Un SLA d’infogérance ne vaut, sous DORA, que s’il se mesure : un engagement chiffré dont la société de gestion ne peut pas consulter le relevé ne protège ni le dirigeant ni son RCCI le jour où l’ACPR demande de voir.

Ce qui rate dans la plupart des annexes SLA

Une annexe de trois pages promet un rétablissement en 4 heures et 99,9 % de disponibilité. Le contrat est signé, tout le monde est content. Personne n’a écrit à quel moment le chronomètre démarre, quel outil produit le chiffre, qui peut le consulter, ni ce qui se passe le mois où il n’existe pas.

Le cas typique : l’heure de départ est celle de l’accusé de réception automatique du ticket, l’heure d’arrivée est celle où le prestataire clôt le ticket de son côté, et le client découvre au premier litige que ces deux horloges ne racontent pas la même panne. Un utilisateur qui attend depuis 9 h 12 un poste qui ne démarre pas n’a que faire d’un ticket « résolu » à 9 h 40 parce qu’un technicien a déclaré avoir lancé une réinitialisation.

Que dit DORA, et que ne dit-il pas ?

Le règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025, exige pour les fonctions critiques ou importantes des « objectifs de performance quantitatifs et qualitatifs précis » dans le contrat de service TIC, avec leur mise à jour et leur révision (article 30, paragraphe 3, point a, texte sur EUR-Lex). L’exigence porte sur la précision et la vérifiabilité de l’objectif.

Sur le niveau, le règlement se tait. Aucun seuil de disponibilité minimal n’y figure, ni 99,5 ni 99,9, et nous n’avons pas trouvé non plus de chiffre de référence dans les pages de l’ACPR consacrées à DORA. C’est à la société de gestion de fixer le seuil selon la criticité de la fonction, et de pouvoir expliquer son choix. Ce que l’autorité dira de cette explication lors des contrôles de 2026, nous ne le savons pas encore (voir l’année de supervision DORA).

Même incident, deux horloges Deux frises horizontales pour le même incident. En haut, en rouge, l'horloge du prestataire démarre à l'accusé de réception automatique et s'arrête à la clôture du ticket côté prestataire. En bas, en vert, l'horloge mesurée démarre à la création du ticket, passe par le premier acte humain de prise en charge et s'arrête au rétablissement confirmé par l'utilisateur, nettement plus tard. Une accolade met en évidence l'écart non mesuré entre les deux fins. Un curseur parcourt chaque frise de gauche à droite et s'arrête à la fin de chaque horloge. Même incident, deux horloges HORLOGE DU PRESTATAIRE Accusé automatique Clôture côté prestataire Écart non mesuré HORLOGE MESURÉE Création du ticket Premier acte humain Rétablissement confirmé temps →
Les deux horloges racontent le même incident ; seule celle du bas se défend devant un contrôleur.

Comment écrire un SLA que l’on peut prouver ?

Cinq éléments doivent figurer noir sur blanc dans la clause, dans cet ordre de lecture :

  • l’événement qui déclenche le chronomètre (la création du ticket, jamais l’accusé automatique) ;
  • l’événement qui l’arrête : le premier acte humain pour la prise en charge, la confirmation par l’utilisateur pour le rétablissement ;
  • la source de mesure, qui doit être l’outil de tickets lui-même et pouvoir s’exporter ;
  • la fréquence à laquelle le relevé est remis, avec les tickets en dépassement listés un par un ;
  • les exclusions chiffrées, fenêtres de maintenance comprises.

Chez ITAIA, les engagements publiés sont une prise en charge en moins de 10 minutes et une intervention sur site en moins de 4 heures. Le chiffre de 97 % de SLA respectés est un relevé : il contient donc les 3 % que nous avons manqués, et nous les montrons. Notre position, qui peut déplaire : un prestataire qui refuse de montrer ses dépassements ne devrait pas gérer un système d’information réglementé.

Objection que l’on entend : « Mon prestataire est trop petit pour sortir des rapports. » Il n’a pas besoin de rapport. Un export mensuel de la liste des tickets avec les horodatages de création, de prise en charge et de clôture suffit à calculer soi-même chaque délai. Les prestataires qui répondent que c’est impossible utilisent souvent un outil qui l’autorise, ou n’ont pas envie.

Le seuil se déduit du coût de l’arrêt

Un seuil de rétablissement de 4 heures se défend si l’on sait ce que coûte une heure d’arrêt, pas parce qu’il figure dans le contrat type du prestataire. Le calculateur du coût d’un arrêt informatique donne un ordre de grandeur à joindre au dossier, et l’ordre de grandeur suffit : un raisonnement documenté vaut mieux qu’une décimale.

Ce relevé alimente aussi le registre d’information, à remettre chaque année avant le 31 mars. Un registre qui renvoie à un SLA mesuré se défend ; un registre qui renvoie à une promesse se contente d’exister. Précisons que nous ne contrôlons pas nous-mêmes nos engagements : la lecture du relevé revient à la société de gestion, à son RCCI ou à un tiers indépendant.

Jeudi matin, ouvrez l’annexe SLA de votre contrat d’infogérance principal et cherchez-y le mot « mesuré ». S’il manque, vous tenez votre prochain avenant, et nous pouvons en parler pendant un rendez-vous de 30 minutes.

Sources : Règlement (UE) 2022/2554, EUR-Lex ; ACPR, page DORA ; AMF, dossier thématique DORA.