Cloud de confiance et SAP : comment faire les bons choix ? | Convergence(s), le podcast USF de la communauté SAP francophone

Description

Dans ce nouvel épisode de Convergence(s), le podcast de l’USF, nous recevons Delphine Domecq, responsable du Groupe de Travail Cloud de Confiance de l’USF, pour décrypter les enjeux du cloud de confiance pour les entreprises utilisatrices de SAP.

Cloud souverain, SecNumCloud, souveraineté numérique, cybersécurité, protection des données… Que recouvrent réellement ces notions et quels critères prendre en compte pour choisir une solution cloud adaptée à son entreprise ?

Au programme : les enjeux stratégiques du cloud de confiance, les différents niveaux de sensibilité des données, les limites de la certification SecNumCloud, la réversibilité et le risque d’enfermement technologique, mais aussi les évolutions à venir des offres cloud de SAP et des solutions souveraines européennes.

Un épisode pour comprendre les enjeux du cloud et de la souveraineté numérique dans l’univers SAP, identifier les bons critères de décision et construire une stratégie cloud adaptée à son contexte, ses risques et ses ambitions.

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Speaker #0
Convergence, le podcast USF de la communauté SAP francophone.
Speaker #1
Bonjour à toutes et à tous, bienvenue dans ce nouvel épisode de Convergence, le podcast de la communauté SAP francophone qui vous est proposé par l'USF. Après un premier épisode consacré à l'intelligence artificielle, nous poursuivons notre exploration des grands sujets qui transforment aujourd'hui les systèmes d'information des entreprises. Et cette fois, nous allons parler d'un sujet au cœur des préoccupations des utilisateurs SAP, mais qui reste parfois un peu difficile à décrypter, le cloud de confiance. Quand on entend cloud souverain, secnum cloud, hyperscaler, souveraineté numérique, qu'est-ce que ça veut dire ? Derrière ces termes se cachent en réalité des choix stratégiques qui concernent désormais toutes les organisations utilisant SAP. Comment s'y retrouver ? Existe-t-il une solution idéale ? Quels sont les critères de décision ? Et surtout, comment prendre aujourd'hui des décisions qui resteront pertinentes demain dans un contexte qui évolue très vite ? Pour en parler, j'ai le plaisir d'accueillir pour ce deuxième épisode Delphine Domecq. Bonjour Delphine.
Speaker #2
Bonjour Florianne.
Speaker #1
Delphine, vous êtes co-responsable du groupe de travail Cloud de Confiance de l'USF. C'est un groupe de travail qui a été créé il y a à peu près un an. En quoi ça consiste ?
Speaker #2
En effet, je co-anime au sein de l'USF le groupe de travail consacré au Cloud de Confiance avec Vincent Berezia, François Labrousse et Bernard Cotinot. Notre objectif, c'est vraiment de donner aux adhérents de l'USF des clés de lecture concrètes, indépendantes et pragmatiques sur le sujet du cloud de confiance. Notre objectif, ce n'est pas de faire un classement des meilleures solutions du marché ou de dire que telle ou telle solution est mauvaise, mais c'est vraiment d'aider chaque organisation à prendre la meilleure décision par rapport à ses activités, ses risques et ses contraintes.
Speaker #1
Alors Delphine, on va rentrer dans le cœur du sujet. Pendant longtemps, le cloud était perçu comme un élément essentiellement technique. Pourquoi est-ce qu'aujourd'hui, il est devenu un enjeu qui concerne directement la stratégie et la performance globale des entreprises ?
Speaker #2
C'est vrai que jusqu'à présent, tous les sujets cloud, c'était des sujets qui restaient au sein des DSI et c'était vu comme des sujets très techniques et les comex ne sont occupés pas vraiment. Aujourd'hui, le contexte géopolitique est devenu beaucoup plus instable, on le voit au quotidien. Il y a des décisions prises par un État qui peuvent avoir des conséquences sur l'activité des entreprises de manière très concrète. Et on a aussi le risque cyber qui augmente. Les réglementations se renforcent et les données sont devenues un vrai actif stratégique pour les entreprises. Donc aujourd'hui, on ne se demande plus est-ce que mon cloud est performant, scalable, sécurisé ? Mais en fait, on se demande aussi qui derrière a vraiment accès à mes données. Quelle juridiction le contrôle et comment je vais faire pour continuer si un scénario de rupture arrive. Pour les utilisateurs de SAP, puisque c'est ça qui nous intéresse à l'USF, la question devient aussi particulièrement d'actualité puisque SAP accélère sa transition vers le cloud. Jusqu'à présent, l'ERP était un petit peu en dehors puisqu'il y avait encore des possibilités de garder ces systèmes dans les data centers du client. Demain, ce ne sera plus possible. Et on le sait, l'ERP porte la majorité des processus vitaux des entreprises, que ce soit la comptabilité, les achats, la logistique, la maintenance, la paye parfois. Et donc le choix que l'entreprise va faire va finalement impacter directement la résilience de l'entreprise. Et donc ce n'est plus un choix d'infrastructure, mais c'est un vrai choix stratégique d'entreprise.
Speaker #1
Alors justement, quand on parle choix stratégique, on l'associe aussi très souvent à la notion de souveraineté numérique. Concrètement, ça signifie quoi la souveraineté numérique pour une entreprise utilisatrice de SAP ?
