Guide utilisateur monDSI

Version 1.1 : octobre 2026

Ce guide est destiné aux consultants DSI à temps partagé qui utilisent monDSI au quotidien. Il ne présuppose aucune compétence technique en développement.

Table des matières

1. Démarrage rapide : votre premier client en 30 minutes
2. Introduction
3. Accès à monDSI
4. Premier lancement
5. Créer un client
6. Diagnostics
7. Assessments de maturité
8. Plan d'action
9. GRC & Conformité
10. Livrables
11. Import M365DSC
12. Contexte et patrimoine SI
13. Analyse de risques
14. Les studios métier
15. Projets et transformation
16. Veille réglementaire et vulnérabilités
17. Simulateurs
18. Cycle de vie de la mission
19. Restitution et portail dirigeant
20. Pilotage du cabinet
21. FAQ

Pour l'administration du cabinet et de la plateforme, voir ADMIN-GUIDE.md. Pour les gestes pas à pas avec leurs vérifications, voir SOP.md.

Démarrage rapide : votre premier client en 30 minutes

Ce parcours vous mène, sans quitter l'application, du dossier client à la première proposition commerciale : créer le dossier, passer le premier diagnostic, lire le cadrage, générer la première SOW. Les durées sont des repères, à titre indicatif : elles dépendent de ce que vous savez déjà du client.

Avant de commencer : votre cabinet est configuré (chapitre 3) et vous êtes connecté. Pour la SOW, au moins un consultant actif doit exister (menu Administration, rubrique consultants : /admin/consultants).

Étape 1 : créer le dossier (environ 10 minutes)

1. Menu Clients, bouton ＋ Nouveau client.
2. Parcourez l'assistant Nouveau dossier client (7 étapes, détail au chapitre 4). Seule l'étape 1 est obligatoire : nom de l'organisation, nom du contact, secteur d'activité et effectif. Le SIRET, facultatif, préremplit l'identité.
3. Plus vous renseignez les étapes 2 à 7 (enjeux, IT, format de mission, périmètre, sécurité, objectifs), plus le score de départ est parlant.
4. Validez : l'écran Synthèse onboarding donne un verdict et trois scores (DSI à temps partagé récurrent, DSI de transition, audit ou mission ponctuelle). Ils sont provisoires : le diagnostic les affine.

Vous avez : un dossier client et un premier avis sur le format de mission.

Étape 2 : passer le premier diagnostic (environ 10 minutes)

1. Ouvrez la fiche du client, catégorie Diagnostic. La Vue d'ensemble (/clients/{id}/diagnostic) liste les diagnostics et leur fraîcheur.
2. Ouvrez Niveau 1 : c'est le Diag IT N1 (Express), le diagnostic d'entrée recommandé (chapitre 5).
3. Répondez à chaque question : Oui, Partiel, Non, N/A ou NSP. Les scores par catégorie se calculent au fil de l'eau. En cas de doute, NSP : la question sera remontée comme point à clarifier.
4. Lancez la synthèse IA si vous le souhaitez, et relisez-la : c'est une amorce, pas un livrable.

Le client peut répondre à votre place. Catégorie Documents, page Portail dirigeant (/clients/{id}/portail), créez un lien de diagnostic : il répond au Diag IT N1 sans compte, et ses réponses arrivent sur la fiche. Vos propres réponses ne sont jamais écrasées (voir la FAQ).

Vous avez : des scores par catégorie et un score de pertinence mis à jour.

Étape 3 : lire le cadrage (environ 3 minutes)

Retournez sur la Vue d'ensemble du diagnostic (/clients/{id}/diagnostic) : la rubrique Cadrage mission montre le format recommandé à la lumière du diagnostic. Si elle indique « Aucun score disponible », le Diag IT N1 n'a pas encore de réponses : revenez à l'étape 2.

Vous avez : un format de mission justifié par des chiffres.

Étape 4 : générer la première SOW (environ 5 minutes)

1. Catégorie Mission, page Cadrage (/clients/{id}/mission), rubrique SOW & avenants.
2. Cliquez sur ✨ Générer la première SOW.
3. Dans le panneau Personnel pressenti pour cette SOW, cochez les consultants concernés. S'il n'y en a aucun, le lien Créer un consultant vous mène à l'administration.
4. Cliquez sur ✨ Générer la SOW : monDSI propose trois versions, Core, Améliorée 1 et Améliorée 2, chacune avec ses jours par mois, sa durée et son total HT.
5. Relisez la SOW. Elle est en brouillon : rien n'est parti.
6. Cliquez sur 📤 Marquer comme envoyée quand vous l'avez transmise au client. À sa réponse, cliquez sur ✅ Acceptée par client ou Refusée.

Il n'y a pas de signature en ligne : les statuts se changent à la main. Passer la SOW à acceptée active la mission et initialise le plan d'action.

Vous avez : une proposition commerciale suivie, et, si elle est acceptée, une mission active avec un plan d'action prérempli.

Étape 5 : ouvrir le plan d'action (environ 2 minutes)

Catégorie Mission, page Plan d'action (/clients/{id}/plan-action) : les actions suggérées par le diagnostic sont là, classées en 30, 60 et 90 jours. Déplacez-les d'un horizon à l'autre, changez leur statut, annulez ce qui ne s'applique pas (chapitre 7).

Et ensuite

• Mesurer plus finement : assessments de maturité (chapitre 6).
• Cadrer la conformité : GRC (chapitre 8).
• Rendre compte au dirigeant : livrables (chapitre 9) et restitution (chapitre 18).
• Une question précise : la FAQ (chapitre 20).

1. Introduction

Qu'est-ce que monDSI ?

monDSI est une boîte à outils numérique pour les DSI à temps partagé. Elle accompagne le consultant tout au long de ses missions en PME/ETI : diagnostic initial, évaluation de maturité, plan d'action, conformité réglementaire, livrables de pilotage et restitution au dirigeant.

L'outil est conçu pour des entreprises de 0 à 300 personnes et couvre les formats de mission suivants :

• DSI à temps partagé (12 mois renouvelable)
• DSI de transition (6-9 mois, remplacement temporaire)
• Audit ponctuel (3-5 jours, livrable de cadrage)
• Combo audit puis DSI à temps partagé (audit court suivi d'un accompagnement long)

Comment monDSI est distribué

monDSI est un service en ligne (SaaS multi-tenant). Il n'y a rien à installer : chaque cabinet dispose de son propre sous-domaine et de sa propre base de données, isolée de celles des autres cabinets.

