11 min de lecture<\/p>\n
7 min de lecture<\/p>\n
En moyenne, une PME utilise 275 applications SaaS. Pour les grands groupes, ce chiffre d\u00e9passe les 2 000. Le probl\u00e8me : un tiers d\u2019entre elles \u00e9chappent \u00e0 la connaissance du service informatique. Et 70 % des d\u00e9penses logicielles sont d\u00e9sormais g\u00e9r\u00e9es par les directions m\u00e9tiers. Le SaaS-Sprawl n\u2019est pas un simple probl\u00e8me d\u2019hygi\u00e8ne informatique \u2013 c\u2019est un \u00e9chec de gouvernance qui doit figurer \u00e0 l\u2019agenda strat\u00e9gique.<\/strong><\/p>\n Les chiffres du Zylo SaaS Management Index 2025<\/a> dressent un constat sans appel : une entreprise moyenne exploite 275 applications SaaS. Pour les grands groupes, le Torii SaaS Benchmark Report 2026<\/a> en recense m\u00eame 2 191. Et chaque mois, huit nouvelles s\u2019y ajoutent en moyenne \u2013 souvent \u00e0 l\u2019insu ou sans validation de la DSI.<\/p>\n Qu\u2019est-ce que le SaaS-Sprawl ?<\/strong> Le SaaS-Sprawl d\u00e9signe la prolif\u00e9ration incontr\u00f4l\u00e9e de logiciels cloud au sein des entreprises. Les directions m\u00e9tiers acqui\u00e8rent des outils de mani\u00e8re autonome, sans recensement centralis\u00e9 ni v\u00e9rification de leur s\u00e9curit\u00e9, conformit\u00e9 ou redondance. R\u00e9sultat : des fonctionnalit\u00e9s qui se chevauchent, des licences inutilis\u00e9es et des angles morts dans la gouvernance informatique.<\/p>\n Selon Zylo, plus d\u2019un tiers des applications d\u2019entreprise rel\u00e8vent de l\u2019informatique fant\u00f4me. 67 % des responsables informatiques citent les achats non ma\u00eetris\u00e9s par les m\u00e9tiers comme leur principal d\u00e9fi SaaS. Et il ne s\u2019agit pas d\u2019un manque de rigueur de la DSI \u2013 c\u2019est un d\u00e9ficit structurel de gouvernance, dont l\u2019origine se situe au niveau de la direction g\u00e9n\u00e9rale.<\/p>\n Le sc\u00e9nario est toujours le m\u00eame : une direction m\u00e9tier a besoin d\u2019un nouvel outil. Le processus d\u2019achat officiel prend des semaines, la carte bancaire agit en quelques clics. En un trimestre, 30 collaborateurs utilisent l\u2019application, y chargent des donn\u00e9es clients et l\u2019int\u00e8grent \u00e0 leurs processus. La DSI n\u2019en prend connaissance \u2013 si tant est qu\u2019elle en soit inform\u00e9e \u2013 qu\u2019\u00e0 l\u2019occasion du prochain audit des co\u00fbts.<\/p>\n Le basculement du pouvoir dans l\u2019acquisition de logiciels est d\u00e9j\u00e0 act\u00e9. Aujourd\u2019hui, les directions m\u00e9tiers g\u00e8rent 70 % des d\u00e9penses SaaS. La DSI n\u2019en contr\u00f4le plus que 26 %. Le reste se r\u00e9partit entre les services partag\u00e9s et les achats. Ce transfert n\u2019est pas probl\u00e9matique en soi \u2013 les directions m\u00e9tiers connaissent mieux que quiconque leurs besoins. Il le devient en l\u2019absence de visibilit\u00e9 centrale.<\/p>\n Sources : Zylo SaaS Management Index 2025, Flexera State of the Cloud 2025<\/p>\n La cons\u00e9quence : entre 51 et 53 % de toutes les licences SaaS ne sont pas utilis\u00e9es dans les 30 jours suivant leur achat (Zylo, 2025). Dans le m\u00eame temps, les d\u00e9penses pour les applications SaaS natives en IA augmentent de 108 % par rapport \u00e0 l\u2019ann\u00e9e pr\u00e9c\u00e9dente. Les entreprises d\u00e9pensent donc toujours plus d\u2019argent pour des logiciels qu\u2019elles ne ma\u00eetrisent pas, n\u2019utilisent pas pleinement et ne pilotent pas de mani\u00e8re centralis\u00e9e.