Cartographie des risques fournisseurs : l'exercice que tout DSI européen doit faire avant qu'on le fasse à sa place

Le risque fournisseur n'est plus théorique

En 2026, la question n'est plus de savoir si un fournisseur américain peut modifier unilatéralement ses conditions — c'est déjà arrivé, à plusieurs reprises, sur des sujets aussi concrets que la localisation des données, les clauses d'accès gouvernemental ou la disponibilité de certaines fonctionnalités selon la géographie du client. Pour un DSI d'ETI européenne, le vrai risque n'est pas la panne : c'est la décision politique prise à des milliers de kilomètres, qui reconfigure votre SI du jour au lendemain sans que vous ayez eu voix au chapitre.

L'exercice de cartographie des risques fournisseurs — longtemps traité comme une formalité de conformité — est devenu un outil stratégique. Il s'agit d'identifier, poste par poste, trois niveaux d'exposition : le verrouillage technique (vos données et traitements sont-ils portables ?), le verrouillage contractuel (les clauses de résiliation, de modification unilatérale, de juridiction applicable) et le verrouillage politique (votre fournisseur est-il soumis à une législation extraterritoriale — CLOUD Act, Executive Orders — qui prime sur vos accords contractuels ?).

Salesforce et ServiceNow, pour ne citer qu'eux, illustrent parfaitement ce triple niveau : leurs données client résident majoritairement sur infrastructure américaine, leurs contrats prévoient des modifications tarifaires et fonctionnelles avec des préavis courts, et leur maison mère reste soumise au droit américain quelle que soit la clause de droit applicable signée en Europe. Ce n'est pas un jugement de valeur — c'est une réalité structurelle que la cartographie doit faire apparaître en noir sur blanc.

Ce que la cartographie doit produire concrètement

Un bon exercice de cartographie ne se conclut pas par un tableau de criticité rangé dans un tiroir. Il doit déboucher sur trois livrables actionnables.

Premièrement, une matrice de substituabilité : pour chaque brique critique, existe-t-il un équivalent fonctionnel soumis au droit européen, avec un niveau de maturité acceptable ? L'écosystème existe — il est moins unifié, parfois moins confortable, mais il existe. L'identifier avant d'être contraint de le trouver en urgence change tout.

Deuxièmement, une clause d'exit négociée à la prochaine renégociation contractuelle. La plupart des DSI signent sans négocier les conditions de sortie. En 2026, c'est une faute de gestion du risque. La portabilité des données, les formats d'export, les délais de transition : tout cela se négocie — ou s'évite en choisissant des acteurs dont le modèle économique ne repose pas sur l'enfermement.

Troisièmement, un plan de réduction progressive de la surface d'exposition. Pas une migration brutale — personne ne bascule un ERP en six mois — mais un arbitrage systématique : à chaque renouvellement, chaque nouveau projet, la question de la souveraineté entre dans les critères de décision au même titre que le coût et la fonctionnalité.

L'enjeu n'est pas idéologique. Il est opérationnel : un SI dont vous ne maîtrisez pas les conditions de continuité n'est pas un SI sous contrôle. La cartographie des risques fournisseurs est le premier acte de reprise en main.