Externalisation d'un ERP et conformité RGPD
La société LogiSud, PME logistique réalisant 45 M€ de chiffre d'affaires, a déployé un ERP en 2024 pour 2,4 M€. Le projet a dépassé le budget de 40 % et le délai de huit mois. Le comité de pilotage envisage de migrer l'infrastructure en SaaS pour réduire les coûts de 20 %. Le DSI s'inquiète de la souveraineté des données et de la conformité au RGPD. Un audit interne révèle 14 comptes administrateurs partagés, aucune revue des accès depuis 18 mois, et un prestataire tiers accédant aux données clients sans contrat de sous-traitance. Les données clients comprennent des données de santé pour 5 % des clients. Le responsable juridique signale que le contrat SaaS proposé prévoit un hébergement aux États-Unis et une clause de réversibilité floue. La direction générale veut signer rapidement. Le RSSI demande un plan de remédiation avant toute migration.
1. Qualifiez les principaux risques SI et RGPD et proposez un plan de remédiation hiérarchisé.
Read the worked answer
Les risques sont à la fois techniques, juridiques et organisationnels. Les 14 comptes administrateurs partagés suppriment la traçabilité et empêchent d'imputer une action à une personne ; ils constituent une violation du principe de responsabilité et un risque majeur de compromission. L'absence de revue des accès depuis 18 mois favorise les habilitations excédentaires. Le prestataire tiers qui accède aux données sans contrat de sous-traitance méconnaît l'article 28 du RGPD : il manque les instructions, les garanties, la liste des sous-traitants et les clauses d'audit. Les données de santé, sensibles au sens de l'article 9, exigent une base légale renforcée, une analyse d'impact et des mesures de sécurité spécifiques.
Le plan doit être priorisé par criticité. Immédiatement : désactiver les comptes partagés, créer des comptes nominatifs, activer l'authentification multifacteur, déployer un coffre-fort de mots de passe et une gestion des accès privilégiés. Sous 30 jours : recenser les accès, conduire une revue avec les responsables métier, signer un contrat de sous-traitance, restreindre l'accès du prestataire, chiffrer les données de santé et réaliser une analyse d'impact. Sous 90 jours : mettre en place une politique de mots de passe, une journalisation, des tests d'intrusion, un plan de réponse aux incidents et une formation. La migration SaaS ne doit pas commencer avant la sécurisation des accès et la régularisation contractuelle.
2. Le passage au SaaS est-il opportun ? Analysez les avantages, les risques et les conditions contractuelles à négocier.
Read the worked answer
Le SaaS peut réduire les coûts d'infrastructure, transformer des investissements en charges récurrentes, faciliter les mises à jour et apporter des compétences externes. L'objectif affiché de 20 % d'économies représenterait environ 0,48 M€ par an, mais il faut le comparer aux coûts de migration, de reprise des données, de sécurité, de conformité et de conduite du changement. Le dépassement initial de 40 % montre que les estimations de projet sont fragiles.
Les risques sont élevés : hébergement aux États-Unis, transfert de données hors UE, clause de réversibilité floue, dépendance au fournisseur, perte de maîtrise des accès, sous-traitants ultérieurs, et données de santé soumises à des exigences renforcées. En France, l'hébergement de données de santé à caractère personnel peut relever d'une certification HDS. Le contrat doit prévoir : localisation UE, liste des sous-traitants, clauses contractuelles types, analyse des transferts, droit d'audit, notification des violations, chiffrement, gestion des habilitations, export des données dans un format ouvert, assistance à la réversibilité, niveau de service, pénalités et responsabilité.
La décision rationnelle est conditionnelle : ne pas signer en l'état. Il faut d'abord remédier aux manquements internes, exiger un hébergement UE ou un engagement de souveraineté, négocier la réversibilité et réaliser une analyse d'impact. Un pilote limité à un périmètre non sensible peut être envisagé avant généralisation.
3. Proposez un tableau de bord de pilotage de la migration SaaS avec indicateurs, cibles et gouvernance.
Read the worked answer
Le tableau de bord doit suivre la migration, la sécurité et la conformité, pas seulement le coût. Pour le volet projet : taux d'avancement des jalons, écart de budget, écart de délai, taux de reprise des données, taux de tests réussis. Pour la sécurité : pourcentage de comptes nominatifs, taux de couverture MFA, nombre de comptes à privilèges, délai de revue des accès, nombre d'incidents, délai de correction. Pour la conformité : contrat de sous-traitance signé, registre des traitements à jour, analyse d'impact réalisée, clauses de transfert validées, taux de suppression des données selon la durée de conservation. Pour l'exploitation : disponibilité, temps de réponse, taux de satisfaction utilisateur, coût par utilisateur.
Chaque indicateur doit avoir une cible mesurable, un responsable et une fréquence. Par exemple : 100 % des comptes administrateurs nominatifs avant migration, revue trimestrielle des accès, 99,5 % de disponibilité, zéro donnée de santé hors zone autorisée. La gouvernance associe la direction générale, le DSI, le RSSI, le DPO, le juridique et les métiers. Un comité hebdomadaire pendant la migration, puis mensuel en régime de croisière, examine les écarts et décide des mesures correctives. Les indicateurs doivent être peu nombreux, alignés sur le risque et présentés dans un format unique.