La certification de souveraineté comme critère d'achat dominant : hypothèse de travail

Les grilles d'achat de services numériques comportent depuis longtemps une ligne consacrée à la localisation des données ou au cadre juridique applicable. Cette ligne pesait peu face au prix, à la richesse fonctionnelle et à la capacité d'intégration. Plusieurs signaux récents suggèrent qu'elle change de statut dans certains segments, en particulier lorsque l'acheteur est une administration, un opérateur d'importance vitale ou une entreprise soumise à des obligations sectorielles fortes.

L'hypothèse de travail formulée ici est précise : la certification de souveraineté deviendrait un critère dominant, c'est-à-dire éliminatoire, dans une majorité d'achats numériques structurants, y compris hors du périmètre réglementé. Elle n'est pas vérifiée et se distingue soigneusement d'un simple renforcement de la pondération, qui est déjà constaté. Ce qui change tout, c'est le passage d'un critère qui se compense à un critère qui se franchit ou non.

Avant d'examiner cette bascule, il faut clarifier ce que la notion recouvre, car son imprécision actuelle est le principal obstacle à toute discussion sérieuse. Les travaux de l'Observatoire de l'Intelligence Économique sur les dépendances techniques des organisations montrent que la question posée aux fournisseurs porte le plus souvent sur une seule des quatre propriétés en jeu, ce qui produit des réponses rassurantes et peu informatives.

Quatre propriétés distinctes derrière un seul mot

La première propriété est la localisation physique des données et des traitements. Elle répond à la question de savoir où se trouvent les serveurs et où s'exécutent les calculs. C'est la propriété la plus facile à vérifier et la plus fréquemment mise en avant, mais c'est aussi la moins protectrice prise isolément, car elle ne dit rien de qui exerce un droit d'accès sur ces installations.

La deuxième propriété est l'immunité juridique de l'exploitant, c'est-à-dire l'absence d'obligation légale, pour l'entité qui contrôle le service, de répondre à une injonction émanant d'un ordre juridique étranger. Elle dépend du siège de l'exploitant, de sa structure capitalistique et des relations contractuelles avec ses sociétés liées. C'est la propriété la plus déterminante et la plus difficile à établir, car elle suppose de lire des chaînes de détention et non des fiches techniques.

La troisième propriété est la maîtrise technique, qui se mesure au coût réel d'une migration vers un autre fournisseur : formats de données exportables, absence de dépendance à des services propriétaires non substituables, réversibilité contractuellement organisée. La quatrième est le contrôle capitalistique, qui concerne la détention du capital et la composition des organes de direction. Ces quatre propriétés varient indépendamment, et un fournisseur peut satisfaire pleinement l'une en échouant complètement sur une autre.

Ce que signifie un critère dominant dans une décision d'achat

Un critère pondéré se compense : un fournisseur moins bien noté sur la souveraineté rattrape son retard par le prix ou la fonctionnalité, et l'arbitrage se joue sur un score global. Un critère éliminatoire ne se compense pas : le candidat qui ne le satisfait pas sort du champ de la comparaison, quels que soient ses autres mérites. C'est cette différence de nature, et non un simple glissement de coefficient, que l'hypothèse examinée met en jeu.

Cette distinction a des conséquences concrètes sur la structure du marché. Sous un régime pondéré, la concurrence reste ouverte et l'innovation fonctionnelle conserve sa valeur. Sous un régime éliminatoire, le marché se scinde en deux ensembles disjoints, et la concurrence ne s'exerce plus qu'à l'intérieur de l'ensemble certifié. Les effets sur les prix, sur le rythme d'innovation et sur la dépendance des acheteurs diffèrent radicalement selon le régime en vigueur.

Il faut noter que l'hypothèse est déjà vérifiée sur des périmètres restreints : certains marchés publics sensibles et certains secteurs réglementés appliquent de fait un critère éliminatoire. La question prospective porte donc sur la diffusion de ce régime au-delà de ces périmètres, vers des achats d'entreprises privées qu'aucune obligation ne contraint. C'est cette extension, et elle seule, qui reste incertaine.

Un critère éliminatoire ne renforce pas une préférence, il redessine la liste des candidats. C'est un changement de nature, pas de degré.

Trois forces qui poussent vers la bascule

La première force est la commande publique, par son effet d'entraînement. Un fournisseur qui obtient une certification pour répondre à des marchés publics la valorise ensuite auprès de tous ses clients, et les acheteurs privés qui voient l'offre certifiée exister à un coût acceptable n'ont plus de raison de s'en priver. Cet effet ne suppose aucune obligation nouvelle sur le secteur privé, seulement une disponibilité de l'offre.

La deuxième force est le contentieux et la responsabilité des dirigeants. Lorsqu'un incident de sécurité ou une transmission de données à une autorité étrangère donne lieu à une procédure, la question de la diligence de l'acheteur se pose. L'existence d'une certification disponible et non retenue devient alors un élément défavorable, ce qui déplace la charge de la justification vers celui qui a choisi une offre non certifiée. Ce mécanisme agit sans intervention réglementaire nouvelle.

