CISO

Vous cherchez un environnement professionnel stimulant basé sur l'autonomie et la confiance ? Pennylane vous offre l'opportunité de grandir au sein d'une entreprise en pleine croissance. Ici, votre expertise contribuera directement à aider les entrepreneurs à reprendre le contrôle de leurs finances. Découvrez un lieu où vos compétences seront valorisées et où vous pourrez façonner l'avenir de la gestion financière. **Notre vision** Notre ambition est de devenir le logiciel de pilotage financier préféré des PMEs européennes. Nous aidons les entrepreneurs à se débarrasser des tâches chronophages liées à la comptabilité et à la finance, tout en leur donnant accès à des informations financières clés pour les aider à prendre les meilleures décisions pour leur entreprise. Parallèlement, nous aidons les cabinets d'expertise-comptable, en leur permettant de passer moins de temps sur des tâches redondantes et répétitives, et plus de temps sur la partie conseil et accompagnement de leurs clients. **À propos de Pennylane** Pennylane est une des FinTech à la plus forte croissance en France, et souhaite bientôt adresser le marché européen. En 6 ans d'existence, nous sommes parvenus à : 💻 Nous positionner sur le marché comme un éditeur de solution de comptabilité et de gestion financière innovant 💰 Lever un total de 400 millions d'euros, auprès d'investisseurs de renom, dont Sequoïa, le fonds phare de la Silicon Valley, connu pour avoir soutenu Google, Facebook, Airbnb, Stripe, Paypal et bien d'autres à leur début 👨‍👩‍👧‍👦 Passer de 7 cofondateurs à une équipe de 1200 collaborateurs, avec une note moyenne de 4,9/5 sur Glassdoor et 94% des évaluateurs Glassdoor qui recommanderaient PL à leurs proches! 🌍 Construire une équipe internationale composée de collaborateurs issus de 25 pays différents, avec une culture du télétravail très flexible 🤝 Gagner la confiance de milliers d'utilisateurs et obtenir [d'excellents retours](https://www.google.com/search?q=pennylane&ei=O9pOYvm0Co-blwSmhKmIAw&ved=0ahUKEwi5vsWL-4H3AhWPzYUKHSZCCjEQ4dUDCA4&uact=5&oq=pennylane&gs_lcp=Cgdnd3Mtd2l6EAMyDQgAEIAEELEDEIMBEAoyCwguEIAEEMcBEK8BMgcIABCABBAKMgcIABCABBAKMgUIABCABDIFCAAQgAQyBQgAEIAEMgcIABCABBAKMgcIABCABBAKMgcIABCABBAKOgcIABBHELADOgkIABCwAxAKEEM6CgguEMcBEK8BEAo6BggAEBYQHjoICAAQFhAKEB46DQguEIAEEMcBEK8BEApKBAhBGABKBAhGGABQ7QFY6wVgugdoAXABeACAAUiIAbMCkgEBNZgBAKABAcgBCcABAQ&sclient=gws-wiz) 🚀 Déjà plus de 1 500,000 TPE/PME et plus de 7000 cabinets d’expertise-comptable utilisent Pennylane en France ! ### Why is this role important for Pennylane? Pennylane is building Pennylane Financial Services (PFS), a newly created regulated subsidiary applying for ACPR authorisations as a payment institution and a financing company. This step is foundational to delivering a comprehensive financial-services product for our clients, on a model that is robust, scalable, and supervision-ready. From day one, the ACPR will expect PFS to demonstrate clear security governance, effective oversight of critical dependencies, and credible evidence of operational resilience - with a strong security-by-design approach. ### How will you contribute to the project? You will own PFS’s security governance and overall security and resilience policy, under the direct supervision of the Chief Compliance and Risk Officer. Your contribution is to design a risk and control framework that is proportionate to PFS’s activity and regulatory expectations, and to ensure PFS can evidence "security by design" through auditable, inspection-ready artefacts. In practice, this includes: - **Policy alignment:** ensure consistency between PFS and Pennylane SAS security policies, leveraging the group framework where appropriate while prioritising PFS’s regulatory obligations. - **Security by design:** translate requirements into actionable standards and control expectations, embedded into product and engineering delivery. - **Operational resilience:** shape incident-management and continuity expectations, ensure they are testable, and drive evidence of effective execution. - **Oversight of key stakeholders:** establish effective oversight of Pennylane SAS and key providers, with clear expectations, monitoring and remediation follow-through. This is a role for a technically credible security leader with strategic judgement - with the technical depth to challenge architectures, controls and evidence, and the seniority to own governance and executive reporting. ### What will your day-to-day responsibilities be? - **Own PFS Information Security policy:** define, maintain and continuously improve PFS security governance, standards and policy set. - **Manage