Speaker #036,80€ de frais sur une facture non due. C'est ça le podcast d'aujourd'hui. Aujourd'hui, je ne vais pas te parler d'ISO 27001, mais on parle de revue fournisseur quand même. Je ne vais pas te parler de cybersécurité, mais de service. Ah, pardon, de sévices pour certains. Sûr que celui dont je vais te parler ici n'est pas certifié ISO 20000 non plus. Je ne vais même pas te parler d'intelligence artificielle, car si le procss est mal fait au début, qu'est-ce que tu veux que l'IA va aller améliorer là-dedans ? Le bon sens passe aussi par là. Non, je ne vais pas te parler de tout ça. Je vais te parler de 36,80€. Oui, 36,80€. Et si je te disais que ces 36,80€ représentent beaucoup plus en énergie que sa vraie valeur ? Est-ce que tu me croirais ? Et pourtant, je ne vais pas te parler d'une histoire d'argent ici, mais plutôt d'une histoire de gouvernance, de réputation, de confiance, et finalement, une histoire de risque. de la décentralisation des services et de la découpe des services à outrance en offshoring. Mais puisqu'on te dit que c'est moins cher, le DAF a toujours raison. Bienvenue dans Compliance Without Coma, le podcast. qui parle de cybersécurité, de gouvernance et de conformité, disons 27001 aussi, mais sans te plonger dans le coma, même pendant une revue des fournisseurs. Je suis Fabrice De Paepe et aujourd'hui je vais encore te parler des pickpockets numériques, mais pas de ceux que tu crois, non, de tes fournisseurs qui sont dans tes angles morts et qui représentent un risque pour ta charge mentale avant tout. N'oublie pas de liker, partager et mettre 5 étoiles. pour que d'autres puissent aussi découvrir le podcast. N'hésite pas non plus à en discuter avec un collègue CISO, RSSI ou ton équipe support, tiens, qui prend des clients en charge. Remonte leurs points et... que personne n'écoute jamais. On est dans l'ISO, je te le rappelle. Donc t'es censé prendre en compte les remarques clients et regarder comment tu peux améliorer tes process et résoudre leurs problèmes avec tes produits. Si encore tu as des clients. Mon histoire commence par une réservation de salle de réunion. La réservation se fait en ligne, via carte de crédit. Aïe, ça commence mal. Mais non, parce que j'ai checké la partie PCI DSS et je vais pas non plus te parler PCI DSS dans celui-ci. Donc je réserve la classe, et plutôt la salle, en deux clics. J'y passe une journée entière avec un collègue, avec café et feutre à volonté. Tu vois, le genre, une joute d'idées de deux entrepreneurs. On a tous déjà vécu ça. ce genre de session. On a pris une entreprise qui avait des salles de réunion à mi-chemin de notre localisation respective, une entreprise avec laquelle j'ai déjà travaillé, qui est chère, mais bon rapport qualité-prix. Tout commence par une facture pour la location de salle. Je ne la paye pas, car j'ai déjà eu le prélèvement sur ma carte de crédit. Fin de l'histoire. Enfin, c'est ce que je croyais. Quelques jours plus tard, je reçois exactement la même facture, Je contacte le fournisseur, après quelques échanges, il reconnaît son erreur, une note de crédit est émise, parfait, tout est réglé, enfin, c'est ce que je croyais aussi. Quelques semaines plus tard, je reçois une nouvelle facture, cette fois, 25 euros de frais administratifs, 11,80 euros d'intérêt de retard, 36,80 euros au total. Pourquoi ? Parce que leur système considère toujours que je n'ai pas payé une facture, tu sais ? Celles qu'ils ont créditées suite à leur erreur, qu'ils ont donc eux-mêmes reconnues comme étant erronées, puisque j'ai reçu la note de crédit. À ce moment-là, je fais ce que tout entrepreneur fait, j'essaye de résoudre le problème. Réflexe. Je contacte le bureau local, des personnes sympathiques, que j'ai rencontrées en plus physiquement, elles sont professionnelles, elles comprennent parfaitement la situation, mais elles n'ont aucun pouvoir. Des exécutants, en fait. Bienveillants. mais sans pouvoir de décision. Ah, et ce qui fait la différence dans les sociétés ? Des employés bridés parlent « je voudrais bien vous aider, mais je ne peux pas » . Alors