><table class=\"has-fixed-layout\"><thead><tr><th>Ce que le pr\u00eateur demande<\/th><th>Ce que \u00e7a veut dire concr\u00e8tement<\/th><th>Ce qui satisfait g\u00e9n\u00e9ralement la condition<\/th><\/tr><\/thead><tbody><tr><td>Questionnaire de cybers\u00e9curit\u00e9<\/td><td>Une s\u00e9rie de questions ferm\u00e9es sur vos pratiques (sauvegardes, acc\u00e8s, formation, incidents pass\u00e9s), remplie par vous-m\u00eame<\/td><td>Un questionnaire r\u00e9pondu avec exactitude, coh\u00e9rent avec vos pratiques r\u00e9elles, pas avec vos intentions<\/td><\/tr><tr><td>Attestation de conformit\u00e9<\/td><td>Une d\u00e9claration sign\u00e9e que votre organisation respecte un r\u00e9f\u00e9rentiel ou un ensemble de mesures minimales<\/td><td>Une attestation appuy\u00e9e par une \u00e9valuation r\u00e9cente, pas une signature appos\u00e9e sur la foi de ce que l&rsquo;\u00e9quipe TI affirme informellement<\/td><\/tr><tr><td>Rapport d&rsquo;\u00e9valuation ind\u00e9pendant<\/td><td>Un tiers externe examine votre posture de s\u00e9curit\u00e9 et documente ses constats<\/td><td>Un rapport dat\u00e9, avec un plan de rem\u00e9diation pour les \u00e9carts trouv\u00e9s, produit par une partie qui n&rsquo;a pas d&rsquo;int\u00e9r\u00eat \u00e0 vous vendre la correction ensuite<\/td><\/tr><\/tbody><\/table><\/figure>\n\n<p class=\"wp-block-paragraph\">Le montant en jeu d\u00e9termine souvent la forme exig\u00e9e. Une petite marge de cr\u00e9dit se contente parfois d&rsquo;un questionnaire. Un pr\u00eat \u00e0 terme important ou une ronde de financement institutionnelle demande g\u00e9n\u00e9ralement un rapport ind\u00e9pendant, parce que le pr\u00eateur ou l&rsquo;investisseur veut une source qui n&rsquo;a pas d&rsquo;angle mort int\u00e9ress\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est un point qui m\u00e9rite d&rsquo;\u00eatre dit sans d\u00e9tour. Un dirigeant qui vous promet que son \u00e9valuation \u00ab passera \u00bb \u00e0 coup s\u00fbr aupr\u00e8s de votre pr\u00eateur ne conna\u00eet pas les crit\u00e8res r\u00e9els de ce pr\u00eateur, qui varient d&rsquo;une institution \u00e0 l&rsquo;autre. Ce qu&rsquo;un cabinet peut promettre, c&rsquo;est un dossier honn\u00eate et complet. La d\u00e9cision d&rsquo;accepter le dossier reste celle du pr\u00eateur.<\/p>\n\n<h2 id=\"combien-de-temps-ca-prend-quand-la-transaction-presse\" class=\"wp-block-heading\">Combien de temps \u00e7a prend quand la transaction presse ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Un dossier bien cadr\u00e9 d\u00e8s le d\u00e9part se compte g\u00e9n\u00e9ralement en semaines, pas en mois<\/strong>, m\u00eame si le d\u00e9lai r\u00e9el d\u00e9pend de la taille de votre organisation et du nombre de syst\u00e8mes \u00e0 couvrir. La vraie contrainte n&rsquo;est presque jamais le travail lui-m\u00eame : c&rsquo;est que la condition de financement arrive tard, avec une date de cl\u00f4ture d\u00e9j\u00e0 fix\u00e9e.<\/p>\n\n<p class=\"wp-block-paragraph\">La variable qui fait perdre le plus de temps n&rsquo;est pas la collecte d&rsquo;information. C&rsquo;est l&rsquo;attente d&rsquo;une r\u00e9ponse claire sur la forme exig\u00e9e par le pr\u00eateur. Avant de lancer une \u00e9valuation, confirmez par \u00e9crit ce que votre directeur de compte ou votre investisseur entend pr\u00e9cis\u00e9ment par \u00ab \u00e9valuation satisfaisante \u00bb : un questionnaire suffit-il, une attestation, ou exige-t-on un rapport produit par une partie ind\u00e9pendante de votre \u00e9quipe TI. Cette seule question, pos\u00e9e en premier, \u00e9vite souvent de refaire le travail une deuxi\u00e8me fois.<\/p>\n\n<p class=\"wp-block-paragraph\">Comptez \u00e0 rebours depuis la date de cl\u00f4ture de la transaction, pas depuis la date o\u00f9 vous avez re\u00e7u la demande. C&rsquo;est le calendrier de la transaction qui doit dicter le v\u00f4tre, pas l&rsquo;inverse.