Speaker #2
La première idée, c'est que la souveraineté ne se résume pas à l'endroit où se trouve le data center. En effet, il faut regarder beaucoup plus de choses. Il faut regarder le droit auquel le fournisseur est soumis. Il faut regarder quelles sont les personnes qui administrent le système. Il faut regarder qui maîtrise les clés de chiffrement, l'ensemble de la chaîne de sous-traitance, les composants technologiques et la capacité à changer rapidement de solution en cas de besoin. Du coup, la souveraineté, elle ne se décrète pas. Pour nous, elle se construit, elle se pilote et elle se vérifie dans le temps. Et c'est aussi pour ça que dans le guide et dans le document qu'on va produire, on préfère parler plutôt de cloud de confiance.
Speaker #1
Sur ce terme de cloud de confiance, justement, il est de plus en plus utilisé en effet, mais j'ai quand même l'impression qu'il peut recouvrir des réalités très différentes aujourd'hui. C'est quoi les grands critères qui permettent de comprendre ce qui se cache derrière cette notion de cloud de confiance ?
Speaker #2
Alors c'est sûr qu'aujourd'hui le cloud de confiance est utilisé par toutes les entreprises qui fournissent des services cloud. Donc il n'y a pas de définition universelle de ce que c'est un cloud de confiance. On a tenté de l'éclairer avec différents piliers. Donc on en a quatre. Le premier, c'est un pilier juridique, c'est l'indépendance juridique. À quelle loi le fournisseur et ses partenaires sont soumis ? Le deuxième pilier, c'est autour de la maîtrise des données. Donc, où sont les données ? Qui les contrôle ? Qui a les clés qui permettent d'y accéder, etc. Le troisième pilier concerne la maîtrise opérationnelle. Donc là, on parle de l'opération, donc l'administration, quelle est la nationalité des personnes qui interviennent en cas d'incident ou qui va décider de la roadmap. d'évolution de la plateforme. Et enfin, le quatrième pilier, c'est l'indépendance technologique. Et celui-ci, il est vraiment très compliqué, car en Europe, aujourd'hui, on a un retard technologique. Donc aucun fournisseur européen ne maîtrise l'ensemble des composants de la chaîne de valeur. Ce qui fait que tous ces piliers combinés, ça nous donne un taux de confiance vis-à-vis de notre fournisseur. Et c'est ça qu'on a essayé d'expliciter dans le guide. C'est une espèce d'évaluation, une combinaison de ces différents critères qui fait qu'à la fin, on peut dire si oui ou non, on fait confiance à notre fournisseur.
Speaker #1
En France, on a parfois l'impression que Secnum Cloud, c'est un peu l'alpha et l'oméga du cloud de confiance de demain avec une super réglementation qui serait finalement le seul critère à prendre en compte. Vous qui travaillez de près sur ce sujet, qu'est-ce que vous en pensez ?
Speaker #2
C'est vrai que CECNUM, c'est une référence extrêmement importante en France. Cette qualification apporte un haut niveau d'exigence en matière de sécurité, en matière d'organisation, de contrôle et d'exploitation des services. Pour de nombreuses activités sensibles, c'est un point de passage extrêmement structurant qui permet de réduire la surface des risques. Il faut bien vérifier quel est le périmètre de qualification des services. C'est important de savoir si c'est les couches basses, ou l'ensemble de la chaîne jusqu'aux couches applicatives dans la qualification. Et c'est vrai que c'est une brique majeure de la confiance, mais par contre la décision finale du choix du cloudeur doit toujours s'appuyer sur une analyse des risques propres à l'organisation et notamment des risques juridiques.
Speaker #1
Il y a, je crois d'ailleurs, des échanges en cours avec l'ANSI, avec le ministère des Affaires étrangères, mais on est sur des dimensions sur lesquelles on est encore en attente d'un alignement au niveau européen, vous me le confirmez.
Speaker #2
Oui, il n'y a pas d'alignement européen aujourd'hui. Ça fait des années que les discussions ont lieu à la Commission européenne. La dernière fois, ils n'ont pas réussi à aboutir à un alignement européen, notamment sur le niveau le plus haut de la qualification EUCS, European Cloud Sovereign. Les travaux continuent et vont reprendre en 2026. Ils vont aussi être complétés d'un autre règlement autour du CADA, Cloud and AI Data Act. qui lui va en fait essayer de donner une vision presque stratégie politique industrielle à l'Europe pour que derrière le marché des éditeurs de logiciels et des fournisseurs arrivent à construire des offres EU first et du coup inciter finalement les administrations publiques et certaines entreprises à consommer ces offres-là. Donc derrière le CADA c'est aussi un engagement de moyens que l'Europe va essayer de mettre en place.
Speaker #1
En attendant tout ça, est-ce qu'il existe une meilleure solution cloud de confiance ?