on me renvoie vers une plateforme, puis vers un support, puis un autre support, puis je dois ouvrir un ticket, puis un autre, puis j'attends. Et pendant ce temps, le système continue tranquillement à générer des pénalités. Ça me fait penser à la taxe salami en sécurité. Une technique de fraude consistant à prélever de très petites quantités d'argent, de données ou de ressources, sur un très grand nombre de transactions. Comme ça, tu ne vois rien, ni vu ni connu. Et ça, c'est de manière à ce que chaque prélèvement soit presque imperceptible. Bon, là, je le perçois, ton prélèvement. T'inquiète. Donc, à un moment donné, je délègue le dossier à mon assistante. Je me dis, elle aura peut-être plus de succès que moi. Elle arrive exactement à la même conclusion. Le problème n'est donc pas les personnes. Le problème, c'est le process. Et c'est là que ça m'énerve, parce que finalement, c'est là où j'ai arrêté de regarder les 36,80€. Tu vas me dire, mais avec quoi tu viens ? C'est rien. Mais ça grandit. Non, parce que c'est pas le vrai coût. Le vrai coût, c'est mon temps. Le temps de mon assistante, le temps des personnes bienveillantes à l'accueil, les mails, les relances, les justificatifs, les captures d'écran, les explications, les allers-retours, la frustration, et surtout, cette charge mentale. Parce que le fichier n'est pas fermé, il est toujours dans ta tête. Est-ce que tu m'as déjà entendu parler de mon principe IoT 5 ? It only takes 5 minutes. Si une tâche prend plus de 5 minutes, je commence à me demander si le processus est réellement efficace. D'ailleurs, je devrais probablement aussi déposer ce concept un jour, parce que dans cette histoire, on est très loin des 5 minutes. Puis je commence à faire un autre calcul. Ah, il m'envoie des notes de rappel, hein. Est-ce que je prends un avocat ? Très bien. Premier rendez-vous, environ 300 euros. Puis mon temps. Puis son temps. Puis les échanges. Puis les courriers. Puis peut-être un huissier, peut-être un juge. Tout ça pour 36,80 euros. Tu vois le piège ? Le montant n'a plus aucune importance, en fait. Le système est devenu plus coûteux que le problème qu'il était censé résoudre. D'ailleurs, à l'heure où je termine cet épisode, donc on est en 2026, entre-temps, ils ont prélevé sur ma carte un nouveau montant de réservation de salle, avec, tiens-toi bien, une facture de 2025, qui pointe vers la première facture. J'étais à l'étranger, en fait, quand ça s'est passé, et j'ai d'abord cru à une fraude. Il y a toujours un léger stress quand il y a des montants spécifiques qui arrivent sur ta carte. de visa comme ça, à une constante de 500 euros près. J'ai investigué et ouf, c'était pas de la fraude. J'étais à l'étranger et obtenir du support de ma banque en décalage horaire de 6 heures, il y a mieux pour passer des vacances. C'est compliqué. IoT5, n'oublie pas. Bon. Je n'arrive pas à faire bloquer la transaction, je continue mon investigation, je suis bloqué moi-même de mon côté, je commence une lettre de mise en demeure. Avec recommandé pour quand je serai de retour sur le sol belge. Ah, mais pourquoi tu délègues pas ça ? Ben, mon assistante est en congé en même temps que moi. J'avais une chance sur 52. Ben, voilà. Donc, je suis prélevé pour un montant que je n'ai pas consommé. À nouveau, quelques jours passent. Ils m'envoient un mail d'excuse, comme quoi ils se sont trompés et vont me créditer sur le prochain relevé. Ok, ok. Mais les intérêts sur ma carte Visa, qui c'est qui les paye ? Et c'est exactement ce que nous observons en cybersécurité, un faux positif, le système détecte un problème, puis quelqu'un démontre qu'il n'y a plus de problème. Mais le système continue, les alertes continuent, les escalades continuent, les procédures continuent, ou pas, parce que plus personne n'a le pouvoir de dire stop, le problème est résolu. Et en fait, je suis arrivé à un âge où je ne me mets plus en colère, franchement, peut-être pas derrière le micro, c'est pas bon pour ma santé. Et surtout, je refuse de donner autant d'énergie à ce genre de situation. Alors aujourd'hui, je fais