CISO

Pennylane SAS; France; Hybrid; EUR 90,000 - 130,000; Full time

Benefits offered by this job

Mutuelle (Alan)

Tickets restaurants Swile

RTT supplémentaires

Budget travail à domicile

Bureau Paris Saint-Lazare access

BSPCE

Gymlib accès 8000 salles

Mac fourni

Job summary

Pennylane SAS recrute un leader sécurité et conformité pour PFS. Vous définirez la gouvernance sécurité et le cadre risque, et assurerez l’evidence “security by design”.

Sous la supervision du Chief Compliance and Risk Officer, vous conduirez les actions d’audit, de continuité et de supervision des prestataires, avec reporting au conseil. Poste stratégique, international et hybride.

Qualifications

• Expérience dans le secteur fintech et/ou bancaire.
• Capacités avérées de governance et de cadre risques avec des preuves d’audit.
• Gestion des parties prenantes et communication au niveau exécutif.
• Expérience avec des prestataires externes et groupés tout en restant responsable.
• Maîtrise du français et de l’anglais à l’écrit et à l’oral.

Responsibilities

• Own PFS Information Security policy: définir, maintenir et améliorer le cadre de sécurité.
• Gérer le cadre risque et contrôle et les KRIs.
• Intégrer la sécurité by design dans le cycle Product/Tech.
• Assurer la résilience opérationnelle et les tests.
• Superviser les outsourcing et audits et reporting exécutif.

Skills

Fintech experience

Security governance

Risk management

Stakeholder management

Fluency in French and English

Job description

Vous cherchez un environnement professionnel stimulant basé sur l'autonomie et la confiance ?

Pennylane vous offre l'opportunité de grandir au sein d'une entreprise en pleine croissance.

Ici, votre expertise contribuera directement à aider les entrepreneurs à reprendre le contrôle de leurs finances. Découvrez un lieu où vos compétences seront valorisées et où vous pourrez façonner l'avenir de la gestion financière.

Notre vision

Notre ambition est de devenir le logiciel de pilotage financier préféré des PMEs européennes.

Nous aidons les entrepreneurs à se débarrasser des tâches chronophages liées à la comptabilité et à la finance, tout en leur donnant accès à des informations financières clés pour les aider à prendre les meilleures décisions pour leur entreprise.

Parallèlement, nous aidons les cabinets d'expertise-comptable, en leur permettant de passer moins de temps sur des tâches redondantes et répétitives, et plus de temps sur la partie conseil et accompagnement de leurs clients.

À propos de Pennylane

Pennylane est une des FinTech à la plus forte croissance en France, et souhaite bientôt adresser le marché européen.

En 6 ans d'existence, nous sommes parvenus à :

Nous positionner sur le marché comme un éditeur de solution de comptabilité et de gestion financière innovant

Lever un total de 400 millions d'euros, auprès d'investisseurs de renom, dont Sequoïa, le fonds phare de la Silicon Valley, connu pour avoir soutenu Google, Facebook, Airbnb, Stripe, Paypal et bien d'autres à leur début

Passer de 7 cofondateurs à une équipe de 1200 collaborateurs, avec une note moyenne de 4,9/5 sur Glassdoor et 94% des évaluateurs Glassdoor qui recommanderaient PL à leurs proches!

Construire une équipe internationale composée de collaborateurs issus de 25 pays différents, avec une culture du télétravail très flexible

Gagner la confiance de milliers d'utilisateurs et obtenir d'excellents retours

Déjà plus de 1 500 000 TPE/PME et plus de 7000 cabinets d’expertise-comptable utilisent Pennylane en France !

Why is this role important for Pennylane?

Pennylane is building Pennylane Financial Services (PFS), a newly created regulated subsidiary applying for ACPR authorisations as a payment institution and a financing company.

This step is foundational to delivering a comprehensive financial-services product for our clients, on a model that is robust, scalable, and supervision-ready.

From day one, the ACPR will expect PFS to demonstrate clear security governance, effective oversight of critical dependencies, and credible evidence of operational resilience - with a strong security-by-design approach.