Speaker #2
Non, je ne pense pas qu'on puisse dire qu'il y a une solution qui est vraiment universellement meilleure que les autres. Parce que chaque entreprise évolue dans un contexte qui est le sien. Il y a des entreprises qui vont avoir besoin de rapidité sur le marché, qui vont avoir besoin d'innovation et d'un accès à l'international. Il y en a d'autres qui vont être beaucoup plus sensibles sur la protection. de leurs données ou la protection de leurs brevets. Et d'autres, finalement, vont peut-être aussi choisir une stratégie un peu hybride avec un niveau de protection qui va être différent selon les processus et selon les applications. Donc finalement, le bon choix, c'est celui qui correspond au niveau de risque et de résilience qui est attendu par l'entreprise. Je pense qu'il y a un excès qui serait de dire il faut que tout soit hébergé sur le cloud de confiance et à l'inverse, dire que tout peut être sur le cloud public, c'est sans doute pas non plus... Une solution idéale. Donc finalement, la question qu'il faut que vous posiez à vos dirigeants, ce n'est pas quel est le meilleur cloud, mais c'est quel niveau de confiance on veut pour notre processus, pour notre application et in fine pour notre donnée.
Speaker #1
Vous venez de le montrer Delphine, c'est un sujet hyper stratégique pour les entreprises. prise aujourd'hui, mais ça peut aussi être un peu vertigineux de savoir par où commencer et comment s'y prendre pour examiner les possibilités qui s'offrent aux entreprises et organisations en matière de cloud de confiance et pour faire un choix éclairé et durable. Quels sont les principaux critères à regarder ? Quelles seraient les grandes étapes ?
Speaker #2
Alors, du coup, moi je commencerai par cinq questions simples à poser. Je commencerai par identifier les données et les applications qui sont concernées par le cloud. Ensuite, j'analyserai leur niveau de sensibilité et est-ce que je suis soumis à des obligations réglementaires ? Parce qu'on parle du clair d'acte, mais il y a aussi finalement un contexte réglementaire à analyser aussi au niveau de l'entreprise. Et est-ce que j'ai des obligations aussi contractuelles sur ce sujet-là ? Troisièmement, j'identifierai quels sont mes processus métiers qui sont portés par ces applications. Et surtout, la question qui est intéressante et qu'on a rarement l'habitude de se poser, c'est qu'est-ce qui se passe si je ne suis plus en mesure de les dérouler correctement ? Qu'est-ce qui se passe si l'application s'arrête et que du coup le processus, on ne peut plus aller jusqu'au bout ? Et enfin, je poserai la question à mon entreprise pour savoir quel niveau de résilience elle veut garantir. Il y a peut-être des sujets sur lesquels elle est OK pour dire que ce n'est pas très grave si pendant quelques mois je ne peux plus utiliser ce service-là. en mode dégradé. Et enfin, c'est quoi le niveau de dépendance qu'on est prêt à accepter d'un point de vue technologique, fournisseur ? Est-ce que je suis OK pour être finalement un peu pieds pour un lit avec mon fournisseur pendant une certaine durée ? Et derrière, c'est seulement ensuite qu'on sera en capacité de choisir une des offres de SAP sur le cloud. Parce que si on choisit avant d'avoir fait ce petit guide, soit on va se faire influencer par les offres marketing du fournisseur qui vont peut-être nous vendre des choses dont on n'a pas forcément besoin, ou alors ils vont nous convaincre finalement de nous passer de certains services alors même qu'il serait important d'en bénéficier.
Speaker #1
La réponse sur le cloud de confiance est à personnaliser à chaque organisation. Ce n'est pas parce que mon voisin soit-il dans le même secteur ou ayant-il la même taille d'entreprise. a fait tel choix qu'il est forcément bon pour moi. Ce que vous nous dites là, ça résonne aussi beaucoup avec une notion dont on entend beaucoup parler quand on dit cloud de confiance, c'est la notion de réversibilité. Et si on la pousse jusqu'au bout, c'est même le fameux kill switch, le mot qui fait peur. Pourquoi est-ce que c'est devenu essentiel aujourd'hui pour les organisations de conserver leur possibilité de réversibilité, c'est-à-dire un peu leur liberté de choix sur le long terme ?
Speaker #2
Le kill switch, c'est le scénario extrême. C'est une technologie, un service, un cloudeur devient soudainement, du jour au lendemain, inaccessible, que ce soit suite à une décision de justice ou alors à une décision d'un État. Ce scénario, jusqu'à présent, on disait qu'il était hautement improbable, mais en fait, on l'a vu, je vais dire qu'il devient réel, pas plus tard qu'au mois de juin, Anthropique qui doit arrêter de commercialiser ses deux modèles les plus puissants. Donc ça arrive. Il faut désormais, dans la stratégie cloud, répondre à la question comment j'entre, comment je vais contractualiser avec mon service de cloud, mais aussi il faut qu'on soit en capacité de répondre à la question de comment je sors.
Speaker #1
Comment je sors d'ailleurs de mon propre chef ou si c'est une sortie contrainte.
Speaker #2
Exactement. Là, on l'a vu, certains hyperscalers européens qui dupliquent des solutions technologiques américaines disent Merci. Non mais nous on est capable d'opérer pendant 6, 9, 12 mois. Donc ce qui fait que peut-être qu'on a maintenant une durée de projet de réversibilité un peu à cibler. Il faut qu'on soit capable de sortir en 6 à 9 mois. Ce qui est bien, ça nous donne un peu plus de temps. Mais néanmoins, si on ne l'a jamais fait et si on ne l'a pas prévu à l'avance, ça va être compliqué. Donc du coup, on encourage chacun à se poser ces questions-là au moment où on signe, de savoir comment on va récupérer les données et comment on va reconstruire un autre ERP sur un autre cloud. Et le tout de manière compatible avec l'activité. Parce que si le projet de migration dure 12 mois, Alors qu'au bout de 6 mois, il n'y a plus d'opération, ça veut dire que pendant 6 mois, vous n'avez plus de RP. Donc là aussi, il faut le prévoir, avoir les compétences pour le faire, il faut l'avoir testé. Il faut aussi que d'un point de vue contractuel, ça soit vérifié et possible. Et donc la réversibilité, c'est certes un sujet technique, mais pas que. C'est aussi un sujet de gouvernance et de continuité d'activité.
