Recruter un analyste de centre opérationnel de sécurité, un ingénieur en réponse à incident ou un pentester ne se joue plus sur la qualité de l’annonce. Ces profils sont sollicités plusieurs fois par mois et choisissent leur employeur, pas l’inverse. Ce qui décide de leur réponse tient dans les vingt minutes qu’ils passent à vous chercher en ligne avant d’écrire un mot.
Ce que voit un candidat avant de répondre
Il tape le nom de l’entreprise dans un moteur de recherche, lit les avis d’anciens salariés, ouvre les profils de ses futurs collègues pour évaluer leur niveau technique, cherche si un incident public vous concernant a été documenté, et regarde ce que votre équipe a publié. Cette séquence-là précède l’entretien, et vous n’y participez pas. C’est le rappel que fait systématiquement Julien Jimenez aux entreprises qui s’étonnent d’un taux de réponse faible sur des postes bien rémunérés : le problème est rarement l’offre, c’est ce qui apparaît autour d’elle.
La page carrières ne fait pas la marque employeur
Une page « Nous rejoindre » ornée de photos de babyfoot et de mots comme « bienveillance » ou « esprit d’équipe » ne convainc personne dans ce métier, et depuis que les annonces sont rédigées à l’aide d’outils génératifs, elles se ressemblent toutes au mot près. Ce qui différencie est devenu très concret : la taille de l’équipe, l’organisation des astreintes et leur compensation, le périmètre réel du poste, les outils utilisés, le budget de formation et de certification, la politique de télétravail énoncée en jours. Ces informations écrivent une annonce en dix lignes que les candidats liront jusqu’au bout.
Publier ce que fait réellement l’équipe
Un compte rendu technique honnête sur une intrusion traitée, une contribution à un projet libre, un retour de conférence, une analyse d’un correctif publié : ces contenus attirent davantage de candidatures spontanées qu’une campagne de recrutement, et surtout de meilleures. Ils prouvent le niveau de l’équipe sans avoir à l’affirmer, ce qui est exactement ce que le candidat cherche à vérifier. Trois ou quatre publications par an suffisent, à condition qu’elles soient signées par les personnes qui ont fait le travail et non par le service communication.
Les avis que vous ne contrôlez pas
Ils existent, ils sont lus en premier, et il est vain d’espérer les faire disparaître. Deux règles tiennent : répondre factuellement, sans registre juridique, une réponse rédigée par un avocat se repère immédiatement et fait plus de dégâts que l’avis initial ; et traiter la cause quand plusieurs témoignages convergent sur le même point, généralement la charge d’astreinte ou le manque de moyens. Un employeur qui répond posément à une critique fondée gagne en crédibilité auprès des lecteurs suivants.
Rendre visibles les personnes, pas seulement la marque
Dans la sécurité informatique, la réputation se construit à l’échelle individuelle. Autoriser vos ingénieurs à publier, à intervenir en conférence, à maintenir un projet personnel, c’est accepter qu’ils deviennent identifiables, donc plus sollicités. Beaucoup de directions bloquent là. C’est un mauvais calcul : les équipes visibles recrutent leurs pairs, et un ingénieur qui s’exprime publiquement reste plus longtemps qu’un ingénieur invisible, parce qu’il a construit quelque chose à l’endroit où il travaille.
Mesurer autrement
Le nombre de candidatures reçues n’indique rien. Suivez quatre chiffres : le taux de réponse aux approches directes, la part de candidatures spontanées, le délai entre l’ouverture du poste et la signature, et le taux d’acceptation des offres formulées. Ce dernier est le plus révélateur : un candidat qui refuse après trois entretiens a vu quelque chose que votre processus ne vous montre pas. La marque employeur ne se décrète pas dans une plaquette, elle se lit dans ce que votre équipe publie et dans ce que vos anciens salariés racontent quand vous n’êtes pas là.
