Juridique

Patrick Geai (USF) : « nous allons travailler pour faire face aux audits de licences agressifs »

Patrick Geai est vice-président de l'USF (association des Utilisateurs de SAP Francophones) et président de la Commission des Bonnes Pratiques Commerciales au sein de ce club.

Patrick Geai est vice-président de l'USF (association des Utilisateurs de SAP Francophones) et président de la Commission des Bonnes Pratiques Commerciales au sein de ce club. Face aux audits de licences agressifs de SAP, l'USF a décidé de créer avec le Cigref un groupe de travail pour préparer les entreprises à réagir à ces pratiques à la légitimité parfois douteuse.

PublicitéCIO : Pourquoi l'USF et le Cigref ont-ils créé un groupe de travail Audit de licence SAP ?

Patrick Geai : De plus en plus de membres et de non-membres de l'USF nous contactent car les audits de licences de SAP se passent mal. Certaines entreprises adhèrent même à l'USF en étant motivées par un tel audit. Les pratiques de l'éditeur sont en effet de plus en plus agressives avec une optique claire de compléments de revenus.
Lors de leurs appels, les entreprises cherchent des recommandations de bonnes pratiques et à être mises en relation avec d'autres clients de l'éditeur. Fin 2015, l'USF a donc décidé de mettre en oeuvre un groupe de travail sur le sujet et nous avons sollicité le partenariat du Cigref. Notre première réunion aura lieu le 2 février 2016 dans les locaux du Cigref.

CIO : Quelle va être la démarche du groupe de travail étant donné qu'il semble difficile d'échapper à un audit de licences ?

Patrick Geai : L'USF n'est pas contre le principe des audits. Il semble légitime que l'éditeur contrôle que sa propriété intellectuelle est bien respectée.
Mais, en premier lieu, nous allons vérifier les droits et les obligations de chaque partie. Si le client a des obligations et SAP des droits, l'inverse est également vrai.
Nous allons ensuite étudier les modalités de déroulement des audits. Cela concerne aussi bien les aspects commerciaux que juridiques et techniques.
Troisième point important, nous souhaitons associer SAP à la démarche via des envois de questions et nous espérons que l'éditeur répondra. Nous verrons bien s'il accepte.
Nous voulons également comparer avec d'autres éditeurs, comme Oracle par exemple, notamment au niveau des accès indirects. Il semblerait que les autres éditeurs soient moins virulents que SAP sur ce sujet mais nous voulons établir les faits.
Enfin, entre nous, nous allons échanger les retours d'expériences et les bonnes pratiques. Ces échanges vont concerner aussi bien l'anticipation de l'audit, le déroulement de celui-ci et, enfin, ce qui suit l'audit. Dans ce dernier point, nous voulons obtenir de SAP un acte de clôture de l'audit. Malgré les engagements pris par la direction de SAP lors de la dernière convention de l'USF, nous ne voyons toujours rien venir.

CIO : Les scripts d'audit sont-ils sûrs, problème que Carrefour avait soulevé face à Oracle ?

Patrick Geai : Les scripts fournis par SAP ne sont ni open-source ni audités. Il n'en sort qu'un fichier que l'on doit envoyer à SAP et un document qui s'imprime. Mais nous ne savons pas ce qu'il y a dans le fichier à envoyer. Et nous craignons que ne sortent des entreprises des données confidentielles. Pour l'instant, nous recommandons comme bonne pratique de ne pas envoyer le fichier mais uniquement le document. De la même façon, nous recommandons de ne pas transmettre le schéma d'urbanisation du système d'information qui pourrait révéler des accès indirects.
Par ailleurs, nous ignorons si les scripts d'audit peuvent poser des problèmes de sécurité ou risquer d'altérer les données voire les programmes.

PublicitéCIO : Concrètement, puisque les audits sont dans le principe légitime, pourquoi vous opposez-vous ainsi aux audits tels qu'ils sont menés actuellement ?

Patrick Geai : C'est très simple. Lorsque la division de la conformité de SAP passe dans une entreprise, elle envoie ensuite une facture élevée. Puis le commercial passe et propose d'éliminer en tout ou partie cette facture en échange de quelques achats complémentaires. Bizarrement, il est toujours possible d'augmenter les nombres de licences mais jamais de les diminuer, même quand le nombre d'utilisateurs diminue.
Certes, les licences de SAP ne sont pas au processeur comme chez Oracle mais elles ne sont pas toujours à l'utilisateur nommé. Elles peuvent être sur différentes bases comme au nombre de factures émises par l'entreprise ou au chiffre d'affaires. Nous voulons donc clarifier les bonnes pratiques pour éviter les déconvenues.

CIO : Concrètement, que va faire votre groupe de travail ?

Patrick Geai : La première réunion a donc lieu le 2 février 2016. Nous y fixerons le plan de travail. Nous prévoyons une réunion mensuelle et la production d'un livre blanc. Si celui-ci n'est pas paru lors de la prochaine Convention de l'USF, nous y ferons au minimum un état des lieux de nos travaux.
Bien entendu, ce livre blanc, comme à chaque fois que des questions juridiques se posent, sera relu par un avocat. L'USF continue de travailler avec le cabinet Feral-Schuhl / Sainte-Marie.