« La conformité, c’est comme les brocolis : tout le monde dit que c’est bon pour vous, mais personne ne veut vraiment en manger. » — Un auditeur anonyme (et probablement non conforme).
Cette semaine, le monde des startups tech a tremblé comme un tableur Excel devant un audit surprise : la jeune pousse Delve, issue du prestigieux incubateur Y Combinator et récemment propulsée avec 32 millions de dollars, s’est retrouvée empêtrée dans une embrouille de conformité qu’on croirait tirée d’un mauvais roman policier. Un mystérieux « DeepDelver », se présentant comme ex-client de Delve, a balancé sur Substack un billet explosif : Delve offrirait en fait un « faux sentiment de conformité », trompant des centaines de clients qui pourraient se retrouver avec des amendes XXL, voire pire, sous les acronymes redoutés du RGPD ou d’HIPAA.
Derrière ce pseudo tapageur, DeepDelver nous livre une intrigue où se mêlent fuites de documents, tableaux Excel suspects et, apparemment, distributions compulsives de donuts pour calmer les esprits. D’après le post, plusieurs clients floués auraient décidé d’enquêter en mode Grand Jury du web après avoir reçu un étrange mail de Delve à propos d’une « fuite de rapports confidentiels ». Eux, suspicieux comme jamais, se sont alors demandé si leur conformité était réelle ou juste ~« PowerPointée »~.
Le diagnostic du quatuor masqué ? Delve délivrerait non seulement de la « fausse preuve » (faux audits simulés, faux comptes-rendus de réunions et même faux process), mais elle obligerait aussi ses clients à choisir entre bidonner leurs dossiers ou réaliser, surprise, tout le travail à la main. Ai-je dit qu’à défaut de conformité automatique, les clients avaient droit à un carton de donuts ? Ce monde manque vraiment de bug bounty !
“Dans le monde de la conformité, il faut toujours se méfier des plateformes qui promettent monts et merveilles… ou qui offrent trop de beignets.”
Mais la saga ne s’arrête pas là : DeepDelver pointe aussi du doigt deux cabinets d’audit, Accorp et Gradient, censés avoir validé la majorité des dossiers clients mais qui, selon eux, ne seraient que des « usines à tampons », principalement basées en Inde. Le système serait alors totalement inversé : la startup, en se posant à la fois comme organisateur et juge, rendrait toute l’attestation nulle et non avenue — du jamais-vu chez les compliance-freaks.
En réaction, Delve s’est empressée de répondre sur son blog — et devinez quoi ? Ce n’est pas eux les méchants ! Selon leur version très corporate, ils ne délivrent aucun rapport de conformité, mais ne seraient en fait qu’« une plateforme d’automatisation » qui simplifie la vie (et les preuves !) pour faciliter le travail des vrais auditeurs « indépendants » de leur « réseau ». Leur best-seller ? Des « templates » pour documenter ses process, rien de plus classique, promis-juré-craché !
Mais DeepDelver n’achète pas une miette de cette version. Pour eux, jouer sur les mots – « template » ou « fausse preuve » – revient à dénoncer l’imprimante et ignorer l’encre invisible. Et pendant que Delve s’active à « investiguer » les fuites, d’autres internautes découvrent à leur tour des failles béantes sur l’accès aux données sensibles de la startup. Un utilisateur, James Zhou, a même révélé sur X avoir récupéré des infos critiques comme des vérifications d’antécédents ou des plans d’actionnariat. Eh oui, visiblement chez Delve, la seule chose vraiment bien partagée reste… la vulnérabilité !
Finalement, cette affaire nous rappelle que dans la tech, avoir une bonne démo ne suffit pas à être certifié — surtout quand le donut est plus solide que la preuve de conformité. Pour Delve, l’heure n’est peut-être pas encore à la levée de fonds, mais à la levée de doutes… On ne voulait pas y croire, mais dans la compliance, tout ce qui brille n’est pas donut !
Source : Techcrunch
