Cartographie des dépendances fournisseurs IT : méthode et exemple pour les Achats

Vous connaissez vos principaux fournisseurs IT, les montants dépensés et les prochaines échéances contractuelles. Mais pouvez-vous répondre à cette question : si vous deviez remplacer l’un de ces fournisseurs, quels services seraient concernés, combien de temps faudrait-il et quelles difficultés devriez-vous surmonter ?

C’est précisément l’objectif d’une cartographie des dépendances fournisseurs IT : rapprocher les services utilisés, les besoins métiers, les contrats et les contraintes techniques pour comprendre où se situent les dépendances et préparer les décisions.

Dans notre article consacré à la négociation des contrats Cloud et SaaS, la cartographie apparaît comme un levier pour conserver une capacité d’arbitrage entre fournisseurs. Il s’agit ici d’en développer la mise en œuvre : quelles informations collecter, comment évaluer les dépendances et comment transformer les résultats en actions achats.

L’enjeu n’est pas de produire un inventaire supplémentaire, mais de savoir quelles relations fournisseurs sécuriser en priorité — et pourquoi.

Qu’est-ce qu’une cartographie des dépendances fournisseurs IT ?

Pour les Achats IT, une cartographie des dépendances consiste à relier chaque service informatique aux fournisseurs, technologies, données et compétences nécessaires à son fonctionnement, puis à évaluer les contraintes qui limitent son remplacement.

Elle doit permettre de répondre à trois questions :

• De quoi dépend l’activité ? Quels services et fournisseurs soutiennent les processus métiers ?
• Qu’est-ce qui rend leur remplacement difficile ? Quelles contraintes techniques, contractuelles, économiques ou organisationnelles faut-il lever ?
• Sur quoi agir en priorité ? Quelles dépendances nécessitent une sécurisation, une négociation ou la préparation d’une alternative ?

Cette démarche prolonge les travaux de cartographie du système d’information. La cartographie peut-être également un outil contribuant à la protection, à la défense et à la résilience du SI.

Dans le Cloud, il est recommandé de cartographier les données et les traitements, d’inventorier les services utilisés, y compris les applications SaaS, et de maintenir cette vision à jour. La lecture achats proposée ici enrichit ce socle avec les engagements commerciaux, les conditions de sortie et les possibilités de substitution.

Pourquoi une cartographie des dépenses ne suffit-elle pas ?

Une cartographie des dépenses répond principalement à la question : combien achetons-nous, auprès de qui et pour quelles catégories ?

Pour analyser une dépendance, il faut ajouter une autre question : dans quelles conditions pouvons-nous continuer à fonctionner sans ce fournisseur ou avec un autre ?

Prenons une situation fictive. Une entreprise consacre un budget limité à un service d’authentification utilisé par ses applications essentielles. Ce fournisseur représente une faible part des dépenses IT, mais son remplacement nécessite de revoir de nombreuses connexions et procédures d’accès.

À l’inverse, un abonnement plus coûteux peut couvrir un besoin moins critique et être relativement simple à remplacer.

Dans cet exemple, le classement par dépenses ne permet donc pas, à lui seul, de déterminer les priorités de sécurisation.

Pour construire la cartographie, il faut distinguer le poids économique du fournisseur, la criticité du service et la difficulté de remplacement. Ces dimensions peuvent se renforcer, mais elles ne mesurent pas la même chose.

Construire sa cartographie en cinq étapes

1. Définir le périmètre à partir des services métiers

Pour une première cartographie, nous proposons de commencer par un périmètre ciblé : une activité essentielle, un ensemble de services Cloud/SaaS ou les contrats dont le renouvellement impose prochainement une décision.

L’unité d’analyse ne devrait pas être uniquement le fournisseur. Il est préférable de travailler au niveau du service fourni et de son usage dans l’entreprise.

Un même éditeur peut, par exemple, fournir un outil collaboratif relativement simple à remplacer et une application métier fortement intégrée au système d’information. Une note globale attribuée à cet éditeur masquerait cette différence.

Pour chaque service retenu, identifiez le processus métier concerné, les entités utilisatrices, le responsable interne et les principaux liens avec les autres applications.

La chaîne à documenter devient alors :

Processus métier → service informatique → fournisseur → dépendances → possibilités de remplacement.

Cette première étape fixe le niveau de détail utile. L’objectif n’est pas de décrire toute l’architecture, mais de recueillir suffisamment d’informations pour éclairer une décision achats.

2. Rapprocher les contrats, les dépenses et les informations techniques

La collecte doit partir des référentiels existants plutôt que créer une base déconnectée du fonctionnement de l’entreprise.

Pour le SaaS, la FinOps Foundation recommande notamment de rapprocher les informations issues des équipes internes, des factures, des inventaires applicatifs et des systèmes de gestion des contrats. Elle identifie également des données utiles comme le fournisseur, le responsable, les engagements, les dates de renouvellement et le préavis de résiliation.

