Les questions et les clauses qui comptent
Les quinze questions
Pour un fournisseur critique, quinze questions bien choisies valent mieux qu'un questionnaire de cent vingt items. Chacune appelle une preuve, pas une déclaration.
Continuité et reprise
- Quel est votre RTO contractuel pour ce service, et comment est-il mesuré ?
- Quand avez-vous testé votre plan pour la dernière fois ? Fournissez le rapport.
- Quel écart ce test a-t-il révélé, et où en est la remédiation ?
- Où sont hébergées vos données, et où sont les sauvegardes ?
- Vos sauvegardes sont-elles immuables ou hors ligne ?
Dépendances
- Sur quels sous-traitants reposez-vous pour ce service ?
- Ces sous-traitants ont-ils eux-mêmes des dépendances critiques ?
- Quelle est votre exposition géographique ?
Sécurité
- Disposez-vous d'une certification ou d'un rapport d'audit indépendant en cours de validité ?
- Avez-vous subi un incident de sécurité significatif ces 24 derniers mois ?
- Comment nous en informeriez-vous, et sous quel délai ?
Solidité et sortie
- Quelle est votre situation financière ? Fournissez les deux derniers exercices.
- Quelle part de votre chiffre d'affaires représentons-nous ?
- Sous quel format et dans quel délai nous restitueriez-vous nos données ?
- Combien de temps faudrait-il pour transférer ce service à un autre prestataire ?
La question 13 est particulièrement révélatrice : un fournisseur dont vous représentez 60 % du chiffre d'affaires porte un risque de solidité ; un fournisseur dont vous représentez 0,1 % ne vous accordera aucune priorité en situation de crise.
Les six clauses qui comptent
| Clause | Contenu utile | Piège |
|---|---|---|
| Niveaux de service | Objectifs chiffrés, méthode de mesure, pénalités | Des objectifs sans méthode de mesure |
| Continuité | Obligation de maintenir un plan, de le tester, d'en communiquer les résultats | « Le prestataire s'engage à mettre en œuvre les moyens nécessaires » |
| Audit | Droit d'audit sur site, avec délai de préavis et fréquence | Un droit d'audit « sur demande justifiée », inapplicable |
| Notification d'incident | Délai chiffré, canal, contenu minimal | « Dans les meilleurs délais » |
| Sous-traitance | Autorisation préalable écrite, information des changements | Une autorisation générale donnée à la signature |
| Sortie | Assistance obligatoire, format de restitution, durée de la période de transition | Une clause de sortie sans obligation d'assistance |
Les trois vérifications
Une clause ne vaut que si son exécution est vérifiée. Trois mécanismes, par ordre de coût croissant :
- La revue documentaire annuelle — rapport de test, certification, états financiers. Coût faible, valeur moyenne.
- Le test conjoint — le prestataire participe à votre exercice, ou vous participez au sien. Coût moyen, valeur élevée : c'est le seul mécanisme qui révèle les incompatibilités d'interface.
- L'audit sur site — coût élevé, réservé aux dépendances les plus critiques ou en cas de signal négatif.
Le test conjoint est le mécanisme le plus rentable et le moins pratiqué. Il révèle systématiquement des écarts que la documentation ne montre pas : contacts obsolètes, canaux d'escalade différents de ceux prévus, interprétations divergentes du périmètre de service.
À retenir
- Demander des preuves, pas des déclarations
- Le droit d'audit doit être assorti d'un délai et d'une modalité
- Une clause de sortie non testée est une intention