Bien saisir les métriques de licence chez les fournisseurs suisses

Pourquoi la métrique de licence détermine les coûts et les risques

Ce guide montre comment les entreprises saisissent correctement les métriques de licence auprès des fournisseurs suisses : du choix de la métrique (Cores/User) à l'inventaire, en passant par les rôles, l'automatisation, les outils et le stockage des données, jusqu'aux preuves d'audit.

Trois points de référence suisses sont concrètement identifiables : InvestGlass en tant que plateforme pour un CRM souverain, ADVANIS en tant que partenaire SAP Gold de longue date et l'OFT (Office fédéral de l'informatique et de la télécommunication) en tant que prestataire de services informatiques de la Confédération. Ils incarnent trois rôles : plateforme logicielle, conseil en licences et prestation informatique publique.

ADVANIS agit en tant que partenaire SAP et conseiller en licences, non pas en tant que fabricant de logiciels propres. Les grandeurs pertinentes pour le calcul proviennent du modèle de licence SAP, qu'ADVANIS adapte pour ses clients suisses.

Les rôles sont ainsi distincts : ADVANIS est partenaire et conseillère en licences, l'OFT est prestataire de services informatiques de la Confédération, InvestGlass est fournisseur de plateforme. Aucune de ces trois entités ne fournit sa propre métrique de licence.

Tous les fournisseurs ne publient pas leur métrique. Lorsque cette indication fait défaut, elle doit être obtenue par écrit auprès du fournisseur ou du partenaire avant la saisie et consignée dans le contrat. Sans cette indication, il est impossible de justifier un volume de licences.

Chez InvestGlass, la métrique doit être déterminée contractuellement ; le lieu d'hébergement suisse est attesté. L'OFT n'utilise pas de métrique de licence : ses quelque 50 000 postes de travail et plus de 1000 applications métier servent d'ordre de grandeur pour l'inventaire.

Sont nommément cités le partenaire SAP suisse ADVANIS et la plateforme InvestGlass pour un CRM souverain. L'OFT est le plus grand prestataire de services informatiques de l'administration fédérale ; il met à disposition environ 50 000 postes de travail et exploite plus de 1000 applications métier, principalement dans ses propres centres de données modernes.

Chez les fournisseurs suisses et leurs partenaires, la métrique contractuelle fait foi. ADVANIS mentionne le nombre d'utilisateurs ou le volume de données comme base de calcul possible pour les licences SAP.

La métrique définie dans le contrat de licence détermine quelles grandeurs sont mesurées. Le choix se porte sur les Cores (cœurs de processeur) ou les Users (utilisateurs ou comptes) ; une même installation entraîne, selon la métrique, des volumes de licences et des coûts différents.

Une saisie lacunaire n'est pas sans conséquences. En Suisse, le blanchiment d'argent, la corruption et les violations du droit des cartels figurent parmi les délits économiques les plus fréquents ; ils peuvent entraîner des amendes, des sanctions juridiques allant jusqu'à une perte durable de réputation.

Les métriques de licence ne relèvent pas de ces délits, mais le mécanisme est identique. Une métrique basée sur des données incomplètes n'est généralement détectée que lors d'un audit – avec alors des demandes de régularisation et une atteinte à la réputation qui dépasse le montant des licences.

Dans le quotidien des achats, les licences passent par des partenaires, des revendeurs ou des contrats-cadres ; la base justificative se trouve souvent à différents endroits. Sans méthode de comptage commune, il est impossible de rapprocher les chiffres d'achat, les inventaires techniques et l'utilisation réelle – chaque service travaille avec un chiffre différent.

Les grands éditeurs de logiciels comme Oracle, Microsoft et SAP utilisent chacun leurs propres métriques de licence. Au sein d'une même entreprise, elles se croisent : le département marketing utilise une suite Adobe avec des licences par utilisateur, l'informatique exploite des logiciels serveur de Microsoft, s'y ajoutent des services cloud facturés au volume de données ou aux transactions.

Celui qui ignore la métrique de son logiciel risque une sur-licenciement et donc des coûts de licence trop élevés ou des problèmes juridiques si les conditions de licence ne sont pas respectées.

