Vanta

Ce que c’est

Vanta est une plateforme de gestion de la confiance. Elle se connecte à vos comptes cloud, à votre fournisseur d’identité, à votre SIRH, à vos dépôts de code et à vos ordinateurs portables, exécute des tests continus sur les contrôles d’un référentiel comme SOC 2 ou ISO 27001, et rassemble les preuves que demande un auditeur. Autour de ce socle, elle vend les briques que touche la revue de sécurité d’un acheteur : un Trust Center public, l’automatisation des questionnaires de sécurité, la gestion des risques fournisseurs et un registre des risques. Elle prend en charge plus de 35 référentiels, dont HIPAA, GDPR, NIST 800-53, CMMC et FedRAMP, avec environ 400 intégrations et plus de 1,400 tests automatisés.

Vanta ne délivre pas votre rapport SOC 2. C’est le rôle d’un cabinet CPA indépendant, dont les honoraires s’ajoutent au contrat Vanta.

La plateforme est passée des tableaux de bord aux agents. Le 2026-03-19, Vanta en a lancé trois : un Compliance Agent qui collecte les preuves et signale les incohérences de politiques, un Third-Party Risk Management Agent qui rédige les analyses de risques fournisseurs, et un Customer Trust Agent qui répond aux questionnaires de sécurité entrants à partir d’une base de connaissances construite sur les réponses passées. En juin 2026, elle a ajouté le Vanta Agent for Risk, qui fusionne les risques internes et tiers dans une vue unique mise à jour en continu. Un serveur MCP hébergé, en bêta pour tous les clients et réservé aux administrateurs Vanta, permet à Claude Code, Cursor et d’autres clients MCP de lire les tests en échec, de gérer les contrôles et d’ouvrir des pull requests de remédiation.

L’entreprise a annoncé $300M d’ARR et plus de 16,000 clients le 2026-04-29, soit trois fois son chiffre de 2024. Sa dernière levée valorisée était une Series D de $150M à une valorisation de $4.15B en juillet 2025, le même mois que le rachat de Riskey, une startup de surveillance des fournisseurs. Elle a obtenu l’autorisation FedRAMP 20x Moderate pour son cloud gouvernemental en avril 2026.

Pourquoi il apparaît dans les stacks des équipes ops

• Les revues de sécurité conditionnent le chiffre d’affaires. Pour les entreprises B2B qui vendent au mid-market et aux grands comptes, l’absence de rapport SOC 2 ou un questionnaire de sécurité de 300 questions peut bloquer un contrat signé pendant des semaines. Les équipes RevOps et deal desk le ressentent avant l’équipe sécurité. Le Trust Center et l’automatisation des questionnaires existent pour sortir ce travail du cycle de vente.
• Les Legal Ops gèrent la paperasse qui suit. Les DPA, les évaluations de fournisseurs et les registres de traitement relèvent du juridique. Le module de confidentialité de Vanta de mars 2026 ajoute les registres des activités de traitement (RoPA), un inventaire des données et les analyses d’impact relatives à la protection des données (DPIA) à côté des contrôles de sécurité.
• Le shadow AI en a fait une question d’achats. Selon les propres données de Vanta d’avril 2026, 70 % des entreprises utilisent des outils d’IA qui ont échappé à la revue de sécurité. Chaque nouveau fournisseur d’IA adopté par votre équipe est une évaluation fournisseur que quelqu’un doit mener.

Tarifs

Vanta publie les noms de ses offres — Essentials, Plus, Professional et Enterprise — mais aucun prix. Ses fiches AWS Marketplace montrent le plancher : pour 1–20 employés sur un engagement de 12 mois, Essentials coûte $14,000, Plus $21,500 et Professional $23,000. Plus ajoute 25 questionnaires traités par l’IA par an et la gestion des accès ; Professional porte ce chiffre à 144 questionnaires et ajoute la gestion des risques et un Trust Center avancé.