La troisième force est assurantielle. Les couvertures cyber intègrent progressivement des conditions relatives aux dépendances techniques de l'assuré. Une prime différenciée, ou une exclusion de garantie liée à un hébergement hors périmètre, transforme un choix stratégique en arbitrage financier immédiatement lisible par une direction financière. C'est probablement le vecteur le plus efficace, parce qu'il traduit une préoccupation abstraite en ligne budgétaire.

Deux forces qui freinent, et le scénario intermédiaire qu'elles dessinent

Le premier frein est le coût de substitution. Une organisation dont les processus reposent sur un ensemble de services intégrés ne change pas de fournisseur sur un critère de conformité : elle affronte une migration dont le coût, mesuré en années-personnes et en interruptions de service, dépasse souvent le bénéfice attendu. Ce frein est d'autant plus fort que la maîtrise technique, troisième propriété identifiée plus haut, a été négligée lors de l'achat initial.

Le second frein est l'incomplétude fonctionnelle. Sur plusieurs catégories d'outils, l'offre certifiée ne couvre pas l'ensemble des besoins, ce qui contraint l'acheteur à accepter une régression fonctionnelle ou à multiplier les fournisseurs. Tant que cet écart persiste, un critère éliminatoire produit des décisions que les métiers contournent, ce qui installe une informatique parallèle plus risquée que le choix qu'on prétendait éviter.

Ces deux freins dessinent un scénario intermédiaire nettement plus probable que la version forte de l'hypothèse : un critère éliminatoire appliqué à un sous-ensemble de traitements identifiés comme sensibles, et un critère pondéré maintenu ailleurs. Ce scénario suppose une capacité de classification des traitements que peu d'organisations possèdent aujourd'hui, et c'est cette capacité, plus que la certification elle-même, qui constitue le chantier utile.

Ce que la fonction veille prépare utilement dès maintenant

Le premier chantier consiste à établir, pour chaque fournisseur significatif, laquelle des quatre propriétés est effectivement garantie et sur quelle pièce cette garantie repose. Cet exercice révèle presque toujours que les engagements portent sur la localisation, la plus facile à tenir, et restent silencieux sur l'immunité juridique, la plus déterminante. Le résultat tient en un tableau et vaut plus qu'un long avis sur la souveraineté en général.

Le deuxième chantier porte sur le suivi des évolutions du référentiel de certification lui-même. Ces référentiels changent, leurs niveaux se redéfinissent, et une certification obtenue sous un régime ne vaut pas nécessairement sous le suivant. Suivre les sources primaires, publications des agences nationales, textes en préparation et décisions de justice sur les injonctions extraterritoriales, est un travail de veille réglementaire classique dont l'effet sur les achats est direct.

Le troisième chantier concerne la couverture des sources elles-mêmes, car ce dossier se joue simultanément dans plusieurs pays et plusieurs langues. NewsCore (www.newscore.fr) couvre en continu des millions de sources dans de nombreuses langues, hiérarchise les signaux par pertinence et conserve le lien vers la publication d'origine, ce qui raccourcit le délai entre l'adoption d'un texte à l'étranger et sa prise en compte dans une grille d'achat. Les reportages publiés par Le Fil de la Veille sur les décisions de conformité et les arbitrages de cloud fournissent la matière factuelle que cette analyse met en perspective.

Questions fréquentes

Que garantit exactement une certification de souveraineté ?

Elle garantit ce que son référentiel couvre, et les référentiels ne couvrent pas les mêmes propriétés. Certains portent principalement sur la localisation des données et des traitements, d'autres ajoutent des exigences sur l'entité qui contrôle le service et sur son rattachement juridique. Lire le référentiel appliqué, et non la mention de la certification, est la seule manière de savoir laquelle des quatre propriétés est réellement attestée.

Localisation des données et souveraineté sont-elles la même chose ?

Non, et la confusion est la plus fréquente sur ce sujet. Des données hébergées sur le territoire national restent accessibles à une autorité étrangère si l'entité qui exploite le service relève d'un ordre juridique qui l'y contraint. La localisation est une condition utile mais non suffisante, et une réponse de fournisseur qui ne traite que ce point laisse entière la question déterminante, celle du droit applicable à l'exploitant.

Comment évaluer un fournisseur sur la souveraineté sans expertise juridique ?

En posant quatre questions écrites et en exigeant la pièce qui répond à chacune : où sont stockées et traitées les données y compris les sauvegardes, quelle entité contrôle le service et de quel droit elle relève, quel est le coût et le délai d'une sortie complète, et qui détient le capital. L'absence de réponse documentée sur l'une de ces questions est en soi une information exploitable, sans qu'il faille trancher un point de droit.

Un critère éliminatoire est-il préférable à un critère pondéré ?

Cela dépend de la sensibilité du traitement concerné, et appliquer le même régime à tous les achats produit des effets pervers. Un critère éliminatoire généralisé sans offre certifiée complète pousse les métiers vers des contournements plus risqués que le choix évité. Le chantier préalable est donc la classification des traitements, qui indique où l'éliminatoire se justifie et où la pondération reste le bon régime.