Concentration de rang 2 et sortie testable

Mesurer la concentration réelle

La concentration ne se lit pas sur la liste des fournisseurs. Elle se lit sur la liste de leurs dépendances communes.

Trois questions par fournisseur critique :

1. Où le service est-il hébergé ? Chez qui, dans quelle région ?
2. Quels sous-traitants interviennent dans la chaîne ?
3. Quelle infrastructure partagée — réseau, identité, certification — est utilisée ?

La matrice qui en résulte croise fournisseurs et dépendances. Une colonne qui se remplit sur plusieurs lignes est une concentration, même si les fournisseurs sont contractuellement indépendants.

Dans cet exemple, la perte de la région EU-1 affecte deux fournisseurs sur trois. Une organisation qui pensait avoir diversifié découvre qu'elle ne l'a pas fait.

La substituabilité

La question n'est pas « existe-t-il des alternatives ? » mais « en combien de temps une alternative serait-elle opérationnelle ? »

Le délai réel intègre :

• La sélection et la négociation — rarement moins de trois mois pour un service critique ;
• La migration des données, dans le format que le contrat sortant impose ;
• Le raccordement technique et les tests ;
• La formation des équipes ;
• La période de double fonctionnement.

Pour un service métier critique, ce délai se compte en trimestres. Le comparer au MTPD de l'activité concernée donne immédiatement la mesure du risque : si le MTPD est de 48 heures et le délai de substitution de six mois, la stratégie de sortie ne peut pas être la réponse au scénario de défaillance brutale. Il faut un mode dégradé.

La sortie testable

Une stratégie de sortie crédible comporte quatre éléments vérifiables :

1. Le prestataire de repli identifié, voire pré-qualifié contractuellement ;
2. Le format d'extraction des données, documenté et — c'est le point clé — testé ;
3. Le plan de migration, avec ses étapes et ses durées estimées ;
4. Le mode dégradé applicable pendant la transition.

Le test de l'élément 2 est le plus simple à réaliser et le plus souvent négligé : demandez une extraction complète de vos données, une fois par an, et vérifiez qu'elle est exploitable par un tiers.

Ce test révèle régulièrement que le format annoncé n'est pas celui livré, que des champs manquent, que les pièces jointes ne sont pas incluses, ou que le volume rend l'extraction impraticable dans le délai contractuel.

Le coût de la sortie

Il doit être estimé avant la signature, et il comprend :

• Les frais de réversibilité facturés par le prestataire sortant ;
• Le coût de la migration technique ;
• Le coût du double fonctionnement pendant la transition ;
• Le coût de la perte de productivité pendant l'apprentissage.

Une estimation réaliste de ce coût change souvent la négociation initiale : un prestataire qui sait que son client a chiffré sa sortie négocie différemment de celui qui sait son client captif.