Combien coûte un audit de sûreté ? Les quatre variables

C’est la question qui arrive en deuxième, juste après « est-ce que ça nous concerne ». Elle mérite une réponse honnête, et une réponse honnête ne commence pas par un chiffre : elle commence par ce qui fait varier le chiffre, parce que l’écart entre deux devis pour « un audit anti-drone » peut atteindre un facteur dix.

Les quatre variables qui font le prix

1. La surface et la complexité

Un site unique de deux hectares, clos, à bâtiment unique, ne demande pas le même temps qu’un site de trente hectares à plusieurs entités, avec des voisins mitoyens et un relief qui offre des points hauts. Le relevé des axes d’approche est du travail de terrain, et il se compte en journées de présence.

2. Le nombre de points sensibles

Caractériser ce qui est lisible depuis le ciel demande de savoir ce qui compte. Trois points critiques identifiés vont vite. Vingt-cinq, répartis sur plusieurs ateliers, avec des enjeux différents — procédé, données, personnes — demandent un travail d’entretien avec vos équipes avant même de sortir sur le site.

3. La profondeur d’analyse

C’est ici que les devis divergent le plus, et c’est la ligne à lire en premier.

• Un relevé d’exposition : la liste de ce qui est visible, les axes d’approche, les angles morts. Utile, rapide, et suffisant pour engager les premières mesures.
• Une analyse de risque structurée, selon EBIOS RM : sources de risque, scénarios stratégiques et opérationnels, cotation par impact et par vraisemblance, mesures priorisées. Plus long, mais seul format qui s’intègre à une étude de dangers ou à un dossier de sûreté existant. Nous en détaillons le déroulement dans les cinq étapes d’un audit de sûreté physique.

C’est la seconde que nous pratiquons dans un audit de vulnérabilité, parce que c’est celle qui produit un document opposable en interne — et donc des décisions.

4. La mise à l’épreuve

Un audit décrit ce qui est possible. Une Red Team aérienne établit ce qui se passe réellement : le scénario est joué sans prévenir les équipes, et l’on mesure la détection, les procédures et la chaîne d’alerte. C’est une prestation distincte, elle a son coût propre, et elle n’a de sens qu’après l’audit.

Pourquoi nous ne publions pas de tarif

Parce qu’un tarif affiché pour ce type de prestation est presque toujours trompeur. Ou bien il correspond à un périmètre si étroit qu’il ne répond pas à votre besoin, ou bien il est calculé sur un site moyen qui n’existe pas.

Nous préférons la méthode inverse : un échange de trente minutes suffit à cadrer le périmètre, et donc à donner une fourchette qui tient. Et s’il nous semble qu’un relevé simple suffit là où vous imaginiez une analyse complète, nous le disons. Cela fait partie de ce à quoi nous nous engageons.

Ce qui coûte cher n’est pas l’audit. C’est le radar installé là où une écoute radio suffisait.

La comparaison qui compte vraiment

Mettre le prix d’un audit en regard du prix d’un dispositif de détection change la perspective. Un ensemble de capteurs représente un investissement, plus une maintenance, plus — et c’est le poste oublié — quelqu’un pour regarder les alertes.

Or les quatre familles de capteurs ne voient pas la même chose, et le mauvais choix se paye deux fois : à l’achat, puis en fausses alarmes jusqu’à ce que plus personne ne regarde l’écran. L’audit, lui, commence par des mesures gratuites : couvrir ce qu’on aperçoit d’en haut, écrire une fiche réflexe, ouvrir un registre de survols. Ces trois-là retirent une part réelle de l’exposition sans rien acheter.

Ce que vous devez exiger dans un devis

Quatre points à vérifier, quel que soit le prestataire :

• Le nombre de journées sur site, distinct du temps de rédaction. Un travail mené depuis un bureau sur des photos aériennes n’est pas un audit.
• La nature du livrable : relevé ou analyse cotée. Demandez un sommaire type.
• L’indépendance vis-à-vis des fournisseurs de matériel. Un audit gratuit ou très bon marché est presque toujours l’antichambre d’une vente d’équipement.
• Ce qui est priorisé : un livrable qui liste quarante mesures sans les ordonner par impact et par coût vous laisse exactement là où vous étiez.

Sur ce dernier point, notre position est simple : nous ne revendons aucun matériel, ce qui est la seule position depuis laquelle un conseil en choix de capteurs peut être donné honnêtement.

Et si le sujet ne se pose pas ?

C’est une issue possible, et nous la disons. Un site sans enjeu visible depuis le ciel, sans voisinage exploitable, sans historique de survol, peut se contenter d’un registre et d’une fiche réflexe — deux documents, une heure de travail.

Le déroulement d’un audit, journée par journée, est détaillé dans la FAQ. Pour une fourchette chiffrée sur votre site, il faut en connaître le périmètre : trente minutes au téléphone suffisent, sans engagement.