<\/p>\n\n<h2 id=\"que-contient-un-rapport-qui-satisfait-la-condition-de-financement-cybersecurite\" class=\"wp-block-heading\">Que contient un rapport qui satisfait la condition de financement cybers\u00e9curit\u00e9 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Un rapport destin\u00e9 \u00e0 un pr\u00eateur suit g\u00e9n\u00e9ralement la m\u00eame structure, ind\u00e9pendamment du cabinet qui le produit :<\/p>\n\n<ul class=\"wp-block-list\"><li>Un portrait des mesures d\u00e9j\u00e0 en place : sauvegardes, gestion des acc\u00e8s, formation des employ\u00e9s, gestion des incidents.<\/li><li>Les \u00e9carts constat\u00e9s entre ces mesures et ce qu&rsquo;on attendrait d&rsquo;une organisation de votre taille, pr\u00e9sent\u00e9s sans dramatisation ni minimisation.<\/li><li>Un plan de rem\u00e9diation dat\u00e9 pour chaque \u00e9cart significatif, avec une priorit\u00e9 et une \u00e9ch\u00e9ance r\u00e9aliste.<\/li><li>Une lettre de synth\u00e8se, g\u00e9n\u00e9ralement d&rsquo;une ou deux pages, \u00e9crite pour un lecteur non technique, que vous pouvez transmettre directement \u00e0 votre pr\u00eateur.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Notre article <a href=\"https:\/\/factero.ca\/blog\/rapport-audit-informatique-comment-lire\/\">Rapport d&rsquo;audit informatique : comment le lire, et ce que vous \u00eates en droit d&rsquo;exiger<\/a> d\u00e9taille ce qu&rsquo;un rapport s\u00e9rieux devrait toujours contenir, et les signaux d&rsquo;un rapport b\u00e2cl\u00e9. Les m\u00eames principes s&rsquo;appliquent ici, avec en plus la lettre de synth\u00e8se destin\u00e9e sp\u00e9cifiquement au pr\u00eateur.<\/p>\n\n<h2 id=\"le-rapport-peut-il-servir-ailleurs\" class=\"wp-block-heading\">Le rapport peut-il servir ailleurs ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Oui, et c&rsquo;est un des aspects les plus utiles de bien faire cet exercice une seule fois plut\u00f4t que trois fois s\u00e9par\u00e9ment.<\/p>\n\n<p class=\"wp-block-paragraph\">Le m\u00eame livrable sert souvent de base \u00e0 un questionnaire de cyberassurance, o\u00f9 l&rsquo;assureur pose des questions tr\u00e8s proches de celles de votre pr\u00eateur. Il sert aussi aux demandes de vos plus gros clients, particuli\u00e8rement s&rsquo;ils traitent des renseignements personnels vis\u00e9s par la Loi 25 et exigent de leurs fournisseurs une preuve de diligence en mati\u00e8re de s\u00e9curit\u00e9. Nous avons consacr\u00e9 un article complet \u00e0 l&rsquo;exigence parall\u00e8le des assureurs, dont le d\u00e9clencheur diff\u00e8re mais dont les livrables se recoupent largement : <a href=\"https:\/\/factero.ca\/blog\/assureur-exige-audit-cybersecurite\/\">Mon assureur exige un audit de cybers\u00e9curit\u00e9 : quoi fournir ?<\/a><\/p>\n\n<p class=\"wp-block-paragraph\">Un rapport mont\u00e9 \u00e0 la derni\u00e8re minute, uniquement pour cocher la case du pr\u00eateur, ne survit g\u00e9n\u00e9ralement pas \u00e0 la deuxi\u00e8me demande. Un rapport mont\u00e9 correctement, une fois, se r\u00e9utilise pendant un an ou deux, selon le rythme d&rsquo;\u00e9volution de votre infrastructure.<\/p>\n\n<h2 id=\"et-si-l-evaluation-revele-des-faiblesses-je-perds-mon-financement\" class=\"wp-block-heading\">Et si l&rsquo;\u00e9valuation r\u00e9v\u00e8le des faiblesses, je perds mon financement ?<\/h2>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est la question qui emp\u00eache certains dirigeants de lancer la d\u00e9marche \u00e0 temps, par crainte de ce qu&rsquo;elle va r\u00e9v\u00e9ler. Dans la grande majorit\u00e9 des cas, ce n&rsquo;est pas ce que le pr\u00eateur cherche.<\/p>\n\n<p class=\"wp-block-paragraph\">Un plan de rem\u00e9diation dat\u00e9, r\u00e9aliste, avec des priorit\u00e9s claires, est g\u00e9n\u00e9ralement ce qu&rsquo;un pr\u00eateur veut voir. Une organisation qui a des \u00e9carts, les conna\u00eet, et a un plan pour les combler d\u00e9montre exactement le genre de gouvernance qu&rsquo;un pr\u00eateur cherche \u00e0 financer. C&rsquo;est l&rsquo;absence de portrait, ou un portrait qui ne correspond manifestement pas \u00e0 la r\u00e9alit\u00e9 une fois v\u00e9rifi\u00e9, qui pose probl\u00e8me.