Source : https://www.finops.org/wg/finops-for-software-as-a-service-saas/

À ces informations, ajoutez les éléments nécessaires à l’analyse de la dépendance : interfaces avec les autres applications, données à récupérer, composants propriétaires, compétences requises et hypothèses de migration.

Pour chaque donnée sensible à l’évolution du service, conservez une source, une date de vérification et un responsable de validation.

Une estimation de migration produite il y a plusieurs années ne doit pas être traitée comme un engagement actuel. De même, une fonctionnalité d’export évoquée dans une présentation commerciale mérite une vérification technique.

3. Identifier les dépendances indirectes

La cartographie doit aussi examiner ce qui se trouve derrière la relation contractuelle directe.

Une bonne pratique en Achats IT consiste à étendre l’analyse des risques au-delà des fournisseurs de rang 1, en intégrant leurs principaux sous-traitants et partenaires critiques, tout en identifiant les éventuels risques de concentration au sein de la chaîne de fournisseurs.

Pour une lecture achats, cela conduit notamment à distinguer le revendeur, l’éditeur, l’intégrateur et, lorsque l’information est accessible et pertinente, l’infrastructure d’hébergement sous-jacente.

Prenons un exemple hypothétique : deux applications SaaS sont achetées auprès de sociétés différentes, mais reposent sur une même infrastructure critique. La diversité des contrats ne suffit alors pas à démontrer l’indépendance technique des services.

Il faut donc vérifier la réalité de la diversification, et pas seulement compter les fournisseurs.

Lorsque ces informations ne sont pas disponibles, indiquez explicitement « à confirmer ». Une dépendance inconnue ne doit être considérée ni comme inexistante ni comme automatiquement maîtrisée.

4. Évaluer séparément la criticité et la difficulté de remplacement

La criticité correspond aux conséquences d’une indisponibilité ou d’une dégradation du service pour l’entreprise.

La dépendance correspond aux contraintes qui limitent sa capacité à remplacer le fournisseur, à réduire le périmètre acheté ou à reprendre le service autrement.

Pour apprécier la criticité, interrogez les métiers sur les activités affectées, la durée d’interruption supportable et les possibilités de fonctionnement dégradé.

Pour analyser la dépendance, la grille suivante constitue un point de départ. Il s’agit d’une proposition méthodologique à adapter à votre organisation, et non d’un barème réglementaire.

La question des données mérite une attention particulière. Dans sa présentation du Data Act, la Commission européenne distingue notamment les exigences d’export et d’interfaces applicables aux services de plateforme et de logiciel des mesures de changement de fournisseur propres aux infrastructures. Les vérifications doivent donc tenir compte de la nature du service concerné.

Source : https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained

Pour votre cartographie, ne vous contentez pas d’une mention « export disponible ». Précisez ce qui est exporté, dans quelles conditions et ce qui reste à reconstruire dans l’environnement cible.

5. Vérifier les évaluations par des preuves

Une cartographie exploitable doit distinguer les engagements contractuels, les déclarations du fournisseur et les capacités effectivement vérifiées.

Nous proposons, par exemple, de documenter un test d’export sur un échantillon représentatif, une estimation de migration validée par la DSI ou une analyse d’écart avec une solution alternative.

L’existence d’un concurrent sur le marché ne suffit pas à en faire une solution de remplacement crédible. Dans votre évaluation, précisez si l’alternative est simplement identifiée, étudiée ou techniquement qualifiée.

Une information manquante doit déclencher une action de vérification, pas une bonne note par défaut.

Cette discipline évite de présenter une dépendance comme maîtrisée alors que la capacité de sortie n’a jamais été examinée.

Utiliser une matrice « criticité × dépendance » pour prioriser

Une fois les informations réunies, une matrice permet de rendre les arbitrages lisibles.

Pour démarrer, deux niveaux sur chaque axe peuvent suffire. L’entreprise doit toutefois définir ce qu’elle considère comme une criticité ou une dépendance forte : conséquences métier, délais acceptables, ressources mobilisables et contraintes de remplacement.

Cette matrice est un outil de priorisation, pas une mesure complète du risque fournisseur. Elle ne remplace pas l’analyse de la situation financière, de la cybersécurité ou de la qualité de service du prestataire.

Évitez également de laisser une moyenne masquer un blocage majeur. Une récupération des données non maîtrisée mérite d’être signalée distinctement, même lorsque d’autres critères sont satisfaisants.

Enfin, une forte dépendance ne conduit pas nécessairement à changer de fournisseur. Elle peut être acceptée lorsque les bénéfices du service la justifient, à condition que cette décision soit explicite et accompagnée de mesures adaptées.

Exemple : trois fournisseurs, trois priorités différentes

Considérons une entreprise fictive qui analyse trois services. Les montants et les évaluations ci-dessous sont illustratifs ; ils ne correspondent ni à des références de marché ni à un cas client Human Buyers.

Une lecture limitée aux dépenses placerait l’application de gestion commerciale en tête de toutes les priorités.