Pour le choix du fournisseur, ADVANIS cite : un conseil neutre et indépendant, un partenariat SAP Gold de longue date ainsi que le choix des bonnes licences SAP en quantité adéquate, avec la meilleure durée et au prix optimal. Cela permet de comparer les modèles de licence face à des alternatives.

Avant toute saisie, trois indications doivent être consignées pour chaque application : fournisseur ou partenaire, métrique contractuelle et durée. Si l'une de ces indications manque, le volume de licences ne peut être justifié.

Cores ou Users : la méthode de comptage façonne la logique de saisie

La métrique Cores exige des données matérielles : nombre et type de cœurs de processeur par serveur ainsi que des informations sur les environnements virtuels, les clusters et les réserves pour la haute disponibilité. La saisie s'effectue au niveau des serveurs et des centres de données, non pas des personnes ; chaque renouvellement matériel modifie le besoin en licences et doit être mis à jour dans l'inventaire matériel.

La métrique Users exige des données d'identité : utilisateurs nommés, comptes et leur attribution à des personnes ou des rôles. Les sources sont les annuaires du personnel, les services d'annuaire, les comptes de partenaires externes ainsi que les comptes de fonction et de service ; le groupe d'utilisateurs défini contractuellement fait foi, et non le nombre de postes de travail.

Les solutions partenaires en dehors du runtime NetWeaver de SAP constituent un cas particulier : celui qui n'évalue que le runtime principal et en déduit la déclaration de licence ne saisit pas ces composants. Pour la logique de saisie, l'environnement d'exécution doit être documenté pour chaque application, afin de décider si elle entre dans le comptage principal.

Selon le fournisseur, l'unité diffère : Microsoft Office 365 et Adobe Creative Cloud sont licenciés par utilisateur, les systèmes d'exploitation ainsi que les logiciels de sécurité et antivirus par appareil, Microsoft SQL Server par processeur, Oracle Database par Core, SAP HANA par instance. Les services cloud sont facturés au volume de données ou aux transactions.

Les fournisseurs suisses suivent la même logique : l'unité pertinente figure dans le contrat. ADVANIS cite pour SAP le nombre d'utilisateurs ou le volume de données ; chez InvestGlass, l'unité doit être déterminée contractuellement.

Les unités peuvent être nommées : Par utilisateur (User), Par appareil (Device), Par processeur (Processor), Par cœur (Core), Par instance (Instance) et Par transaction (Transaction). NUP, Core et d'autres unités coexistent dans la jungle des métriques de licence.

L'unité définie dans le contrat fait foi. Elle est documentée pour chaque application et accompagnée à chaque demande de licence.

Le partenaire SAP suisse ADVANIS désigne comme leviers du modèle de licence SAP diverses métriques d'utilisation telles que le nombre d'utilisateurs ou le volume de données, différentes licences utilisateur selon l'étendue et la fréquence d'utilisation, des éditions avec des fonctionnalités variées, des modules complémentaires optionnels ainsi que différents modèles pour le cloud public et privé.

ADVANIS est partenaire, non fabricant : les métriques proviennent du modèle de licence SAP et sont adaptées pour les clients suisses. L'interlocuteur contractuel pour les clients suisses reste ADVANIS.

ADVANIS distingue les licences utilisateur selon l'étendue et la fréquence d'utilisation. Le nombre d'utilisateurs et le volume de données ne sont pas des nombres d'appareils ; ils ne peuvent être déduits du parc de postes de travail.

SAP propose ses produits en SaaS ; ce qui est réellement utilisé est payé. La durée et un éventuel ramp-up font donc partie de la saisie, car les durées varient.

Le choix de la métrique détermine quel événement déclenche des coûts : pour les Cores, un changement matériel ; pour les Users, l'arrivée ou le départ d'une personne ou l'attribution d'un compte. La saisie doit être couplée à ces événements, et non à un recensement annuel.

Deux flux de données distincts sont saisis : les données matérielles pour les Cores et les données d'identité pour les Users. Ils ne sont fusionnés que pour la déclaration.

