Qu'avez-vous fait, mesuré et signé ?

Jamais sans accord écrit. Trois références sont publiées : une biotech cotée, anonymisée par contrat, et deux références nominatives avec témoignage, Fondatec et ARM Formation. D'autres organisations accompagnées entre 2023 et 2026 sont nommées, Couleurs Leroux, MR3G, Phyto-Victimes, ONF Agir pour la Forêt, Facily Work, et leurs verbatims détaillés ne sont fournis que sur accord de la direction concernée.

Deux sites sous contrat, le site institutionnel et celui destiné aux professionnels de santé, chez deux hébergeurs, avec un référent unique et un compte rendu écrit à chaque intervention. Reprise technique des deux sites, cartographie des prestataires et des accès avec retrait des accès illégitimes et rotation des secrets, réponse à incident après une livraison contenant des composants compromis, puis architecture cible avec migration vers un hébergement français sous contrat et astreinte contractuelle.

Non, et la référence principale du cabinet le démontre : aucun usage de l'IA n'est en jeu chez cette biotech cotée. La gouvernance commence par savoir qui tient vos sites, où sont vos données et qui répond quand ça casse. Le travail est le même avec ou sans volet IA : un référent, un registre, un comité, une astreinte.

Chez Fondatec, bureau d'études géotechniques en région Sud sur marchés publics et grands comptes du BTP : des mots-clés cœur de métier passés en position zéro sur Google, une présence confirmée dans les réponses des moteurs IA sur la géotechnique en PACA, et une mission reconduite depuis plus de deux ans. Le périmètre couvrait la refonte du site, la stratégie SEO, la rédaction, l'extension AEO et GEO et la gouvernance de contenu.

Le cabinet donne ce qu'il a le droit de donner : une étude de cas anonymisée quand le contrat l'impose, un nom et un verbatim quand la direction concernée l'a accordé par écrit. Il ne produit ni logo non autorisé, ni référence qu'il ne pourrait pas confirmer si on l'appelait.

Des faits vérifiables, pas des indicateurs de communication : un registre tenu et exportable, des comités effectivement réunis avec leurs comptes rendus, des écarts refermés avec une preuve de fermeture datée, des sauvegardes réellement restaurées, une chronologie d'incident remise à la direction. Sur la visibilité, la part des réponses qui citent l'organisation sur un jeu de questions stable, avec les captures datées de chaque relevé. Le cabinet ne publie aucun chiffre qu'un relevé ne soutient pas, et ne chiffre jamais en euros un risque évité. Un résultat qui ne se vérifie pas de l'extérieur n'entre pas au dossier.

Un audit initial dans le premier trimestre, soixante heures au palier Direction, avec cartographie et reconnaissance offensive non destructive, restitué au conseil. Puis un comité bimensuel, vingt-deux par an, une séance annuelle du conseil, un reporting trimestriel au conseil d'administration dans son format et son calendrier, et une astreinte sous quatre heures sept jours sur sept avec trente heures d'incident comprises. Le registre vivant est mis à jour à chaque changement, l'audit contractuel des prestataires prépare les décisions sans être un acte juridique, et deux cents heures d'ingénieur sont comprises par an. Le client de référence du cabinet relève de ce cadre et n'est pas nommé publiquement.

Une référence sectorielle peut être présentée au cadrage, dans les limites de l'accord écrit obtenu de ce client. Les organisations régulées communiquent rarement sur leurs prestataires de sécurité, et le cabinet ne force jamais un accord pour servir une vente. À défaut, les études de cas anonymisées donnent les faits, les délais et les livrables, et un diagnostic à prix fixe, de 1 950 à 2 900 € HT, permet de juger la méthode sur sa propre organisation. Juger sur pièces vaut mieux qu'un entretien de complaisance.

Oui, sous forme anonymisée uniquement. Ce qui est transmissible est la méthode : conservation de l'état compromis avant toute remise en état, révocation de l'ensemble des accès et des jetons, identification de l'origine, obligations de notification sous 72 heures à l'autorité au sens de l'article 33 du RGPD, remédiation puis chronologie remise à la direction. Les incidents proviennent souvent d'un composant livré par un prestataire précédent, et le relevé le dit sans nommer ce prestataire. Aucun nom de client n'est publié sans accord écrit.