Coûts IT et risque fournisseur : contrats, applications et fonctions critiques

Deux questions sur les mêmes objets

Les finances suivent le coût du parc applicatif dans un budget. La fonction risques suit les prestataires TIC dans un registre. Les deux fichiers décrivent les mêmes applications, les mêmes contrats et les mêmes fournisseurs, souvent avec des noms et des dates différents.

Tant que ces fichiers restent séparés, quelqu’un les rapproche à la main. Une application signalée pour son renouvellement peut aussi dépendre d’un prestataire qui soutient plusieurs fonctions critiques. Ce lien n’apparaît que si le contrat, l’application et la fonction sont reliés dans le même référentiel.

Le contrat, son fournisseur et les applications couvertes

Dans ArchiLU, un contrat est relié à son fournisseur et aux applications qu’il couvre. La page Contrats donne le fournisseur, le coût annuel, l’échéance et le renouvellement automatique repéré. Quand un contrat couvre plusieurs applications, son coût s’impute à chacune avec la justification de la répartition.

Chaque application porte son responsable, sa criticité, son cycle de vie et son fournisseur. La carte des capacités calcule le coût en licences de chaque capacité à partir de ses applications. Le tableau de bord du DSI réunit les engagements des contrats par devise et les échéances de support des technologies.

Les montants viennent des contrats et de la comptabilité. Un montant inconnu reste inconnu : la revue du portefeuille ne le compte jamais pour zéro.

Concentration et dépendance aux fournisseurs

Une dépendance isolée paraît raisonnable : placer une fonction critique chez un fournisseur cloud relève d’un choix d’architecture. Douze fonctions critiques chez le même fournisseur forment une concentration, souvent accumulée sans décision explicite. Pour la voir, il faut suivre chaque fonction jusqu’à ses applications, puis jusqu’à leurs prestataires.

L’analyse d’exposition d’ArchiLU part d’une application ou d’un prestataire et remonte jusqu’aux fonctions critiques ou importantes qui en dépendent. Elle calcule ses constats : concentration, obsolescence, objets critiques sans responsable, dérogations ouvertes. Chaque constat mène à une demande, à un risque ou à une décision du board.

Chaque capacité montre son fournisseur dominant et sa part. Le prestataire porte sa substituabilité et son plan de sortie. Ces éléments documentent l’analyse ; l’appréciation du risque et la négociation des contrats restent aux fonctions risques, achats et juridique.

De la carte à une décision de rationalisation

Un candidat à la rationalisation cumule souvent plusieurs signaux : un coût élevé, une capacité déjà portée par une autre application, un fournisseur dont l’entreprise dépend fortement. Ces signaux se lisent ensemble lorsque le coût, la capacité et le fournisseur sont portés par le même objet.

Dans ArchiLU, le responsable de l’application propose une classe TIME avec un motif, et l’architecte d’entreprise la tient. Avant un retrait, la vue 360 montre les processus, les interfaces et les contrats qui dépendent de l’application. Le retrait suit quatre étapes : impact, remplacement, décision et exécution.

• Repérer les applications où le coût, le doublon et l’exposition fournisseur se recoupent.
• Vérifier leur criticité et leurs dépendances avant tout retrait.
• Enregistrer la décision et son motif sur les applications concernées.
• Suivre dans la revue du portefeuille l’économie estimée, puis l’économie constatée, chacune avec sa période et sa devise.

DORA : une documentation, pas une attestation

DORA demande aux entités financières de gérer le risque lié aux prestataires tiers de services TIC, de distinguer les accords qui soutiennent des fonctions critiques ou importantes et de tenir un registre d’informations. Une chaîne déjà tenue, de la fonction au contrat, fournit une partie des données de ce travail.

Dans ArchiLU, chaque fonction porte sa criticité au sens de DORA. La chaîne relie cette fonction à ses processus, ses applications, ses services TIC, ses prestataires et leurs contrats. Elle documente les dépendances utiles au registre d’informations. La conformité relève de l’appréciation de l’entité, de ses auditeurs et de l’autorité compétente.

Le cadre d’une entité régulée dans l’Union européenne

Une carte qui relie fonctions critiques, fournisseurs et coûts est une information sensible. Dans ArchiLU, chaque organisation dispose de son instance dédiée, hébergée dans l’Union européenne ; un déploiement chez le client est proposé en option, sur devis. ArchiLU est édité au Luxembourg par MIP-IT SARL.

Finances, risques, achats et architecture lisent la même carte. Les écrans, les tâches et l’aide existent en français, en anglais et en allemand.