Pour SAP Sales and Service Core, ADVANIS demande le nombre d'utilisateurs, le nombre d'utilisateurs administrateurs, une durée de 12 à 60 mois ainsi que les modules complémentaires et options. Ainsi, la métrique SAP suisse est concrète : volumes d'utilisateurs et de données, durée, éditions et modèle cloud.

Pour le choix d'un fournisseur ou d'un modèle de licence, ADVANIS cite : un conseil neutre et indépendant, un partenariat SAP Gold de longue date ainsi que le choix des bonnes licences SAP en quantité adéquate, avec la meilleure durée et au prix optimal. Cela permet de tester un modèle face à des alternatives.

Chez les fournisseurs de logiciels suisses et leurs partenaires, l'unité contractuelle reste déterminante. ADVANIS cite le nombre d'utilisateurs ou le volume de données.

Pour la comparaison des modèles de licence, les unités comptent : Par utilisateur, Par appareil, Par processeur, Par cœur, Par instance et Par transaction. Elles déterminent quelles données doivent être collectées.

Une comparaison de plusieurs fournisseurs suisses suppose que chacun nomme sa métrique. Si l'indication fait défaut, la collecte reste liée à l'unité contractuelle.

Applications, postes de travail et groupes d'utilisateurs comme base

Le prestataire de services informatiques de la Confédération sert d'ordre de grandeur pour un inventaire fiable : l'Office fédéral de l'informatique et de la télécommunication (OFT) met à disposition environ 50 000 postes de travail et exploite plus de 1000 applications métier, principalement dans ses propres centres de données modernes. Environ 1700 collaborateurs soutiennent l'administration fédérale dans tous les domaines informatiques.

L'OFT est prestataire de services informatiques de la Confédération, non fournisseur de logiciels. Ses chiffres fournissent l'ordre de grandeur pour les postes de travail et les applications métier, pas une métrique de licence.

Avec cet ordre de grandeur, une métrique de licence ne peut plus être déterminée de manière fiable sans inventaire structuré. Un tel inventaire se compose d'au moins trois listes interconnectées.

La liste des applications indique pour chaque application métier le nom, l'environnement d'exécution, l'exploitant et le lieu d'hébergement. La liste des postes de travail répertorie les appareils et les installations et sert de contre-vérification au comptage des utilisateurs.

La liste des applications inclut la voie d'acquisition : licence directe, partenaire, revendeur ou contrat-cadre. Elle détermine auprès de quelle instance la métrique contractuelle doit être demandée.

La liste des groupes d'utilisateurs distingue les collaborateurs internes, les partenaires externes ainsi que les comptes de fonction et de service, car ces groupes comptent différemment selon le contrat. L'avantage réside dans le rapprochement : si les applications, les appareils et les groupes d'utilisateurs se réfèrent les uns aux autres, on peut montrer si une application métier est utilisée sur un poste de travail qui n'apparaît dans aucun annuaire d'utilisateurs.

Pour les solutions SAP, la métrique d'utilisation facturée doit être tenue pour chaque application, par exemple le nombre d'utilisateurs ou le volume de données. Le nombre d'utilisateurs et le nombre d'utilisateurs administrateurs sont indiqués séparément, car ces deux grandeurs entrent dans la demande de licence.

Il est également possible de clarifier si une application s'exécute en dehors de l'environnement d'exécution principal et doit donc être comptée séparément. Trois listes sont contraignantes : applications, postes de travail et groupes d'utilisateurs. Chaque ligne renvoie aux autres listes, afin qu'aucune entrée ne reste isolée.

Trois indications sont obligatoires par application : fournisseur ou partenaire, environnement d'exécution et métrique contractuelle. Ce n'est qu'avec ces trois éléments que le volume de licences d'une application métier peut être déduit.

Pour SAP Sales and Service Core, ADVANIS mentionne pour les demandes de licence des indications sur le nombre d'utilisateurs, le nombre d'utilisateurs administrateurs, la durée ainsi que les modules complémentaires et options. Ces indications sont rapprochées de la liste des applications et de la liste des groupes d'utilisateurs.

InvestGlass est une plateforme pour un CRM souverain et peut être hébergée en Suisse. Le lieu d'hébergement appartient donc à la liste des applications.