Note historique. monDSI a été décliné pendant un temps en trois éditions (Core installé en local sur le poste, Stelysia sur un tenant Azure dédié, Cloud SaaS). Ces éditions ont été retirées : seule l'édition SaaS est maintenue et déployée. Les chapitres d'installation locale qui figuraient dans ce guide ont été supprimés en conséquence. Côté code, les backends locaux (chiffrement AES local, backup OneDrive, base SQLite sur le poste) n'existent plus ; voir docs/DEVELOPER.md § 1 pour le détail.

2. Accès à monDSI

Prérequis

Aucune installation, aucun logiciel à déployer sur votre poste. Il vous faut :

• Un navigateur récent (Chrome, Edge, Firefox ou Safari à jour)
• Une connexion internet
• L'adresse de votre cabinet : https://<votre-cabinet>.mondsi.app
• Vos identifiants, créés à la configuration initiale (voir section 3)

Se connecter

1. Ouvrez https://<votre-cabinet>.mondsi.app
2. Saisissez votre email et votre mot de passe sur la page /login
3. Vous arrivez sur le tableau de bord du cabinet

Votre session est liée à votre sous-domaine : un compte créé pour un cabinet ne peut pas être utilisé sur le sous-domaine d'un autre cabinet.

Mot de passe oublié ? Utilisez le lien de réinitialisation depuis la page de connexion (/forgot). Par sécurité, les sessions ouvertes avant une réinitialisation sont révoquées : il faudra vous reconnecter sur vos autres appareils.

3. Premier lancement

À la création du cabinet, l'assistant de configuration est accessible sur /setup. Il reste accessible ensuite ; si un cabinet portant les mêmes nom commercial et raison sociale existe déjà, un avertissement s'affiche dès l'étape 1.

Le wizard en 4 étapes

Étape 1 : nom du cabinet

Renseignez :

• Nom commercial : le nom affiché sur tous vos livrables (ex. "Stelysia", "MonConseil IT", "DSI Partners")
• Raison sociale : la dénomination juridique exacte

Étape 2 : identité visuelle

• Couleur primaire : choisissez la couleur de votre cabinet. Elle sera utilisée sur tous les exports DOCX, PPTX et PDF, ainsi que dans l'interface. La couleur par défaut est un bleu foncé (#1E40AF).
• Logo : téléversez le logo de votre cabinet (PNG ou JPG recommandé). Il apparaîtra sur les pages de couverture de vos livrables.

Étape 3 : consultant principal

Créez le compte du premier consultant :

• Nom complet
• Adresse email
• Mot de passe

Ce compte sera administrateur de l'instance. Avec une connexion SSO, cette étape est sautée.

Étape 4 : confirmation

Relisez le récapitulatif puis validez. monDSI crée :

• L'enregistrement Cabinet en base de données
• Le compte utilisateur avec ses droits
• Les paramètres par défaut

Vous êtes redirigé vers le tableau de bord.

4. Créer un client

Depuis la liste clients

1. Allez sur la page /clients (menu latéral "Clients")
2. Cliquez sur le bouton ＋ Nouveau client : l'assistant Nouveau dossier client s'ouvre, en 7 étapes
3. Parcourez les étapes avec Suivant et ← Précédent :

Seule l'étape 1 a des champs obligatoires, marqués d'une étoile : nom de l'organisation, nom du contact, secteur d'activité et effectif. Le bouton Suivant reste inactif tant qu'ils ne sont pas renseignés. Le SIRET, facultatif, préremplit l'identité, le secteur et l'effectif.

À la dernière étape, validez : le dossier est créé et l'écran Synthèse onboarding affiche un verdict avec trois scores de départ (DSI à temps partagé récurrent, DSI de transition, audit ou mission ponctuelle). Ce score est affiné après le Diag IT N1.

La fiche client

Après création, la fiche client (/clients/{id}) donne accès à toutes les fonctionnalités liées à ce dossier :

• Contexte : documents et informations contextuelles
• Diagnostics : questionnaires et scores
• Plan d'action : actions à mener sur 30/60/90 jours
• Maturité : assessments de maturité par domaine
• GRC / Conformité : référentiels et contrôles
• ITAM : parc informatique et imports M365DSC
• EBIOS RM : analyse de risques (5 ateliers natifs)
• Documents : livrables générés
• Registre des risques : risques et plans de traitement
• Restitution : livrables de restitution dirigeant
• Mission : suivi du cycle de vie de la mission
• Fin de mission : wizard de clôture
• Audit trail : historique des actions

5. Diagnostics

monDSI embarque 24 diagnostics couvrant l'ensemble des sujets IT/cyber d'une PME/ETI.

Liste des diagnostics

Les diagnostics marqués bêta le sont dans l'outil : le contenu est exploitable, la trame peut encore évoluer. Seuls quatre sont stables : le Diag IT N1, le Diag IT N2, Modern Workplace et l'Entretien dirigeant.

Deux diagnostics ne produisent aucun score : l'Entretien dirigeant MSB et « Reprise de projet, 6 phrases », faits de réponses libres.

Les diagnostics à connaître

• Google Workspace : pendant du diagnostic Microsoft 365 pour les clients sous Workspace : identité et validation en deux étapes, partage et DLP, sécurité de la messagerie (SPF, DKIM, DMARC), mobilité, gouvernance, conformité. Adossé aux référentiels CIS Benchmark, CISA SCuBA et ANSSI.
• FinOps : maîtrise des coûts : visibilité et allocation des dépenses IT, optimisation des licences SaaS, cloud, coûts de l'IA (jetons, Copilot, modèles), gouvernance budgétaire et sobriété numérique. Cadre FinOps Foundation, adapté à la taille PME/ETI.

Les diagnostics de terrain

Sept diagnostics courts, pensés pour une PME, souvent pour un client qui confie son informatique à un prestataire ou dont un projet patine.

