ElegArtech
Plus
Échanger

← Gouvernance des SI

Un boîtier de service dont la lampe-témoin brille et dont l’horloge marque l’heure du retour, avec une trappe latérale vissée sous un scellé et, posée dessus, une enveloppe cachetée munie d’une étiquette vierge.

Gouvernance des SI · Gouvernance & transformations · · 17 min

SaaS : la cause d’une panne, un bien de croyance

En septembre 2026, deux pannes successives d’un même éditeur de logiciel en ligne ont été restaurées, horodatées puis closes par une promesse d’enquête presque identique, sans qu’aucune analyse causale ne soit depuis rattachée à leurs enregistrements publics. Les directions achètent ce type de service sur un indicateur de disponibilité, alors que ce qui les protège d’une récidive tient à l’explication de la panne, qu’aucune clause standard ne leur doit. L’article montre que cette explication relève de ce que l’économie nomme un bien de croyance (une qualité que l’acheteur ne peut pas vérifier, même après usage), et que le droit européen demande déjà à certains clients de produire ce que le marché leur fournit à titre de courtoisie.

Par Alexandre Berge · Cloud et infrastructures · Régulation et droit · Gouvernance · Chronique

Le registre public horodate la restauration et conjugue la cause au futur

Le 16 septembre 2026, l’enregistrement n° 20004433 de Trust Status, la page d’état publique de Salesforce, situe le début d’une perturbation majeure à 7 h 50 UTC et sa fin à 15 h 26 UTC, soit sept heures et trente-six minutes. Le récit causal change ensuite à deux reprises en un peu plus d’une heure. À 9 h 10, les requêtes sont décrites comme bloquées dans l’attente d’un service interne d’authentification. À 9 h 57, l’éditeur indique attribuer le problème à la défaillance d’une dépendance externe touchant l’ancien serveur d’authentification, tout en précisant que son prestataire d’infrastructure tiers a confirmé ne rencontrer aucune difficulté. À 10 h 18, la cause devient une montée de charge sur l’un des composants centraux du système. Le message de clôture, publié à 18 h 59, porte un engagement :

« We will thoroughly investigate the incident, establishing the technical trigger, the underlying cause, and preventive action to avoid a repeat in the future. » (« Nous enquêterons de manière approfondie sur l’incident, en établissant le déclencheur technique, la cause sous-jacente et l’action préventive destinée à éviter qu’il se reproduise. »)

Trois jours plus tard, l’enregistrement n° 20004440 documente une dégradation des activations Data Cloud, du 19 septembre à 11 h 30 UTC au 20 septembre à 1 h 11 UTC, soit treize heures et quarante et une minutes. Les messages situent l’origine dans un service de stockage en nuage fourni par un tiers et utilisé par l’environnement concerné, dans la région US-east-1. La clôture reprend la même promesse, à deux mots près.

Les deux fiches ont une structure qui anticipe la suite. Leur format de données comporte des champs nommés « rootCause », « actionPlan » et « pathToResolution ». Au 18 octobre 2026, ces champs sont vides, la dernière mise à jour de la première fiche date du 17 septembre, celle de la seconde du 20 septembre, et aucune analyse causale n’est rattachée à l’une ou à l’autre. Ce vide ne signifie pas à lui seul qu’aucune analyse n’existe. La même structure restait vide pour un incident de novembre 2024 dont l’analyse avait été publiée sur le site d’assistance de l’éditeur et signalée sur la fiche. Il établit un fait plus sobre. Le registre public restitue la restauration au quart d’heure près et laisse la cause au futur de l’indicatif.

Le contrat achète des efforts, pas une explication

Le Main Services Agreement de Salesforce, dans sa version mise à jour le 1er septembre 2026, définit l’engagement de disponibilité à son article 2.1. L’éditeur s’y oblige à « use commercially reasonable efforts to make the online Purchased Services available 24 hours a day, 7 days a week » (« déployer des efforts commercialement raisonnables pour rendre les Services Achetés en ligne disponibles 24 heures sur 24, 7 jours sur 7 »). Il s’agit d’une obligation de moyens (l’engagement porte sur la diligence déployée, non sur le résultat obtenu). Le texte en exclut la maintenance planifiée annoncée et toute indisponibilité due à des circonstances échappant au contrôle raisonnable de l’éditeur, parmi lesquelles il cite la défaillance d’un fournisseur d’accès à Internet et les applications tierces.