<\/p>\n\n<p class=\"wp-block-paragraph\">Cela dit, aucun cabinet s\u00e9rieux ne peut vous garantir l&rsquo;issue d&rsquo;une d\u00e9cision de cr\u00e9dit ou d&rsquo;investissement : cette d\u00e9cision appartient enti\u00e8rement au pr\u00eateur ou \u00e0 l&rsquo;investisseur, \u00e0 partir de crit\u00e8res qui lui sont propres et qui d\u00e9passent la seule cybers\u00e9curit\u00e9. Ce qui se pr\u00e9pare, c&rsquo;est le dossier. Pas la d\u00e9cision.<\/p>\n\n<h2 id=\"par-ou-commencer\" class=\"wp-block-heading\">Par o\u00f9 commencer ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Trois gestes concrets, dans l&rsquo;ordre, quand la demande arrive.<\/p>\n\n<ol class=\"wp-block-list\"><li>Obtenez par \u00e9crit la formulation exacte de la condition et, si possible, un exemple de ce que votre pr\u00eateur ou investisseur a d\u00e9j\u00e0 accept\u00e9 d&rsquo;un autre emprunteur. Un directeur de compte a rarement r\u00e9dig\u00e9 cette clause lui-m\u00eame ; il peut souvent obtenir cette pr\u00e9cision de son service du cr\u00e9dit.<\/li><li>Confirmez la date de cl\u00f4ture de la transaction et remontez le calendrier \u00e0 partir de l\u00e0, pas \u00e0 partir d&rsquo;aujourd&rsquo;hui. C&rsquo;est cette date qui d\u00e9termine si un questionnaire suffit ou si un rapport ind\u00e9pendant est r\u00e9aliste dans le temps disponible.<\/li><li>Choisissez qui produit l&rsquo;\u00e9valuation en fonction de ce que le pr\u00eateur a r\u00e9ellement demand\u00e9, pas de ce qui est le plus rapide \u00e0 obtenir. Une attestation produite par l&rsquo;\u00e9quipe qui g\u00e8re elle-m\u00eame votre infrastructure n&rsquo;a pas le m\u00eame poids qu&rsquo;un rapport produit par une partie qui n&rsquo;a rien \u00e0 vous vendre par la suite.<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">Nous accompagnons des dirigeants dont la banque demande une \u00e9valuation de cybers\u00e9curit\u00e9, avec un \u00e9ch\u00e9ancier d\u00e9j\u00e0 fix\u00e9, souvent \u00e0 quelques semaines de la cl\u00f4ture. Notre r\u00f4le est de produire un dossier honn\u00eate, rapidement, sans vous vendre un projet de transformation qui n&rsquo;a pas sa place dans le contexte d&rsquo;une transaction en cours. Une condition de financement vous bloque ? Un rapport ind\u00e9pendant, livr\u00e9 dans les d\u00e9lais de votre transaction, par un cabinet qui n&rsquo;a aucun service d&rsquo;infog\u00e9rance \u00e0 vous vendre ensuite : vous pouvez <a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">planifier un appel exploratoire<\/a> pour situer votre dossier avant de vous engager.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit TI ind\u00e9pendant pour votre pr\u00eateur<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/accompagnement-cyberassurance\/\">accompagnement cyberassurance et questionnaires d&rsquo;assureur<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>L&rsquo;\u00e9valuation doit-elle \u00eatre faite par une firme externe, ou un questionnaire rempli \u00e0 l&rsquo;interne suffit-il ?<\/summary><p class=\"wp-block-paragraph\">\u00c7a d\u00e9pend du montant en jeu. Quand la banque demande une \u00e9valuation de cybers\u00e9curit\u00e9 pour une petite marge de cr\u00e9dit, un questionnaire auto-d\u00e9clar\u00e9 suffit parfois. Un pr\u00eat \u00e0 terme important ou une ronde de financement institutionnelle demande g\u00e9n\u00e9ralement un rapport produit par une partie externe \u00e0 votre \u00e9quipe TI, qui n&rsquo;a pas d&rsquo;int\u00e9r\u00eat dans le r\u00e9sultat. Ce questionnaire reste utile comme premier \u00e9change, mais une demande plus formelle suit souvent d\u00e8s que la transaction prend de l&rsquo;ampleur.