Audit et étude de projet : savoir ce que vaut votre existant et ce que coûtera votre projet, avant d'investir

Que couvre une mission d'audit et d'étude de projet, et où s'arrête-t-elle ?

Cette page décrit deux prestations courtes, qui ont un point commun : elles se terminent par un document, pas par un logiciel. La première est l'audit d'un système qui existe déjà. On examine votre site, votre application, votre ERP ou l'ensemble de vos outils, et l'on dit ce qui tient, ce qui menace de céder et ce que cela coûte de laisser en l'état. La seconde est l'étude d'un projet qui n'existe pas encore : on transforme une idée en besoin écrit, chiffré et découpé, avant que la première ligne de code soit payée.

L'audit regarde huit choses : l'architecture et les versions des logiciels, la sécurité, les sauvegardes et la capacité réelle à redémarrer, la dette technique, les coûts récurrents (hébergement, licences, abonnements, maintenance), la dépendance envers un prestataire ou une seule personne, la propriété des comptes, des noms de domaine et du code, et la conformité du traitement des données personnelles. L'étude produit l'expression du besoin, le cahier des charges, le choix argumenté entre un outil du marché, un ERP paramétré et un développement sur mesure, une estimation par lots, des maquettes, un planning et des critères d'acceptation.

Les deux missions s'enchaînent souvent. Un dirigeant qui veut refaire son application commence par faire auditer l'ancienne : on sait alors ce qui peut être conservé, quelles données devront être reprises et quels engagements pèsent encore, avant d'écrire le cahier des charges de la nouvelle. À l'inverse, une étude peut conclure qu'il ne faut rien construire, parce qu'un outil existant, mieux réglé, fait déjà l'essentiel. C'est un résultat utile, et il coûte bien moins cher qu'un développement abandonné au bout de six mois.

Trois sujets voisins ont leur propre page. Le choix des chantiers numériques de toute une organisation, sur plusieurs années, relève du consultant en digitalisation ; leur mise en œuvre, de la digitalisation d'entreprise. L'examen de votre visibilité sur Google relève de l'audit SEO complet. Enfin, l'audit décrit ici n'est ni un test d'intrusion certifié, ni une consultation juridique : quand une faille grave ou une question de droit apparaît, le rapport le signale et indique vers quel spécialiste se tourner.

Pourquoi les entretiens pèsent-ils autant que l'analyse du code ?

Un serveur dit quelle version de PHP il exécute ; il ne dit pas que la comptable exporte chaque soir les ventes dans un tableur parce qu'un rapport est faux depuis deux ans. La moitié des constats utiles d'un audit vient des personnes, pas des machines. C'est aussi vrai pour une étude : le cahier des charges le plus soigné échoue s'il décrit la procédure officielle au lieu du travail réel.

Chaque entretien suit une trame écrite d'avance. Que faites-vous chaque jour dans l'outil, et que faites-vous à côté, sur papier, dans un tableur ou sur WhatsApp ? Qu'est-ce qui vous a fait perdre le plus de temps le mois dernier ? Qui appelez-vous quand cela ne marche pas, et combien de temps attendez-vous la réponse ? Quels mots de passe connaissez-vous, et d'où viennent-ils ? Les réponses à cette dernière question surprennent souvent la direction.

Les entretiens servent enfin à mesurer la dépendance envers une personne. Quand une seule employée sait relancer le serveur, régénérer le certificat du site ou corriger le modèle de facture, l'entreprise ne possède pas vraiment son outil : elle le loue à cette personne. Le rapport le dit sans désigner de coupable, et propose les moyens de répartir ce savoir : procédure écrite, second compte d'administration, transfert de compétences, ou une formation en entreprise pour le référent désigné.

Qui possède vraiment vos comptes, votre code et vos données ?

C'est la question la plus simple de l'audit, et celle dont la réponse inquiète le plus souvent. Le nom de domaine est fréquemment enregistré au nom personnel de l'ancien prestataire ou du neveu qui a créé le premier site. L'hébergement est payé par la carte d'un associé parti. L'application mobile est publiée sous le compte développeur d'une agence. Le dépôt de code se trouve sur un compte privé auquel vous n'avez jamais eu accès. Tant que tout va bien, personne ne s'en aperçoit.

