Deux entreprises sont frappées par la même souche de rançongiciel la même semaine. Mêmes 200 heures de forensique, de confinement et de reprise. L'une paie environ 60 000 $ et a des intervenants qui trient sous deux heures. L'autre paie bien au-delà de 150 000 $, passe sa première journée à négocier un contrat pendant que les systèmes restent hors ligne, et rencontre son équipe d'intervention pour la première fois pendant la pire semaine de son histoire. La différence n'a jamais été le logiciel malveillant. C'était un contrat signé des mois plus tôt, en temps calme — un contrat de rétention en réponse à incident — et la question de savoir si chaque entreprise comprenait ce qu'elle avait acheté.
Si votre entreprise devrait chercher sur Google un cabinet de forensique pendant que des attaquants se déplacent dans vos partages de fichiers, cet article est pour vous. Il explique ce qu'achète réellement un contrat de rétention IR, comment comptabiliser le bloc prépayé dans vos propres livres, ce qu'il advient des heures que vous n'utilisez jamais, et ce que fait le « tarif de surge » d'urgence aux heures au-delà du bloc. La comptabilité compte autant que le contrat : un contrat de rétention mal comptabilisé gonfle discrètement vos actifs toute l'année, puis vous surprend deux fois — une première fois quand les heures inutilisées expirent, et une seconde quand la facture de dépassement arrive.
Ce qu'achète réellement un contrat de rétention
Un contrat de rétention en réponse à incident est un bloc prépayé d'heures d'intervenants acheté avant que quoi que ce soit ne brûle. Vous payez d'avance un nombre défini d'heures (ou de crédits) sur une durée de 12 mois, et en échange vous obtenez deux choses qu'un appelant sans rendez-vous ne peut pas acheter : un SLA de triage contractuel, généralement d'une à quatre heures, et un taux tiré pré-négocié pour chaque heure travaillée par le cabinet. Sans cela, la mobilisation s'étire à 24 voire 72 heures pendant que vous cadrez et contractualisez à froid, et chaque heure se facture au tarif d'urgence.
Le marché offre cinq façons d'acheter à peu près la même protection, et les prix publiés se regroupent utilement :
| Modèle | Ce que vous payez | Repère publié |
|---|---|---|
| Bloc prépayé / contrat annuel | Forfait fixe pour un nombre d'heures défini | IBM X-Force affiche 37 000–105 000 $/an ; des dépôts britanniques montrent des paliers de 50/150/250 heures |
| Horaire retenu | Forfait annuel plus un taux tiré par heure utilisée | Les taux tirés retenus se situent autour de 175–400 $/h |
| Horaire d'urgence, sans contrat | Tarif premium, facturé par mission | L'intervention d'urgence haut de gamme se situe entre 800 et 1 500 $/h |
| Abonnement MDR (surveillance plus intervention) | Abonnement annuel par utilisateur | Arctic Wolf affiche 44 000 $/an pour jusqu'à 100 utilisateurs |
| Équipe interne | Effectif multiplié par le coût chargé | Cinq intervenants seniors est le minimum habituel pour une vraie couverture 24/7 |
Deux choses ressortent. D'abord, la plupart des grands cabinets ne publient aucun taux horaire — Mandiant, CrowdStrike, Kroll et Unit 42 devisent tous par mission — donc les chiffres ci-dessus sont des repères de planification, pas des devis. Obtenez vos propres trois chiffres par écrit : le tarif d'urgence sans contrat, le taux tiré sous contrat et le forfait annuel. Ensuite, comparez n'importe lequel de ces prix de rétention à l'enjeu : l'étude 2025 d'IBM sur le coût d'une violation de données situe la moyenne mondiale d'une violation à 4,44 millions de $, et la moyenne américaine à un record de 10,22 millions de $. Un contrat de rétention à cinq chiffres est une erreur d'arrondi à côté d'un seul incident — ce qui est précisément pourquoi sa comptabilisation mérite plus de soin qu'une erreur d'arrondi n'en reçoit habituellement.