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Que faire si le d\u00e9lai fix\u00e9 par le pr\u00eateur est trop court ?<\/summary><p class=\"wp-block-paragraph\">Communiquez t\u00f4t avec votre directeur de compte plut\u00f4t que d&rsquo;attendre d&rsquo;avoir un dossier complet. Un d\u00e9lai peut parfois s&rsquo;ajuster si vous d\u00e9montrez que la d\u00e9marche est r\u00e9ellement en cours, avec un livrable interm\u00e9diaire, plut\u00f4t que de laisser le silence s&rsquo;installer jusqu&rsquo;\u00e0 l&rsquo;\u00e9ch\u00e9ance.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le rapport a-t-il une dur\u00e9e de validit\u00e9 ?<\/summary><p class=\"wp-block-paragraph\">Il n&rsquo;existe pas de r\u00e8gle fixe. Un rapport vieux de plusieurs ann\u00e9es perd sa valeur probante rapidement aux yeux d&rsquo;un pr\u00eateur, surtout si votre infrastructure a chang\u00e9 depuis. Beaucoup d&rsquo;organisations renouvellent ce type d&rsquo;\u00e9valuation \u00e0 peu pr\u00e8s chaque ann\u00e9e, au m\u00eame rythme que leurs autres d\u00e9marches de gouvernance.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Est-ce la m\u00eame chose qu&rsquo;un test d&rsquo;intrusion ?<\/summary><p class=\"wp-block-paragraph\">Non. Un test d&rsquo;intrusion cherche activement \u00e0 exploiter des failles techniques pr\u00e9cises. Une \u00e9valuation destin\u00e9e \u00e0 un pr\u00eateur porte sur un portrait plus large de votre posture de s\u00e9curit\u00e9 et de votre gouvernance. Les deux peuvent se recouper, mais un pr\u00eateur qui demande une \u00ab \u00e9valuation de cybers\u00e9curit\u00e9 satisfaisante \u00bb ne demande pas n\u00e9cessairement un test d&rsquo;intrusion.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Est-ce diff\u00e9rent si c&rsquo;est un investisseur qui l&rsquo;exige plut\u00f4t qu&rsquo;une banque ?<\/summary><p class=\"wp-block-paragraph\">Pas fondamentalement. Un investisseur en capital de risque pose g\u00e9n\u00e9ralement la m\u00eame question qu&rsquo;un pr\u00eateur : est-ce qu&rsquo;un incident de s\u00e9curit\u00e9 menacerait la valeur de l&rsquo;entreprise dans laquelle il investit. La diff\u00e9rence est souvent le moment o\u00f9 la demande arrive, plus t\u00f4t dans la ronde, parfois d\u00e8s la lettre d&rsquo;intention, et le degr\u00e9 de d\u00e9tail attendu, qui peut \u00eatre plus pouss\u00e9 si d&rsquo;autres investisseurs institutionnels participent au tour.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/lautorite.qc.ca\/professionnels\/assureurs\/lignes-directrices\/risque-operationnel\/gestion-des-risques-lies-aux-technologies-de-linformation-et-des-communications\" target=\"_blank\" rel=\"noopener nofollow\">Autorit\u00e9 des march\u00e9s financiers \u2014 gestion du risque li\u00e9 aux technologies de l&rsquo;information et des communications (TIC)<\/a><\/li><li><a href=\"https:\/\/www.bdc.ca\/fr\" target=\"_blank\" rel=\"noopener nofollow\">Banque de d\u00e9veloppement du Canada \u2014 ressources sur le financement et le risque d&rsquo;affaires<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/petites-moyennes-entreprises\" target=\"_blank\" rel=\"noopener nofollow\">Centre canadien pour la cybers\u00e9curit\u00e9 \u2014 guide destin\u00e9 aux PME<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"L\\u0027\u00e9valuation doit-elle \u00eatre faite par une firme externe, ou un questionnaire rempli \u00e0 l\\u0027interne suffit-il ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"\u00c7a d\u00e9pend du montant en jeu. Quand la banque demande une \u00e9valuation de cybers\u00e9curit\u00e9 pour une petite marge de cr\u00e9dit, un questionnaire auto-d\u00e9clar\u00e9 suffit parfois. Un pr\u00eat \u00e0 terme important ou une ronde de financement institutionnelle demande g\u00e9n\u00e9ralement un rapport produit par une partie externe \u00e0 votre \u00e9quipe TI, qui n\\u0027a pas d\\u0027int\u00e9r\u00eat dans le r\u00e9sultat. Ce questionnaire reste utile comme premier \u00e9change, mais une demande plus formelle suit souvent d\u00e8s que la transaction prend de l\\u0027ampleur.