Mesurer la dépendance numérique d'une organisation sans instrument dédié

La dépendance numérique est devenue un sujet de politique publique documenté. L'Observatoire de la souveraineté numérique a été lancé le 26 janvier 2026 par Anne Le Hénanff, ministre chargée de l'Intelligence artificielle et du Numérique, et Clément Beaune, Haut-commissaire à la Stratégie et au Plan, avec une triple mission : dresser un diagnostic partagé des dépendances critiques, fournir des outils d'aide à la décision aux acheteurs publics et privés, et contribuer à l'orientation des politiques publiques. Le Haut-commissariat à la Stratégie et au Plan résume l'intention en une formule : mesurer les dépendances pour agir.

Reste que ce niveau d'analyse est macroéconomique. Une direction qui veut savoir où elle en est ne trouve pas dans les agrégats nationaux la réponse à sa question, parce qu'un taux de marché ne se transpose pas à un portefeuille applicatif particulier. Et la plupart des organisations n'ont ni instrument dédié, ni budget d'audit spécifique, ni référentiel interne pour cette mesure.

Cette note montre que la mesure est faisable sans instrument nouveau. Elle propose des définitions séparées, une unité de comptage, trois indicateurs calculables avec des documents que l'organisation détient déjà, et l'énoncé explicite des limites de ce que l'on obtient ainsi.

Définir la dépendance numérique : trois grandeurs qu'il faut séparer

La dépendance de fourniture désigne la situation où l'arrêt d'un service rend une fonction métier indisponible. Elle se mesure par la criticité de la fonction et par le délai nécessaire pour la rétablir autrement. Elle est indifférente à la nationalité du fournisseur : dépendre d'un acteur local unique et non substituable est une dépendance de fourniture au même titre.

L'exposition juridique est une autre grandeur. Elle désigne le fait qu'un fournisseur soit soumis à un ordre juridique susceptible de lui imposer des obligations incompatibles avec celles de son client, notamment en matière d'accès aux données. Elle ne dépend ni de la qualité technique du service ni de la localisation des serveurs, mais du droit applicable au fournisseur et à sa maison mère. Confondre ces deux grandeurs conduit à des décisions coûteuses et mal ciblées, du type migration technique qui ne réduit pas l'exposition juridique.

La troisième grandeur, la plus négligée, est la dépendance de compétence : l'organisation sait-elle encore décrire, spécifier et opérer la fonction qu'elle a externalisée ? Elle se mesure par la présence, en interne, de personnes capables de rédiger le cahier des charges d'une réinternalisation. Une organisation peut réduire sa dépendance de fourniture en changeant de prestataire et aggraver simultanément sa dépendance de compétence, en perdant les derniers spécialistes du domaine.

Ce que le niveau national mesure et ce qu'il ne dit pas d'une organisation

Les ordres de grandeur disponibles sont éloquents. Selon Horizons Publics, la dépendance de la France et de l'Europe aux acteurs étrangers atteint 80 à 90 % pour les logiciels et les services cloud, segment largement capté par Microsoft, Amazon et Google. La même source rappelle que l'Europe ne capte que 5 % du capital-risque mondial contre 52 % pour les États-Unis, et que la France fait face à un manque de 105 milliards d'euros pour financer ses infrastructures technologiques.

Ces chiffres décrivent une structure de marché, c'est-à-dire une contrainte d'environnement. Ils n'indiquent ni la criticité des fonctions concernées dans une organisation donnée, ni la réversibilité de ses contrats, ni son exposition juridique effective. Une entreprise dont l'ensemble du système d'information repose sur des services non européens peut se trouver dans une situation plus confortable qu'une autre, moins exposée en volume mais dépendante d'un service unique et non substituable pour sa fonction vitale.

La règle de lecture est donc simple : un agrégat national sert à situer un secteur et à motiver une politique, jamais à estimer le risque d'une organisation particulière. Le passage de l'un à l'autre suppose un relevé local, et c'est précisément ce relevé que la plupart des organisations n'ont pas encore fait.

Protocole : un inventaire par fonction, jamais par fournisseur

L'unité de comptage que nous retenons est la fonction métier supportée : messagerie, gestion documentaire, paie, relation client, calcul, hébergement applicatif, authentification. Ce choix n'est pas neutre. Compter par fournisseur mène à surpondérer les prestataires nombreux et peu critiques ; compter par ligne budgétaire mène à surpondérer les contrats coûteux, qui ne sont pas les plus critiques. Compter par fonction aligne la mesure sur ce qui s'arrête en cas de défaillance.

