Leçon15 min

Les questions et les clauses qui comptent

Les quinze questions

Pour un fournisseur critique, quinze questions bien choisies valent mieux qu'un questionnaire de cent vingt items. Chacune appelle une preuve, pas une déclaration.

Continuité et reprise

  1. Quel est votre RTO contractuel pour ce service, et comment est-il mesuré ?
  2. Quand avez-vous testé votre plan pour la dernière fois ? Fournissez le rapport.
  3. Quel écart ce test a-t-il révélé, et où en est la remédiation ?
  4. Où sont hébergées vos données, et où sont les sauvegardes ?
  5. Vos sauvegardes sont-elles immuables ou hors ligne ?

Dépendances

  1. Sur quels sous-traitants reposez-vous pour ce service ?
  2. Ces sous-traitants ont-ils eux-mêmes des dépendances critiques ?
  3. Quelle est votre exposition géographique ?

Sécurité

  1. Disposez-vous d'une certification ou d'un rapport d'audit indépendant en cours de validité ?
  2. Avez-vous subi un incident de sécurité significatif ces 24 derniers mois ?
  3. Comment nous en informeriez-vous, et sous quel délai ?

Solidité et sortie

  1. Quelle est votre situation financière ? Fournissez les deux derniers exercices.
  2. Quelle part de votre chiffre d'affaires représentons-nous ?
  3. Sous quel format et dans quel délai nous restitueriez-vous nos données ?
  4. Combien de temps faudrait-il pour transférer ce service à un autre prestataire ?

La question 13 est particulièrement révélatrice : un fournisseur dont vous représentez 60 % du chiffre d'affaires porte un risque de solidité ; un fournisseur dont vous représentez 0,1 % ne vous accordera aucune priorité en situation de crise.

Les six clauses qui comptent

ClauseContenu utilePiège
Niveaux de serviceObjectifs chiffrés, méthode de mesure, pénalitésDes objectifs sans méthode de mesure
ContinuitéObligation de maintenir un plan, de le tester, d'en communiquer les résultats« Le prestataire s'engage à mettre en œuvre les moyens nécessaires »
AuditDroit d'audit sur site, avec délai de préavis et fréquenceUn droit d'audit « sur demande justifiée », inapplicable
Notification d'incidentDélai chiffré, canal, contenu minimal« Dans les meilleurs délais »
Sous-traitanceAutorisation préalable écrite, information des changementsUne autorisation générale donnée à la signature
SortieAssistance obligatoire, format de restitution, durée de la période de transitionUne clause de sortie sans obligation d'assistance

Les trois vérifications

Une clause ne vaut que si son exécution est vérifiée. Trois mécanismes, par ordre de coût croissant :

  1. La revue documentaire annuelle — rapport de test, certification, états financiers. Coût faible, valeur moyenne.
  2. Le test conjoint — le prestataire participe à votre exercice, ou vous participez au sien. Coût moyen, valeur élevée : c'est le seul mécanisme qui révèle les incompatibilités d'interface.
  3. L'audit sur site — coût élevé, réservé aux dépendances les plus critiques ou en cas de signal négatif.

Le test conjoint est le mécanisme le plus rentable et le moins pratiqué. Il révèle systématiquement des écarts que la documentation ne montre pas : contacts obsolètes, canaux d'escalade différents de ceux prévus, interprétations divergentes du périmètre de service.

À retenir

  • Demander des preuves, pas des déclarations
  • Le droit d'audit doit être assorti d'un délai et d'une modalité
  • Une clause de sortie non testée est une intention