Speaker #1
D'autant plus dans un marché où tout évolue très très rapidement. On voit émerger des nouvelles offres tous les mois, quasiment, depuis fin 2025. Il y a des nouveaux partenariats, on en parlait tout à l'heure des nouvelles réglementations, on sait que tout ça n'est pas encore stabilisé. Quoi des entreprises doivent-elles s'attendre dans les prochaines années ?
Speaker #2
Alors, je n'ai pas encore la capacité à lire dans l'avenir, mais je vais essayer de répondre à cette question quand même. Moi, je pense que le paysage va continuer à évoluer. On le voit, le groupe de travail s'est créé fin d'année 2025. En six mois, finalement, les offres ont vraiment évolué avec des annonces, dans un premier temps, commerciales sur la disponibilité du contrat. On peut signer maintenant des contrats souverains avec SAP en France. Et demain, les offres vont être disponibles d'un point de vue technique aussi. Après, c'est vrai que ça représente quand même des investissements qui sont importants pour SAP. Donc ça prend aussi du temps pour développer une offre robuste. Ils ont aussi besoin d'avoir des signaux de leur base de clients pour savoir s'il y a de l'intérêt des entreprises françaises pour signer ce genre de contrat. Je pense qu'on a prouvé dans le cadre du groupe de travail qu'il y a vraiment un intérêt des entreprises en France sur les offres souveraines SAP. Donc ça va continuer à évoluer, les solutions vont devenir de plus en plus riches fonctionnellement. Ils commencent avec certains services et puis petit à petit ils vont rajouter d'autres services. Donc c'est vrai que ça devient aussi un peu compliqué parce qu'il y a plusieurs manières de faire du souverain sur SAP. Mais tout s'appelle SAP Solvering Cloud. Il faut aussi que les clients, maintenant, analysent vraiment dans le détail, sous cette dénomination commerciale, ce qui se cache derrière d'un point de vue technique et opérationnel. Je pense que le marché va mûrir. Je pense qu'il ne faut pas attendre que la solution parfaite soit disponible. Il faut y aller de manière progressive. On peut quand même commencer à classifier nos données, nos processus. On peut définir nos exigences. on peut le faire sans que l'offre soit totalement mature. Et puis oui, en effet, on parlait des textes qui vont arriver, donc on espère en effet une clarification au niveau européen, en tout cas sur la souveraineté et le CADA.
Speaker #1
Donc c'est réaliste de se dire que courant 2027, on y verra un peu plus clair, en tout cas ça paraît difficile d'y voir moins clair que maintenant.
Speaker #2
Courant 2027, oui, alors après c'est des processus qui peuvent être longs, donc 2027, 2028 je pense. La qualification SECNUM, c'est aussi des étapes qui s'enchaînent et qui peuvent durer plusieurs mois, voire années. Donc 27-28.
Speaker #1
Le groupe de travail cloud de confiance à l'USF a de beaux jours devant lui ?
Speaker #2
Oui, on sait déjà qu'il faudra qu'on mette à jour ce qu'on a écrit ou ce qu'on est en train d'écrire en 2026. On a prévu de le mettre à jour régulièrement en effet.
Speaker #1
Quels seront vos prochains livrables et travaux dans le cadre du groupe de travail ?
Speaker #2
J'en ai parlé à plusieurs reprises de ce fameux document. C'est une note de perspective qu'on a rédigée. Avec mes collègues, donc elle n'est pas encore publiée mais elle le sera très bientôt. Donc comme je le disais, on a vraiment une clarification des notions, une grille d'analyse pour permettre de faire le bon choix, de prendre la bonne décision. On a aussi dans le guide des questions assez concrètes à poser aux fournisseurs, que ce soit sur l'aspect juridique mais aussi sur l'aspect sécurité, en amont de la signature d'un contrat. On interviendra aussi en format groupe de travail lors de la Convention, la C26. Le thème de la C26 se prête particulièrement bien, puisque ce sera le sujet de la souveraineté européenne qui sera débattu en octobre.
Speaker #1
La C26, pour vous qui nous écoutez, c'est le petit nom de la Convention USF 2026. C'est l'événement annuel incontournable de la communauté utilisateur SAP francophone. Cette année, comme Delphine vient de le dire, ça sera le 14 et le 15 octobre à Strasbourg pour parler de souveraineté. Merci Delphine pour cet échange riche. Pour conclure, on retiendra surtout qu'il n'existe pas aujourd'hui de réponse unique à la question du cloud de confiance. Chaque organisation doit construire sa propre stratégie en fonction de ses activités, de ses risques, de ses ambitions et de l'état de son marché. Face à un sujet qui évolue en permanence, le plus important, ce n'est peut-être pas aujourd'hui de trouver la solution parfaite. mais surtout de se poser les bonnes questions et de se mettre en capacité de s'adapter aux évolutions sur un sujet qui, on l'a vu, va très vite et va continuer de bouger. Merci de nous avoir écoutés pour ce deuxième épisode de la série de podcasts proposée par l'USF, l'Association des utilisateurs SAP francophones. Si cette discussion vous a intéressé, n'hésitez pas à partager autour de vous et à suivre les prochains épisodes de Convergence. Le podcast de la communauté SAP francophone. A très bientôt.
