Services de sécurité managés : le RSSI n’est pas seul responsable
Benedikt Langer
8 Min. de lecture Dans de nombreuses entreprises, le CISO est perçu comme le responsable de la sécurité. ...
7 min de lecture
En 2026, une grande entreprise exploite en moyenne 2 191 applications, dont plus de 600 outils SaaS. Le dépassement budgétaire moyen s’élève à 25 % par rapport à ce qui est réellement utilisé. Pour les DSI, la consolidation du portefeuille d’applications représente l’un des rares leviers permettant de réduire les coûts tout en augmentant la productivité – à condition d’être bien menée.
L’essentiel en bref
À lire aussiNIS2 devient opérationnel : trois décisions pour les comités de direction / Consolidation de la fibre optique en 2026 : stratégie de localisation pour les DSI
Dans le contexte DACH (Allemagne, Autriche, Suisse), les entreprises sont souvent confrontées à une fragmentation accrue de leurs outils logiciels, notamment en raison de la forte autonomie des départements métiers. La consolidation du portefeuille applicatif est un enjeu clé pour les DSI, qui doivent concilier rationalisation des coûts et maintien de l’agilité opérationnelle. Les réglementations locales, comme la NIS2 (directive européenne sur la cybersécurité), renforcent également la nécessité d’une gouvernance centralisée des outils IT.
La prolifération typique des SaaS dans une grande entreprise se développe en trois phases. La première est la croissance rapide de services individuels, où les départements introduisent des outils via des budgets de cartes de crédit et des essais SaaS pour résoudre des problèmes urgents. La deuxième phase est l’effet « middle-market » : des outils initialement adoptés par un département deviennent des standards d’équipe, sans que la DSI (Direction des Systèmes d’Information) ou les achats ne soient impliqués. La troisième phase est la migration silencieuse vers l’infrastructure officielle, souvent des années plus tard, lorsqu’un audit ou une migration révèle cette dépendance. Au final, on compte 2 191 applications, dont une part importante n’est plus inventoriée. En réalité, douze nouveaux outils s’ajoutent en moyenne chaque mois, ce qui correspond à une croissance annuelle du portefeuille de 22 %.
La raison pour laquelle les DSI ont longtemps ignoré ce phénomène réside dans sa mesurabilité. Tant que les outils restent en dessous d’un certain seuil (souvent 10 000 euros de budget annuel), ils n’apparaissent dans aucun système d’approvisionnement. Les paiements par carte de crédit ou les abonnements mensuels contournent les services achats et informatiques. Lorsque 20 à 40 équipes utilisent leurs propres mini-outils, cela crée au total un angle mort qui peut immobiliser des montants à six ou sept chiffres chaque année, sans jamais figurer dans un rapport de coûts. Ce n’est que lorsqu’un audit externe ou une vérification de sécurité révèle la situation que la somme de ces petits éléments devient un dossier prioritaire pour la direction générale.
La première réaction réflexe de nombreux DSI (directeurs des systèmes d’information) consiste à procéder à des coupes directes : comptabiliser les licences, résilier les postes inutilisés, désactiver les outils sans usage actif. Cela génère, au premier trimestre, des économies rapides représentant entre cinq et quinze pour cent des coûts SaaS. Au deuxième trimestre, les retours arrivent : les équipes qui utilisaient discrètement un outil le rachètent, souvent à un prix plus élevé, car leur position de négociation est affaiblie sans volume. Au final, après un an, il reste souvent moins d’économies que prévu.
La consolidation stratégique, elle, s’y prend différemment. Elle commence par une catégorisation du portefeuille en applications critiques, de support et optionnelles. Les outils critiques sont ceux qui supportent les processus clés : ERP, CRM, systèmes financiers, plateformes de communication. Les outils de support sont des logiciels métiers qui accélèrent certains processus, mais restent remplaçables. Les outils optionnels, quant à eux, regroupent les logiciels expérimentaux, les applications propres à une équipe ou les licences individuelles. Ce n’est qu’avec cette cartographie que la consolidation devient planifiable.
Ce qui tourne mal avec les actions de résiliation
Ce qui caractérise une consolidation stratégique
La différence entre ces deux approches se révèle après douze mois. Les actions de résiliation entraînent des économies temporaires suivies d’une prolifération de l’ombre IT. La consolidation stratégique, en revanche, construit un portefeuille cohérent, que le DAF (directeur administratif et financier) peut valider et qui implique les métiers. L’effort est plus important, mais le résultat plus stable.