the PFS risk and control framework:** maintain the security risk taxonomy, control objectives, key risks/KRIs, escalation thresholds, and evidence expectations. - **Embed security-by-design into the Product/Tech development cycle:** leverage Pennylane SAS policies and existing ways of working where applicable, ensuring PFS security requirements and regulatory obligations are reflected in the delivery lifecycle, change process and go/no-go decisions, without creating unnecessary process overhead. - **Ensure operational resilience / continuity / testing:** define resilience requirements and ensure end-to-end testing and exercises produce usable evidence and tracked remediation. - **Manage outsourcing arrangements and audits:** oversee security aspects of outsourcing arrangements (intragroup and third parties), ensure auditability and follow through on findings and remediation. - **Provide executive-level reporting:** deliver clear, decision-oriented reporting on information-security posture, incidents, resilience testing and remediation to PFS management and the Supervisory Board. **KPIs / signals:** - **Policy & standards effectiveness:** evidence of adoption (e.g., security requirements consistently reflected in delivery artefacts for material initiatives) and reduction of recurring “same class” issues over time. - **Core security KRIs (within risk appetite):** a small set of measurable KRIs with thresholds and owners (e.g., critical vulnerability exposure, privileged-access exceptions, key third-party risks), tracked and escalated when outside appetite. - **Resilience testing KPIs:** tests/exercises executed vs plan; % of high-severity findings remediated within agreed timelines; retest completion for failed scenarios. - **Incident classification & remediation tracking:** consistent classification, timely escalation, and tracked remediation to closure (including post-incident action closure rate). - **Audit follow-up tracking:** audit findings/actions ageing, % overdue by severity, and executive visibility on the top overdue items. - **Threat & vulnerability landscape monitoring:** regular review of the external threat/vulnerability landscape and its concrete impact on PFS priorities (what changes in controls, monitoring, or roadmap). **Ramp-up / expectations during the probation period:** - Establish the initial PFS security governance baseline (policy set, decision rights, reporting cadence). - Propose and align a first set of PFS security KRIs and risk appetite thresholds (with owners and escalation path). - Produce a first resilience testing plan (what is tested, frequency, evidence expected) and agree success criteria. - Put in place an incident classification approach and a remediation tracking routine that is audit-ready. ### Profile we are looking for **Must-have** - Fintech and/or Banking experience - Strong experience in information security, technology risk, cyber-risk or security assurance, with ownership of complex topics. - Proven ability to design and run security governance and a risk/control framework with audit-ready evidence. - Experience working with outsourced / third-party / group-shared technology services while retaining accountability. - Strong stakeholder management and communication skills, including executive-level reporting. - Professional fluency in French and English. **Nice to have** - Operational resilience experience, including DORA-aligned practices (incident management, continuity, testing, third-party oversight). - Knowledge of payment and authentication topics (SCA, strong authentication and account recovery patterns). - Exposure to PCI DSS scope and payment-card security concepts. - Payment fraud and transaction-monitoring familiarity (fraud patterns, controls, investigations, and collaboration with Fraud/AML stakeholders). ## Recruitment Process 1. Interview with Lucie (30-45 min), Senior Recruiter 2. Interview with Laurent (1h), Chief Risk & Compliance Officer 3. Case Study with Laurent and Léa (1h) 4. Last round with Stanislas and Felix (45 min) **🎁 Ce que l’on peut t'offrir :** 🏥 Une mutuelle parmi les meilleures sur le marché (Alan Blue et Alan Mind) 🍜 Des tickets restaurants (Carte Swile) 🏝 Entre 6 et 12 jours de RTT supplémentaires aux 5 semaines de congés payés 🧑‍💻 Un budget dédié chaque mois pour tous nos Pennylaners, favorisant le travail depuis la maison ou en espace de coworking 🏢 Une facilité d’accès à nos bureaux, situés à quelques minutes de Saint Lazare en plein cœur de Paris 💵 Une enveloppe de BSPCE 🏃‍♀️ Un accès à 8000 salles de sport partout en France et plus de 300 activités de bien-être via notre