Speaker #0
Convergence. Le podcast USF de la communauté SAP francophone.

Description

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Speaker #0
Convergence, le podcast USF de la communauté SAP francophone.
Speaker #1
Bonjour à toutes et à tous, bienvenue dans ce nouvel épisode de Convergence, le podcast de la communauté SAP francophone qui vous est proposé par l'USF. Après un premier épisode consacré à l'intelligence artificielle, nous poursuivons notre exploration des grands sujets qui transforment aujourd'hui les systèmes d'information des entreprises. Et cette fois, nous allons parler d'un sujet au cœur des préoccupations des utilisateurs SAP, mais qui reste parfois un peu difficile à décrypter, le cloud de confiance. Quand on entend cloud souverain, secnum cloud, hyperscaler, souveraineté numérique, qu'est-ce que ça veut dire ? Derrière ces termes se cachent en réalité des choix stratégiques qui concernent désormais toutes les organisations utilisant SAP. Comment s'y retrouver ? Existe-t-il une solution idéale ? Quels sont les critères de décision ? Et surtout, comment prendre aujourd'hui des décisions qui resteront pertinentes demain dans un contexte qui évolue très vite ? Pour en parler, j'ai le plaisir d'accueillir pour ce deuxième épisode Delphine Domecq. Bonjour Delphine.
Speaker #2
Bonjour Florianne.
Speaker #1
Delphine, vous êtes co-responsable du groupe de travail Cloud de Confiance de l'USF. C'est un groupe de travail qui a été créé il y a à peu près un an. En quoi ça consiste ?
Speaker #2
En effet, je co-anime au sein de l'USF le groupe de travail consacré au Cloud de Confiance avec Vincent Berezia, François Labrousse et Bernard Cotinot. Notre objectif, c'est vraiment de donner aux adhérents de l'USF des clés de lecture concrètes, indépendantes et pragmatiques sur le sujet du cloud de confiance. Notre objectif, ce n'est pas de faire un classement des meilleures solutions du marché ou de dire que telle ou telle solution est mauvaise, mais c'est vraiment d'aider chaque organisation à prendre la meilleure décision par rapport à ses activités, ses risques et ses contraintes.
Speaker #1
Alors Delphine, on va rentrer dans le cœur du sujet. Pendant longtemps, le cloud était perçu comme un élément essentiellement technique. Pourquoi est-ce qu'aujourd'hui, il est devenu un enjeu qui concerne directement la stratégie et la performance globale des entreprises ?
Speaker #2
C'est vrai que jusqu'à présent, tous les sujets cloud, c'était des sujets qui restaient au sein des DSI et c'était vu comme des sujets très techniques et les comex ne sont occupés pas vraiment. Aujourd'hui, le contexte géopolitique est devenu beaucoup plus instable, on le voit au quotidien. Il y a des décisions prises par un État qui peuvent avoir des conséquences sur l'activité des entreprises de manière très concrète. Et on a aussi le risque cyber qui augmente. Les réglementations se renforcent et les données sont devenues un vrai actif stratégique pour les entreprises. Donc aujourd'hui, on ne se demande plus est-ce que mon cloud est performant, scalable, sécurisé ? Mais en fait, on se demande aussi qui derrière a vraiment accès à mes données. Quelle juridiction le contrôle et comment je vais faire pour continuer si un scénario de rupture arrive. Pour les utilisateurs de SAP, puisque c'est ça qui nous intéresse à l'USF, la question devient aussi particulièrement d'actualité puisque SAP accélère sa transition vers le cloud. Jusqu'à présent, l'ERP était un petit peu en dehors puisqu'il y avait encore des possibilités de garder ces systèmes dans les data centers du client. Demain, ce ne sera plus possible. Et on le sait, l'ERP porte la majorité des processus vitaux des entreprises, que ce soit la comptabilité, les achats, la logistique, la maintenance, la paye parfois. Et donc le choix que l'entreprise va faire va finalement impacter directement la résilience de l'entreprise. Et donc ce n'est plus un choix d'infrastructure, mais c'est un vrai choix stratégique d'entreprise.
Speaker #1
Alors justement, quand on parle choix stratégique, on l'associe aussi très souvent à la notion de souveraineté numérique. Concrètement, ça signifie quoi la souveraineté numérique pour une entreprise utilisatrice de SAP ?
Speaker #2
La première idée, c'est que la souveraineté ne se résume pas à l'endroit où se trouve le data center. En effet, il faut regarder beaucoup plus de choses. Il faut regarder le droit auquel le fournisseur est soumis. Il faut regarder quelles sont les personnes qui administrent le système. Il faut regarder qui maîtrise les clés de chiffrement, l'ensemble de la chaîne de sous-traitance, les composants technologiques et la capacité à changer rapidement de solution en cas de besoin. Du coup, la souveraineté, elle ne se décrète pas. Pour nous, elle se construit, elle se pilote et elle se vérifie dans le temps. Et c'est aussi pour ça que dans le guide et dans le document qu'on va produire, on préfère parler plutôt de cloud de confiance.
