Personne ne remettrait les clés d'une voiture à quelqu'un qui vient à peine d'obtenir son code. On sait que connaître le code de la route et savoir conduire sont deux choses différentes. On sait qu'entre les deux, il y a des heures de pratique, un moniteur, une progression.

La sensibilisation à la cybersécurité, elle, s'arrête souvent au code. Un module, un quiz, une certification, et on considère que le collaborateur sait conduire.

Ce n'est pas un problème de contenu. C'est un problème de dispositif.

Ce que le marché vend, et ce qu'il fait très bien

KnowBe4, MetaCompliance, Proofpoint et les autres ont construit quelque chose de solide : des catalogues massifs, des dizaines de langues, des formats variés, des simulations de phishing intégrées, du reporting exploitable et une traçabilité qui tient devant un auditeur. Proofpoint annonce plus de 40 langues, KnowBe4 une bibliothèque de plusieurs milliers de contenus.

Sur ce terrain, il n'y a rien à leur reprocher. Ces plateformes font exactement ce pour quoi elles ont été conçues : couvrir large et documenter.

La question n'est donc pas la qualité de l'outil.

Le tout-en-un promis, l'empilement constaté

Ces suites se vendent sur une promesse de consolidation : la sensibilisation, le phishing, les politiques, la conformité, le risque, dans un seul outil.

Regardez maintenant la réalité d'un grand compte. Les simulations de phishing sont souvent pilotées par le SOC ou un prestataire, avec leur propre outillage. La preuve de formation vit dans le LMS RH, parce que c'est lui le système de référence pour l'audit. Les campagnes internes passent par l'intranet et les canaux de communication du groupe. La plateforme d'awareness occupe une case au milieu de tout ça.

Autrement dit, la consolidation reste théorique. Dans les faits, les organisations empilent. Le vrai critère d'achat n'est donc pas « qui sait tout faire », mais « qu'est-ce qui s'insère proprement dans ce qui existe déjà et apporte ce qui manque ».

Le chaînon manquant : la conception pédagogique

Une plateforme de sensibilisation vous livre deux choses : un inventaire de contenus et un moteur d'affectation. Ce qu'elle ne livre pas, c'est le programme.

Sélectionner ce qui compte pour votre organisation, le séquencer, l'espacer dans l'année. Construire une progression. Décider de ce qu'on mesure et pourquoi. Ce travail existe, il porte un nom, c'est de l'ingénierie pédagogique, et il est transféré au client sans que personne le dise.

Or l'équipe cyber qui reçoit les accès n'a ni ingénieur pédagogique, ni temps. Elle a un budget, une échéance de conformité et déjà trois projets en retard. Ce qui se passe ensuite est parfaitement prévisible : on choisit un ou deux contenus, on les pousse une fois par an, on coche la case. Une plateforme achetée pour son étendue finit consommée à quelques pour cent.

Ce n'est pas de la négligence. C'est la logique du modèle. Certains évoquent d'ailleurs eux-mêmes, dans leur documentation commerciale, un temps de formation de l'ordre « d'une à deux heures par utilisateur et par an ». Le temps de sensibilisation est pensé comme une enveloppe annuelle à consommer, pas comme une pratique à installer. Tout le reste en découle.

Le contenu générique face à vos règles à vous

Il y a un problème plus concret encore, que connaît toute personne ayant travaillé avec ces plateformes.

Votre politique de mots de passe est spécifique. Votre méthode d'authentification forte aussi : peut-être une application push, peut-être des clés physiques, rarement le code par SMS qu'on voit dans les modules. Votre procédure de signalement d'un mail suspect passe par un bouton dédié, pas par un transfert au service informatique.

Un contenu générique qui enseigne autre chose que votre règle ne fait pas rien, il fait pire. Il contredit votre politique, il installe le doute, et le collaborateur retient la mauvaise version.

La réponse des éditeurs est la personnalisation. Elle existe réellement, et elle a des limites. La documentation décrit un centre de personnalisation qui permet d'éditer les textes, les écrans, les images, les questions et les réponses, et de réordonner le contenu, l'objectif affiché étant justement d'aligner les modules sur vos politiques. Pour les modules vidéo, la personnalisation porte sur ce qui entoure la vidéo, pas sur la vidéo elle-même.

Traduisons. L'éditeur reconnaît que le contenu générique ne colle pas à votre organisation, et sa réponse est que vous fassiez le travail. Vous réécrivez, vous produisez, vous validez. Dans une solution vendue clé en main.

Pourquoi un catalogue ne peut pas résoudre ça

Il y a derrière tout cela une problématique économique.

Quand l'unité pédagogique est le module, l'adaptation coûte cher. Réenregistrer une vidéo pour chaque client est impossible, alors l'éditeur produit du générique et vous renvoie l'édition.