Pour les plateformes comme InvestGlass, le lieu d'hébergement figure dans la liste des applications ; la métrique de licence doit être clarifiée dans le contrat.

Ordre de grandeur de l'OFT en tant que prestataire de services informatiques

Qui saisit quoi : rôles, directives et points de contrôle

Les éléments clés d'un programme de conformité incluent des directives et procédures claires avec des règles de comportement spécifiques ainsi que des procédures d'évaluation et de réduction des risques. Le responsable de la conformité est directement subordonné à la direction générale.

Pour les métriques de licence, une instruction de procédure écrite est nécessaire. Elle fixe quelle métrique s'applique, qui extrait les données, à quel rythme, avec quel outil et comment les écarts sont escaladés.

L'instruction de procédure nomme la métrique elle-même. Pour les métriques User, elle vérifie les comptes ; pour les Cores, le matériel ; l'action de contrôle suit la métrique.

Le Code des obligations suisse définit les responsabilités de la direction et exige des mécanismes de contrôle ; pour la saisie des métriques, une personne responsable nommée avec pouvoir de décision est nécessaire. Elle sépare la mesure et l'approbation de la déclaration de licence et prévoit des contrôles par sondage, au lieu de se fier à une seule livraison de chiffres.

Les points de contrôle pratiques sont la comparaison du volume déclaré avec le dernier inventaire, la vérification des nouvelles entrées et des départs ainsi que le contrôle des cas particuliers comme les systèmes de test et les comptes de service. Des réglementations internationales comme le Foreign Corrupt Practices Act américain et le Règlement général sur la protection des données européen influencent les exigences des entreprises suisses actives à l'international. Il en découle pour la saisie des métriques de licence : les procédures de collecte doivent être réglementées par écrit, traçables et vérifiables.

Le cadre juridique suisse pour la conformité comprend des dispositions nationales et des accords internationaux. Pour les entreprises suisses actives à l'international, le FCPA et le RGPD exigent le respect des normes suisses et internationales. Cela nécessite une révision et une adaptation des programmes de conformité. Le paysage juridique complexe exige une surveillance constante et une adaptation flexible des structures de conformité.

Pour les solutions SAP, le rôle d'évaluation fournit préalablement des indications sur le nombre d'utilisateurs, le nombre d'utilisateurs administrateurs, la durée et les modules complémentaires souhaités ; l'approbation vérifie ces indications par rapport à l'inventaire. Ainsi, le nombre d'utilisateurs administrateurs reste séparé du nombre des autres utilisateurs.

Trois rôles sont séparés : propriétaire des données, évaluation et approbation. Le cadre est donné par le responsable de la conformité et la direction générale selon le Code des obligations.

Les questions ouvertes sur les métriques sont clarifiées par l'instance propriétaire des données directement avec le fournisseur ou le partenaire, et la réponse est consignée par écrit. L'approbation vérifie si la réponse correspond à la situation de l'inventaire.

Pour les solutions SAP, ADVANIS est l'interlocuteur contractuel pour les informations sur les métriques. Pour les plateformes comme InvestGlass, le lieu d'hébergement est l'information complémentaire déterminante.

Pour les plateformes avec hébergement suisse comme InvestGlass, le lieu d'hébergement est un point de contrôle spécifique. Il détermine quelle instance extrait les données d'utilisation et où elles se trouvent.

Les conditions contractuelles incluent la durée, les modules complémentaires, les options et le volume de licences.

Saisir automatiquement et surveiller en continu

InvestGlass est une plateforme pour un CRM souverain. L'automatisation de l'onboarding, du KYC et de la surveillance réduit les erreurs manuelles, accélère les vérifications et facilite les audits réguliers et les inspections par les autorités de surveillance.

Pour les métriques de licence, la même relation s'applique : les collectes récurrentes basées sur des règles créent moins de lacunes que les tableaux entretenus manuellement. L'outil est différent, la logique est transférable.

Trois points peuvent être automatisés. L'inventaire des serveurs et des postes de travail s'effectue via des agents de découverte plutôt que par des enquêtes.