Speaker #1
Sur ce terme de cloud de confiance, justement, il est de plus en plus utilisé en effet, mais j'ai quand même l'impression qu'il peut recouvrir des réalités très différentes aujourd'hui. C'est quoi les grands critères qui permettent de comprendre ce qui se cache derrière cette notion de cloud de confiance ?
Speaker #2
Alors c'est sûr qu'aujourd'hui le cloud de confiance est utilisé par toutes les entreprises qui fournissent des services cloud. Donc il n'y a pas de définition universelle de ce que c'est un cloud de confiance. On a tenté de l'éclairer avec différents piliers. Donc on en a quatre. Le premier, c'est un pilier juridique, c'est l'indépendance juridique. À quelle loi le fournisseur et ses partenaires sont soumis ? Le deuxième pilier, c'est autour de la maîtrise des données. Donc, où sont les données ? Qui les contrôle ? Qui a les clés qui permettent d'y accéder, etc. Le troisième pilier concerne la maîtrise opérationnelle. Donc là, on parle de l'opération, donc l'administration, quelle est la nationalité des personnes qui interviennent en cas d'incident ou qui va décider de la roadmap. d'évolution de la plateforme. Et enfin, le quatrième pilier, c'est l'indépendance technologique. Et celui-ci, il est vraiment très compliqué, car en Europe, aujourd'hui, on a un retard technologique. Donc aucun fournisseur européen ne maîtrise l'ensemble des composants de la chaîne de valeur. Ce qui fait que tous ces piliers combinés, ça nous donne un taux de confiance vis-à-vis de notre fournisseur. Et c'est ça qu'on a essayé d'expliciter dans le guide. C'est une espèce d'évaluation, une combinaison de ces différents critères qui fait qu'à la fin, on peut dire si oui ou non, on fait confiance à notre fournisseur.
Speaker #1
En France, on a parfois l'impression que Secnum Cloud, c'est un peu l'alpha et l'oméga du cloud de confiance de demain avec une super réglementation qui serait finalement le seul critère à prendre en compte. Vous qui travaillez de près sur ce sujet, qu'est-ce que vous en pensez ?
Speaker #2
C'est vrai que CECNUM, c'est une référence extrêmement importante en France. Cette qualification apporte un haut niveau d'exigence en matière de sécurité, en matière d'organisation, de contrôle et d'exploitation des services. Pour de nombreuses activités sensibles, c'est un point de passage extrêmement structurant qui permet de réduire la surface des risques. Il faut bien vérifier quel est le périmètre de qualification des services. C'est important de savoir si c'est les couches basses, ou l'ensemble de la chaîne jusqu'aux couches applicatives dans la qualification. Et c'est vrai que c'est une brique majeure de la confiance, mais par contre la décision finale du choix du cloudeur doit toujours s'appuyer sur une analyse des risques propres à l'organisation et notamment des risques juridiques.
Speaker #1
Il y a, je crois d'ailleurs, des échanges en cours avec l'ANSI, avec le ministère des Affaires étrangères, mais on est sur des dimensions sur lesquelles on est encore en attente d'un alignement au niveau européen, vous me le confirmez.
Speaker #2
Oui, il n'y a pas d'alignement européen aujourd'hui. Ça fait des années que les discussions ont lieu à la Commission européenne. La dernière fois, ils n'ont pas réussi à aboutir à un alignement européen, notamment sur le niveau le plus haut de la qualification EUCS, European Cloud Sovereign. Les travaux continuent et vont reprendre en 2026. Ils vont aussi être complétés d'un autre règlement autour du CADA, Cloud and AI Data Act. qui lui va en fait essayer de donner une vision presque stratégie politique industrielle à l'Europe pour que derrière le marché des éditeurs de logiciels et des fournisseurs arrivent à construire des offres EU first et du coup inciter finalement les administrations publiques et certaines entreprises à consommer ces offres-là. Donc derrière le CADA c'est aussi un engagement de moyens que l'Europe va essayer de mettre en place.
Speaker #1
En attendant tout ça, est-ce qu'il existe une meilleure solution cloud de confiance ?
Speaker #2
Non, je ne pense pas qu'on puisse dire qu'il y a une solution qui est vraiment universellement meilleure que les autres. Parce que chaque entreprise évolue dans un contexte qui est le sien. Il y a des entreprises qui vont avoir besoin de rapidité sur le marché, qui vont avoir besoin d'innovation et d'un accès à l'international. Il y en a d'autres qui vont être beaucoup plus sensibles sur la protection. de leurs données ou la protection de leurs brevets. Et d'autres, finalement, vont peut-être aussi choisir une stratégie un peu hybride avec un niveau de protection qui va être différent selon les processus et selon les applications. Donc finalement, le bon choix, c'est celui qui correspond au niveau de risque et de résilience qui est attendu par l'entreprise. Je pense qu'il y a un excès qui serait de dire il faut que tout soit hébergé sur le cloud de confiance et à l'inverse, dire que tout peut être sur le cloud public, c'est sans doute pas non plus... Une solution idéale. Donc finalement, la question qu'il faut que vous posiez à vos dirigeants, ce n'est pas quel est le meilleur cloud, mais c'est quel niveau de confiance on veut pour notre processus, pour notre application et in fine pour notre donnée.