• Exploitation et support (12 questions, 6 axes) : support des utilisateurs, contrat et engagements de service du prestataire, détention des accès d'administration, mises à jour et changements, surveillance et disponibilité, documentation d'exploitation. Question centrale : l'entreprise peut-elle reprendre la main sans dépendre d'une seule personne ?
• Applications et données (12 questions, 6 axes) : liste et responsables des logiciels, maintenance et réversibilité chez les éditeurs, échanges entre logiciels et double saisie, données de référence et fiabilité des chiffres de la direction, stockage et droits d'accès, conservation et archivage.
• Réseau et infrastructure (12 questions, 6 axes) : pare-feu et ouvertures vers Internet, découpage du réseau interne, Wi-Fi des salariés et des visiteurs, accès à distance des salariés et des prestataires, serveurs et stockage, versions encore maintenues et mises à jour des équipements.
• Architecture et dette technique (12 questions, 6 axes) : vision cible à deux ou trois ans, dette technique et son remplacement, outils faits maison et leur reprise, relation entre l'informatique et les métiers, compétences dont l'entreprise dépend, choix des solutions et possibilité d'en sortir.
• Conduite de projet (15 questions, 5 axes) : la façon dont l'entreprise conduit ses projets informatiques, tous projets confondus : gouvernance côté métier, cadrage avant le démarrage, suivi de l'avancement, du coût et des risques, livraison et adoption, clôture. Utile quand un projet patine. La liste des projets en cours, saisie dans la fiche client, sert de contexte.
• Reprise de projet, mode pompier (14 questions, 7 axes) : évaluation, en un entretien, d'un projet en cours dit « sous contrôle » : qui décide, qui est responsable, date et confiance, budget restant et coût final, liste des risques, vérité de la couleur affichée, dérive du périmètre, ce qu'il faut arrêter. Règle de notation : une réponse affirmée mais non prouvée en séance par un document à jour ne vaut pas Oui. Le verdict dit qui décide, ce qu'on fait maintenant et ce qu'on arrête.
• Reprise de projet, 6 phrases (11 questions libres, aucun score) : compagnon du précédent, rempli pendant la même séance. Le responsable doit dire en six phrases où en est le projet, où il va, ce qui bloque, qui décide, ce qu'on fait maintenant et ce qu'on arrête. Puis on relève le nombre de fournisseurs, d'équipes informatiques, d'équipes métier, de dépendances critiques et de jalons en retard.

Comment répondre à un diagnostic

1. Ouvrez la fiche client, catégorie Diagnostic. La Vue d'ensemble (/clients/{id}/diagnostic) liste les diagnostics et leur fraîcheur.
2. Ouvrez le diagnostic souhaité : lien « ouvrir » en face de lui dans la Vue d'ensemble, ou entrée directe du menu pour les principaux (par exemple Niveau 1 pour le Diag IT N1)
3. Pour chaque question, choisissez une réponse parmi :

1. Les scores par catégorie sont calculés automatiquement en temps réel

Propagation automatique : quand une question est équivalente à une question d'un autre diagnostic (similarité >= 95 %), la réponse est propagée automatiquement. Cela évite de ressaisir ce qui a déjà été renseigné.

Interprétation des scores

Les scores sont affichés par catégorie (pas de note globale agrégée pour les diagnostics N1 et N2, conformément à la doctrine de préservation de la nuance par axe).

• 0-30 % : risque élevé, actions prioritaires nécessaires
• 30-60 % : en cours de progression, encore fragile
• 60-80 % : bon niveau, quelques améliorations possibles
• 80-100 % : maîtrise confirmée

Le Diag Express comme porte d'entrée

Le Diag IT N1 (Express) est le diagnostic d'entrée recommandé pour toute nouvelle mission. Il couvre les 8 fondamentaux en 27 questions et permet de qualifier rapidement la situation du client. Il alimente automatiquement le scoring de pertinence d'une mission DSI.

L'entretien dirigeant

Le diagnostic Entretien dirigeant MSB est particulier : il ne produit pas de score chiffré. Il s'agit d'une trame de 11 questions cœur + 3 questions de clôture à poser au dirigeant (DG, Président, Gérant). Les réponses sont libres et saisies par le consultant pendant l'entretien. Elles alimentent les livrables sous forme de citations verbatim et de signaux qualitatifs.

La synthèse IA (lecture dirigeant)

Une fois un diagnostic rempli, le bloc Synthèse IA : lecture dirigeant transforme les scores en lecture business, dans le ton d'un DSI à temps partagé : direct, chiffré, sans jargon. Cliquez sur Générer la synthèse.

Elle produit systématiquement 4 sections :

L'angle s'adapte au diagnostic : une synthèse de Diag Express raisonne en fondamentaux M365 et continuité, une synthèse RGPD en manquements exposant à sanction, une synthèse FinOps en euros de gaspillage. Chaque diagnostic a sa propre lentille de lecture.

Ce que la synthèse voit : les scores par catégorie, la doctrine cible du client et ses enjeux business déclarés. Elle ne voit pas les réponses question par question : c'est une lecture de niveau dirigeant, pas un audit technique.

Deux boutons accompagnent le résultat :

• Régénérer : relance une lecture. L'IA n'étant pas déterministe, deux passes donnent deux formulations ; utile si la première manque un angle.
• Effacer : vide le bloc. La synthèse n'est pas persistée en base : elle est régénérée à la demande, toujours sur les scores du moment.

Le consultant reste l'auteur. La synthèse est une amorce de réflexion, pas un livrable signable. Relisez-la, corrigez ce qui ne colle pas au terrain, puis reprenez-la dans vos livrables. C'est vous qui engagez votre responsabilité devant le dirigeant, pas le modèle.

6. Assessments de maturité

Les assessments de maturité sont un complément aux diagnostics. Ils produisent un score unifié de 0 à 100, traduit en 5 niveaux de maturité alignés sur les référentiels ANSSI, CNIL et ENISA.

Les 17 types d'assessments

Niveaux de maturité

Comment lancer un assessment

1. Ouvrez la fiche client
2. Allez dans la section Maturité (/clients/{id}/maturite)
3. Sélectionnez le type d'assessment souhaité
4. Cliquez sur Calculer

Le calcul s'appuie sur deux sources :

• Sources automatiques : données des diagnostics, M365DSC, GRC (réutilisées sans ressaisie)
• Sources déclaratives : questionnaire dirigeant dédié au type (5 à 20 questions selon le type)

Export DOCX

Chaque assessment produit un rapport de maturité au format DOCX à la charte de votre cabinet, comprenant :

1. Page de couverture avec logo et couleur cabinet
2. Synthèse exécutive (score global, radar)
3. Détail par axe de maturité
4. Radar de maturité (graphique généré par Chart.js)
5. Recommandations priorisées
6. Plan d'action suggéré
7. Méthodologie et référentiels utilisés
8. Prochaines étapes
9. Annexes

Maturité cyber

/clients/{id}/maturite-cyber est une vue spécialisée sur la cybersécurité, distincte de la maturité générale (/clients/{id}/maturite) qui couvre l'ensemble des domaines SI.