<\/p>\n Pour le DAF, cela signifie qu\u2019un quart des d\u00e9penses cloud ne g\u00e9n\u00e8re aucune valeur mesurable. Pour le DSI, cela implique que la surface d\u2019attaque s\u2019\u00e9largit avec chaque application non autoris\u00e9e. Pour la direction g\u00e9n\u00e9rale, cela signifie que ces deux probl\u00e8mes rel\u00e8vent de sa responsabilit\u00e9.<\/p>\n La g\u00e9n\u00e9ralisation des outils d\u2019IA g\u00e9n\u00e9rative a propuls\u00e9 le probl\u00e8me de l\u2019informatique fant\u00f4me dans une nouvelle dimension. Une \u00e9tude Bitkom d\u2019octobre 2025<\/a> (n=604 entreprises de plus de 20 salari\u00e9s) r\u00e9v\u00e8le que dans 8 % des entreprises, l\u2019utilisation d\u2019outils d\u2019IA priv\u00e9s sur le lieu de travail est largement r\u00e9pandue \u2013 soit deux fois plus qu\u2019en 2024. Dans 17 % des cas suppl\u00e9mentaires, il s\u2019agit de cas isol\u00e9s. Et 17 % des entreprises ignorent simplement la situation, mais la supposent.<\/p>\n Parall\u00e8lement, seulement 26 % des entreprises offrent \u00e0 leurs collaborateurs un acc\u00e8s officiel \u00e0 l\u2019IA g\u00e9n\u00e9rative. Le foss\u00e9 entre la demande et l\u2019offre est combl\u00e9 par l\u2019informatique fant\u00f4me. ChatGPT, Google Gemini, Claude \u2013 ces outils ne sont qu\u2019\u00e0 un onglet de navigateur. Les collaborateurs chargent des donn\u00e9es clients, des projets de contrats et des documents strat\u00e9giques internes dans des services d\u2019IA externes, sans que la DSI en soit inform\u00e9e. Chacune de ces actions repr\u00e9sente un risque potentiel de fuite de donn\u00e9es.<\/p>\n Uri Haramati, cofondateur du fournisseur de gestion SaaS Torii, r\u00e9sume la dynamique : l\u2019IA n\u2019a pas invent\u00e9 l\u2019informatique fant\u00f4me, mais elle en a consid\u00e9rablement accru la vitesse et la port\u00e9e (CIO Dive, mars 2026). Ce qui concernait autrefois quelques outils marketing ou applications de gestion de projet touche aujourd\u2019hui des assistants IA travaillant avec des donn\u00e9es d\u2019entreprise \u2013 sans que la DSI sache quelles donn\u00e9es transitent o\u00f9.<\/p>\n Le paysage r\u00e9glementaire a profond\u00e9ment \u00e9volu\u00e9 en 2025 et 2026. Avec la mise en \u0153uvre de l\u2019EU AI Act<\/a> et l\u2019application de DORA et de NIS2<\/a>, la direction engage sa responsabilit\u00e9 personnelle en mati\u00e8re de gouvernance de la cybers\u00e9curit\u00e9 de son entreprise. Cela inclut explicitement la cha\u00eene d\u2019approvisionnement logicielle.<\/p>\n Concr\u00e8tement : NIS2 impose aux organes de direction d\u2019approuver et de superviser les mesures de gestion des risques cybern\u00e9tiques. En cas de n\u00e9gligence grave, des amendes personnelles et des interdictions temporaires d\u2019exercer peuvent \u00eatre prononc\u00e9es. Un dirigeant qui ignore quelles sont les 275 applications SaaS utilis\u00e9es dans son entreprise \u2013 et lesquelles d\u2019entre elles acc\u00e8dent \u00e0 des donn\u00e9es sensibles \u2013 se trouve face \u00e0 un probl\u00e8me qu\u2019aucun responsable informatique ne peut r\u00e9soudre \u00e0 sa place.