L'attribution des comptes aux groupes d'utilisateurs s'effectue par rapprochement avec le service d'annuaire plutôt que par des listes. La déclaration résulte d'une évaluation récurrente selon des règles fixes plutôt que d'une action ponctuelle annuelle.

Le service d'annuaire distingue les collaborateurs internes, les partenaires externes ainsi que les comptes de fonction et de service. Pour les demandes de licence, le nombre d'utilisateurs et le nombre d'utilisateurs administrateurs doivent être indiqués séparément.

Le gain de contrôle réside dans la répétabilité : si la même évaluation est exécutée mensuellement avec les mêmes règles, tout écart par rapport au mois précédent indique un changement de stock – une nouvelle installation, un utilisateur parti, un nouveau serveur. Des seuils peuvent ainsi être définis de sorte qu'une déclaration ou une approbation soit déclenchée avant que le seuil contractuel ne soit dépassé.

Dans les modèles SaaS comme les produits de SAP, le volume d'utilisation change continuellement, car seul ce qui est utilisé est payé. Une évaluation récurrente maintient cette dynamique visible, sans qu'une action ponctuelle annuelle ne soit nécessaire.

L'automatisation ne crée pas de métrique. Elle maintient à jour l'unité convenue contractuellement, même si un fournisseur ne nomme pas sa propre métrique.

Les outils utilisés sont des agents de découverte pour le matériel, le service d'annuaire pour les comptes et une évaluation récurrente pour la déclaration. Ils remplacent les enquêtes manuelles et les actions ponctuelles annuelles.

Un cadre structuré composé d'évaluation des risques, de directives, de technologie et de surveillance continue répond aux normes internationales de conformité. Pour la saisie des métriques de licence, cela signifie : les règles, les outils et les responsabilités doivent être coordonnés.

Chez les fournisseurs de logiciels suisses, la logique reste la même : agents de découverte, service d'annuaire et évaluation récurrente remplacent les enquêtes manuelles. ADVANIS exige pour SAP Sales and Service Core le nombre d'utilisateurs, le nombre d'utilisateurs administrateurs, la durée et les modules complémentaires.

Où se trouvent les données d'utilisation : hébergement suisse et transmission

Les données d'utilisation et de télémétrie sont générées là où l'application est exploitée. L'OFT exploite plus de 1000 applications métier, principalement dans ses propres centres de données modernes.

Avec le Swiss Government Cloud (SGC), une nouvelle infrastructure cloud adaptée aux exigences de la Confédération doit voir le jour au sein de l'OFT ; la réalisation est prévue pour 2025 à 2032. Ceux qui utilisent des outils de saisie doivent clarifier s'ils fonctionnent dans leur propre centre de données, dans un cloud suisse ou chez le fournisseur du logiciel sous licence.

La souveraineté des données suisse et l'hébergement sur place ou dans un cloud suisse peuvent aider les entreprises réglementées utilisant des plateformes comme InvestGlass à dissiper les inquiétudes concernant le transfert transfrontalier de données. Pour la saisie des métriques, cela est pertinent car les données de licence contiennent régulièrement des noms d'utilisateurs et des identifiants d'appareils et peuvent donc constituer des données personnelles.

Pour les transmissions vers les États-Unis, l'ordonnance sur la protection des données modifiée s'applique depuis le 15 septembre 2024. Le Conseil fédéral a décidé le 14 août 2024 d'inscrire les États-Unis, dans la mesure du Swiss-U.S. Data Privacy Framework, sur la liste des pays offrant un niveau de protection des données adéquat.

La certification des entreprises américaines et une nouvelle juridiction américaine en matière de protection des données permettent de transmettre des données personnelles de la Suisse vers des entreprises certifiées aux États-Unis sans garanties supplémentaires. Les destinataires non certifiés ne sont pas concernés ; le statut de certification du destinataire doit donc être vérifié avant la transmission.

SAP propose ses produits en SaaS ; les données d'utilisation et de télémétrie sont alors générées chez le fournisseur. Ainsi, le lieu d'évaluation se déplace du propre centre de données vers le fournisseur, ce qui doit être clarifié avant l'utilisation de l'outil de saisie.