Utilisez la maturité générale pour une lecture de pilotage globale, et la maturité cyber quand l'interlocuteur est venu pour la sécurité : assureur, donneur d'ordre, ou dirigeant qui sort d'un incident.

7. Plan d'action

Le plan d'action est le cœur du pilotage opérationnel de la mission DSI.

Structure d'une action

Chaque action du plan possède :

Les 9 axes thématiques

1. Identité & accès
2. Gouvernance SI
3. Cybersécurité
4. Continuité & incidents
5. Données personnelles & RGPD
6. Prestataires & cloud
7. Sensibilisation
8. Conformité 2026+
9. Autre

Les 3 vues du plan d'action

Le plan d'action est accessible depuis /clients/{id}/plan-action et propose trois vues complémentaires :

Vue Horizons

Organisée en 3 colonnes temporelles (30j / 60j / 90j). Chaque action est une carte que l'on peut glisser-déposer d'un horizon à l'autre (drag & drop accessible au clavier via @dnd-kit).

Vue Kanban

Organisée en couloirs, au choix par horizon, par axe ou par source (sélecteur au-dessus de la vue), chacun avec 4 colonnes par statut :

• À faire : actions non démarrées
• En cours : actions entamées
• Fait : actions terminées
• Annulé : actions abandonnées

Le drag & drop fonctionne également entre colonnes.

Vue Matrice

Vue en tableau filtrable et triable par axe, horizon, statut, priorité. Pratique pour avoir une vision exhaustive et exporter en masse.

Templates d'actions

Lorsque vous créez un plan d'action, monDSI peut le pré-remplir à partir des résultats des diagnostics. Les actions suggérées sont générées :

• À partir des questions avec score faible (Non / Partiel)
• À partir des findings M365DSC (configurations à risque détectées)
• À partir de la GRC (contrôles non conformes)

Aide IA par action

Chaque action possède un bouton 💡 Aide à la résolution (mini-guide IA) qui ouvre un guide contextuel généré par l'intelligence artificielle. Ce guide propose :

• Les étapes concrètes de mise en œuvre
• Les points d'attention spécifiques au contexte du client
• Les référentiels pertinents

Le guide est mis en cache dans la base de données pour éviter de régénérer à chaque consultation. Si l'IA cloud n'est pas disponible, un template générique par axe est utilisé en fallback.

Doctrine : le guide IA est une proposition indicative, jamais une procédure officielle. Le consultant valide et adapte systématiquement.

8. GRC & Conformité

Les 27 frameworks disponibles

monDSI embarque 27 référentiels de conformité classés en 5 catégories. Onze d'entre eux ont un module complet (NIS2, RGPD, AI Act, DORA, ISO 27001, ISO 27002, NIST CSF 2.0, CIS v8, HDS, SecNumCloud, EBIOS RM) ; les seize autres reposent sur une checklist de contrôles.

Réglementaire UE

Réglementaire FR

Standards internationaux

Sectoriel

Bonnes pratiques du cabinet

Activer un framework pour un client

1. Ouvrez la fiche client
2. Allez dans Conformité (/clients/{id}/conformite/{slug})
3. Les frameworks pertinents sont suggérés automatiquement selon le secteur du client

Évaluer les contrôles

Pour chaque framework activé, vous pouvez évaluer le statut de chaque contrôle :

Bridge M365DSC vers GRC

Lorsque vous importez une configuration M365DSC (voir section 10), monDSI crée automatiquement un mapping entre les findings de configuration et les contrôles GRC correspondants. Cela permet de mettre à jour automatiquement le statut de conformité de certains contrôles techniques.

Bridge Google Workspace vers GRC

De façon similaire, les findings issus d'un audit Google Workspace sont mappés vers les contrôles GRC pertinents.

EBIOS RM natif

monDSI intègre une implémentation native des 5 ateliers EBIOS RM :

1. Atelier 1 : socle de sécurité (cadre, biens supports, mesures existantes)
2. Atelier 2 : sources de risque (écosystème, parties prenantes)
3. Atelier 3 : scénarios stratégiques (chemins d'attaque haut niveau)
4. Atelier 4 : scénarios opérationnels (techniques, détaillés)
5. Atelier 5 : traitement du risque (mesures, plan d'action)

Les résultats EBIOS alimentent automatiquement le registre des risques et le plan d'action via un système de bridges.

Frameworks personnalisés

Vous pouvez créer vos propres frameworks de conformité depuis la page Cabinet > GRC > Frameworks personnalisés (/cabinet/grc/custom-frameworks).

9. Livrables

monDSI génère des livrables professionnels aux couleurs de votre cabinet. Tous les documents portent :

• La couleur primaire de votre cabinet
• Votre logo en page de couverture
• Le nom du consultant en signature
• Une mise en page soignée (typographies, tableaux colorés, en-têtes et pieds de page)

Types de livrables

COPIL mensuel

Livrable destiné au Responsable IT et au DAF, généré chaque mois. Comprend :

• Synthèse d'avancement du plan d'action
• KPI clés (actions terminées, en cours, à risque)
• Points d'attention
• Prochaines étapes

Disponible en DOCX et PPTX.

Restitution dirigeant (trimestrielle)

Livrable destiné au DG / COMEX, généré chaque trimestre. Plus stratégique et synthétique :

• Bilan de la mission
• Résultats clés
• Risques majeurs
• Recommandations
• Vision à 6-12 mois

Disponible en DOCX et PPTX.

Rapport de maturité

Rapport détaillé pour chaque assessment de maturité lancé (voir section 6). Généré en DOCX avec radar graphique.

Mini-audit

Livrable interne au cabinet, généré à partir du Diag Express et de l'onboarding. Il sert de base de travail au consultant et n'est pas destiné au client final. Généré en DOCX, depuis la rubrique Mini-audit de la page Diagnostic.

Audit cadrage

Livrable complet de restitution d'un audit initial (SOW amorçage). Combine les résultats de tous les diagnostics passés, avec :

• Analyse par axe
• Plan d'action priorisé
• Recommandations détaillées IA
• Signaux qualitatifs (entretien dirigeant)

Disponible en DOCX et PPTX.

Rapport d'étonnement

Premières observations, forces et fragilités constatées en début de mission. Il se lance depuis la page Documents.