Dans vos livres, un contrat de rétention est un actif, pas une charge
Voici l'erreur que commettent la plupart des petites entreprises : la facture de 40 000 $ du contrat de rétention arrive en octobre, et la totalité atterrit dans les charges de sécurité de ce mois. Octobre paraît catastrophique, les onze mois suivants paraissent artificiellement propres, et le bilan ne montre jamais ce que vous possédez réellement — 40 000 $ de temps d'intervenant futur.
Un contrat de rétention prépayé est une charge constatée d'avance, un actif circulant. Vous avez payé en espèces un avantage économique que vous n'avez pas encore consommé : des heures de temps d'expert disponibles à la demande pendant la durée du contrat. L'achat déplace de l'argent entre comptes d'actif — trésorerie en baisse, charge constatée d'avance en hausse — et ne touche pas du tout le compte de résultat. Ce n'est qu'à mesure que les heures sont tirées (ou expirent, nous y reviendrons) que le coût devient une charge.
Ce n'est pas de la pédanterie. Passer la totalité du contrat de rétention en charge upfront sous-estime vos actifs du solde non consommé chaque mois de la durée, surestime la charge du premier mois et masque le schéma de tirage qui vous dit si le contrat a été correctement dimensionné. Si vous renouvelez annuellement, la distorsion se répète chaque année et les dépenses de sécurité d'une année sur l'autre deviennent illisibles. Comptabilisez l'actif, puis passez en charge la consommation. Votre clôture mensuelle vous remerciera.
Tirer sur le bloc à mesure que les incidents le consomment
Pensez au bloc prépayé comme à un solde bancaire : chaque incident est un retrait, et le solde restant est un actif que vous pouvez encore dépenser. Chaque mois (ou après chaque mission), prenez le relevé d'heures de votre cabinet IR et transférez la valeur consommée de la charge constatée d'avance vers les charges de sécurité au taux tiré. Une mission de confinement de 22 heures tirée à 300 $ l'heure est une charge de 6 600 $ dans le mois où le travail a eu lieu — pas dans le mois où vous avez prépayé.
Trois habitudes comptables gardent le tirage honnête :
- Rapprochez les heures comme de la trésorerie. Le relevé d'heures du cabinet est votre relevé bancaire pour ce compte. Consignez le solde d'ouverture, les heures tirées, le taux appliqué et le solde de clôture chaque mois, même les mois calmes où l'écriture est « aucun changement ». Le mois où vous arrêtez de rapprocher est le mois où une « évaluation » contestée de 14 heures passe.
- Provisionnez le travail effectué mais non encore facturé. Si les intervenants ont travaillé la dernière semaine du mois et que le relevé d'heures arrive à la mi-mois suivant, comptabilisez une provision : débitez les charges de sécurité, créditez un compte à payer. Sinon, le mois de l'incident paraît bon marché et le mois de la facture paraît cher, et aucun des deux ne reflète la réalité.
- Séparez sur le compte de résultat les heures tirées du dépassement. Les heures tirées à l'intérieur du bloc et les heures d'urgence facturées au-delà sont des événements économiques différents à des taux très différents. Un seul compte de charge peut contenir les deux seulement si vous ne voulez jamais répondre à « qu'est-ce que le contrat nous a réellement fait économiser ? » — utilisez donc des sous-comptes ou une discipline de mémorisation qui vous permet de les scinder.
Les heures que vous n'utilisez jamais : expiration, report et passage en perte
La clause la plus discrète du contrat de rétention est ce qu'il advient des heures que vous ne tirez jamais. La plupart des contrats retiennent l'un de trois traitements : les heures expirent sans valeur à la fin du terme, une portion plafonnée est reportée sur le terme suivant, ou les heures inutilisées se convertissent en services proactifs comme des exercices sur table ou des évaluations de compromission. Les paliers déposés par IBM, par exemple, regroupent des unités de service proactif aux côtés des heures d'intervention — un chemin de conversion intégré.
Quoi que dise votre contrat, vos livres doivent s'y accorder. Si 40 de vos 100 heures expirent inutilisées à la fin du terme, le solde prépayé restant n'est plus un actif — c'est une perte. Passez-le en perte : débitez les charges de sécurité (ou un compte de passage en perte, si vous voulez rendre l'expiration visible séparément), créditez la charge constatée d'avance à zéro. Sauter cette écriture est la façon dont les comptes de charges constatées d'avance accumulent des soldes fantômes qui surestiment les actifs pendant des années.
