Risk Advisory Février 2014 Les rendez-vous Risk Advisory La lettre des professionnels du risque et de la finance Des points de vue sur vos sujets de préoccupation dans les domaines de la gestion des risques, du pilotage de la performance et de la gestion de la trésorerie. La gestion des actifs logiciels Mieux comprendre ses risques pour créer de la valeur pour l entreprise Les évolutions récentes des systèmes d information ont conduit à une spécialisation des ressources (un serveur une tâche), permise notamment par l avènement de la virtualisation, autorisant à la fois flexibilité des déploiements et adaptation au contexte d utilisation des systèmes d information. Ces évolutions ont également induit une explosion du nombre d actifs logiques (serveurs, postes de travail, logiciels, ) gérés par les entreprises. Les enjeux et opportunités liés à la virtualisation ont aussi conduit à complexifier la gestion du parc de serveurs et du parc de licences logicielles. Les éditeurs ont continué leur mouvement de concentration, acquérant régulièrement de nombreux éditeurs de taille inférieure, et intégrant leurs produits à leur catalogue global. Les entreprises ont donc vu leurs portefeuilles d actifs logiciels s accroître, ainsi que le nombre d acteurs impliqués dans les acquisitions et la maintenance des solutions logicielles, qu elles soient internes (achats, informatique, maîtrises d ouvrage, ) ou externes (éditeurs, grossistes, ). Les dépenses logicielles représentaient ainsi en 2013, environ un tiers du budget total informatique, selon différentes études.
De plus, les modèles de licence se sont complexifiés et sont généralement propres à chaque éditeur, impliquant une gestion difficile de la conformité. Ces modèles sont généralement très éloignés du modèle «un utilisateur une licence», que chacun pourrait avoir en tête. De plus, de nombreux logiciels, afin de ne pas freiner les opérations informatiques, ne proposent pas de gestion intégrée permettant de limiter leur usage aux achats de droits de licence correspondants. Face à une utilisation croissante des logiciels par les entreprises, les éditeurs ont naturellement intensifié les contrôles de conformité aux modalités de licence des logiciels. Ces revues de conformité se sont inscrites dans des programmes internationaux permettant une analyse de l ensemble des clients sur la base d un plan de rotation pluri-annuel. Du fait de la complexité accrue des technologies utilisées et des modalités de licence (ou «licensing») des produits logiciels, l expérience montre que de nombreuses entreprises sont en situation de non-conformité, sans le savoir, et ne disposent pas d une capacité d évaluation précise de leurs risques. Cette absence de conformité peut conduire à des charges financières complémentaires très significatives en général non prévues et non budgétées. En conséquence, les entreprises souhaitent désormais maîtriser davantage la chaîne de valeur des logiciels acquis. La gestion des actifs logiciels, un risque non maitrisé? Une entreprise déploie rapidement plus d un millier de serveurs, physiques ou virtuels, et des centaines de produits logiciels, chacun avec des accords de licences ou métriques (modalité technique de mesure d une licence logicielle, propre à chaque contrat et/ou produit) qui lui sont propres, et ce, auprès d un nombre important d éditeurs. Connaître précisément sa situation de conformité logicielle est une tâche vaste et ardue : Le cycle de vie du logiciel est particulièrement complexe. Plusieurs acteurs sont impliqués dans l achat, l installation, le mouvement et la cession des actifs logiciels. Les accords de licence sont complexes. Les entreprises n ont pas toujours les ressources dédiées nécessaires pour comprendre et respecter les modalités des accords de licence. Cependant, elles doivent se conformer aux obligations contenues dans ses accords. Or, de nombreuses entreprises ne consacrent que peu de temps à la revue de leurs contrats, et encore moins à la vérification de leur application. La méconnaissance de l entreprise quant à l utilisation non conforme (ou abusive) d un logiciel ne peut être perçue par son éditeur comme une explication recevable en cas d écart constaté entre déploiement effectif et droit de licence acquis. Les métriques de mesures des logiciels sont aussi variées qu il existe de références logicielles et d éditeurs. Les entreprises mettent en œuvre des systèmes d information complexes et sont peu outillées pour suivre les licences déployées. Le niveau de maturité autour de la gestion des actifs logiciels est généralement faible dans les entreprises. Les différents outils qui permettent d améliorer l efficience de ces processus ne sont pas mis en œuvre, ou ne sont pas utilisés dans l objectif de vérification de la conformité de l utilisation aux droits de licences acquis. De plus, il n existe à ce jour aucune technologie simple permettant de suivre de manière globale et automatisée ses actifs logiciels et la conformité des déploiements aux modalités de licenses acquises. Enfin, le rythme des audits de conformité réalisés par les éditeurs de logiciels est croissant. Des milliers d entreprises sont auditées chaque année par les principaux éditeurs, et de nombreux autres éditeurs développent des démarches de conformité, intensifiant le rythme des revues. Conclusion Afin de faire face à cette situation, il convient, pour les entreprises, de mettre en place un processus efficace de gestion des actifs logiciels. 2