Rapport NIS2

Rapport dédié de 7 pages pour les clients concernés par NIS2 :

• Synthèse
• Éligibilité NIS2
• État des contrôles
• Plan d'action
• Signatures

Généré en DOCX, depuis la rubrique « Exports déterministes » de la page Documents.

Export RGPD complet (ZIP)

Même rubrique : l'export complet des données du client (droits d'accès et de portabilité, articles 15 et 20 du RGPD) et la livraison de fin de mission, en ZIP.

Packs de restitution (ZIP)

Chaque rythme (COPIL mensuel, restitution dirigeant trimestrielle) se télécharge en ZIP : le DOCX et le PPTX du rythme choisi. Le pack trimestriel ajoute les rapports de maturité disponibles et, si vous en avez retenu, l'annexe des offres complémentaires (chapitre 18). Tous les documents sont aux couleurs du cabinet.

Générer un livrable

1. Ouvrez la fiche client, catégorie Documents, page Documents (/clients/{id}/documents)
2. Dans le Hub livrables, cliquez sur le livrable voulu : COPIL mensuel, Restitution trimestrielle, Dossier de cadrage (DOCX ou PPTX) ou Rapport d'étonnement
3. Le document est créé en arrière-plan : son statut passe de En attente à En cours, puis Prêt (ou Échec)
4. Téléchargez le fichier une fois prêt ; il reste dans l'Historique des livrables

Le mini-audit, la SOW et les restitutions par diagnostic se lancent depuis leurs rubriques, qui fournissent le contexte dont ils ont besoin.

10. Import M365DSC

Qu'est-ce que M365DSC ?

Microsoft 365 DSC (Desired State Configuration) est un outil PowerShell open source qui permet d'exporter la configuration complète d'un tenant Microsoft 365 sous forme de fichier structuré. monDSI sait lire ces exports pour en extraire automatiquement des findings de sécurité.

Prérequis

• PowerShell 7+ sur un poste Windows
• Module Microsoft365DSC installé : ``powershell Install-Module Microsoft365DSC ``
• Un compte Microsoft 365 avec les droits Global Reader (lecture seule)

Générer un export M365DSC

Dans une console PowerShell :

Export-M365DSCConfiguration `
  -Components @("EXOMailbox","SPOSite","TeamsTeam", `
                "IntuneDeviceConfiguration","AADUser", `
                "EXOTransportRule","SPOSharingSettings", `
                "AADConditionalAccessPolicy") `
  -Path .\m365-config `
  -Credential (Get-Credential)

monDSI lit un export au format JSON. Convertissez donc la configuration exportée :

$config = . .\m365-config\M365TenantConfig.ps1
$config | ConvertTo-Json -Depth 10 | Out-File m365dsc-export.json

Importer dans monDSI

1. Ouvrez la fiche client, page ITAM (/clients/{id}/itam)
2. Dans le sélecteur de source, choisissez M365DSC (JSON)
3. Cliquez sur 📤 Charger fichier et choisissez m365dsc-export.json
4. Vérifiez l'aperçu : éléments nouveaux, conflits, inchangés
5. Cliquez sur ✅ Appliquer. Les conflits sont ignorés par défaut : une saisie du consultant n'est jamais écrasée

Le même sélecteur propose les autres sources : Lansweeper (CSV), GLPI et OCS. Les actifs importés se retrouvent dans les onglets Postes, Serveurs, Licences et Contrats de la page ITAM.

Ce que monDSI fait avec l'import

1. Parse le fichier DSC et extrait les nodes de configuration
2. Détecte les findings : chaque règle d'analyse (56 règles M365DSC disponibles) est appliquée sur les nodes pour identifier les configurations à risque
3. Génère des actions : les findings peuvent être convertis en actions dans le plan d'action (avec source m365dsc:<finding-id>)
4. Mappe vers la GRC : les findings sont automatiquement reliés aux contrôles des frameworks actifs

Règle de non-écrasement

Doctrine importante : un import n'écrase jamais les saisies manuelles du consultant. Chaque donnée porte une source (consultant, import:m365dsc, import:lansweeper...) et seules les données d'import sont mises à jour lors d'un ré-import.

Guide interactif

Un guide pas à pas est disponible dans l'application : /clients/{id}/itam/m365dsc-guide

11. Contexte et patrimoine SI

Les diagnostics disent où en est le client. Le patrimoine dit de quoi il est fait. C'est la matière première de tout le reste : sans inventaire, une CVE ne se croise à rien, un PRA se rédige à l'aveugle et une cartographie reste déclarative.

Les pages

Alimenter l'inventaire

Trois voies, par ordre de confort décroissant :

1. Récepteur d'inventaire : l'agent d'inventaire GLPI Agent du client pousse directement vers monDSI, avec un identifiant propre au client. La voie la plus fiable : pas d'export à refaire chaque mois.
2. Import de fichier : export GLPI, OCS, Lansweeper ou M365DSC. Convient quand le client a un outil mais ne veut pas l'ouvrir.
3. Saisie manuelle : quand il n'y a rien. C'est fréquent en PME, et ce n'est pas un échec : un inventaire partiel vaut mieux qu'aucun.

Les inventaires partiels sont gérés. Un import qui ne couvre qu'une partie du parc ne fait pas disparaître le reste : les éléments absents sont marqués comme retirés plutôt que supprimés, et la fermeture est réversible.

Règle à retenir : un import n'écrase jamais une saisie manuelle. Chaque donnée porte sa source (manuel, import:glpi, import:m365dsc...). Si vous attendez qu'un import corrige une valeur que vous avez saisie, il ne le fera pas.

La cartographie

Quatre couches (métier, applicative, données, technique) reliées par des dépendances typées. Elle n'est pas décorative : c'est elle qui donne au BIA les dépendances à considérer, et au PRA l'ordre de redémarrage.

Une amorce assistée par IA peut proposer une première carte à partir de ce qui est déjà connu du client. Elle vous épargne la page blanche, pas la validation : relisez avant de la montrer.

La posture Microsoft 365

/clients/{id}/m365 : là où le chapitre 10 traite de l'import, cette page traite de la posture : la configuration du tenant est confrontée à une base de règles (56 règles Microsoft 365, 15 pour Google Workspace), et chaque écart est exposé.

Deux usages qui n'ont pas la même valeur :

• La photo : l'état à un instant donné, avec le Secure Score. Utile en diagnostic initial.
• La dérive : la comparaison entre deux instantanés. C'est le plus utile en mission récurrente : elle répond à « qu'est-ce qui a changé depuis le dernier COPIL, et qui l'a changé ? ». Une configuration qui se dégrade doucement ne se voit pas sur une photo isolée.