En 2026, un nouveau facteur entrera en jeu pour façonner les stratégies de consolidation. Les fonctionnalités d’IA deviendront une attente standard dans les produits SaaS. Si vous utilisez trois outils dotés chacun de leur propre assistant IA, vous payez trois fois pour le même type de fonctionnalité. La consolidation déterminera donc quel assistant IA travaille avec quelles données. Parallèlement, se pose la question du cadre de gouvernance à appliquer à l’ensemble des applications.
Pour les DSI, cette évolution est doublement pertinente. D’une part, la composante IA justifie souvent le passage à une plateforme unifiée, car les données de l’IA y deviennent exploitables au-delà des frontières des applications. D’autre part, chaque intégration supplémentaire d’IA génère un nouveau flux de données qui doit être documenté conformément au RGPD (règlement général sur la protection des données, en vigueur dans l’UE) et à la directive NIS2 (Network and Information Security, renforçant la cybersécurité dans l’UE). Si vous exploitez cent outils SaaS avec IA, vous devez gérer cent contrats d’IA. Si vous utilisez dix plateformes consolidées, vous n’en avez que dix.
Dans ce contexte, le DAF se voit présenter un nouveau chiffre clé. Selon les dernières analyses des cabinets d’études, les stacks technologiques fragmentés entraînent des coûts globaux jusqu’à 36 % plus élevés que les plateformes unifiées. Ces économies ne proviennent pas seulement des négociations de licences, mais aussi de la réduction des coûts d’intégration, de la diminution des efforts de support et de la formation plus rapide des nouveaux employés. Ce chiffre devrait figurer dans toute discussion entre DSI et DAF sur le business case de la consolidation.
Un facteur souvent sous-estimé dans ce processus est l’effet de réseau au sein des plateformes unifiées. Lorsque les données issues de l’ERP, du CRM et du support résident dans une même base de données, il devient possible de configurer des tableaux de bord, des workflows et des analyses IA couvrant ces trois domaines. Cela ne réduit pas seulement les coûts d’intégration, mais ouvre également des champs d’analyse inaccessibles avec des stacks séparés. Microsoft Dynamics 365 avec Power Platform, Salesforce avec Einstein et SAP avec Business Technology Platform sont les trois exemples qui exploiteront le plus cet effet en 2026. Le choix d’une plateforme devient ainsi une décision stratégique sur l’étendue des analyses possibles dans les années à venir.
Un plan d’action pragmatique pour la consolidation sur une année civile se déroule en quatre phases. La première phase est la visibilité, la dernière est la gouvernance.
Le point faible le plus fréquent dans ce plan d’action réside dans la communication avec les directions métiers. Quiconque présente la consolidation SaaS comme un projet d’économies IT se heurte à la résistance du marketing, des ventes et des RH. En revanche, ceux qui bâtissent leur récit sur les gains de productivité, l’amélioration des données et la réduction des risques de conformité rencontrent bien moins d’opposition. Les chiffres soutiennent les deux versions, mais le choix du récit détermine la rapidité du projet.
L’horizon temporel joue également un rôle clé. Un projet de consolidation prévu sur trois mois conduit inévitablement à un travail superficiel. À l’inverse, un plan étalé sur trois ans fait perdre l’attention de la direction après six mois. Un cadre de douze mois, avec des objectifs trimestriels clairs, s’est avéré viable en pratique : il offre suffisamment de temps pour des analyses approfondies et des migrations, tout en restant gérable pour la direction. Les résultats de la première année servent ensuite de base à un cycle continu, protégeant le portefeuille contre une nouvelle prolifération d’outils.
Un deuxième point souvent négligé en pratique : le rôle du DSI dans la consolidation n’est pas celui de l’exécutant, mais celui de l’architecte et du médiateur. La mise en œuvre revient aux directions métiers, les négociations de licences au service achats, et la gouvernance aux équipes IT et juridiques. Le DSI organise les rôles, modère les conflits et priorise les actions. Un DSI qui s’implique trop opérationnellement sera perçu comme un frein au bout de douze mois.
Un troisième aspect à prendre en compte est l’impact sur l’expérience collaborateur. Chaque outil supplémentaire implique un temps d’apprentissage, une gestion des mots de passe et des frictions d’interfaces. Dans les entreprises comptant 600 outils SaaS, les nouveaux employés ont besoin de plusieurs semaines pour obtenir tous les accès pertinents. Dans des environnements consolidés, cela prend quelques jours. Cette différence se répercute directement sur le *time-to-productivity*, un indicateur clé tant pour les RH que pour l’IT.