Le jour où la relation se dégrade, chacun de ces points devient un moyen de pression, ou simplement un blocage : un domaine qui expire faute de renouvellement emporte le site et les adresses électroniques avec lui. L'audit établit donc, élément par élément, le titulaire réel, la date d'échéance, la personne qui détient les accès et la marche à suivre pour transférer ce qui doit l'être à votre entreprise. Les transferts eux-mêmes se font avec l'accord des titulaires actuels.

Pour le code, la loi ne règle pas tout d'elle-même. En France, l'article L113-9 du Code de la propriété intellectuelle attribue à l'employeur les droits patrimoniaux sur les logiciels créés par ses employés dans l'exercice de leurs fonctions, sauf stipulation contraire. Ce texte vise les salariés ; pour un indépendant ou une agence, ce que vous possédez dépend de ce que dit le contrat. L'audit relit donc les contrats de développement existants et signale l'absence de clause de cession, à faire vérifier par un juriste du pays concerné.

Les données suivent la même logique. Un logiciel en ligne qui ne permet pas d'exporter vos clients, vos factures et leur historique dans un format lisible vous retient autant qu'un contrat. L'audit teste un export réel, sur un échantillon, et vérifie que ce qui en sort est exploitable ailleurs : colonnes compréhensibles, pièces jointes incluses, identifiants conservés. Une sortie impossible n'est pas forcément une raison de partir, mais c'est un risque à connaître avant de construire davantage dessus.

Sur quels référentiels publics l'audit s'appuie-t-il ?

Une grille d'audit inventée pour l'occasion ne prouve rien. Celle-ci s'adosse à des documents publics que vous pouvez lire vous-même. Pour l'organisation et l'hygiène du parc, le guide d'hygiène informatique de l'ANSSI, publié le 23 janvier 2017, rassemble 42 mesures destinées à la personne qui a la charge du bon fonctionnement de l'informatique d'une organisation. Pour une petite structure, le guide « La cybersécurité pour les TPE/PME en 13 questions », publié par l'ANSSI avec la Direction générale des Entreprises dans une deuxième édition d'octobre 2022, se lit en une soirée.

Pour une application web, le rapport classe les faiblesses selon l'OWASP Top 10:2025, dont les deux premières catégories sont le contrôle d'accès défaillant et la mauvaise configuration de sécurité, suivies des défaillances de la chaîne d'approvisionnement logicielle, c'est-à-dire des bibliothèques et extensions tierces. Quand l'étude d'un projet doit fixer un niveau d'exigence vérifiable, elle s'appuie plutôt sur l'OWASP ASVS, dont la version stable est la 5.0.0 selon la page du projet : c'est une liste d'exigences que l'on peut écrire dans un cahier des charges et vérifier à la recette.

Pour les données personnelles, le guide de la sécurité des données personnelles de la CNIL, dans son édition du 26 mars 2024, compte 25 fiches réparties en 5 parties, dont de nouvelles fiches sur l'informatique en nuage, les applications mobiles, l'intelligence artificielle et les API. Le guide RGPD du développeur, dont la CNIL a publié une nouvelle version le 13 décembre 2021, sert de référence pour juger la manière dont le code a été écrit : gestion du code source, choix des bibliothèques, tests, durées de conservation.

Que contient un cahier des charges qui permet de recevoir des devis comparables ?

Un bon cahier des charges décrit ce que l'outil doit permettre, pas la façon de le programmer. Il commence par le contexte : qui êtes-vous, combien de personnes utiliseront l'outil, sur quels appareils, avec quelle connexion, dans quels pays. Viennent ensuite les profils d'utilisateurs, puis les besoins rédigés sous forme de situations concrètes : « le magasinier enregistre une réception partielle et le stock se met à jour », plutôt que « module de gestion des stocks ». Chaque besoin porte une priorité : indispensable au lancement, souhaitable, ou plus tard.

La partie la plus souvent oubliée concerne les exigences qui ne sont pas des fonctions : temps de réponse acceptable sur une connexion mobile, fonctionnement pendant une coupure, langues, accessibilité, volumes attendus, hébergement imposé ou non, sauvegardes, journalisation, niveau de sécurité. Ce sont elles qui expliquent la plupart des écarts de prix entre deux devis : un prestataire qui les ignore paraît moins cher, et facture la différence plus tard sous forme d'avenants.