Speaker #1
Vous venez de le montrer Delphine, c'est un sujet hyper stratégique pour les entreprises. prise aujourd'hui, mais ça peut aussi être un peu vertigineux de savoir par où commencer et comment s'y prendre pour examiner les possibilités qui s'offrent aux entreprises et organisations en matière de cloud de confiance et pour faire un choix éclairé et durable. Quels sont les principaux critères à regarder ? Quelles seraient les grandes étapes ?
Speaker #2
Alors, du coup, moi je commencerai par cinq questions simples à poser. Je commencerai par identifier les données et les applications qui sont concernées par le cloud. Ensuite, j'analyserai leur niveau de sensibilité et est-ce que je suis soumis à des obligations réglementaires ? Parce qu'on parle du clair d'acte, mais il y a aussi finalement un contexte réglementaire à analyser aussi au niveau de l'entreprise. Et est-ce que j'ai des obligations aussi contractuelles sur ce sujet-là ? Troisièmement, j'identifierai quels sont mes processus métiers qui sont portés par ces applications. Et surtout, la question qui est intéressante et qu'on a rarement l'habitude de se poser, c'est qu'est-ce qui se passe si je ne suis plus en mesure de les dérouler correctement ? Qu'est-ce qui se passe si l'application s'arrête et que du coup le processus, on ne peut plus aller jusqu'au bout ? Et enfin, je poserai la question à mon entreprise pour savoir quel niveau de résilience elle veut garantir. Il y a peut-être des sujets sur lesquels elle est OK pour dire que ce n'est pas très grave si pendant quelques mois je ne peux plus utiliser ce service-là. en mode dégradé. Et enfin, c'est quoi le niveau de dépendance qu'on est prêt à accepter d'un point de vue technologique, fournisseur ? Est-ce que je suis OK pour être finalement un peu pieds pour un lit avec mon fournisseur pendant une certaine durée ? Et derrière, c'est seulement ensuite qu'on sera en capacité de choisir une des offres de SAP sur le cloud. Parce que si on choisit avant d'avoir fait ce petit guide, soit on va se faire influencer par les offres marketing du fournisseur qui vont peut-être nous vendre des choses dont on n'a pas forcément besoin, ou alors ils vont nous convaincre finalement de nous passer de certains services alors même qu'il serait important d'en bénéficier.
Speaker #1
La réponse sur le cloud de confiance est à personnaliser à chaque organisation. Ce n'est pas parce que mon voisin soit-il dans le même secteur ou ayant-il la même taille d'entreprise. a fait tel choix qu'il est forcément bon pour moi. Ce que vous nous dites là, ça résonne aussi beaucoup avec une notion dont on entend beaucoup parler quand on dit cloud de confiance, c'est la notion de réversibilité. Et si on la pousse jusqu'au bout, c'est même le fameux kill switch, le mot qui fait peur. Pourquoi est-ce que c'est devenu essentiel aujourd'hui pour les organisations de conserver leur possibilité de réversibilité, c'est-à-dire un peu leur liberté de choix sur le long terme ?
Speaker #2
Le kill switch, c'est le scénario extrême. C'est une technologie, un service, un cloudeur devient soudainement, du jour au lendemain, inaccessible, que ce soit suite à une décision de justice ou alors à une décision d'un État. Ce scénario, jusqu'à présent, on disait qu'il était hautement improbable, mais en fait, on l'a vu, je vais dire qu'il devient réel, pas plus tard qu'au mois de juin, Anthropique qui doit arrêter de commercialiser ses deux modèles les plus puissants. Donc ça arrive. Il faut désormais, dans la stratégie cloud, répondre à la question comment j'entre, comment je vais contractualiser avec mon service de cloud, mais aussi il faut qu'on soit en capacité de répondre à la question de comment je sors.
Speaker #1
Comment je sors d'ailleurs de mon propre chef ou si c'est une sortie contrainte.
Speaker #2
Exactement. Là, on l'a vu, certains hyperscalers européens qui dupliquent des solutions technologiques américaines disent Merci. Non mais nous on est capable d'opérer pendant 6, 9, 12 mois. Donc ce qui fait que peut-être qu'on a maintenant une durée de projet de réversibilité un peu à cibler. Il faut qu'on soit capable de sortir en 6 à 9 mois. Ce qui est bien, ça nous donne un peu plus de temps. Mais néanmoins, si on ne l'a jamais fait et si on ne l'a pas prévu à l'avance, ça va être compliqué. Donc du coup, on encourage chacun à se poser ces questions-là au moment où on signe, de savoir comment on va récupérer les données et comment on va reconstruire un autre ERP sur un autre cloud. Et le tout de manière compatible avec l'activité. Parce que si le projet de migration dure 12 mois, Alors qu'au bout de 6 mois, il n'y a plus d'opération, ça veut dire que pendant 6 mois, vous n'avez plus de RP. Donc là aussi, il faut le prévoir, avoir les compétences pour le faire, il faut l'avoir testé. Il faut aussi que d'un point de vue contractuel, ça soit vérifié et possible. Et donc la réversibilité, c'est certes un sujet technique, mais pas que. C'est aussi un sujet de gouvernance et de continuité d'activité.