La gouvernance constitue le quatrième pilier. Un portefeuille SaaS consolidé ne se gère pas tout seul. Sans processus défini pour les nouvelles acquisitions, le portefeuille retrouve son niveau initial en dix-huit mois. Le mécanisme est bien connu : une direction métier découvre un outil, le teste gratuitement, l’adopte à grande échelle et ne le déclare que lorsque les coûts de licence deviennent visibles. Les DSI ayant réussi leur consolidation mettent généralement en place trois éléments : un catalogue centralisé d’outils pré-approuvés, un mécanisme simple de demande pour de nouveaux fournisseurs, et un examen trimestriel avec les achats et les principales directions métiers.
Un aspect souvent ignoré concerne le rythme des contrats. Les fournisseurs SaaS fonctionnent avec des cycles annuels ou triennaux. Si l’on ne connaît pas les fenêtres de résiliation et qu’on les rate, le contrat est automatiquement reconduit. Une base de données centrale des contrats, avec des rappels six mois avant chaque échéance, est une mesure simple mais souvent sous-estimée, qui a un impact direct sur la valeur du portefeuille. Les plateformes modernes de gestion SaaS intègrent cette fonctionnalité en standard, mais son utilisation dépend de la discipline dans la gestion quotidienne.
Enfin, un mot sur l’impact en matière de sécurité et de conformité. Chaque outil SaaS représente un chemin d’authentification distinct, un flux de données séparé et un partenaire contractuel à part entière. La directive NIS2 (Network and Information Security 2, une réglementation européenne renforçant la cybersécurité des opérateurs de services essentiels et des fournisseurs de services numériques) exige explicitement, dans son article 21, des politiques d’accès et une sécurité des fournisseurs. Auditer 600 contrats SaaS ne permet plus une approche stratégique, mais seulement réactive. La consolidation n’est donc pas uniquement une question de coûts, mais aussi un levier de simplification de la conformité. En combinant budget, productivité et réglementation, le portefeuille SaaS devient l’un des rares domaines où les DSI peuvent actionner trois leviers simultanément en 2026.
Zylo, Torii, BetterCloud et Flexera figurent parmi les acteurs établis couvrant à la fois l’inventaire, l’analyse d’utilisation et la gestion des licences. Le choix dépend de la taille du portefeuille, de l’infrastructure IT existante et des besoins d’intégration. Les petites organisations peuvent déjà trouver une partie de ces fonctionnalités dans Google Workspace Audit ou les rapports d’administration Microsoft 365.
La solution pragmatique consiste à lancer un programme d’amnistie : pendant trois mois, tous les outils peuvent être transférés sans sanction dans le système officiel. Passé ce délai, les processus d’approbation standard s’appliquent. Cette approche fonctionne mieux que les interdictions, car elle laisse aux services métiers le temps d’adapter leurs processus.
Les économies directes sur les licences sont la partie la plus simple. Les gains indirects (réduction des coûts d’intégration, formation plus rapide, risques de conformité moindres) nécessitent des hypothèses spécifiques et doivent être documentés de manière transparente. Les chiffres actuels des analystes, évoquant une réduction de 36 % du coût total de possession (TCO) pour les stacks unifiés, constituent un bon point de référence pour la discussion.
Douze à dix-huit mois pour la première vague significative, après quoi la gestion du portefeuille devient une activité permanente. Promettre des résultats en moins de six mois revient souvent à se concentrer sur des quick wins sans profondeur stratégique. Prévoir trois ans, en revanche, fait perdre le sens de l’urgence.
Les intégrations d’IA modifient la donne, car elles dépendent des données. Gérer dix outils dotés chacun de leur propre assistant IA signifie multiplier par dix les mêmes données en circulation et dix lignes de gouvernance différentes. La consolidation sur des plateformes avec une intégration centrale de l’IA réduit la charge de travail et renforce le contrôle.
Maintenance prédictive pour les PME : un plan d’intégration sur 100 jours en 2026
Contexte DACH : Le Mittelstand désigne les petites et moyennes entreprises (PME) allemandes, souvent considérées comme le moteur économique du pays.
Contexte réglementaire : La directive NIS2 (Network and Information Security) est une réglementation européenne visant à renforcer la cybersécurité des infrastructures critiques et des services essentiels.
Source de l’image à la une : Pexels / Merlin Lightpainting (px:14314638)