La cartographie révèle une autre logique : le service d’authentification mérite une attention immédiate en matière de continuité, tandis que l’outil de gestion de projets offre une possibilité de rationalisation plus accessible.

Les actions ne poursuivent donc pas toutes le même objectif. Pour le premier service, il s’agit de sécuriser. Pour le deuxième, de préparer une alternative crédible. Pour le troisième, de simplifier les achats.

La valeur de la cartographie réside dans cette différenciation des décisions, et non dans un classement unique des fournisseurs.

Transformer la cartographie en plan d’action achats

Chaque dépendance prioritaire devrait déboucher sur une action, un responsable, une échéance et une preuve de réalisation attendue.

Une formulation comme « améliorer la réversibilité » reste trop générale. Préférez un objectif vérifiable : faire valider le périmètre des données restituables, réaliser un test d’export ou obtenir une estimation documentée de la transition.

Préparer les renouvellements à partir des contraintes réelles

Pour chaque contrat important, partez de la date à laquelle l’entreprise doit prendre sa décision, puis remontez le calendrier.

Quel délai faut-il pour qualifier une alternative ? Pour réaliser une consultation ? Pour migrer ? Quelle date de préavis doit être respectée ?

Dans la méthode proposée, le calendrier de préparation doit être construit à partir de ces contraintes, plutôt qu’à partir de la seule date anniversaire du contrat.

La cartographie permet ainsi de déterminer les sujets à traiter pendant la négociation : souplesse des volumes, assistance de transition, accès à la documentation ou conditions d’évolution du service.

Comparer plusieurs scénarios, pas seulement rester ou partir

La décision ne doit pas se limiter à une opposition entre renouvellement et remplacement complet.

Pour un service donné, comparez le maintien en l’état, le maintien avec réduction de la dépendance et la migration vers une autre solution.

Le chiffrage doit intégrer les dépenses futures propres à chaque scénario : abonnements, adaptations, double exploitation temporaire, mobilisation des équipes et accompagnement des utilisateurs.

Évitez de compter deux fois les mêmes coûts ou de laisser les investissements passés, déjà engagés, masquer l’analyse des choix futurs.

Distinguer continuité et capacité de sortie

Prévoyez deux volets séparés dans le plan d’action : le maintien de l’activité en cas d’incident et la possibilité d’organiser un changement de fournisseur.

Il est recommandé d’intégrer les services Cloud dans l’analyse des risques ainsi que dans les plans de continuité et de reprise d’activité.

Pour la cartographie achats, vérifiez donc distinctement les mesures de continuité et les conditions de transition. Une solution de remplacement envisageable à terme ne constitue pas, à elle seule, une réponse à une interruption immédiate.

Qui doit piloter et actualiser la cartographie ?

Un pilotage conjoint entre les Achats et la DSI constitue une organisation possible, à adapter aux responsabilités internes.

Les Achats consolident les informations fournisseurs et les engagements commerciaux. La DSI valide les dépendances techniques et les hypothèses de migration. Les métiers apprécient les conséquences opérationnelles. Le juridique, la cybersécurité et la Finance interviennent sur leurs domaines respectifs.

Pour les services prioritaires, nous proposons une revue périodique complétée par une mise à jour lors des changements significatifs : nouveau contrat, modification d’architecture, nouvelle intégration ou évolution du besoin métier.

L’actualisation ne doit pas se limiter aux dépenses. Elle doit aussi porter sur les alternatives, les compétences disponibles et les actions de sécurisation réalisées.

Enfin, l’accès à cette cartographie doit être strictement maîtrisé. Elle concentre des informations sensibles sur les services critiques, leurs dépendances et les fournisseurs associés ; elle doit donc être conservée dans un référentiel sécurisé, avec des droits d’accès adaptés au niveau de sensibilité des données.

Faire de la cartographie un outil de décision

La cartographie des dépendances fournisseurs IT ne réduit pas les risques à elle seule. Elle permet de rendre les contraintes visibles, de confronter les évaluations et d’organiser les actions.

Pour les Achats, son intérêt est de remplacer une perception générale de la dépendance par des questions précises : quel service est concerné, qu’est-ce qui bloque son remplacement, quelles preuves avons-nous et quelle décision devons-nous prendre ?

L’objectif n’est pas d’éliminer toute dépendance. Il est de distinguer celles qui sont acceptées et maîtrisées de celles qui limitent la liberté de choix sans avoir été réellement évaluées.

Bien négocier suppose de connaître ses alternatives. Cartographier ses dépendances permet de savoir lesquelles sont crédibles — et lesquelles restent à construire.

Human Buyers : préparer vos arbitrages fournisseurs IT

Vous préparez un renouvellement Cloud ou SaaS, une remise en concurrence ou une revue de vos fournisseurs stratégiques ?

Human Buyers accompagne les entreprises dans l’analyse de leurs contrats, de leurs usages et de leurs leviers de négociation Achats IT.

Échangez avec Human Buyers pour identifier les dépendances à examiner en priorité et préparer vos prochains arbitrages fournisseurs.