Pour le stockage des données de saisie des métriques, le lieu d'évaluation doit être fixé contractuellement et techniquement. Il se situe dans le propre centre de données, dans un cloud suisse ou chez l'éditeur de logiciels.

Le lieu d'évaluation détermine également quelle instance fournit les données brutes pour la déclaration de licence : l'informatique interne, un cloud suisse ou l'éditeur de logiciels.

Pour la saisie des métriques, la LPD suisse et l'ordonnance sur la protection des données sont déterminantes. L'ordonnance sur la protection des données a été modifiée au 15 septembre 2024 ; le Conseil fédéral a inscrit les États-Unis, dans la mesure du Swiss-U.S. Data Privacy Framework, sur la liste des pays offrant un niveau de protection des données adéquat le 14 août 2024.

Pour les plateformes comme InvestGlass, le lieu d'hébergement suisse détermine où les données d'utilisation sont générées. L'OFT exploite ses applications métier principalement dans ses propres centres de données.

Les données de licence contiennent régulièrement des noms d'utilisateurs et des identifiants d'appareils et sont donc des données personnelles. Le lieu d'évaluation doit donc également être fixé du point de vue de la protection des données.

Chez les fournisseurs de logiciels suisses, le lieu d'évaluation fait partie de l'examen contractuel et de la protection des données. Le Swiss Government Cloud doit être mis en place au sein de l'OFT ; InvestGlass peut être hébergée en Suisse.

Preuves pour le contrôle interne et l'audit externe

Un audit ne demande pas le chiffre actuel, mais son origine. Les preuves substantielles sont les données brutes de l'outil d'inventaire avec horodatage, la version de l'outil, les règles de comptage appliquées, le rapprochement avec le contrat, l'approbation par la personne responsable ainsi qu'une liste des écarts avec justification. Si l'évaluation est exécutée de manière récurrente, cette documentation devient un sous-produit, non une charge supplémentaire.

La sécurisation s'appuie sur des mécanismes de contrôle et les responsabilités de la direction selon le Code des obligations. Des cadres et normes de conformité reconnus peuvent être utilisés en complément.

Une approche construite selon les principes CMS reconnus ne prouve pas le volume de licence lui-même. Elle prouve que la collecte est réglementée, traçable et vérifiable – exactement ce que demandent le contrôle interne et l'audit externe.

Pour SAP Sales and Service Core, la durée convenue de 12 à 60 mois ainsi que les modules complémentaires et options choisis font partie du dossier de preuves. De même, le nombre d'utilisateurs et le nombre d'utilisateurs administrateurs qui ont servi de base à la demande de licence. Un éventuel ramp-up est un levier général du modèle de licence SAP.

La conservation et la traçabilité font partie de la preuve : celui qui ne peut plus reconstituer l'évaluation d'un trimestre ne peut pas prouver la déclaration de l'époque. Les données brutes, le règlement et les approbations doivent être conservés au-delà du délai fixé contractuellement ou en interne et liés à la déclaration de licence respective.

Lorsqu'un fournisseur ne nomme pas sa propre métrique, la réponse écrite du fournisseur ou du partenaire appartient au dossier de preuves. Cela permet de prouver quelle unité a servi de base au volume déclaré.

Quatre preuves sont requises : données brutes, règles de comptage, approbation et liste des écarts. Elles sont liées à la déclaration de licence et conservées pendant la durée fixée.

Le dossier de preuves indique pour chaque application quatre informations : fournisseur ou partenaire, métrique contractuelle, durée et lieu d'hébergement. Cela permet de prouver quelle métrique a servi de base à quel volume déclaré.

Les conditions contractuelles telles que la durée, les modules complémentaires et les options font partie du dossier de preuves.

Chez les fournisseurs de logiciels suisses et leurs partenaires, les indications contractuelles font partie du dossier de preuves. ADVANIS cite pour SAP Sales and Service Core le nombre d'utilisateurs, le nombre d'utilisateurs administrateurs, la durée, les modules complémentaires et les options. La métrique convenue contractuellement doit être incluse dans le dossier de preuves.

Chez InvestGlass, le lieu d'hébergement suisse fait partie de la preuve, car il détermine le lieu de stockage des données.