Étude de cas : comment la certification Aegryn a permis un exit à 4,8x ARR pour un SaaS B2B

Note : Cette étude de cas est basée sur un processus réel anonymisé. Les données ont été modifiées pour préserver la confidentialité des parties. Les ordres de grandeur et les mécanismes décrits sont représentatifs des processus Aegryn.

Situation initiale

Un fondateur français, 41 ans, avait construit un SaaS RH B2B (gestion des entretiens annuels et objectifs OKR) depuis 2018. ARR = 2,1M€ en janvier 2025, EBITDA ajusté positif à 28%, NRR = 104%, taux de churn mensuel = 0,7%. Il avait reçu deux offres non sollicitées à respectivement 3,2x et 3,5x ARR (6,7M€ et 7,35M€). Il estimait que son actif valait plus, mais il ne disposait pas de documentation pour défendre cette position.

Protocole Grade : résultats par dimension

• Dimension C (Code), Score 82/100 : architecture solide (React/Node.js sur AWS), couverture de tests à 67% (légèrement sous le benchmark de 70%), documentation technique complète. Point d'amélioration identifié : 3 dépendances npm avec vulnérabilités CVE connues. Remédiation : 2 semaines.
• Dimension I (IP), Score 91/100 : propriété du code confirmée (contrats prestataires avec clause de cession de droits signés), marque déposée INPI (France + EUIPO). Point mineur : 1 contrat développeur sans clause de non-concurrence. Remédiation : avenant signé en 1 semaine.
• Dimension F (Finance), Score 88/100 : ARR audité confirmé à 2,08M€ (vs 2,1M€ présenté, écart de ~1%, normal). NRR réel = 106% (supérieur à l'estimation fondateur). EBITDA ajusté confirmé à 26% (légèrement inférieur après retraitement salaire fondateur). Point d'attention : 1 client représentant 22% de l'ARR, au-dessus du seuil de concentration recommandé de 20%.
• Dimension S (Sécurité), Score 79/100 : pentest réalisé (aucune vulnérabilité critique). MFA activé sur tous les accès admin. RGPD : registre des traitements présent et à jour, DPA signés avec AWS et Stripe. Point d'amélioration : politique de gestion des secrets (API keys stockées en variables d'environnement non chiffrées). Remédiation : migration vers AWS Secrets Manager (3 jours).

Résultat : Grade A (Score global 85/100)

Après 4 semaines de remédiation (pilotées par Aegryn), l'actif a obtenu le Grade A avec un score global de 85/100. Le rapport Grade a été présenté à 8 acquéreurs qualifiés du réseau Aegryn. 4 ont manifesté un intérêt, 2 ont soumis des LOI. La meilleure offre : 10,1M€ (4,86x l'ARR audité de 2,08M€), structure cash 90% + earnout 10% sur 12 mois. Le deal a closé en 11 semaines depuis la première LOI reçue.