Le contrat type ne fixe aucun pourcentage de disponibilité et ne prévoit pas de crédit de service. Il ne comporte aucun engagement à produire une analyse causale après incident. La responsabilité de chaque partie est plafonnée au montant payé pour les services en cause au cours des douze mois qui précèdent le premier incident.

Le rapport annuel (formulaire 10-K) déposé le 2 mars 2026 auprès de la SEC éclaire ce contrat sans le contredire. L’éditeur y décrit sa dépendance à des plateformes de calcul en nuage et à des centres de données de tiers, et y reconnaît : « We have experienced service interruptions and interruptions may occur in the future. » (« Nous avons connu des interruptions de service et des interruptions pourraient se produire à l’avenir. ») Il ajoute que ces interruptions peuvent le conduire à émettre des crédits ou à verser des pénalités, ce qui renvoie à des engagements négociés hors du contrat type.

Un point relie ces documents au registre. Les exclusions de l’article 2.1 dépendent de l’origine de la panne, selon qu’elle relève ou non du contrôle raisonnable de l’éditeur. Or cette qualification est précisément celle que le registre du 16 septembre a fait varier en une heure, et que seule une analyse causale stabiliserait. L’élément qui détermine le régime contractuel d’une panne est établi par une seule des deux parties, sans obligation de le rendre public.

La correction d’une panne échappe à l’expérience du client

En 1973, Michael Darby et Edi Karni ajoutent aux qualités que l’acheteur peut inspecter avant l’achat et à celles qu’il découvre à l’usage une troisième catégorie, les qualités de croyance. Leur cas type est celui de la réparation. Le client constate que l’appareil fonctionne de nouveau, il ne sait pas si l’intervention facturée était nécessaire ni si le défaut a réellement disparu. Le vendeur cumule deux rôles, celui de l’expert qui diagnostique et celui du prestataire qui répare. Les auteurs montrent que la libre concurrence n’élimine pas la fraude dans ces marchés, faute pour le client de pouvoir détecter l’écart entre le service rendu et le service dû.

Appliquée au logiciel en ligne, la distinction sépare deux objets que le vocabulaire des achats confond sous le mot de résilience. La disponibilité est une qualité d’expérience. Le client mesure lui-même la panne et la restauration, ses utilisateurs les lui signalent avant toute page d’état. La correction du mode de défaillance est une qualité de croyance. Le client ne l’observe ni le jour de la restauration ni dans les mois qui suivent, car un trimestre sans récidive ne distingue pas une cause corrigée d’une cause simplement restée en sommeil. L’éditeur occupe exactement la position du réparateur décrite par Darby et Karni : il établit le diagnostic, il décide de la réparation, il est seul à pouvoir dire si elle a eu lieu.

Le bien de croyance (Darby et Karni, 1973)

Dans « Free Competition and the Optimal Amount of Fraud », publié en 1973 dans le Journal of Law and Economics, Michael R. Darby et Edi Karni qualifient de qualités de croyance les caractéristiques d’un bien ou d’un service qui ont une valeur réelle pour l’acheteur, mais qu’il ne peut pas évaluer dans un usage normal, ni avant ni après l’achat. Le cas central est celui où le même agent diagnostique le besoin et fournit la prestation, ce qui lui permet de prescrire davantage ou autrement que nécessaire. Le concept ne suppose aucune malhonnêteté particulière. Il décrit une structure de marché où l’information sur la qualité reste du côté du vendeur, et où le contrôle de la qualité ne peut pas reposer sur l’observation directe de l’acheteur.