partenaire Gymlib 💻 Un Mac 🎉 Nous pratiquons de nombreux sports ensemble et avons à cœur de nous réunir régulièrement autour d’événements d’entreprise tels que les Tech Days (qui permettent aux Pennylaners en remote de se réunir tous les 3 mois) ou notre séminaire d’entreprise qui a lieu une fois par an, et qui favorise de grands moments de cohésion pour toutes et tous. **Pour t'épanouir chez Pennylane, il faudra:** -Parler anglais (le niveau est évalué et apprécié en fonction du département auquel tu postules) -Apprécier travailler dans un environnement en changement constant -Faire de la collaboration une priorité au sein de son équipe ou avec d'autres parties prenantes -Avoir un recul suffisant pour prioriser les actions à fort impact business dans son activité quotidienne. Nous savons que certaines personnes sont moins susceptibles de postuler que d'autres si elles estiment ne pas remplir l'intégralité des critères. Si tu hésites, nous t'encourageons à postuler quand même : qui sait, cela pourrait être le début d'une collaboration significative et durable ! ***Information importante à destination des candidat(e)s*** *Les tentatives d’arnaque au recrutement sont en hausse. Nous vous invitons à rester vigilant(e) lors de vos échanges.* ***Candidature uniquement via nos canaux officiels** : postulez exclusivement via nos offres publiées sur nos supports officiels (site carrière, pages officielles partenaires).* ***Vérifiez systématiquement l’adresse e-mail de l’expéditeur** : nos communications sont envoyées depuis des adresses professionnelles avec les domaine **@***[******](http://pennylane.com) ou **@pennylane-partners.com .** ***Nous ne vous demanderons jamais de paiement, ni d’informations financières** (coordonnées bancaires, paiement pour un entretien, achat de matériel, etc.) dans le cadre du recrutement.* *Si une telle demande vous est faite, il s’agit d’une fraude. Nous vous invitons à **ne pas répondre** et à **nous le signaler immédiatement**."* *Encourageant la diversité, équité et inclusion sous toutes ses formes, Pennylane offre un environnement de travail inclusif, bienveillant et propice à l’épanouissement, dans nos bureaux et en remote. Nous nous engageons à fournir les mêmes chances à tous nos candidats, indépendamment de leurs origines sociales et ethniques, genres, religions, orientations sexuelles ou handicaps.* **🇫🇷 Données personnelles** Pennylane traite vos données pour gérer votre candidature et évaluer votre adéquation au poste. Si votre candidature n’aboutit pas, vos données peuvent être conservées 2 ans à compter de notre dernier échange ou de la clôture du recrutement afin de constituer & gérer un vivier de candidats. Vous pouvez vous opposer à tout moment et demander la suppression de vos données en écrivant à : [**dpo@pennylane.com.**](mailto:dpo@pennylane.com) Notre [data policy](https://www.pennylane.com/fr/vos-donnees-personnelles-recrutement) 🇬🇧 **Personal Data** Pennylane processes your data to manage your application and assess your suitability for the position. If your application is unsuccessful, your data may be retained for 2 years from our last exchange or the closing of the recruitment process, in order to build and manage a candidate pool. You may object at any time and request the deletion of your data by writing to [**dpo@pennylane.com**](mailto:dpo@pennylane.com). [Learn more](https://www.pennylane.com/fr/vos-donnees-personnelles-recrutement) 🇩🇪 **Personenbezogene Daten** Pennylane verarbeitet Ihre Daten, um Ihre Bewerbung zu bearbeiten und Ihre Eignung für die Stelle zu beurteilen. Sollte Ihre Bewerbung nicht erfolgreich sein, können Ihre Daten bis zu 2 Jahre ab unserem letzten Austausch oder dem Abschluss des Rekrutierungsverfahrens gespeichert werden, um einen Kandidatenpool aufzubauen und zu verwalten. Sie können jederzeit Widerspruch einlegen und die Löschung Ihrer Daten beantragen, indem Sie an [**dpo@pennylane.com**](mailto:dpo@pennylane.com) schreiben. [Mehr erfahren](https://www.pennylane.com/fr/vos-donnees-personnelles-recrutement) 🇪🇸 **Datos personales** Pennylane trata sus datos para gestionar su candidatura y evaluar su idoneidad para el puesto. En caso de que su candidatura no sea seleccionada, sus datos podrán conservarse hasta 2 años a partir de nuestro último contacto o de la finalización del proceso de selección, con el fin de constituir y gestionar una reserva de candidatos. Puede oponerse en cualquier momento y solicitar la eliminación de sus datos escribiendo a [**dpo@pennylane.com**](mailto:dpo@pennylane.com). [**Más información**](https://www.pennylane.com/fr/vos-donnees-personnelles-recrutement)