<\/p>\n DORA renforce encore les exigences pour le secteur financier : chaque prestataire tiers en TIC doit \u00eatre enregistr\u00e9, \u00e9valu\u00e9 et surveill\u00e9. Un outil SaaS utilis\u00e9 par le service conformit\u00e9 pour la gestion des contrats est concern\u00e9 au m\u00eame titre que la plateforme ERP centrale. Sans un inventaire complet des applications SaaS, il est impossible de r\u00e9pondre aux exigences de DORA.<\/p>\n \u00ab\u00a0Les entreprises devraient \u00e9viter la prolif\u00e9ration incontr\u00f4l\u00e9e de l\u2019IA et pr\u00e9venir le d\u00e9veloppement d\u2019une IA fant\u00f4me. Pour cela, elles doivent \u00e9tablir des r\u00e8gles claires pour l\u2019utilisation de l\u2019IA et mettre \u00e0 disposition de leurs collaborateurs des technologies d\u2019IA.\u00a0\u00bb<\/p>\n Dr. Ralf Wintergerst, pr\u00e9sident de Bitkom (communiqu\u00e9 de presse Bitkom, octobre 2025)<\/cite>\n<\/p><\/blockquote>\n Ce que Wintergerst exige pour l\u2019IA vaut pour le SaaS dans son ensemble : une entreprise qui ne fournit pas \u00e0 ses collaborateurs des outils approuv\u00e9s ne doit pas s\u2019\u00e9tonner qu\u2019ils trouvent des solutions par eux-m\u00eames. La responsabilit\u00e9 ne repose pas sur le service informatique \u2013 elle incombe au niveau C, qui assume la structure de gouvernance.<\/p>\n La gouvernance SaaS n\u2019est pas une initiative informatique que le DSI peut mettre en \u0153uvre seul. Elle n\u00e9cessite des d\u00e9cisions au niveau du conseil d\u2019administration :<\/p>\n 1. Cr\u00e9er de la transparence :<\/strong> Sans visibilit\u00e9 compl\u00e8te, pas de gouvernance. La direction doit commander un inventaire SaaS qui recense toutes les applications \u2013 y compris celles qui n\u2019ont \u00e9t\u00e9 command\u00e9es par personne. Des outils comme Zylo, Torii ou Productiv automatisent la d\u00e9tection. La *Capacity Tax* \u2013 la part des capacit\u00e9s informatiques consacr\u00e9e \u00e0 l\u2019administration plut\u00f4t qu\u2019\u00e0 l\u2019innovation \u2013 se situe g\u00e9n\u00e9ralement entre 25 et 40 %. C\u2019est l\u2019indicateur qui convaincra le DAF.<\/p>\n 2. D\u00e9finir des r\u00e8gles d\u2019approvisionnement :<\/strong> La direction doit d\u00e9cider qui a le droit d\u2019acheter des logiciels et sous quelles conditions. Cela ne signifie pas approuver chaque application de mani\u00e8re centralis\u00e9e. Il s\u2019agit de fixer des seuils clairs : \u00e0 partir de quel volume de d\u00e9penses une \u00e9valuation centrale est-elle n\u00e9cessaire ? Quelles cat\u00e9gories de donn\u00e9es n\u00e9cessitent une \u00e9valuation de s\u00e9curit\u00e9 ? Quels standards de conformit\u00e9 sont non n\u00e9gociables ?<\/p>\n 3. Mettre officiellement \u00e0 disposition des outils d\u2019IA :<\/strong> Le foss\u00e9 de 26 % dans la fourniture d\u2019outils d\u2019IA est une invitation \u00e0 l\u2019informatique fant\u00f4me. Proposer aux collaborateurs des outils d\u2019IA v\u00e9rifi\u00e9s et conformes \u00e0 la protection des donn\u00e9es r\u00e9duit l\u2019incitation \u00e0 recourir \u00e0 des alternatives personnelles. Ce n\u2019est pas une d\u00e9cision technologique \u2013 c\u2019est une d\u00e9cision de gestion des risques.