quelque chose de beaucoup plus simple, je dis next. Et quand je compare ce que j'ai mis en place depuis des années, notamment pour la revue des fournisseurs, mais pas que, avec la revue périodique, etc., je les challenge régulièrement. Je les challenge sur le prix, sur la qualité, sur la sécurité, la disponibilité, la conformité. Et depuis quelque temps maintenant, j'y ai ajouté un nouveau critère, la bienveillance. Parce qu'un fournisseur qui ne sait... plus résoutre une erreur qu'il reconnaît lui-même, c'est devenu un risque. Alors dans les grandes théories, on va te parler souvent des vendor risk management, on parle des risques financiers, des risques de sécurité, de conformité, mais on oublie un risque pourtant essentiel, le risque de perdre du temps, de l'énergie et de la confiance. Et c'est probablement la plus grande leçon de cette histoire. Une entreprise ne perd pas sa réputation lorsqu'elle fait une erreur. Nous en faisons tous, moi aussi, toi aussi. Une entreprise perd sa réputation lorsqu'elle n'est plus capable de réparer cette erreur. Et cette société de location de bureau a pourtant pignon sur rue. Lorsque le processus devient plus important que le client, lorsque plus personne n'a le pouvoir de prendre une décision de bon sens, lorsque le client doit batailler pour se faire créer un compte sur la plateforme pour créer un ticket auprès d'un bot IA qui ne résout même pas le problème, bienvenue en absurdité. Ça me rappelle aussi ce livre, Les décisions absurdes. Je te le conseille, tu vas te poêler en le lisant. Mais aujourd'hui, moi, mes risques sont connus, ma décision est prise, je ne suis pas fâché, je ne cherche pas à me venger. Je protège simplement mon entreprise, je protège mon temps, mon énergie. Et lors de ma prochaine revue des fournisseurs, ce fournisseur ne sera plus jamais retenu. Je l'ai déjà droppé, en fait. Mais je justifie aussi pourquoi je ne travaille plus avec. Parce que j'ai délégué. T'imagines si quelqu'un... Une de mes assistantes, pour m'aider, réserve un nouveau chez ce fournisseur-là. T'imagines ma tête ? Donc, ce fournisseur ne sera plus jamais retenu. Et pas parce qu'il a fait une erreur, mais parce qu'il n'aura pas su la corriger. Et toi, coma breaker, lorsque tu réalises ta revue annuelle de fournisseur, est-ce que tu regardes uniquement le prix, comme un financier de l'Excel, ou regardes-tu aussi la façon dont ils gèrent leurs propres erreurs ? parce qu'au fond, c'est probablement ce qui fait la différence entre un prestataire et un véritable partenaire. Dis-le-moi en commentaire ou envoie-moi directement ta réponse. Je suis persuadé que chacun d'entre nous a déjà vécu ce genre de situation, avec une banque, un opérateur télécom, une assurance, un fournisseur SaaS, une administration. Si c'est ton cas, dis-le-moi en commentaire. Quelles leçons tu en as tirées ? Pas pour désigner des coupables. je ne veux pas connaître le nom des sociétés, ça ne m'intéresse pas, mais pour partager les bonnes pratiques qui permettent d'éviter que le processus ne prenne le dessus sur le bon sens. Et si je regarde encore d'un oeil le titre de l'épisode, le jour où j'ai arrêté de me battre contre un processus, c'est aussi pour ça que lorsque je crée des processus ISO, c'est toujours avec le métier. Je confronte les idées, il faut que cela soit conforme. certes, mais il faut avant tout que le processus soit efficace, c'est-à-dire qu'il atteigne ses objectifs, et ça c'est avec le métier que je le sais, c'est en confrontant les idées qu'on y arrive, pas en retirant du pouvoir d'exécution et de décision aux personnes. Et si tu veux arrêter de rester tout seul devant les cas que le manuel ne prévoit jamais, tu peux rejoindre Compliance Without Coma solo ou Académie. Si cet épisode a été utile, partage-le avec quelqu'un qui lutte au quotidien, même dans sa vie privée, face à ce genre de fournisseurs. A vendredi prochain déjà, pour un nouvel épisode de Compliance Without Coma. D'ici là, prends soin de toi coma breaker, et n'oublie jamais qu'un processus est là pour servir les humains, jamais l'inverse.