Quand l'unité pédagogique est l'action, l'adaptation ne coûte presque rien. « Aujourd'hui, active la double authentification » devient « aujourd'hui, enrôle ta clé sur le portail interne », et le défi reste juste. Même effort pédagogique, même progression, mais aligné sur votre environnement. C'est une question de format.

Ce que change un défi

Billow ne propose pas un module sur les mots de passe. Billow propose : aujourd'hui, change le mot de passe de ta boîte mail pour un mot de passe plus solide.

L'action est réelle, immédiate, visible par la personne elle-même. Elle vaut au bureau comme à la maison, ce qui est précisément ce qui ancre une habitude. Les formats varient, une manipulation à faire, un court contenu à écouter, une preuve à déposer, mais chaque défi se termine sur quelque chose qu'on fait, jamais sur quelque chose qu'on regarde. Elle s'enchaîne sur trente jours, parce qu'un réflexe se construit par répétition courte et régulière. Puis elle se prolonge sur l'année, à raison de deux défis par mois, pour que la culture cyber ne retombe pas en février.

Et le dispositif reste vivant. Une menace identifiée sur votre secteur, une fraude au président tentée la semaine dernière, un changement de politique interne : on publie une actualité ou un défi dédié en quelques jours, pas au prochain cycle annuel.

C'est la différence entre une application qui vous fait marcher un peu chaque jour et un abonnement à la salle de sport utilisé deux fois en janvier. Le second se vend très bien. Le premier fait bouger les gens.

Et la mesure, alors ?

Question légitime, et la réponse tient en trois niveaux plutôt qu'en un seul.

Certains défis demandent une preuve : une capture d'écran, un justificatif à déposer. Dès que l'action laisse une trace exploitable, elle est fournie.

D'autres reposent sur la déclaration de la personne, et nous l'assumons. Changer le mot de passe d'une messagerie personnelle ne se prouve pas, et c'est justement ce qui rend le défi utile : il sort du périmètre professionnel, là où les habitudes s'installent pour de bon.

S'y ajoutent des quiz notés. Mais des quiz de situation, pas de restitution. Ce qu'on évalue, c'est l'arbitrage dans un contexte réaliste, pas la capacité à reconnaître la bonne définition parmi quatre propositions. La nuance n'est pas cosmétique : un quiz de connaissance mesure ce qu'on a retenu hier, un quiz de situation mesure ce qu'on ferait demain.

Enfin, rien de tout cela ne vit seul. Ces signaux se recoupent avec les indicateurs que vous possédez déjà : taux d'activation MFA, volume de signalements de mails suspects, adoption du gestionnaire de mots de passe. C'est là que se lit l'effet réel d'un programme, bien plus que dans un taux de complétion.

Où se place Billow dans votre organisation

Si vous êtes un grand compte déjà équipé, Billow ne remplace rien. Il vient au-dessus, comme la couche d'engagement et de pratique qui manque à votre dispositif. Vos simulations de phishing continuent, votre LMS garde la preuve, et vos collaborateurs gagnent un rendez-vous régulier qui transforme la connaissance en réflexe. C'est aussi ce qui pèse lors d'un contrôle NIS2 : un dispositif vivant et documenté, pas une case cochée en décembre.

Si vous êtes une ETI qui veut aller vite, Billow constitue le dispositif complet, prêt à déployer, sans mobiliser six mois d'ingénierie interne.

Dans les deux cas, ce que nous livrons n'est pas un accès à une bibliothèque. C'est un parcours déjà sélectionné, séquencé et pensé, aligné sur vos règles et ajustable en cours d'année.

Les ingrédients, vous pouvez les acheter partout, ce qui manque au marché, c'est la recette et quelqu'un qui la connaît.

Questions fréquentes (FAQ)

Billow remplace-t-il ma plateforme actuelle ?

Pas nécessairement. Chez un grand compte déjà équipé, Billow s'ajoute comme couche d'engagement et de pratique. Chez une organisation de taille intermédiaire, il constitue le dispositif complet.

Comment les défis s'adaptent-ils à mes règles internes ?

Le défi porte sur une action, pas sur un exposé. On l'aligne sur votre politique, vos outils et vos procédures de signalement, ce qui est rapide et peu coûteux quand l'unité pédagogique est l'action plutôt que la vidéo.

Comment savez-vous qu'un défi a réellement été fait ?

Cela dépend du défi : une preuve à déposer quand l'action laisse une trace, une capture d'écran par exemple, une déclaration assumée quand elle relève de la sphère personnelle, et des quiz notés orientés situation plutôt que restitution. Le tout se recoupe avec vos propres indicateurs : activation de l'authentification forte, signalements, adoption des outils déployés.

Article établi à partir d'informations publiques disponibles en juillet 2026 sur les grandes plateformes de sensibilisation du marché.