Atelier : roadmap COMEX

Pourquoi cet atelier clôture la formation

Les neuf chapitres précédents ont construit la matière : périmètre d'application NIS2, obligations essentielles, gouvernance du risque, notification d'incident, sécurisation de la chaîne d'approvisionnement, constitution de preuves d'audit. Ce dixième chapitre change de registre. Il ne s'agit plus de savoir ce qu'il faut faire, mais d'obtenir l'arbitrage — budget, ressources, priorité — qui permet de le faire réellement.

Un comité de direction ne refuse presque jamais une roadmap de conformité par désaccord sur le fond. Il la reporte parce qu'elle est mal calibrée pour son mode de décision : trop dense, non hiérarchisée, non traduite en risque business ou en coût d'opportunité. Cet atelier est construit pour produire, à l'issue de sa lecture, une trame de pitch réutilisable, un jeu d'indicateurs orientés décision, une méthode de construction de roadmap trimestrielle et une liste d'objections à anticiper avant même qu'elles soient posées.

L'article 20 de la directive NIS2, transposé en droit interne, engage la responsabilité personnelle des dirigeants sur la gouvernance du risque cyber — au-delà de la responsabilité de l'entité elle-même. Le COMEX n'est donc pas un public à convaincre par courtoisie institutionnelle : c'est l'organe qui porte, individuellement, le risque juridique final. Un pitch mal construit ne fait pas seulement perdre du temps, il prive les dirigeants de l'information dont ils ont besoin pour exercer cette responsabilité en connaissance de cause.

Ce que le COMEX attend (et ce qu'il n'attend pas)

Un comité de direction lit un dossier de conformité avec trois questions en tête, généralement dans cet ordre : quel est le risque si rien n'est fait, combien cela coûte, et qu'est-ce qu'on nous demande de décider aujourd'hui. Tout élément du pitch qui n'alimente aucune de ces trois questions ralentit la lecture et dilue une attentionattentionIAMécanisme par lequel un modèle pondère l'importance de chaque token du contexte lorsqu'il en traite un autre, quelle que soit la distance qui les sépare.Voir dans le glossaire rare, déjà sollicitée par onze autres sujets à l'ordre du jour.

Ce qu'un COMEX n'attend pas, à l'inverse : le détail des mesures techniques prévues par le ReCyF, la liste exhaustive des vulnérabilités identifiées, ou le vocabulaire propre à la gestion du risque (probabilité résiduelle, surface d'exposition, MTTR, CVSS). Ces éléments doivent exister et rester disponibles en annexe ou sur demande d'un membre du comité, mais leur présence dans le corps du pitch signale que le travail de traduction vers un langage de décision n'a pas été fait.

Présenter une matrice de risques brute — des cases rouge, orange, vert, sans hiérarchisation ni coût associé — est l'erreur la plus fréquente en ouverture de pitch COMEX. Le comité voit alors vingt problèmes de poids visuel identique, sans levier de priorisation ni ordre de grandeur budgétaire. Face à une liste non hiérarchisée, le réflexe naturel d'un dirigeant est de reporter la décision, faute de pouvoir l'arbitrer sur-le-champ.

La structure en quatre temps du pitch

Un pitch de conformité efficace tient en quatre temps, dans un ordre fixe. Inverser cet ordre — commencer par le plan avant d'avoir établi l'enjeu, par exemple — oblige le comité à reconstruire lui-même le fil logique, ce qui dilue l'attention avant même d'arriver à la demande.