Qu est-ce que la gestion des actifs logiciels? Le référentiel ITIL (IT Infrastructure Library) définit la gestion des actifs logiciels comme l «ensemble des infrastructures et des processus nécessaires à la gestion effective, au contrôle et à la protection des actifs logiciels au sein d une organisation, à toute étape de leur cycle de vie». Communément appelé Software Asset Management (SAM), la gestion des actifs logiciels est donc l ensemble des processus, procédures et outils permettant de suivre et gérer la vie de ses actifs logiciels. Quels sont les risques relatifs à la gestion des actifs logiciels? Une gestion non efficace des actifs logiciels génère de nombreux risques pour l entreprise qui peuvent se traduire par des enjeux financiers importants : acquisition d un nombre de licences excédentaire, nombre de licences insuffisant ou inapproprié, pénalités, etc. Sur-licensing Non conforme Manque de contrôle = dépenses récurrentes Plus précisément, l entreprise doit faire face aux risques suivants : Le risque de non-conformité : l absence de ou la faible compréhension des règles de licence des logiciels peut impliquer une non-conformité des déploiements logiciels. A titre d exemple, des acquisitions de droits de licences peuvent être réalisées selon une métrique particulière, alors que finalement, la mise en œuvre du logiciel contraint l entreprise sur une autre métrique de mesure, et ne lui permet donc pas, de facto, d utiliser les licences acquises pour couvrir ses déploiements logiciels. Le risque de sur-déploiement de logiciels, lié à une gestion inappropriée des demandes d installation et à une absence d information, auprès des chefs de projets et techniciens, des droits de licences acquis et des modalités de mesure. Les risques liés à la virtualisation : la virtualisation permet une grande souplesse de gestion dans le déploiement de systèmes (ou «provisionning»). Elle crée aussi des risques en raison de l absence d adéquation de certaines règles de licensing aux environnements virtualisés, pour certaines versions de logiciels, mais également en raison de la flexibilité accrue de déploiement qui intensifie le rythme de déploiement logiciel, sans toujours y avoir associé les points de contrôle correspondant (achats, droits de licences, métriques, ). Les risques liés à des achats non optimisés : l absence de centralisation au niveau des achats et une mauvaise interface entre direction achats et informatique, peut compromettre l obtention de tarifs avantageux ou induire l achat de produits ou métriques inappropriés. Les risques liés à la maintenance : les entreprises renouvellent généralement leurs maintenances logicielles (ou «support») sans systématiquement se poser la question du besoin. Ceci induit l acquisition à tort de licences ou de maintenances (ou droits au support) dont l entreprise n a pas ou plus besoin, car elles ont été acquises par d autres entités ou concernent des produits qui ne sont plus déployés ou dont la maintenance n est plus nécessaire. La comptabilisation des coûts sur les projets : les charges induites par les licences sont parfois omises dans la comptabilisation des coûts sur les projets, ce qui ne permet pas une mesure réelle des coûts et du retour sur investissement du projet. La sécurité : le déploiement de logiciels non connus ou standards au sein de l organisation peut générer des problèmes de sécurité, en raison de l absence d identification de ces derniers dans le cadre des processus de mise en œuvre des correctifs de sécurité, mais également en raison des risques inhérents au produit et à ses vulnérabilités qui pourraient être omis par les équipes en charge de la gestion de la sécurité. Ces risques sont exacerbés par différents facteurs. Nous pouvons citer à titre d exemples : les fusions/ acquisitions, l intégration fréquente de nouvelles entités par croissance externe, la gestion en silo des achats, des interfaces inappropriés entre projets, informatique et acheteurs, la décentralisation des achats, le nombre d entités et de localisations géographiques déployant des actifs logiciels, l outsourcing, les projets de virtualisation de l infrastructure, et bien évidemment, tout environnement générant un défaut de contrôle sur les actifs physiques et logiques informatiques et les achats de ces derniers. 3