Les écarts constatés alimentent la conformité et le plan d'action : un défaut de MFA n'est pas qu'un point technique, c'est un écart NIS2 et une action à planifier.

Les statistiques de support

Si le client utilise GLPI, vous importez un export CSV de ses tickets (mode d'emploi sur la page). monDSI n'en garde que des agrégats : volumes mensuels, catégories, tendances. Le fichier n'est pas conservé et les colonnes demandeur et technicien sont ignorées : aucun nom n'est stocké. L'objectif est de répondre à « sur quoi l'équipe passe-t-elle son temps ? », pas de rejouer le ticketing.

12. Analyse de risques

EBIOS RM

/clients/{id}/ebios-rm : la méthode EBIOS Risk Manager, implémentée nativement en cinq ateliers :

1. Cadrage et socle de sécurité
2. Sources de risque
3. Scénarios stratégiques
4. Scénarios opérationnels
5. Traitement du risque

C'est la méthode à mobiliser quand l'enjeu est sérieux : exigence d'un donneur d'ordre, secteur réglementé, ou dirigeant qui veut comprendre comment on l'attaquerait, pas seulement s'il est conforme.

Le registre des risques

/clients/{id}/registre-risques : le registre central, coté sur une matrice 5x5 (probabilité x impact).

Il s'alimente de plusieurs sources : scénarios EBIOS, écarts de conformité, constats de diagnostic, et votre saisie directe. Chaque risque porte sa source, ce qui évite la question « d'où sort celui-là ? » six mois plus tard.

Les plans de traitement

/clients/{id}/plan-traitement : pour chaque risque, un traitement parmi quatre : mitigation (réduire le risque), transfert, acceptation ou évitement. Un risque accepté est une décision, au même titre qu'un risque traité : tracez-la, elle protège le client et vous.

Les traitements retenus alimentent le plan d'action. Vous ne ressaisissez pas.

13. Les studios métier

Huit modules qui produisent ce qu'un DSI produit vraiment. Ils se parlent : c'est ce qui fait leur intérêt par rapport à huit fichiers séparés.

Comment ils s'enchaînent

La cartographie donne les dépendances au BIA. Le BIA donne les RTO au PRA : un scénario dont le temps de reprise dépasse le RTO du processus est signalé. Le catalogue de données pointe vers les traitements du registre RGPD. Le budget reçoit les coûts des actions du plan.

Quand vous partez de zéro, prenez-les dans cet ordre : cartographie, BIA, PRA. L'inverse vous fera refaire le PRA.

Le compteur des 72 heures

Le registre RGPD suit les violations de données avec le délai de notification de 72 heures de l'article 33. Quand un dirigeant vous appelle un vendredi soir pour une fuite, c'est cette page qui compte le temps, pas votre mémoire.

Les arbitrages

Deux à quatre options, six critères, un point de bascule chiffré. Conçu pour la question « on prend laquelle ? » en comité de direction, quand la réponse honnête est « ça dépend de ce que vous valorisez ». Le module rend ce « ça dépend » explicite au lieu de le laisser implicite.

14. Projets et transformation

Un projet structurant change l'organisation, pas seulement l'outillage : migration de messagerie, changement d'ERP, externalisation. Ce sont ceux qui échouent par manque d'adhésion plutôt que par manque de technique, d'où le diagnostic de conduite du changement (ADKAR), à mobiliser sur ce périmètre précis et pas comme évaluation générale du client.

Le suivi d'adoption (ADKAR)

/adoption restitue les cinq scores du modèle ADKAR :

L'intérêt du modèle tient à une règle : c'est l'étape la plus basse qui bloque, pas la moyenne. Un projet où tout le monde sait faire (Knowledge élevé) mais dont personne ne comprend l'objectif (Awareness bas) échouera par l'Awareness. Ne lisez pas ces cinq scores comme un total.

Le diagnostic ADKAR est rattaché à un projet (/clients/{id}/projets/{projetId}/adkar), pas au client : un même client peut très bien adopter un outil et en rejeter un autre.

15. Veille réglementaire et vulnérabilités

Veille réglementaire

/regulation-watch : les évolutions réglementaires qui concernent vos clients, triées en amont par la plateforme. Vous ne suivez pas cinquante flux : vous recevez ce qui a passé le filtre.

Quand vous poussez une évolution aux clients concernés, monDSI crée pour chacun une proposition : une action au plan d'action et les diagnostics à réviser. Elle attend votre validation dans le bloc « À valider » du plan d'action du client (/clients/{id}/plan-action). Tant que vous n'avez pas validé, rien n'est dans le plan, rien n'est visible du client, et aucune réponse de diagnostic n'est modifiée. En validant, vous choisissez les diagnostics à réviser : ils apparaissent « à rafraîchir » jusqu'à votre prochaine réponse.

Vulnérabilités croisées au parc

/clients/{id}/cve : la différence avec un flux CVE ordinaire tient en un mot : croisées. Une vulnérabilité n'est remontée que si le produit concerné est présent dans l'inventaire du client.

Conséquence directe : sans inventaire, cette page est vide, et ce vide ne signifie pas « aucun risque ». Renseignez l'inventaire (chapitre 11) avant de conclure quoi que ce soit.

Les vulnérabilités activement exploitées sont signalées comme telles : ce sont celles qui justifient d'appeler le client le jour même plutôt qu'au prochain COPIL.

16. Simulateurs

/simulateurs : deux moteurs de calcul, au niveau du cabinet :

• TCO de migration : coût total d'un changement d'infrastructure ou de suite bureautique, sur 3 ans.
• ROI sécurité : mise en regard du coût d'une mesure et du coût évité.

La page /simulateurs calcule instantanément et n'enregistre rien. Pour conserver une simulation et l'exporter en DOCX, ouvrez-la depuis la fiche du client (page Synthèse). Elles servent à répondre « combien ça coûte, et par rapport à quoi ? » avec un chiffrage assumé plutôt qu'un ordre de grandeur lancé en réunion.

Les hypothèses de calcul sont explicites : montrez-les au dirigeant. Un chiffrage dont on ne peut pas discuter les hypothèses ne convainc personne deux fois.

17. Cycle de vie de la mission

Le cadrage contractuel

La proposition et le SOW se génèrent à partir du dossier, sur la page /clients/{id}/mission, rubrique « SOW & avenants ». Il n'y a pas de signature en ligne : vous suivez le statut (brouillon, envoyée, acceptée ou refusée) en cliquant. Passer le SOW à acceptée initialise le plan d'action.

