Un contrat-cadre déjà signé peut sembler se suffire à lui-même
La position se comprend pour ce métier en particulier : un test d'intrusion se conclut sous NDA et sous un contrat-cadre de prestation de services rédigé pour traiter avec une entreprise, avec ses clauses de responsabilité et de confidentialité, pas avec une personne physique munie d'un passeport. Si le contrat existe déjà, l'utilité d'une facture émise par une société tierce américaine n'a rien d'évident au premier regard.
La réponse honnête est qu'elle ne remplace pas ce contrat-cadre et n'en change aucune clause : le NDA et le contrat-cadre restent ceux que le client a fait signer, avec ses propres conditions de responsabilité. Ce qu'une facture émise par une société américaine change, c'est uniquement le document comptable qui suit : le service comptable du client rapproche un document domestique de ce contrat déjà en place, plutôt qu'un virement international vers une personne dont le statut juridique ne correspond à rien dans son système.
Ce que le mécanisme ne résout pas doit être dit aussi clairement : il ne négocie pas les clauses du contrat-cadre à votre place, et il ne dispense d'aucune vérification de sécurité que le client exige avant de vous laisser toucher à ses systèmes.
Le mécanisme derrière chaque facture
Vous vous inscrivez une fois, vous vérifiez votre identité et vous décrivez le client ainsi que la mission d'audit en cours. La facture que reçoit ensuite ce client est émise par une société américaine et non par vous : pour son service comptable, c'est une facture domestique, payable par ACH ou par virement, en dollars, vers une banque aux États-Unis, avec un formulaire W-9 disponible sur demande.
Le client n'a pas besoin d'être une grande entreprise : une entreprise fintech ou santé qui se prépare à un audit SOC 2, ou un cabinet de conseil qui sous-traite un test d'intrusion, paie de la même façon. Tant que le pays n'est pas sous sanctions, la facture peut être émise en onze devises, dont le dollar américain, l'euro, la livre sterling, le dollar canadien, le dollar australien et le franc suisse.
PANORAMA payments prélève ensuite une seule commission de plateforme et vous paie dans votre pays : virement bancaire, SWIFT, SEPA, Wise, compte local ou actifs numériques libellés en dollars, selon l'endroit où vous vivez. Il n'y a pas d'abonnement mensuel et rien n'est prélevé avant que le client ait payé, sans que cela vous oblige à créer quoi que ce soit aux États-Unis.
Facturer un audit, un plan de remédiation ou un suivi continu
Un test d'intrusion complet, avec son rapport et les preuves attendues pour un audit, se facture le plus souvent au projet, avec un périmètre défini dans le contrat-cadre. Un plan de remédiation à mettre en œuvre ensuite, ou une configuration à durcir point par point, se prête mieux à un tarif horaire, tandis qu'un suivi de sécurité continu pour une entreprise en préparation d'audit se facture en retainer mensuel.
Quel que soit le mode retenu, la facture émise par la société américaine décrit le livrable précis, rapport de test d'intrusion, plan de remédiation, configuration durcie ou preuve remise pour l'audit, ce qui donne au client un document qu'il peut classer avec le reste de son dossier de conformité.
Un contrat pensé pour une entreprise, pas pour un passeport
La difficulté propre à ce métier tient à la forme même de l'engagement : NDA et contrat-cadre de prestation de services sont rédigés pour traiter avec une entreprise, ses clauses de responsabilité et son statut juridique, pas pour une personne physique qui facture depuis l'étranger avec, pour toute existence légale, un passeport.
Une facture émise par une société américaine s'aligne mieux sur ce que le contrat attend : le service comptable du client voit une structure domestique du côté du paiement, ce qui referme l'écart entre un contrat écrit pour une entreprise et une facture qui, sans cela, viendrait d'une personne seule à l'étranger.