1. L'enjeu — pourquoi ce sujet mérite du temps de COMEX maintenant, et pas dans deux trimestres. L'échéance réglementaire, la responsabilité personnelle engagée, ou un incident sectoriel récent en sont les leviers les plus efficaces — à condition de rester factuel, sans dramatisation.
2. L'état des lieux — où en est l'organisation, présenté comme une trajectoire et non comme un instantané. Cinq indicateurs maximum, avec leur évolution sur les deux ou trois derniers trimestres plutôt qu'une photographie isolée.
3. Le plan — la roadmap trimestrielle qui répond à l'écart constaté, avec un jalon, un coût et un responsable identifiés pour chaque étape.
4. La demande — une décision unique, explicite et datée : valider un budget, arbitrer entre deux options de périmètre, allouer une ressource. Un pitch qui se termine sans demande claire n'obtient généralement rien, même lorsque le contenu était convaincant.

Testez votre pitch en imaginant qu'il soit interrompu après trois minutes. Si l'enjeu et la demande n'ont pas encore été énoncés à ce stade, la structure est trop lente pour un format COMEX — recalibrez avant la présentation plutôt que pendant.

Choisir les indicateurs qui parlent à la direction

Un indicateur technique et sa traduction en langage de décision ne sont pas la même chose, même lorsqu'ils décrivent le même fait. Le tableau suivant illustre cette conversion pour les indicateurs les plus fréquemment mobilisés dans un pitch NIS2/ReCyF :

Cinq indicateurs est un plafond raisonnable, pas un point de départ à compléter. Chaque indicateur ajouté au-delà de ce seuil dilue l'attention portée aux quatre ou cinq qui comptent réellement pour la décision à prendre ce jour-là.

Un même jeu d'indicateurs, présenté trimestre après trimestre selon la même grille, construit une mémoire collective au sein du COMEX. C'est cette continuité — plus que la sophistication d'un tableau de bord ponctuel — qui installe la confiance et accélère les arbitrages futurs.

Construire la roadmap trimestrielle

La roadmap présentée en COMEX ne doit pas être un plan d'action exhaustif — celui-ci reste un document opérationnel destiné aux équipes. Elle en est une projection simplifiée, organisée en trois niveaux de priorité, sur un horizon de douze à dix-huit mois découpé par trimestre :

• Réglementaire obligatoire — les écarts dont la non-résolution expose directement à une sanction ou engage la responsabilité personnelle des dirigeants. Non négociable dans le calendrier.
• Réduction de risque prioritaire — les mesures qui réduisent significativement la probabilité ou l'impact d'un incident majeur, sans être imposées par un texte à une date précise.
• Amélioration continue — les chantiers qui consolident la maturité globale, dont le calendrier peut glisser sans conséquence réglementaire immédiate.

Chaque jalon de la roadmap doit porter trois informations, sans exception : un coût estimé, même approximatif à ce stade, un responsable nommé, et le risque qu'il réduit concrètement. Un jalon sans coût associé est traité par le COMEX comme non financé — donc non réel — quelle que soit la qualité du travail de cadrage déjà réalisé en amont.

Une entité importante du secteur logistique présente en COMEX une roadmap de douze mois. Le premier jalon — mise en conformité du délai de notification d'incident — est positionné en T3, coût de 40 000 euros, porté par le RSSI. Le comité valide ce jalon sans discussion : il est réglementaire obligatoire et daté. Le troisième jalon — extension du programme de sensibilisation à l'ensemble des filiales — est repoussé d'un trimestre lors de la présentation suivante, sans remise en cause de la roadmap globale, parce qu'il relevait de l'amélioration continue et non de l'obligatoire. Cette hiérarchisation initiale a évité que le report d'un chantier secondaire ne soit perçu comme un dérapage global du plan.