Un avenant maximum par mission. L'outil refuse d'en émettre un second : au-delà, on clôt la mission puis on la renouvelle avec un nouveau SOW de base. La doctrine réserve l'avenant à un élargissement de périmètre (acquisition, nouveau site) ou à un dépassement de plus de 20 % du forfait ; l'outil ne contrôle que le nombre d'avenants, pas ces deux conditions : c'est à vous d'en juger. Une bannière sur la page Mission vous propose un avenant dès que de nouveaux éléments (enjeux, sujets IT, projets, contacts) sont apparus depuis l'acceptation du SOW : elle signale un fait, pas une obligation. Le reste des ajustements se traite dans le plan d'action.

La clôture

L'assistant de fin de mission produit le certificat de fin et recueille le retour d'expérience. Prenez le temps du REX : c'est la seule trace de ce que vous avez appris sur ce client, et personne ne la réécrira plus tard.

Le statut final (terminée, passée ou renouvelée) détermine ce que le dossier devient dans vos tableaux de bord.

L'audit trail

Qui a fait quoi, quand. Deux usages : répondre sans supposition à une question sur l'historique, et documenter la piste d'audit lors d'un contrôle. Il se consulte, il ne se corrige pas.

18. Restitution et portail dirigeant

Les packs de restitution

/clients/{id}/restitution : deux rythmes :

• COPIL IT mensuel : le point de pilotage opérationnel.
• Restitution dirigeant trimestrielle : la lecture stratégique, pour le DG.

Les deux sortent en DOCX et PPTX à votre charte. Voir le chapitre 9 pour la génération, et la procédure SOP-105 pour la vérification avant envoi.

Sur cette même page, le bloc « Offres complémentaires à proposer » suggère au plus deux offres du catalogue de votre cabinet (/admin/offres), d'après les axes faibles du Diag IT N1. Vous retenez celles que vous voulez proposer : elles forment une annexe du pack trimestriel, sans budget. Aucune offre n'est ajoutée à une SOW.

Le portail dirigeant

/portal/{token} : un espace en ligne, accessible par un lien porteur de jeton, où le dirigeant retrouve l'essentiel entre deux points de rendez-vous.

C'est un complément aux livrables signés, pas un remplacement. Le document reste ce qui fait foi ; le portail évite les quinze e-mails « où en est-on ? ».

L'accès se fait par le lien, sans compte à créer. C'est ce qui le rend utilisable par un dirigeant, mais cela signifie aussi que le lien vaut accès : transmettez-le à la bonne personne, et considérez-le comme une donnée sensible.

La page d'accueil

Trois indicateurs, choisis pour répondre aux questions que pose un dirigeant :

• Actions terminées : ce qui a effectivement avancé.
• Prochaine échéance : ce qui arrive, ou « pas d'échéance planifiée » si rien n'est cadencé. Cette mention n'est pas neutre : elle se voit.
• Delta maturité : le mouvement depuis la dernière mesure. C'est le chiffre qui intéresse le dirigeant, davantage que le niveau absolu.

Les sept onglets

Ce que le portail change dans la relation

Deux effets à anticiper avant d'ouvrir l'accès :

Ce qui est vide se voit. « Aucun test » de PRA, « pas d'échéance planifiée » : le portail expose les manques aussi bien que les avancées. C'est son intérêt, et c'est aussi pourquoi il faut l'ouvrir en connaissance de cause, après avoir expliqué ce que le dirigeant va y trouver.

Le portail ne remplace pas le rendez-vous. Il supprime les relances d'état d'avancement, pas la conversation. Un dirigeant qui lit son portail arrive au COPIL avec des questions plus précises : c'est le résultat recherché.

Effacement des données

/clients/{id}/rgpd-erasure : pour répondre à une demande d'effacement. Une suppression est irréversible : vérifiez le périmètre avant de confirmer, et gardez trace de la demande qui la justifie.

19. Pilotage du cabinet

Au-delà des dossiers clients, quelques pages travaillent à l'échelle du cabinet :

Le benchmark (côté administration) compare vos clients entre eux de façon anonymisée. Il sert à situer un client dans sa catégorie : « votre niveau de sensibilisation est dans le dernier quart des PME de votre taille » pèse plus lourd qu'un score brut. Un agrégat n'est publié qu'à partir de 5 réponses comparables, et les réponses d'un client effacé restent comptées sous forme de compteurs anonymes, sans lien avec lui.

La matrice de priorisation

/priorisation : une matrice impact / effort à quatre quadrants :

Le quadrant qui compte est le deuxième. « Eat the frog » désigne l'action à fort impact que personne n'engage parce qu'elle est lourde, et qui reste au plan d'action trimestre après trimestre. La matrice existe pour la nommer en réunion plutôt que pour la laisser glisser.

La roadmap stratégique

/roadmap-strategique : une trame en cinq étapes pour construire une trajectoire SI à 24-36 mois :

1. Photo as-is : documenter la réalité opérationnelle à l'instant T, sans jugement : inventaire applicatif (catégorie, criticité, propriétaire, contrat), cartographie réseau et infrastructure, capacités fonctionnelles couvertes, forces et faiblesses en une page.
2. Vision to-be : le SI cible aligné sur la stratégie business.
3. Analyse d'écart : ce qui sépare les deux.
4. Séquencement par horizons : dans quel ordre.
5. Jalons et dépendances : ce qui bloque quoi.

L'étape 1 se fait sans jugement, et ce n'est pas une précaution de style : une photo de l'existant rédigée à charge braque l'équipe interne, dont vous aurez besoin pour les quatre étapes suivantes.

À ne pas confondre avec le plan d'action (chapitre 7), qui porte sur les 30/60/90 jours. La roadmap porte sur des années et répond à « où va-t-on ? », pas à « que fait-on lundi ? ».

Les imports de fichiers

/imports : le point d'entrée unique pour les exports que vous récupérez chez le client : GLPI, Lansweeper ou OCS pour l'inventaire matériel et logiciel, centre d'administration Microsoft 365 pour les utilisateurs, licences et usages, Active Directory pour les comptes, GPO et paramètres de sécurité.

C'est la voie à privilégier quand le client dispose d'outils mais ne souhaite pas ouvrir d'accès. La règle du chapitre 11 s'applique : un import n'écrase jamais une saisie manuelle.