Le côté du prestataire est exactement le miroir du vôtre, ce qui vaut la peine d'être su avant de négocier. Dans les livres du cabinet, votre prépaiement figure en produits constatés d'avance — un passif, de la trésorerie collectée pour un travail non encore livré — et les heures inutilisées qui expirent deviennent du revenu du cabinet à l'expiration, une catégorie que les comptables appellent breakage. Vos heures expirées sont leur marge. Ce n'est pas une critique ; c'est un levier. Les cabinets qui profitent du breakage échangeront souvent cela : demandez des plafonds de report, la conversion des heures inutilisées en services proactifs, ou un bloc plus petit avec un taux de rechargement moins cher plutôt qu'un gros bloc conçu pour expirer. Chaque heure convertie en exercice sur table est une heure qui reste un actif au lieu de devenir un passage en perte.
Le tarif de surge : ce que coûtent vraiment les heures au-delà du bloc
Voici maintenant la clause qui décide si le contrat de rétention s'autofinance. Les heures à l'intérieur du bloc se facturent au taux tiré que vous avez négocié en temps calme. Les heures au-delà du bloc — et chaque heure pour une entreprise sans aucun contrat de rétention — se facturent au tarif d'urgence, et l'écart constitue toute l'économie du produit.
Faites la division sur vos propres devis, mais attendez-vous à ce que le tarif d'urgence se situe à peu près 50 à 150 pour cent au-dessus du taux tiré chez la plupart des cabinets — la même boutique qui tire votre bloc à 300 $ l'heure peut facturer 450 à 750 $ les urgences sans rendez-vous — tandis que les missions d'urgence haut de gamme tournent entre 800 et 1 500 $ l'heure contre des taux tirés de 175 à 400 $. La surge se cumule aussi avec le calendrier : les nuits, les week-ends et la forensique spécialisée empilent des primes par-dessus le tarif d'urgence de base.
Le calcul du point mort est assez simple pour être fait avant de signer. Comparez (heures attendues × tarif d'urgence) à (heures attendues × taux tiré) + forfait de rétention pour un incident de la taille que vous prévoyez réellement. Parce que le forfait de rétention est crédité contre les heures utilisées, le point mort se situe généralement bien à l'intérieur d'un seul incident sérieux : à un taux tiré de 300 $ contre un tarif d'urgence de 750 $, une mission de 100 heures coûte 30 000 $ plus le forfait avec un contrat, contre 75 000 $ sans — le forfait s'autofinance avant le deuxième incident, et le SLA de triage contractuel est de la valeur en plus. Dimensionnez le bloc sur l'incident que vous prévoyez, pas sur celui que vous espérez, et prévoyez une réserve de trésorerie pour le dépassement que vous devrez encore si le gros incident dépasse le bloc. Le contrat achète le taux. Il ne plafonne pas l'incident.
Si vous vendez des contrats de rétention, l'image miroir s'applique
Beaucoup de lecteurs se trouvent de l'autre côté de ce contrat — MSP, consultants en sécurité et cabinets informatiques qui vendent leurs propres heures en bloc prépayées. La comptabilité reflète celle de l'acheteur : le prépaiement d'un client n'est pas votre revenu, c'est du revenu constaté d'avance, un passif pour le travail que vous devez. Ne constatez le revenu qu'à mesure que les heures sont livrées, gardez le solde non livré au bilan (selon l'ASC 606, c'est un passif de contrat), et ne constatez le breakage en revenu que lorsque les heures expirent réellement selon les termes du contrat — pas quand vous êtes confiant que le client ne les utilisera pas. La même discipline de rapprochement s'applique : si votre solde constaté d'avance et le solde prépayé de votre client diffèrent, l'un de vous a tort, et le journal des heures tranche. Les cabinets qui constatent la totalité du prépaiement en revenu dès le premier jour surestiment le résultat, sous-estiment les obligations et découvrent l'écart lors d'une due diligence de cession, quand l'acheteur valorise chaque dollar de travail non livré comme un passif qu'il hérite.