C’est ici que se loge l’angle mort du discours d’achat. Les grilles de sélection, les tableaux de bord fournisseurs et les comités de pilotage contractuel expriment la résilience d’un service critique en taux de disponibilité, c’est-à-dire dans la seule dimension que le client sait déjà mesurer. La dimension qui conditionne la panne suivante, celle de la cause corrigée, n’entre dans aucun indicateur, parce qu’elle n’est pas observable par le client et que le contrat type n’oblige personne à la produire.

L’analyse publiée ne protège que si elle engage

La publication d’une analyse causale n’a rien d’irréaliste pour ce type d’éditeur. Pour l’incident n° 13460, survenu entre le 15 et le 16 novembre 2024, la fiche de Trust Status renvoie à une analyse préliminaire publiée le 17 novembre, mise à jour le 22 novembre, puis complétée le 12 décembre par des actions de suivi assorties de dates de livraison. Dans un autre segment du marché, l’éditeur de sécurité CrowdStrike a publié le 6 août 2024 une analyse technique de douze pages sur la mise à jour défectueuse de juillet. Le document distingue le déclencheur, la cause et les mesures correctives, fixe des échéances datées au 9 et au 19 août et annonce l’examen du code par deux éditeurs indépendants. La pratique existe donc, y compris chez l’émetteur des enregistrements de septembre. Elle reste une décision de l’éditeur, prise incident par incident.

L’économie expérimentale permet de préciser ce que cette décision change pour le client. Dans une expérience publiée en 2011 et menée auprès de 936 participants, Uwe Dulleck, Rudolf Kerschbamer et Matthias Sutter ont testé deux institutions censées corriger les marchés de biens de croyance, la vérifiabilité (la possibilité pour le client de constater après coup la prestation réellement fournie) et la responsabilité (l’obligation pour le vendeur de fournir une prestation suffisante pour résoudre le problème). Leur résultat est net. La responsabilité améliore fortement le fonctionnement du marché, la vérifiabilité n’a qu’un effet mineur.

Transposé, ce résultat déplace la question. Une analyse causale qui se limite à raconter la panne apporte au client de la vérifiabilité, il sait désormais ce que l’éditeur déclare avoir trouvé. Ce qui modifie la relation tient à la part d’engagement que porte le document, c’est-à-dire des actions correctives nommées, datées et dont la réalisation peut être constatée. Les deux exemples de 2024 se distinguent précisément par là. Le post-mortem ne vaut pas comme transparence, il vaut comme promesse opposable, et c’est cette promesse que le contrat type laisse à la discrétion de l’éditeur.

Le droit européen a déjà confié l’explication au client

Pour une partie des organisations clientes, la question a cessé d’être commerciale. Le règlement (UE) 2022/2554 sur la résilience opérationnelle numérique du secteur financier (DORA), applicable depuis le 17 janvier 2025, impose aux banques, assureurs et autres entités financières d’enregistrer leurs incidents liés aux technologies et de mettre en place des procédures pour « veiller à ce que les causes originelles soient identifiées et documentées » (article 17). Pour un incident majeur, le rapport final à l’autorité est remis lorsque l’analyse des causes originelles est terminée (article 19). L’entité reste à tout moment pleinement responsable du respect de ses obligations, y compris lorsqu’elle recourt à un prestataire (article 28). Ses contrats doivent prévoir une assistance du prestataire en cas d’incident lié au service fourni, « sans frais supplémentaires ou à un coût déterminé ex ante » (article 30).

La directive (UE) 2022/2555, dite NIS2, suit la même pente pour les entités essentielles et importantes, parmi lesquelles figurent des établissements de santé. Leur rapport final, remis au plus tard un mois après la notification, comprend « le type de menace ou la cause profonde qui a probablement déclenché l’incident » (article 23).