Anticiper les arbitrages et objections

Un pitch bien construit anticipe les objections plutôt que de les découvrir en séance. Les plus fréquentes, et une amorce de réponse pour chacune :

• « On n'a pas le budget cette année. » Répondre en coût comparé : coût de la mesure face au coût estimé de l'inaction (temps d'indisponibilité, sanction potentielle, coût de remédiation post-incident), plutôt qu'en défendant le montant isolément.
• « On n'a jamais eu d'incident, pourquoi maintenant ? » Distinguer le risque perçu (absence d'incident vécu) du risque réel (probabilité sectorielle documentée, évolution du cadre réglementaire). Des donnéesdonnéesIAEnsemble d'informations structurées ou non utilisées pour entraîner, évaluer ou alimenter un modèle. La qualité, la quantité et la représentativité des données sont les facteurs décisifs pour les performances en apprentissage automatique.Voir dans le glossaire sectorielles chiffrées convainquent davantage qu'une alerte générale.
• « Confiez ça à la DSI, ce n'est pas un sujet de COMEX. » Rappeler que l'article 20 engage la responsabilité personnelle des dirigeants, pas seulement celle de la fonction technique — ce qui déplace mécaniquement le sujet au niveau de gouvernance.
• « Réduisez le périmètre à l'essentiel. » Une opportunité plutôt qu'un obstacle si la roadmap distingue déjà l'obligatoire réglementaire de l'amélioration continue : proposer de conserver le premier niveau intact et de reporter le troisième.

Un arbitrage qui réduit le périmètre ou repousse un jalon doit être formellement acté — compte rendu de COMEX, décision datée et consignée — plutôt que rester une discussion informelle en fin de réunion. Cet arbitrage devient lui-même une pièce de l'evidence pack : il démontre, en cas d'audit, que le risque résiduel accepté a fait l'objet d'une décision de gouvernance explicite, et non d'un simple oubli opérationnel.

Storytelling : du risque à la valeur métier

Un pitch construit uniquement sur la peur — l'énumération de scénarios catastrophes — fonctionne une fois, rarement deux. Le COMEX s'immunise vite contre un discours perçu comme systématiquement alarmiste, et la crédibilité du porteur du dossier s'érode à chaque nouvelle présentation qui reprend le même registre.

La conformité NIS2/ReCyF porte pourtant une valeur positive, réelle et chiffrable, qu'un pitch efficace met en avant à côté du risque évité :

• La confiance contractuelle — de plus en plus d'appels d'offres, notamment dans les secteurs régulés, exigent une preuve de conformité NIS2 comme critère d'éligibilité, pas seulement comme critère de notation.
• La différenciation concurrentielle — une organisation capable de démontrer sa maturité cyber en amont d'un audit client gagne un temps de cycle commercial mesurable face à des concurrents moins préparés.
• Le coût de l'assurance cyber — les assureurs intègrent de plus en plus la maturité de gouvernance dans le calcul de prime, avec des écarts significatifs entre une organisation documentée et une organisation qui ne l'est pas.
• La résilience opérationnelle — au-delà de la conformité, une organisation capable de restaurer un système rapidement après incident limite un coût d'indisponibilité qui, en pratique, dépasse souvent le coût des mesures de prévention correspondantes.

Alternez, d'une présentation trimestrielle à l'autre, un temps centré sur le risque évité et un temps centré sur la valeur créée. Un pitch uniquement défensif finit par lasser ; un pitch uniquement promotionnel perd sa crédibilité factuelle. L'alternance maintient l'attention du comité sur la durée du programme.

Checklist avant la présentation

• Le pitch tient-il en quinze minutes, montre en main, sans slide superflue ?
• Le dossier s'appuie-t-il sur cinq indicateurs maximum, chacun avec sa méthode de calcul disponible en cas de question ?
• Chaque jalon de la roadmap porte-t-il un coût, un responsable nommé et le risque qu'il réduit ?
• Le pitch se termine-t-il sur une demande de décision unique, explicite et datée ?
• Les trois ou quatre objections les plus probables ont-elles une réponse préparée, chiffrée si possible ?
• Le pitch a-t-il été répété devant un profil non technique, capable de signaler les passages qui basculent dans le jargon ?

Cette checklist ne garantit pas l'adhésion du COMEX — aucune ne le peut, l'arbitrage final reste une décision de gouvernance. Elle garantit en revanche que le refus ou le report, s'il survient, portera sur le fond de la décision et non sur la forme de sa présentation.