À quoi ressemble l'année dans un grand livre
Voici une année complète de contrat de rétention pour un acheteur : un bloc de 40 000 $ pour 100 heures acheté en octobre, un incident de 22 heures tiré à 300 $ l'heure en février, 8 heures de dépassement d'urgence à 750 $ lors du même incident (une surge de 150 pour cent au-dessus du taux tiré), et le solde inutilisé passé en perte à l'expiration du terme sans nouvel incident. Si vous tenez vos livres en texte brut, la documentation couvre la configuration, et Fava transforme le solde prépayé en un graphique dont vous pouvez regarder la vidange tout au long du terme :
2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
2025-10-01 * "Sentinel IR" "Contrat annuel, 100 heures prépayées"
Assets:Prepaid:IR-Retainer 40000.00 USD
Assets:Cash:Operating -40000.00 USD
2026-02-14 * "Sentinel IR" "Confinement, 22 heures tirées à 300,00 USD l'heure"
Expenses:Security:Incident-Response 6600.00 USD
Assets:Prepaid:IR-Retainer -6600.00 USD
2026-02-20 * "Sentinel IR" "Dépassement d'urgence, 8 heures à 750,00 USD l'heure"
Expenses:Security:Incident-Response 6000.00 USD
Liabilities:Payable -6000.00 USD
2026-03-02 * "Sentinel IR" "Facture de dépassement réglée"
Liabilities:Payable 6000.00 USD
Assets:Cash:Operating -6000.00 USD
2026-09-30 * "Sentinel IR" "Terme expiré, heures inutilisées passées en perte"
Expenses:Security:Incident-Response 33400.00 USD
Assets:Prepaid:IR-Retainer -33400.00 USDLisez l'histoire que racontent les comptes : 6 600 $ de réponse à incident achetés au taux de temps calme, 6 000 $ achetés au tarif de surge, et 33 400 $ qui n'ont rien acheté d'autre que l'option d'appeler — le prix d'un bloc surdimensionné. Ce passage en perte n'est pas un argument contre les contrats de rétention. C'est un argument pour dimensionner le prochain bloc à partir de l'historique de tirage de cette année plutôt qu'à partir de la proposition du cabinet, et pour négocier la conversion du reste inutilisé en travail proactif avant qu'il n'expire.
Une checklist de clôture mensuelle pour les acheteurs de contrats de rétention
Mettez ceci sur la checklist de clôture pour chaque mois où le contrat de rétention est actif, et la version de fin d'année s'écrit d'elle-même :
- Récupérez le relevé d'heures du cabinet et rapprochez-le de votre solde prépayé — heures d'ouverture, heures tirées, taux, heures de clôture — avant de comptabiliser quoi que ce soit.
- Passez en charge les heures tirées dans le mois où le travail a eu lieu, en provisionnant le travail non facturé à la clôture du mois plutôt que d'attendre le relevé.
- Gardez le dépassement dans son propre sous-compte pour que la prime de surge reste visible à côté des dépenses au taux tiré qu'elle a dépassées.
- Inscrivez la date d'expiration au calendrier avec une alerte à 90 jours : c'est le moment de programmer l'exercice sur table, de négocier le report ou de redimensionner le renouvellement — pas la semaine où les heures meurent.
- Au renouvellement, divisez le coût total d'incident de l'an dernier (tiré + dépassement + passage en perte) par les heures réellement utilisées. Ce taux mixte, et non le taux tiré de la brochure, est le chiffre auquel le prochain bloc se mesure.
L'entreprise qui paie 60 000 $ pour ses 200 heures et celle qui paie 150 000 $ ont acheté des contrats différents — mais elles ont aussi tenu des livres différents. L'une a traité le contrat de rétention comme un actif à gérer, à rapprocher, à tirer et à renouveler sur la base des faits. L'autre l'a passé en charge en octobre et a rencontré le tarif de surge comme une surprise. Signez le contrat de rétention avant d'en avoir besoin, comptabilisez-le pour ce qu'il est, et laissez l'historique de tirage — pas la proposition commerciale — fixer le bloc de l'année suivante.