Le Software Asset Management (SAM), un outil pour gérer ses risques, mais également optimiser ses processus et ses dépenses Le SAM est un véritable levier dans l entreprise. Les bénéfices d un programme SAM sont multiples. Ce programme permet notamment d optimiser l utilisation des actifs logiciels, de suivre les coûts associés et de les gérer (anticipation et optimisation des sorties de cash), de mieux négocier ses contrats, de gérer efficacement ses risques de non-conformité et les charges financières correspondantes, d assurer des démarches fluides et efficaces dans la gestion des appels d offre et dans les processus de sélection de logiciels, de mettre en œuvre un modèle global pour livrer les actifs logiciels à l ensemble des organisations le nécessitant, d améliorer les relations avec les éditeurs de logiciels ou encore de développer une stratégie de long terme sur la gestion des logiciels, incluant des mécanismes de surveillance et d amélioration continue. Les bénéfices du SAM : Optimisation du processus de planification budgétaire Achat de licences au stricte nécessaire, selon la métrique la plus avantageuse, et donc au meilleur prix Suppression des contrats de maintenance inutiles Achats de licences au strict nécessaire et au bon moment Amélioration des négociations avec les fournisseurs Amélioration du coût total de possession (TCO Total Cost of Ownership) et réaffectation optimisée des coûts aux entités organisationnelles Alignement technique des déploiements logiciels aux métriques acquises, afin d éviter tout écart d usage lié à une mise en œuvre technique du logiciel inappropriée (ex : activation d options, ) Contrôle des actifs et de l inventaire, améliorant la gestion de l infrastructure, de la continuité et de la sécurité des systèmes d information Globalement, seule une approche complète de gestion des actifs logiciels permet à la fois une gestion fine des dépenses et des risques, mais également une optimisation de la chaîne de valeur. Il convient donc de prendre la mesure des enjeux et de mettre en œuvre un programme de gestion du SAM, en s appuyant sur une approche pragmatique, visant, dans un premier temps à analyser l existant, pour mettre en œuvre les processus nécessaires, puis, dans un second temps, à optimiser ces derniers. Moins de risques Retour positif sur investisement Le SAM, une mise en œuvre par étapes Domaine 4 Le SAM devient un actif stratégique Domaine 3 Automatisation Améliorer l efficacité et l automatisation des outils et des processus Domaine 2 Gestion des processus Améliorer les contrôles du management et cibler des améliorations à court terme Domaine 1 Fiabilité des données Connaître les actifs afin de pouvoir les gérer 4
Quelles sont les bases d un programme SAM? Un programme SAM efficace et pérenne doit s appuyer sur les éléments suivants : Savoir améliorer la compréhension et la connaissance de règles de licence, de déploiement et d utilisation des logiciels, mais également des droits de licence et maintenance acquis. Prévoir standardiser les produits acquis, mettre en œuvre un processus efficient d achat de licences, réduire les tâches répétitives, revoir régulièrement les besoins en logiciels et en maintenance et prévoir les coûts futurs en identifiant les besoins relatifs aux projets. Acquérir contrôler et réduire l utilisation ou les achats non autorisés de licences de logiciels. Eviter les paiements inutiles de droits de licences et augmenter la capacité à identifier et à gérer les conditions contractuelles relatives aux licences. Contractualiser standardiser les processus de rédaction et d approbation des contrats d acquisition de logiciels, incluant la prise en compte des métriques et mesures dans les processus de consultation avant achat, afin d identifier de manière proactive les problèmes de licence et d intégrer directement les éléments contractualisés dans le processus de gestion des actifs. Contrôler obtenir un meilleur contrôle de la distribution, du développement et de la maintenance des logiciels, afin de limiter le risque de déploiements logiciels non autorisés et de préciser les conditions contractuelles sur la maintenance. Maintenir gérer les stocks d actifs logiciels à un niveau optimal, en réaffectant ou en rationalisant les licences de logiciels non utilisées. Identifier les possibilités de mise à jour et repérer les actifs logiciels manquants. Surveiller identifier les logiciels non conformes avec les conditions contractuelles relatives aux licences afin d ajuster précisément le nombre de licences dans un délai raisonnable. Sécuriser réduire le risque de logiciels non autorisés ou non connus et améliorer les processus, les procédures et les outils permettant d assurer la sécurité et la confidentialité des informations de l entreprise. Comment démarrer efficacement? Un projet de mise en œuvre du Software Asset Management s établit généralement en six étapes : 1. Constituer une équipe SAM. Les problèmes relatifs au licensing proviennent généralement d un manque de contrôle interne et du fait qu aucun acteur n est directement responsabilisé sur la gestion des actifs logiciels. La création d une équipe, incluant des représentants des différents services concernés (ex : achats, exploitation, projets, ), est un élément structurant clé de tout programme SAM. Cette équipe va constituer les budgets, plannings et objectifs pour la gestion du SAM et gèrera de manière centralisée les difficultés d exécution de la stratégie. Elle participera également au développement de compétences et à la compréhension partagée par tous des multiples facettes du licensing et de la terminologie correspondante. 