<\/p>\n 4. Clarifier les responsabilit\u00e9s :<\/strong> Qui, au niveau C, porte la responsabilit\u00e9 globale de la gouvernance SaaS ? L\u2019exp\u00e9rience montre que sans propri\u00e9taire clairement d\u00e9sign\u00e9, toute initiative s\u2019enlise. Un comit\u00e9 SaaS r\u00e9unissant des repr\u00e9sentants de l\u2019informatique, des finances et des principales directions m\u00e9tiers cr\u00e9e le niveau d\u2019engagement n\u00e9cessaire.<\/p>\n Le contre-argument est l\u00e9gitime : une gouvernance trop stricte freine l\u2019innovation. Les services m\u00e9tiers, qui attendent des mois pour obtenir des validations informatiques, continueront \u00e0 trouver leurs propres solutions. La r\u00e9ponse ne r\u00e9side pas dans le contr\u00f4le, mais dans le pilotage \u2013 un cadre de gouvernance qui permet des achats rapides tout en garantissant visibilit\u00e9 et conformit\u00e9.<\/p>\n Le *SaaS-Sprawl* est l\u2019\u00e9rosion silencieuse de la gouvernance IT. 275 applications, 70 % des d\u00e9penses business, 27 % de gaspillage \u2013 et un comit\u00e9 de direction responsable de tout ce qu\u2019il ignore. NIS2 a chang\u00e9 la donne : l\u2019ignorance ne prot\u00e8ge plus de la responsabilit\u00e9. La premi\u00e8re \u00e9tape n\u2019est pas un projet technologique, mais une d\u00e9cision du conseil d\u2019administration : quels logiciels tournent dans cette entreprise, qui les a command\u00e9s et qui en est responsable ? Celui qui ne peut r\u00e9pondre \u00e0 cette question a un probl\u00e8me strat\u00e9gique.<\/p>\n Selon le *Flexera State of the Cloud 2025*, les entreprises gaspillent en moyenne 27 % de leurs d\u00e9penses cloud. Avec un budget SaaS de 5 millions d\u2019euros, cela repr\u00e9sente 1,35 million d\u2019euros par an perdus en licences inutilis\u00e9es, outils redondants et abonnements non g\u00e9r\u00e9s. S\u2019y ajoutent les co\u00fbts indirects li\u00e9s aux incidents de s\u00e9curit\u00e9 et aux manquements \u00e0 la conformit\u00e9.<\/p>\n<\/details>\n L\u2019IT fant\u00f4me classique concernait principalement les installations logicielles locales et le mat\u00e9riel personnel. Le *SaaS-Sprawl* est plus difficile \u00e0 d\u00e9tecter, car les applications cloud ne n\u00e9cessitent aucune installation locale. Une \u00e9quipe marketing peut souscrire \u00e0 un outil de gestion de projet par carte bancaire, sans que la DSI n\u2019en soit inform\u00e9e. Le d\u00e9ploiement est imm\u00e9diat, les co\u00fbts \u00e9voluent en cons\u00e9quence, et les donn\u00e9es r\u00e9sident dans une infrastructure cloud que personne n\u2019a valid\u00e9e.<\/p>\n<\/details>\n NIS2 impose aux organes de direction d\u2019approuver et de superviser la gestion des risques cyber. Cela inclut la cha\u00eene d\u2019approvisionnement logicielle. Les applications SaaS non contr\u00f4l\u00e9es, ayant acc\u00e8s aux donn\u00e9es de l\u2019entreprise, repr\u00e9sentent un risque de conformit\u00e9. En cas de n\u00e9gligence grave, les dirigeants s\u2019exposent \u00e0 une responsabilit\u00e9 personnelle, des amendes pouvant atteindre 10 millions d\u2019euros ou 2 % du chiffre d\u2019affaires mondial annuel, ainsi qu\u2019\u00e0 des interdictions temporaires d\u2019exercer.