Le document fixe aussi ce qui est hors périmètre, la liste des données à reprendre de l'ancien système, les interfaces avec d'autres logiciels (paiement mobile money, WhatsApp, comptabilité, ERP), les livrables attendus du prestataire (code source, documentation, accès, formation) et les conditions de propriété. Enfin, chaque besoin indispensable reçoit un critère d'acceptation : la phrase vérifiable qui dira, le jour de la recette, si le travail est fait. Sans ces critères, la fin d'un projet se négocie au lieu de se constater.

Pourquoi une estimation honnête se donne-t-elle en fourchette, et par lots ?

Un prix unique annoncé pour un projet entier, avant d'en avoir décrit les écrans, est une promesse commerciale, pas une estimation. Une estimation sérieuse part du découpage : chaque lot est assez petit pour être imaginé en détail, ses tâches sont listées, et chacune reçoit une fourchette basse et haute. L'écart entre les deux est une information en soi : un lot dont la fourchette va du simple au triple signale un point mal compris, qu'il vaut mieux éclaircir avant de signer.

Le découpage par lots a un second intérêt : il permet de commencer petit. Le premier lot livré, testé et utilisé apprend plus sur le projet que des semaines de réunions. Si le budget se resserre, on s'arrête après un lot utile au lieu d'abandonner un projet inachevé. L'estimation indique enfin ce qu'elle ne couvre pas : licences, frais de l'agrégateur de paiement, hébergement, maintenance annuelle. Ces coûts récurrents figurent sur une ligne séparée, pour que le budget sur trois ans soit visible dès le départ.

Comment l'étude aide-t-elle à choisir un prestataire, y compris par appel d'offres ?

Le cahier des charges sert d'abord à consulter. Il est rédigé pour qu'un prestataire inconnu puisse le chiffrer sans réunion préalable, et il s'accompagne d'un bordereau de réponse : le même tableau de lots à remplir par chaque candidat, avec ses jours, son prix, ses hypothèses et ses exclusions. Les offres deviennent alors comparables ligne à ligne, et un écart de prix s'explique au lieu d'intriguer.

L'analyse technique des réponses vérifie la cohérence entre l'estimation et le contenu : un lot de paiement chiffré à deux jours alors qu'il suppose un rapprochement automatique, une absence de ligne pour la reprise des données, une technologie que personne ne saura maintenir dans le pays. Elle prépare aussi les questions de clarification à poser aux candidats et, si vous le souhaitez, un petit exercice technique ou une démonstration sur un cas réel du cahier des charges.

Pour une structure publique, une ONG ou un projet financé, la consultation obéit aux règles du financeur ou au code des marchés publics du pays : forme du dossier, critères publiés, délais de réponse, procès-verbaux. L'étude fournit la partie technique de ce dossier (spécifications, critères d'évaluation techniques, grille de notation) ; la procédure elle-même reste conduite par votre organisation. Si Richard est candidat à la réalisation, il ne participe évidemment pas à l'évaluation des offres.

Versions hors support : pourquoi l'audit commence-t-il par les dates ?

Un logiciel qui ne reçoit plus de correctifs de sécurité ne casse pas du jour au lendemain ; il devient seulement de plus en plus facile à attaquer. Selon la page des versions supportées de php.net, PHP 8.2 ne reçoit plus que des correctifs de sécurité, jusqu'au 31 décembre 2026, et les branches 8.0 et 8.1 ne figurent plus parmi les versions suivies. Beaucoup de sites et d'applications construits il y a quelques années tournent encore sur ces versions, souvent sans que leur propriétaire le sache.

Il en va de même pour les postes et les ERP. Microsoft a cessé la prise en charge de Windows 10 le 14 octobre 2025, et la page de support des versions d'Odoo indique la fin du support standard d'Odoo 17.0 en septembre 2026. Le rapport rassemble ces échéances dans un calendrier unique : pour chaque élément, la date à laquelle il cesse d'être suivi, le coût estimé d'une mise à niveau et ce qu'elle impose, par exemple le portage des modules spécifiques d'un ERP.

