Audit de Risque Projet — due diligence technique et audit de code

Une due diligence technique, pour celui qui doit décider

Quelqu'un s'apprête à engager de l'argent sur une base de code : un investisseur avant un tour, un acquéreur avant une opération, un fondateur avant la phase suivante, un comité avant un budget de sauvetage. La question est toujours la même — est-ce que ça va tenir, et sinon, où ça casse en premier, et combien ça coûte.

C'est une due diligence technique et un audit de code indépendants, à prix fixe et à date fixe, réalisés par quelqu'un qui ne soumissionnera pas sur la remédiation.

Ce que vous recevez

Une matrice des risques

Chaque constat placé par impact et probabilité, sur une page. Pas une liste de 200 avertissements d'analyse statique : la poignée de points qui décide si ce produit survit à ses douze prochains mois.

Les trois zones les plus faibles, chiffrées

Pour chacune : ce que c'est, ce qui se passe si rien n'est fait, et ce que coûte la correction, en jours-homme. Un risque sans chiffre est un risque sur lequel personne n'agira.

Un plan priorisé à 90 jours

Ce qu'il faut faire d'abord, ce qui peut attendre, et ce qu'il faut délibérément ne pas faire. Ordonné par risque supprimé par jour dépensé, pas par plaisir de correction.

Un audit de code sur ce qui compte

Structure, santé des dépendances, couverture de tests là où elle a un sens, les expositions de sécurité évidentes, et les parties du code qu'une seule personne comprend.

Une restitution de 90 minutes

En direct, avec les personnes qui doivent agir, pour que les questions trouvent leur réponse tant que le raisonnement est encore dans la pièce.

Comment se déroulent les dix jours

Jours 1 à 2 — accès et cadrage

Accès au dépôt, vue d'ensemble du déploiement, et une conversation sur la décision que cet audit alimente. Un audit sans décision derrière est un document cher.

Jours 3 à 6 — revue du code et du processus

La base de code, le processus de livraison, l'historique des mises en production, et l'écart entre ce que l'équipe décrit et ce que dit le journal des commits.

Jours 7 à 8 — constats et chiffrage

Chaque constat reçoit un impact et un chiffre.

Jours 9 à 10 — document et restitution

Le livrable écrit, puis l'appel de 90 minutes.

Je ne soumissionne pas sur la remédiation

C'est explicite, et c'est le cœur de l'offre : je ne suis pas candidat aux travaux que je recommande. Un audit dont l'auteur veut vendre le chantier n'est pas un audit, c'est une proposition commerciale avec une matrice des risques agrafée devant. Si vous voulez de l'aide pour choisir qui réalise la remédiation, c'est une conversation séparée, sans intérêt financier de mon côté.

Un exemple chiffré

Un investisseur a demandé une due diligence technique sur un SaaS logistique avant un tour de table relais. Le code était meilleur que prévu. Le risque était ailleurs : un prestataire unique détenait les seuls accès à la base de production et au pipeline de déploiement, et n'avait pas été payé depuis sept semaines. Ce n'est pas un constat de code, et aucun outil automatique ne le remonte. Il est passé en tête de matrice, a été résolu en quatre jours, et n'a rien coûté à la société.

À qui cette offre ne s'adresse pas

• À qui attend de l'audit qu'il confirme une décision déjà prise
• À une évaluation de sécurité seule — c'est un audit de risque de livraison et de code, pas un test d'intrusion
• À une équipe qui a besoin que les correctifs soient faits, pas nommés

Ce qui n'est pas inclus

La mise en œuvre, aucune obligation de me recruter ensuite, pas de reprise après livraison, et pas de test d'intrusion. 50 % à la commande ; la fourchette est confirmée après cadrage, avant votre engagement.