<\/p>\n<\/details>\n Les plateformes de gestion SaaS comme Zylo, Torii ou Productiv peuvent dresser un premier inventaire en deux \u00e0 quatre semaines. Elles analysent les donn\u00e9es de *Single Sign-On*, les transactions financi\u00e8res et le trafic r\u00e9seau pour identifier automatiquement les applications utilis\u00e9es. La mise en place compl\u00e8te d\u2019un cadre de gouvernance SaaS prend g\u00e9n\u00e9ralement trois \u00e0 six mois.<\/p>\n<\/details>\n Les deux. Le DSI est responsable de la gouvernance technique : v\u00e9rification de la s\u00e9curit\u00e9, conformit\u00e9 RGPD et int\u00e9gration. Le DAF g\u00e8re la gouvernance financi\u00e8re : transparence des d\u00e9penses, optimisation des licences et contr\u00f4le budg\u00e9taire. En pratique, un *SaaS Board* commun, r\u00e9unissant les repr\u00e9sentants de l\u2019IT, des finances et des principales directions m\u00e9tiers, fonctionne le mieux. La d\u00e9cision strat\u00e9gique sur le cadre de gouvernance rel\u00e8ve, quant \u00e0 elle, de l\u2019agenda strat\u00e9gique.<\/p>\n<\/details>\n Source image principale : Pexels \/ Kampus Production (px : 8171188)<\/p>\n 70 % des d\u00e9penses logiciels sont g\u00e9r\u00e9es par les d\u00e9partements m\u00e9tiers. L’IT en contr\u00f4le encore 26 %. 27 % des d\u00e9penses cloud sont perdues.<\/p>\n","protected":false},"author":82,"featured_media":14672,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"sprawl saas","_yoast_wpseo_title":"275 apps, un tiers invisibles : comment le SaaS-sprawl impacte les budgets IT","_yoast_wpseo_metadesc":"275 applications SaaS en moyenne, 70 % des d\u00e9penses hors IT : pourquoi le SaaS-sprawl est un risque pour la direction et le lien avec NIS2.","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"featured_post_sortierung":0,"featured_post":0,"pre_headline":"","bildquelle":"","teasertext":"","language":"de","_evm_slot_owner":"","_evm_translation_lang":"","_wp_old_slug":[],"footnotes":""},"categories":[683,684],"tags":[],"class_list":["post-18427","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-new-work-leadership","category-reboot-germany","entry"],"wpml_language":"fr","wpml_translation_of":14673,"yoast_head":"\nL\u2019essentiel en bref<\/h2>\n
\n
L\u2019explosion invisible : 275 apps et la DSI en ignore un tiers<\/h2>\n
70 % des budget logiciel \u00e9chappent \u00e0 la DSI<\/h2>\n
L\u2019IA acc\u00e9l\u00e8re la prolif\u00e9ration sauvage<\/h2>\n
NIS2 et DORA transforment la gouvernance SaaS en obligation<\/h2>\n
\n
Les d\u00e9cisions que la direction doit prendre d\u00e8s maintenant<\/h2>\n
Conclusion<\/h2>\n
Questions fr\u00e9quentes<\/h2>\n
Combien co\u00fbte le *SaaS-Sprawl* \u00e0 une entreprise moyenne ?<\/strong><\/summary>\n
Quelle diff\u00e9rence entre le *SaaS-Sprawl* et l\u2019IT fant\u00f4me classique ?<\/strong><\/summary>\n
Quel r\u00f4le joue NIS2 dans la gouvernance SaaS ?<\/strong><\/summary>\n
En combien de temps peut-on \u00e9tablir un inventaire SaaS ?<\/strong><\/summary>\n
Le DSI ou le DAF doit-il \u00eatre responsable de la gouvernance SaaS ?<\/strong><\/summary>\n
Lectures recommand\u00e9es par la r\u00e9daction<\/h2>\n
\n
Plus d’offres du r\u00e9seau MBF Media<\/h2>\n
\n
\u00c0 lire aussi<\/h3>\n
\n