Le droit construit ainsi une situation singulière. Le client régulé doit expliquer à son autorité une panne dont la cause se trouve chez son prestataire, et que le contrat type ne lui donne aucun droit d’obtenir. L’article 30 de DORA organise le canal contractuel de cette explication sous forme d’assistance, sans imposer de publication. Le contrat type examiné ici ne contient pas de telle clause, qu’un avenant négocié peut porter. Quant à la supervision directe, la première liste des prestataires tiers critiques désignés par les trois autorités européennes de surveillance, publiée le 18 novembre 2025, compte dix-neuf entités et ne mentionne pas Salesforce.

1931 : la cause d’un accident cesse d’être un secret d’administration

L’aviation commerciale américaine a connu la même configuration. Selon la chronologie reconstituée par l’historien Randy Johnson, la loi de 1926 sur le commerce aérien charge le département du Commerce d’enquêter sur les accidents, de les enregistrer et d’en rendre publiques les causes. Sa division aéronautique adopte pourtant une politique de non-divulgation, ne publie que des statistiques semestrielles d’accidents, avec le soutien de l’industrie, et obtient l’aval du procureur général le 19 février 1930. Le département invoque la difficulté d’établir les causes et la réticence des témoins à parler si leurs déclarations deviennent publiques.

Le 31 mars 1931, un trimoteur Fokker de la compagnie TWA s’écrase près de Bazaar, dans le Kansas. Parmi les victimes figure Knute Rockne, entraîneur de football de l’université Notre-Dame et personnalité nationale. Sous la pression de la presse, le département publie le 3 avril une première explication, une hélice brisée, puis la révise le 8 avril au profit d’une accumulation de glace qui aurait rendu les instruments inopérants. Selon la presse de l’époque citée par Johnson, c’est la première fois que le département rend publiques les conclusions de ses inspecteurs. La loi suit en juin 1934. Elle donne au département un pouvoir d’assignation, lui impose de publier ses enquêtes et écarte leurs conclusions comme preuves devant les tribunaux.

La proximité structurelle tient en trois traits. L’agrégat est publié et la cause retenue, comme le taux de disponibilité aujourd’hui. Le récit causal provisoire change en quelques jours, comme celui du 16 septembre a changé en une heure. Et la sortie ne vient ni de la bonne volonté du détenteur de l’information ni de la seule pression publique, mais d’une règle qui fait de la publication une obligation tout en la dissociant du contentieux. Ce qui a rendu la cause publique n’est pas la transparence, c’est la séparation entre établir une cause et désigner un coupable.

Partout où l’explication reste discrétionnaire, l’agrégat tient lieu de preuve

Le mécanisme dépasse l’éditeur de CRM et le mois de septembre. Il se reproduit dès que quatre conditions sont réunies. Le service est fourni par un prestataire qui diagnostique et répare seul ses propres défaillances. La chaîne de dépendances est assez profonde pour que la cause puisse être située chez un tiers, ce que les deux enregistrements de septembre évoquent tous deux à un moment de leur récit. Le contrat repose sur une obligation de moyens et un plafond de responsabilité. Et le client doit lui-même rendre compte de la panne à un tiers, autorité de contrôle, conseil d’administration, patients ou assurés. La messagerie, la paie externalisée, le dossier patient hébergé, la signature électronique et désormais les modèles d’IA consommés par interface de programmation réunissent ces conditions aussi sûrement qu’un logiciel de gestion de la relation client.

Lorsque ces conditions sont réunies, la gouvernance du client convertit l’agrégat du prestataire en indicateur de sa propre résilience. Les signes en sont observables sans enquête particulière. Le tableau de bord des fournisseurs exprime la résilience en pourcentage. Le registre interne des incidents classe la cause d’une panne de prestataire sous une rubrique « fournisseur » ou « externe », qui clôt l’analyse au lieu de l’ouvrir. Le comité de pilotage contractuel examine les crédits de service et jamais les plans d’action correctifs. Le rapport d’incident adressé au régulateur reprend, faute d’autre source, les messages de la page d’état publique.

