• Probabilité annuelle de base : 16 % (moins de 50 employés), 25 % (50 à 249), 30 % (250 et plus). Statistique Canada, Enquête canadienne sur la cybersécurité et le cybercrime 2023.
• Ajustements multiplicatifs : secteur (santé et finance × 1,4, immobilier × 1,3, services professionnels × 1,1), paiements par courriel × 1,3, aucune formation × 1,5, aucune authentification multifacteur × 1,5, aucune politique écrite × 1,2, simulation déjà faite × 0,8. Plafond : 70 %.
• Coût d'un incident : jours d'arrêt (3, ou 7 sans sauvegardes testées) × coût par jour, plus rétablissement (8 000 $ + 150 $ par employé), plus notification Loi 25 (25 $ par dossier). Rançon exclue : 88 % des victimes n'en paient pas.
• Coûts immergés : frictions (heures par employé par mois × coût horaire chargé × 12) et technostress (montant par employé). Hypothèses prudentes.
• Après mandat : perte attendue réduite de 40 %, frictions de 30 %, technostress de 20 %. Sur 3 ans : × 2.4. Probabilité sur 3 ans : 1 − (1 − p)³.
• Investissement : 35 % de l'économie de l'année 1, borné par bande (plancher = heures de livraison × 175 $ × 1.3 ; plafond fixe). Arrondi au 50 $.
• Exposition Loi 25 : sanction administrative jusqu'à 10 M$ ou 2 % du chiffre d'affaires mondial ; infraction pénale jusqu'à 25 M$ ou 4 %.

Estimation fondée sur des moyennes canadiennes et sur vos réponses. Elle ne constitue ni une garantie ni un avis juridique.