\"}},{\"@type\":\"Question\",\"name\":\"Que faire si le d\u00e9lai fix\u00e9 par le pr\u00eateur est trop court ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Communiquez t\u00f4t avec votre directeur de compte plut\u00f4t que d\\u0027attendre d\\u0027avoir un dossier complet. Un d\u00e9lai peut parfois s\\u0027ajuster si vous d\u00e9montrez que la d\u00e9marche est r\u00e9ellement en cours, avec un livrable interm\u00e9diaire, plut\u00f4t que de laisser le silence s\\u0027installer jusqu\\u0027\u00e0 l\\u0027\u00e9ch\u00e9ance.\"}},{\"@type\":\"Question\",\"name\":\"Le rapport a-t-il une dur\u00e9e de validit\u00e9 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Il n\\u0027existe pas de r\u00e8gle fixe. Un rapport vieux de plusieurs ann\u00e9es perd sa valeur probante rapidement aux yeux d\\u0027un pr\u00eateur, surtout si votre infrastructure a chang\u00e9 depuis. Beaucoup d\\u0027organisations renouvellent ce type d\\u0027\u00e9valuation \u00e0 peu pr\u00e8s chaque ann\u00e9e, au m\u00eame rythme que leurs autres d\u00e9marches de gouvernance.\"}},{\"@type\":\"Question\",\"name\":\"Est-ce la m\u00eame chose qu\\u0027un test d\\u0027intrusion ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Un test d\\u0027intrusion cherche activement \u00e0 exploiter des failles techniques pr\u00e9cises. Une \u00e9valuation destin\u00e9e \u00e0 un pr\u00eateur porte sur un portrait plus large de votre posture de s\u00e9curit\u00e9 et de votre gouvernance. Les deux peuvent se recouper, mais un pr\u00eateur qui demande une \u00ab \u00e9valuation de cybers\u00e9curit\u00e9 satisfaisante \u00bb ne demande pas n\u00e9cessairement un test d\\u0027intrusion.\"}},{\"@type\":\"Question\",\"name\":\"Est-ce diff\u00e9rent si c\\u0027est un investisseur qui l\\u0027exige plut\u00f4t qu\\u0027une banque ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Pas fondamentalement. Un investisseur en capital de risque pose g\u00e9n\u00e9ralement la m\u00eame question qu\\u0027un pr\u00eateur : est-ce qu\\u0027un incident de s\u00e9curit\u00e9 menacerait la valeur de l\\u0027entreprise dans laquelle il investit. La diff\u00e9rence est souvent le moment o\u00f9 la demande arrive, plus t\u00f4t dans la ronde, parfois d\u00e8s la lettre d\\u0027intention, et le degr\u00e9 de d\u00e9tail attendu, qui peut \u00eatre plus pouss\u00e9 si d\\u0027autres investisseurs institutionnels participent au tour.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>La banque demande une \u00e9valuation de cybers\u00e9curit\u00e9 pour d\u00e9bloquer votre financement : ce qu&rsquo;il faut fournir, les formes accept\u00e9es, les d\u00e9lais r\u00e9alistes.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[26],"tags":[1362,1354,1360,1364,108,1356,1352,1358],"class_list":["post-899","post","type-post","status-publish","format-standard","hentry","category-gouvernance_ti","tag-attestation-cybersecurite-banque","tag-condition-de-financement-cybersecurite","tag-cybersecurity-due-diligence-investors","tag-financement-pme-exigence-cybersecurite","tag-gouvernance-ti","tag-investisseur-exige-audit-cybersecurite","tag-la-banque-demande-une-evaluation-de-cybersecurite","tag-preuve-de-posture-cyber-financement"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/899","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=899"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/899\/revisions"}],"predecessor-version":[{"id":1392,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/899\/revisions\/1392"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=899"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=899"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=899"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}