Speaker #1
D'autant plus dans un marché où tout évolue très très rapidement. On voit émerger des nouvelles offres tous les mois, quasiment, depuis fin 2025. Il y a des nouveaux partenariats, on en parlait tout à l'heure des nouvelles réglementations, on sait que tout ça n'est pas encore stabilisé. Quoi des entreprises doivent-elles s'attendre dans les prochaines années ?
Speaker #2
Alors, je n'ai pas encore la capacité à lire dans l'avenir, mais je vais essayer de répondre à cette question quand même. Moi, je pense que le paysage va continuer à évoluer. On le voit, le groupe de travail s'est créé fin d'année 2025. En six mois, finalement, les offres ont vraiment évolué avec des annonces, dans un premier temps, commerciales sur la disponibilité du contrat. On peut signer maintenant des contrats souverains avec SAP en France. Et demain, les offres vont être disponibles d'un point de vue technique aussi. Après, c'est vrai que ça représente quand même des investissements qui sont importants pour SAP. Donc ça prend aussi du temps pour développer une offre robuste. Ils ont aussi besoin d'avoir des signaux de leur base de clients pour savoir s'il y a de l'intérêt des entreprises françaises pour signer ce genre de contrat. Je pense qu'on a prouvé dans le cadre du groupe de travail qu'il y a vraiment un intérêt des entreprises en France sur les offres souveraines SAP. Donc ça va continuer à évoluer, les solutions vont devenir de plus en plus riches fonctionnellement. Ils commencent avec certains services et puis petit à petit ils vont rajouter d'autres services. Donc c'est vrai que ça devient aussi un peu compliqué parce qu'il y a plusieurs manières de faire du souverain sur SAP. Mais tout s'appelle SAP Solvering Cloud. Il faut aussi que les clients, maintenant, analysent vraiment dans le détail, sous cette dénomination commerciale, ce qui se cache derrière d'un point de vue technique et opérationnel. Je pense que le marché va mûrir. Je pense qu'il ne faut pas attendre que la solution parfaite soit disponible. Il faut y aller de manière progressive. On peut quand même commencer à classifier nos données, nos processus. On peut définir nos exigences. on peut le faire sans que l'offre soit totalement mature. Et puis oui, en effet, on parlait des textes qui vont arriver, donc on espère en effet une clarification au niveau européen, en tout cas sur la souveraineté et le CADA.
Speaker #1
Donc c'est réaliste de se dire que courant 2027, on y verra un peu plus clair, en tout cas ça paraît difficile d'y voir moins clair que maintenant.
Speaker #2
Courant 2027, oui, alors après c'est des processus qui peuvent être longs, donc 2027, 2028 je pense. La qualification SECNUM, c'est aussi des étapes qui s'enchaînent et qui peuvent durer plusieurs mois, voire années. Donc 27-28.
Speaker #1
Le groupe de travail cloud de confiance à l'USF a de beaux jours devant lui ?
Speaker #2
Oui, on sait déjà qu'il faudra qu'on mette à jour ce qu'on a écrit ou ce qu'on est en train d'écrire en 2026. On a prévu de le mettre à jour régulièrement en effet.
Speaker #1
Quels seront vos prochains livrables et travaux dans le cadre du groupe de travail ?
Speaker #2
J'en ai parlé à plusieurs reprises de ce fameux document. C'est une note de perspective qu'on a rédigée. Avec mes collègues, donc elle n'est pas encore publiée mais elle le sera très bientôt. Donc comme je le disais, on a vraiment une clarification des notions, une grille d'analyse pour permettre de faire le bon choix, de prendre la bonne décision. On a aussi dans le guide des questions assez concrètes à poser aux fournisseurs, que ce soit sur l'aspect juridique mais aussi sur l'aspect sécurité, en amont de la signature d'un contrat. On interviendra aussi en format groupe de travail lors de la Convention, la C26. Le thème de la C26 se prête particulièrement bien, puisque ce sera le sujet de la souveraineté européenne qui sera débattu en octobre.
Speaker #1
La C26, pour vous qui nous écoutez, c'est le petit nom de la Convention USF 2026. C'est l'événement annuel incontournable de la communauté utilisateur SAP francophone. Cette année, comme Delphine vient de le dire, ça sera le 14 et le 15 octobre à Strasbourg pour parler de souveraineté. Merci Delphine pour cet échange riche. Pour conclure, on retiendra surtout qu'il n'existe pas aujourd'hui de réponse unique à la question du cloud de confiance. Chaque organisation doit construire sa propre stratégie en fonction de ses activités, de ses risques, de ses ambitions et de l'état de son marché. Face à un sujet qui évolue en permanence, le plus important, ce n'est peut-être pas aujourd'hui de trouver la solution parfaite. mais surtout de se poser les bonnes questions et de se mettre en capacité de s'adapter aux évolutions sur un sujet qui, on l'a vu, va très vite et va continuer de bouger. Merci de nous avoir écoutés pour ce deuxième épisode de la série de podcasts proposée par l'USF, l'Association des utilisateurs SAP francophones. Si cette discussion vous a intéressé, n'hésitez pas à partager autour de vous et à suivre les prochains épisodes de Convergence. Le podcast de la communauté SAP francophone. A très bientôt.
Speaker #0
Convergence. Le podcast USF de la communauté SAP francophone.

Embed