How will you contribute to the project?

You will own PFS’s security governance and overall security and resilience policy, under the direct supervision of the Chief Compliance and Risk Officer.

Your contribution is to design a risk and control framework that is proportionate to PFS’s activity and regulatory expectations, and to ensure PFS can evidence "security by design" through auditable, inspection-ready artefacts.

In practice, this includes:

• Policy alignment: ensure consistency between PFS and Pennylane SAS security policies, leveraging the group framework where appropriate while prioritising PFS’s regulatory obligations.

• Security by design: translate requirements into actionable standards and control expectations, embedded into product and engineering delivery.

• Operational resilience: shape incident-management and continuity expectations, ensure they are testable, and drive evidence of effective execution.

• Oversight of key stakeholders: establish effective oversight of Pennylane SAS and key providers, with clear expectations, monitoring and remediation follow-through.

This is a role for a technically credible security leader with strategic judgement - with the technical depth to challenge architectures, controls and evidence, and the seniority to own governance and executive reporting.

What will your day-to-day responsibilities be?

• Own PFS Information Security policy: define, maintain and continuously improve PFS security governance, standards and policy set.

• Manage the PFS risk and control framework: maintain the security risk taxonomy, control objectives, key risks/KRIs, escalation thresholds, and evidence expectations.

• Embed security-by-design into the Product/Tech development cycle: leverage Pennylane SAS policies and existing ways of working where applicable, ensuring PFS security requirements and regulatory obligations are reflected in the delivery lifecycle, change process and go/no-go decisions, without creating unnecessary process overhead.

• Ensure operational resilience / continuity / testing: define resilience requirements and ensure end-to-end testing and exercises produce usable evidence and tracked remediation.

• Manage outsourcing arrangements and audits: oversee security aspects of outsourcing arrangements (intragroup and third parties), ensure auditability and follow through on findings and remediation.

• Provide executive-level reporting: deliver clear, decision-oriented reporting on information-security posture, incidents, resilience testing and remediation to PFS management and the Supervisory Board.

KPIs / signals:

• Policy & standards effectiveness: evidence of adoption (e.g., security requirements consistently reflected in delivery artefacts for material initiatives) and reduction of recurring “same class” issues over time.

• Core security KRIs (within risk appetite): a small set of measurable KRIs with thresholds and owners (e.g., critical vulnerability exposure, privileged-access exceptions, key third-party risks), tracked and escalated when outside appetite.

• Resilience testing KPIs: tests/exercises executed vs plan; % of high-severity findings remediated within agreed timelines; retest completion for failed scenarios.

• Incident classification & remediation tracking: consistent classification, timely escalation, and tracked remediation to closure (including post-incident action closure rate).

• Audit follow-up tracking: audit findings/actions ageing, % overdue by severity, and executive visibility on the top overdue items.

• Threat & vulnerability landscape monitoring: regular review of the external threat/vulnerability landscape and its concrete impact on PFS priorities (what changes in controls, monitoring, or roadmap).

Ramp-up / expectations during the probation period:

• Establish the initial PFS security governance baseline (policy set, decision rights, reporting cadence).

• Propose and align a first set of PFS security KRIs and risk appetite thresholds (with owners and escalation path).

• Produce a first resilience testing plan (what is tested, frequency, evidence expected) and agree success criteria.

• Put in place an incident classification approach and a remediation tracking routine that is audit-ready.

Profile we are looking for

Must-have

• Fintech and/or Banking experience

• Strong experience in information security, technology risk, cyber-risk or security assurance, with ownership of complex topics.

• Proven ability to design and run security governance and a risk/control framework with audit-ready evidence.

• Experience working with outsourced / third-party / group-shared technology services while retaining accountability.

• Strong stakeholder management and communication skills, including executive-level reporting.

• Professional fluency in French and English.

Nice to have

• Operational resilience experience, including DORA-aligned practices (incident management, continuity, testing, third-party oversight).

• Knowledge of payment and authentication topics (SCA, strong authentication and account recovery patterns).