Grille de lecture

  1. Pour les cinq services en ligne les plus critiques de l’organisation, le contrat signé (et non le contrat type) contient-il une clause d’analyse post-incident, avec un délai et un contenu définis ?
  2. Dans le registre des incidents de l’année écoulée, quelle part des pannes attribuées à un prestataire comporte une cause technique identifiée, plutôt qu’une simple mention de son nom ?
  3. Combien d’analyses causales de prestataires ont été reçues sur la période, et combien comportaient des actions correctives datées dont la réalisation a ensuite été constatée ?
  4. Le comité qui suit chaque prestataire critique dispose-t-il d’un point d’ordre du jour consacré aux causes, distinct du suivi de la disponibilité ?
  5. Pour une entité soumise à DORA ou à NIS2, sur quelle source le dernier rapport final d’incident s’est-il appuyé pour décrire une cause située chez un prestataire ?

Conclusion

La panne de logiciel en ligne réunit deux biens sous un même contrat. La restauration est un bien d’expérience, que la page d’état horodate et que le client constate seul. La cause corrigée est un bien de croyance, que l’éditeur est seul à connaître et qu’il promet de produire sans y être tenu. Le taux de disponibilité, qui structure l’achat, mesure le premier et ne dit rien du second. Le précédent de 1931 suggère que cet écart ne se referme pas par la pression de l’opinion seule, mais par une règle qui oblige à établir la cause sans en faire l’instrument d’une mise en cause.

L’hypothèse qui en découle se vérifie de l’extérieur. Tant que l’éditeur ne figure pas parmi les prestataires tiers critiques désignés au titre de DORA, la publication d’une analyse causale restera chez lui une décision prise incident par incident, et son contrat type n’en fera pas une obligation. Trois indicateurs publics permettront de la confirmer ou de l’infirmer d’ici le 31 mars 2028 : la mise à jour annuelle de la liste des prestataires critiques prévue par l’article 31 de DORA, dont la prochaine édition est attendue un an après celle du 18 novembre 2025, les versions successives du Main Services Agreement publiées sur le site de l’éditeur, et le formulaire 10-K de l’exercice clos fin janvier 2028. L’apparition, dans l’un de ces documents, d’un engagement d’analyse post-incident sans désignation préalable infirmerait l’hypothèse et indiquerait que le marché a fini par vendre comme garantie ce qu’il offrait comme courtoisie.

Note méthodologique

Les faits d’incident proviennent des enregistrements n° 20004433, 20004440 et 13460 de Trust Status, lus dans leur version structurée publique. Les durées retenues sont celles des champs d’impact, distinctes des heures de publication des messages. L’absence d’analyse causale est constatée sur les deux enregistrements de septembre 2026 au 18 octobre 2026, et l’absence d’engagement d’analyse post-incident sur la version du Main Services Agreement datée du 1er septembre 2026, hors avenants négociés. L’article privilégie l’économie des biens de croyance à la littérature sur la fiabilité organisationnelle, qui décrit la culture interne du prestataire plutôt que la relation d’achat. Recherche de sources, croisement des données et structuration du raisonnement s’appuient sur une assistance par intelligence artificielle. Le choix de l’angle et du cadre théorique, la vérification des sources, les arbitrages et l’établissement du texte final relèvent de l’auteur.

image générée par IA (ChatGPT Images 2.5)

Sources

Documents des organisations

Textes officiels

Décisions d’autorités

Études académiques et cadres théoriques

  • Michael R. Darby et Edi Karni, « Free Competition and the Optimal Amount of Fraud », The Journal of Law and Economics, vol. 16, n° 1, 1er avril 1973, p. 67 à 88. https://doi.org/10.1086/466756
  • Uwe Dulleck, Rudolf Kerschbamer et Matthias Sutter, « The Economics of Credence Goods: An Experiment on the Role of Liability, Verifiability, Reputation, and Competition », American Economic Review, vol. 101, n° 2, avril 2011, p. 526 à 555. Version de travail : IZA Discussion Paper n° 4030, 2009, consultée le 18 octobre 2026. https://docs.iza.org/dp4030.pdf

Parallèle historique

Derniers articles

Gouvernance des SI