Données personnelles, mobile money, connexion, langue : que change le contexte local ?

Au Bénin, la loi n° 2017-20 du 20 avril 2018 portant code du numérique donne à l'audit une partie de sa grille. Son article 426 impose au responsable du traitement et à son sous-traitant des mesures de sécurité appropriées, qui peuvent comprendre le chiffrement, des moyens de rétablir l'accès aux données après un incident et « une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité » de ces mesures. Un audit périodique répond précisément à ce dernier point. L'article 435 exige un registre des activités de traitement, et l'article 434 que les données restent exploitables quel que soit le support technique.

Pour un projet nouveau, l'étude vérifie aussi l'article 428 de la même loi : un traitement susceptible d'engendrer un risque élevé pour les personnes, en particulier par le recours à de nouvelles technologies, exige une analyse d'impact avant sa mise en œuvre. En Europe, le RGPD prévoit la même logique à son article 35, la protection des données dès la conception à son article 25 et des mesures de sécurité à son article 32. La page de la CNIL sur l'analyse d'impact détaille la méthode ; le cahier des charges l'inscrit au planning au lieu de la découvrir après le lancement.

Le paiement mobile appelle une vérification précise. Sur un site ou une application qui encaisse par mobile money via un agrégateur, l'audit contrôle que la commande n'est validée qu'après la confirmation envoyée par l'agrégateur au serveur, et non sur la simple page de retour affichée au client, que n'importe qui peut ouvrir. Il vérifie aussi que les clés secrètes ne figurent pas dans le code envoyé au navigateur. Le choix de l'agrégateur lui-même est traité dans le comparatif FedaPay, Kkiapay et CinetPay.

La connexion et la langue complètent le tableau. Une application conçue sur la fibre d'un bureau européen peut devenir inutilisable sur un réseau mobile chargé ou pendant une coupure : l'étude fixe donc des exigences mesurables de poids des pages et de fonctionnement dégradé, et l'audit les mesure sur un téléphone ordinaire. Les livrables sont rédigés en français, en anglais si un partenaire ou un bailleur l'exige, et remis dans des formats légers, lisibles sur téléphone. La facturation suit les règles du pays : devis en francs CFA dans la zone franc, dans la devise convenue ailleurs.

Pourquoi confier votre audit ou votre étude de projet à Richard SALANON ?

Richard SALANON est consultant en digitalisation et développeur logiciel, basé à Cotonou, au Bénin. Il crée des sites, des applications web et mobiles, des automatisations et des intégrations d'intelligence artificielle, déploie Odoo et Dolibarr, et forme les équipes à ces outils, pour des entreprises d'Afrique francophone, d'Europe et du Canada.

Avec plus de 6 ans d'expérience dans le numérique, une formation à EPITECH (2022) et plus de 50 projets livrés, il a travaillé pour des organisations au Bénin, en Côte d'Ivoire, au Togo, au Sénégal, au Burkina Faso, au Mali, au Niger, au Tchad, au Gabon, en RD Congo, en France, en Belgique, en Suisse et au Canada. Il développe en Laravel, PHP, Node.js, Vue, React et Flask, déploie Odoo et Dolibarr, publie des sites WordPress et des applications Flutter, et automatise avec n8n et Make. Cette pratique de la réalisation est ce qui rend ses estimations réalistes : il sait ce que coûte réellement ce qu'il chiffre.

Il construit aussi ses propres produits : Wapy, un assistant WhatsApp à intelligence artificielle pour les entreprises d'Afrique francophone, et il est co-fondateur d'Audyxa. Passer de l'autre côté, celui qui paie, maintient et dépend de ses outils, aide à juger un système existant avec les yeux de son propriétaire, et pas seulement avec ceux d'un technicien.

Sa façon de travailler se vérifie sur des faits : une réponse sous 24 heures, un devis gratuit et écrit avant de commencer, des constats appuyés sur des preuves, un rapport qui dit franchement quand la bonne solution est plus simple ou moins chère que prévu, et des documents qui vous appartiennent. Vous restez libre de confier la réalisation à qui vous voulez, à lui ou à un autre prestataire. Son parcours complet figure sur la page Richard SALANON, et les pays servis sur la page zones d'intervention.