Sur 373 contrats suivis par Vendr, la dépense annuelle allait de $7,500 à $57,221, avec une médiane de $20,000. C’est avec les options que les totaux grimpent. Les prix catalogue de la Marketplace incluent le Trust Center à $6,000, Questionnaire Automation à $10,000 et Third Party Risk Management à $13,600 par an. En cumulant ces prix catalogue, une entreprise SaaS de 150 personnes qui mène SOC 2 et ISO 27001, avec l’automatisation des questionnaires et la gestion des risques fournisseurs, doit prévoir $35,000–$60,000 par an — avant les honoraires d’audit du cabinet CPA, facturés séparément.

Idéal pour

Les responsables sécurité, RevOps ou Legal Ops d’entreprises B2B SaaS de 20 à 1 000 employés qui ont besoin d’un premier rapport SOC 2 ou ISO 27001 pour débloquer des contrats grands comptes, puis doivent continuer à répondre aux questionnaires sans détourner les ingénieurs du travail produit. Il convient aussi lorsque vous ajoutez HIPAA, GDPR ou FedRAMP à SOC 2 et voulez un seul ensemble de contrôles mappé sur tous ces référentiels.

Points de vigilance

• Les renouvellements s’envolent. Des utilisateurs sur G2 et Reddit font état de hausses de 40 % ou plus la deuxième année, souvent liées à la croissance des effectifs ou à des options regroupées au renouvellement. La parade : inscrivez un plafond de hausse au renouvellement à un chiffre dans le premier bon de commande, figez la tranche d’effectifs, et ne demandez un tarif pluriannuel qu’après avoir mené un cycle d’audit complet.
• Un tableau de bord au vert ne fait pas une entreprise sécurisée. Des utilisateurs notent que certains tests automatisés vérifient qu’un paramètre existe, pas que le contrôle fonctionne. L’affaire Delve de mars 2026, où un concurrent a été accusé d’avoir fabriqué des preuves SOC 2, montre le poids que les acheteurs accordent désormais à l’indépendance de l’auditeur. La parade : choisissez vous-même votre cabinet CPA plutôt que de vous rabattre sur la liste de partenaires, et faites échantillonner par l’auditeur des preuves en dehors de ce que les intégrations ont collecté.
• Les réponses de l’IA partent sous votre nom. Le Customer Trust Agent rédige les réponses aux questionnaires à partir des réponses passées, et peut donc reprendre une réponse qui était vraie l’an dernier. La parade : exigez qu’un responsable nommé approuve chaque réponse portant sur des contrôles modifiés au cours des 12 derniers mois, et revoyez la base de connaissances chaque trimestre.

Alternatives, et quand les choisir

Drata est l’autre grand acteur : plus de $100M d’ARR et plus de 7,000 clients en février 2025, avec un Trust Center construit à partir de SafeBase, rachetée pour environ $250M. Son contrat médian observé tourne autour de $24,900. Choisissez Drata lorsque vos ingénieurs veulent écrire des tests personnalisés sous forme de code, ou lorsque vous évaluez le Trust Center de SafeBase comme achat principal.

Secureframe démarre autour de $7,500 par an, et son contrat médian se situe près de $20,000. Choisissez-le lorsque vous voulez un accompagnement à l’onboarding plus soutenu de la part de l’éditeur pendant le premier audit.

Sprinto cible les équipes SaaS attentives aux coûts, souvent hors des États-Unis. Choisissez-le pour un premier SOC 2 à moins de 100 employés, lorsque le prix pèse plus que la notoriété de la marque dans la revue de l’acheteur.

Le nouvel entrant à la croissance la plus rapide est Comp AI, une plateforme open source sous licence AGPLv3 qui a levé une Series A de $34M le 2026-09-17 et revendique plus de 1,000 clients et une croissance de l’ARR de 15x sur un an. Choisissez-la lorsque vous voulez héberger vous-même le système de conformité ou que vous ne pouvez pas justifier une licence à cinq chiffres pour un premier SOC 2.

Si vous utilisez déjà OneTrust pour la confidentialité ou ServiceNow pour le risque IT, chiffrez leurs modules GRC avant d’ajouter Vanta ; un second système de référence pour les contrôles est un coût que vous payez à chaque audit. Pour gouverner les agents IA et les outils MCP que vos équipes utilisent, associez Vanta à une couche dédiée comme Zenity ou WitnessAI — Vanta consigne le risque fournisseur, il n’applique pas de politique aux agents.