2. Définir une stratégie SAM. Un programme SAM nécessite la définition d une stratégie avec des objectifs spécifiques : optimisation des coûts, traitement du risque, gestion de la sécurité, La définition de la stratégie nécessitera la formalisation de politiques des procédures et des responsabilités afférentes à la gestion des actifs logiciels dans l entreprise. 3. Inventorier et créer une base documentaire des contrats existants. L inventaire et la compréhension des licences acquises est une étape préliminaire nécessaire à l évaluation de la position de licences de la société. Cette étape nécessite de solliciter différents acteurs dans différentes localisations, et permet également d identifier les éventuels points d achoppement relatifs au processus achat. La création d un référentiel des droits de licences est généralement envisagée à ce stade, et peut nécessiter l emploi d un outillage spécifique, comme des logiciels spécifiques à la gestion SAM. 4. Réaliser une revue de conformité interne de l usage de ses logiciels («Baselining»). Les programmes SAM démarrent généralement leur mise en œuvre opérationnelle avec un inventaire et une réconciliation entre logiciels déployés et droits de licences acquis. L objectif de cet exercice est à la fois de déterminer les risques de sur-déploiement, mais également de sous-déploiement ou de souscription non nécessaire à la maintenance. Cette étape permet d identifier les écarts et de cibler les zones prioritaires à traiter d un point de vue technique ou contractuel. 5
5. Suivre les modifications apportées aux actifs logiciels. La réalisation d inventaires réguliers ne peut être le seul mode de gestion des actifs logiciels. Pour mesurer précisément l usage, prévoir les achats nécessaires et les ajuster au besoin, il convient de mettre en œuvre des processus et dispositifs de suivi des actifs logiciels. Ces mesures doivent permettre à la fois de faciliter la mesure par rapport à la métrique logicielle acquise, mais également le suivi du décommissionnement des logiciels et leur réattribution, en prenant en compte les éventuels impacts technologiques liés aux modalités contractuelles du logiciel. 6. Former les parties prenantes au SAM. Après avoir défini les politiques et procédures, il conviendra de former les personnels clés aux responsabilités, risques, opportunités et autres implications du licensing, et de les maintenir à jour des évolutions fréquentes liées aux règles de licensing. Cette étape passe généralement par la création d un référentiel central de connaissances. Conclusion Un programme SAM nécessite donc une approche structurée et complète, traitant de l ensemble des dimensions : infrastructure, processus et ressources humaines. Le succès d un programme SAM et d une gestion efficace des actifs logiciels réside dans la mise en œuvre d une équipe dédiée, une approche intégrée aux nombreux processus métiers et informatiques concernés et l utilisation de solutions technologiques. Seule cette combinatoire peut permettre de maîtriser les risques de conformité et d optimiser les coûts, notamment dans le cadre des négociations annuelles avec les éditeurs. 6
Contacts Comité de rédaction Laurence Dubois ladubois@deloitte.fr Marie-Laure Cerbourg mlcerbourg@deloitte.fr Contributeurs Marc Van Caeneghem mvancaeneghem@deloitte.fr Grégory Abisror gabisror@deloitte.fr Thibault de la Bouvrie tdelabouvrie@deloitte.fr Achevé de rédiger le 28 janvier 2014. Deloitte fait référence à un ou plusieurs cabinets membres de Deloitte Touche Tohmatsu Limited, société de droit anglais («private company limited by guarantee»), et à son réseau de cabinets membres constitués en entités indépendantes et juridiquement distinctes. Pour en savoir plus sur la structure légale de Deloitte Touche Tohmatsu Limited et de ses cabinets membres, consulter www.deloitte.com/about. En France, Deloitte SA est le cabinet membre de Deloitte Touche Tohmatsu Limited, et les services professionnels sont rendus par ses filiales et ses affiliés. Deloitte France 185, avenue Charles-de-Gaulle 92524 Neuilly-sur-Seine Cedex Tél. : 33 (0)1 40 88 28 00 - Fax : 33 (0)1 40 88 28 28 2014 Deloitte & Associés. Tous droits réservés - Member of Deloitte Touche Tohmatsu Limited 7