Le référentiel outils et frameworks

/donnees : le catalogue partagé, en lecture : outils du marché, éditeurs, et frameworks de gouvernance (COBIT, NIST CSF, CIS, ISO 27001, CSA CCM, EBIOS RM…).

/referentiel/changes : les évolutions détectées automatiquement sur ce catalogue : changement de politique de licence, fin de support, évolution d'offre chez un éditeur. C'est la page à consulter avant de recommander un outil : une recommandation faite sur une grille tarifaire périmée se retourne contre vous en comité.

Les jeux de démonstration

/demo : trois profils prêts à l'emploi : TPE 15 personnes, PME 120 personnes, ETI 450 personnes.

Utile en avant-vente pour montrer l'outil sans exposer de données réelles, et pour vous former sans polluer un dossier client. Le profil ETI dépasse volontairement la cible des 300 personnes : il sert à montrer le comportement de l'outil en limite haute.

Le retour client

/feedback/{token} : une page publique, accessible par lien, où le client dépose un score et un commentaire libre (« ce qui a marché, ce qui pourrait être amélioré »).

Envoyez-le après une restitution ou en fin de mission. Un retour écrit vaut mieux qu'un « très bien, merci » de fin de réunion : il est exploitable, et il fait remonter ce que personne ne dit en face.

Pour la configuration du cabinet, la gestion de l'équipe, les CGU et l'abonnement, voir le guide d'administration (docs/ADMIN-GUIDE.md).

20. FAQ

Questions générales

Q : monDSI fonctionne-t-il sur Mac ou Linux ?

Oui. monDSI s'utilise entièrement depuis un navigateur : le système d'exploitation de votre poste n'a aucune importance. Windows, macOS, Linux, tablette : le comportement est identique.

Q : Combien de clients puis-je gérer ?

Il n'y a pas de limite technique. Chaque cabinet dispose de sa propre base de données, dimensionnée pour des centaines de dossiers clients. Le nombre de sièges consultants relève, lui, de votre abonnement.

Q : Mes données sont-elles sécurisées ?

• Isolation par cabinet : chaque cabinet a sa propre base de données. Les secrets et les archives sont préfixés par cabinet, sans zone partagée.
• Secrets (tokens, clés API) : Azure Key Vault.
• Archives et livrables : Azure Blob Storage, avec rétention Hot/Cool/Archive.
• Chiffrement en transit et au repos assuré par la plateforme.
• Session liée au sous-domaine : une session ouverte pour un cabinet est refusée sur le sous-domaine d'un autre cabinet.

Q : L'IA est-elle obligatoire ?

Non. L'IA est utilisée pour :

• L'aide contextuelle par action (guide IA)
• Le pré-remplissage de certains champs (audit cadrage)
• Les suggestions de mapping GRC

Si aucun backend IA n'est configuré, monDSI fonctionne normalement avec des templates génériques en fallback. Aucune donnée client n'est envoyée à un service IA sans votre accord.

Diagnostics

Q : Puis-je ajouter mes propres questions à un diagnostic ?

Pas directement depuis l'interface. Les diagnostics sont définis dans le code source. Cependant, vous pouvez créer des frameworks personnalisés dans la section GRC pour couvrir des sujets spécifiques.

Q : À quelle fréquence dois-je refaire les diagnostics ?

Chaque diagnostic a une fréquence recommandée (affichée dans le tableau de la section 5). Un widget "Diagnostics à rafraîchir" sur la fiche client vous alerte quand un diagnostic est devenu obsolète, ou quand une évolution réglementaire que vous avez validée demande de le réviser.

Q : Que signifie "NSP" dans les réponses ?

"NSP" (Ne Sait Pas) signifie que la question s'applique au client mais que la réponse est inconnue au moment de l'évaluation. Contrairement à "N/A", les réponses NSP sont remontées comme "Points à clarifier" dans les livrables d'audit cadrage.

Q : Mon client peut-il remplir un diagnostic lui-même ?

Oui, pour le Diag IT N1. Dans la fiche du client, catégorie Documents, page Portail dirigeant (/clients/{id}/portail), créez un lien de diagnostic : le client répond sans compte, à son rythme, et ses réponses arrivent sur la fiche avec la mention « saisie par le client via le lien ». Une question que vous avez déjà renseignée n'est jamais modifiée. Le lien expire (30 jours par défaut, 90 au plus), se révoque, et n'est montré qu'une fois à la création.

Plan d'action

Q : Puis-je importer un plan d'action existant ?

Le plan d'action est alimenté automatiquement par les diagnostics, la GRC et les findings M365DSC. Vous pouvez également créer des actions manuellement. Il n'y a pas d'import CSV pour le moment.

Q : Comment fonctionne le scoring de priorité ?

La priorité est calculée automatiquement : impact x (5 - effort) x risque. Cela favorise les actions à fort impact, faible effort et risque élevé.

Livrables

Q : Puis-je personnaliser les templates DOCX ?

Les templates sont générés par code (librairie docx). La personnalisation passe par la couleur et le logo du cabinet, qui sont appliqués automatiquement à tous les documents. Pour des modifications structurelles, il faut modifier le code source.

Q : Combien de temps prend la génération d'un livrable ?

La génération est quasi instantanée pour les documents simples (COPIL, mini- audit). Les livrables avec IA (audit cadrage, guides) peuvent prendre 10-30 secondes selon le backend IA configuré.

GRC & Conformité

Q : Les frameworks GRC sont-ils mis à jour ?

Les frameworks sont livrés dans le code source sous forme de fichiers JSON (data/grc/*.json). Ils sont mis à jour à chaque nouvelle version de monDSI. La page Roadmap frameworks suit les mises à jour disponibles, mais elle est réservée aux administrateurs de la plateforme (/superadmin/roadmap-frameworks).

Q : Quelle différence entre diagnostic et assessment de maturité ?

• Un diagnostic est un questionnaire à réponses fixes (Oui/Partiel/Non/N-A/NSP) qui produit un score par catégorie. C'est une photo à un instant T.
• Un assessment de maturité est un calcul plus élaboré qui combine des sources automatiques (diagnostics, GRC, M365DSC) et déclaratives (questionnaire dirigeant). Il produit un score global 0-100 traduit en niveau de maturité 1-5 avec un radar graphique.

Annexe : Raccourcis utiles

Support : pour toute question technique, consultez le guide développeur (docs/DEVELOPER.md) ou la documentation d'auto-hébergement (docs/SELF-HOST.md).