• Exposure to PCI DSS scope and payment-card security concepts.

• Payment fraud and transaction-monitoring familiarity (fraud patterns, controls, investigations, and collaboration with Fraud/AML stakeholders).

Recruitment Process

1. Interview with Lucie (30-45 min), Senior Recruiter

2. Interview with Laurent (1h), Chief Risk & Compliance Officer

3. Case Study with Laurent and Léa (1h)

4. Last round with Stanislas and Felix (45 min)

Ce que l’on peut t'offrir :

Une mutuelle parmi les meilleures sur le marché (Alan Blue et Alan Mind)

Des tickets restaurants (Carte Swile)

Entre 6 et 12 jours de RTT supplémentaires aux 5 semaines de congés payés

Un budget dédié chaque mois pour tous nos Pennylaners, favorisant le travail depuis la maison ou en espace de coworking

Une facilité d’accès à nos bureaux, situés à quelques minutes de Saint Lazare en plein cœur de Paris

Une enveloppe de BSPCE

Un accès à 8000 salles de sport partout en France et plus de 300 activités de bien-être via notre partenaire Gymlib

Un Mac

Nous pratiquons de nombreux sports ensemble et avons à cœur de nous réunir régulièrement autour d’événements d’entreprise tels que les Tech Days (qui permettent aux Pennylaners en remote de se réunir tous les 3 mois) ou notre séminaire d’entreprise qui a lieu une fois par an, et qui favorise de grands moments de cohésion pour toutes et tous.

Pour t'épanouir chez Pennylane, il faudra:

• Parler anglais (le niveau est évalué et apprécié en fonction du département auquel tu postules)
• Apprécier travailler dans un environnement en changement constant
• Faire de la collaboration une priorité au sein de son équipe ou avec d'autres parties prenantes
• Avoir un recul suffisant pour prioriser les actions à fort impact business dans son activité quotidienne.

Nous savons que certaines personnes sont moins susceptibles de postuler que d'autres si elles estiment ne pas remplir l'intégralité des critères.

Si tu hésites, nous t'encourageons à postuler quand même : qui sait, cela pourrait être le début d'une collaboration significative et durable !

Information importante à destination des candidat(e)s

Les tentatives d’arnaque au recrutement sont en hausse. Nous vous invitons à rester vigilant(e) lors de vos échanges.

Candidature uniquement via nos canaux officiels : postulez exclusivement via nos offres publiées sur nos supports officiels (site carrière, pages officielles partenaires).

Vérifiez systématiquement l’adresse e‑mail de l'expéditeur : nos communications sont envoyées depuis des adresses professionnelles avec les domaine @ pennylane.com ou ----- .

Nous ne vous demanderons jamais de paiement, ni d’informations financières (coordonnées bancaires, paiement pour un entretien, achat de matériel, etc.) dans le cadre du recrutement.

Si une telle demande vous est faite, il s’agit d’une fraude. Nous vous invitons à ne pas répondre et à nous le signaler immédiatement.

Encourageant la diversité, équité et inclusion sous toutes ses formes, Pennylane offre un environnement de travail inclusif, bienveillant et propice à l’épanouissement, dans nos bureaux et en remote. Nous nous engageons à fournir les mêmes chances à tous nos candidats, indépendamment de leurs origines sociales et ethniques, genres, religions, orientations sexuelles ou handicaps.

Données personnelles

Pennylane traite vos données pour gérer votre candidature et évaluer votre adéquation au poste. Si votre candidature n’aboutit pas, vos données peuvent être conservées 2 ans à compter de notre dernier échange ou de la clôture du recrutement afin de constituer & gérer un vivier de candidats. Vous pouvez vous opposer à tout moment et demander la suppression de vos données en écrivant à : Notre data policy

Personal Data

Pennylane processes your data to manage your application and assess your suitability for the position. If your application is unsuccessful, your data may be retained for 2 years from our last exchange or the closing of the recruitment process, in order to build and manage a candidate pool. You may object at any time and request the deletion of your data by writing