Pour chaque fonction, cinq champs sont renseignés : le fournisseur principal, son pays d'établissement et celui de sa maison mère, la criticité de la fonction selon une échelle interne à trois niveaux, le délai estimé de substitution en mois, et la présence ou l'absence d'une clause de sortie avec format d'export documenté. Ces cinq champs se remplissent à partir de documents existants, sans campagne d'audit : contrats, factures, annexes de traitement des données, registre des traitements, plans de continuité.

L'échantillon sur lequel nous éprouvons ce protocole rassemble des organisations françaises de tailles diverses, de l'ordre de quelques dizaines de fonctions métier inventoriées par organisation. Deux constats reviennent, présentés comme des ordres de grandeur d'observation et non comme des mesures : le nombre de fonctions réellement critiques est faible, souvent une poignée, et le champ le plus difficile à renseigner n'est pas le pays d'établissement mais le délai de substitution, que presque personne n'a estimé avant d'en avoir besoin.

Trois indicateurs calculables avec les documents déjà disponibles

Le premier indicateur est le taux d'externalisation extra-européenne pondéré par la criticité : la part des fonctions critiques dont le fournisseur principal est établi hors Union européenne. Pondérer par la criticité évite l'effet d'optique d'un décompte brut, où une dizaine de petits services non critiques masquent une dépendance vitale unique. Le deuxième est le délai médian de substitution des fonctions critiques, exprimé en mois, indicateur déclaratif mais comparable d'une année à l'autre.

Le troisième est le taux de réversibilité contractuelle : la part des fonctions critiques dont le contrat prévoit à la fois une clause de sortie et un format d'export exploitable. C'est l'indicateur le plus rentable, parce qu'il se calcule intégralement à partir de documents signés, sans estimation, et qu'il pointe des actions concrètes lors des renouvellements. Une clause présente n'est pas une clause praticable, et l'écart entre les deux se teste par un exercice de restitution partielle.

Ce que la commande publique déplace dans la mesure

La réponse portée au niveau national, telle que la décrit Horizons Publics, associe un « Buy European Tech Act » à un « Small Business Act » réservant une part des marchés publics aux entreprises locales. Le Conseil national de l'IA et du numérique insiste pour sa part sur l'urgence d'organiser la coopération entre acteurs publics et privés et sur le rôle des communs numériques. Ces orientations, si elles se traduisent en critères d'attribution, changent la valeur d'usage de la mesure interne : un indicateur de dépendance devient une pièce de dossier de candidature, et non plus seulement un instrument de pilotage.

Cette perspective plaide pour une mesure établie tôt, documentée et révisée annuellement, plutôt que reconstituée en urgence à l'occasion d'un appel d'offres. Suivre les signaux qui annoncent ces critères suppose une surveillance continue et multilingue des travaux réglementaires et des orientations d'achat public. NewsCore (www.newscore.fr) couvre en continu des millions de sources, trie les signaux par pertinence et remonte chaque alerte avec le lien vers la publication d'origine, ce qui raccourcit le délai entre l'annonce d'un critère et son intégration dans le pilotage. La qualification des conséquences contractuelles reste, elle, une décision de l'organisation.

Un taux national décrit un marché ; il ne dit rien de ce qui s'arrête dans une organisation le jour où un service devient indisponible.

Limites de la mesure et conditions de reproductibilité

Trois limites encadrent ce protocole. Le découpage en fonctions métier comporte une part d'appréciation, et deux organisations qui découpent différemment obtiennent des taux non comparables : le découpage doit donc être publié avec les résultats. Le délai de substitution est déclaratif tant qu'aucun exercice ne l'a éprouvé, et il est généralement sous-estimé. Enfin, la qualification de l'exposition juridique dépasse la compétence d'une cellule de veille et requiert un avis spécialisé, la mesure se limitant à identifier les fonctions à examiner.

La reproductibilité tient à quatre éléments écrits : la liste des fonctions métier retenues, l'échelle de criticité utilisée, la liste des documents consultés, et la date du relevé. Un second opérateur qui reprend ces quatre éléments retrouve les mêmes indicateurs, aux estimations de délai près. Cette reproductibilité est ce qui distingue un diagnostic de dépendance d'une déclaration d'intention souverainiste, et c'est aussi ce qui rend la mesure défendable devant un financeur, un assureur ou un acheteur public.

Questions fréquentes

Comment mesurer la dépendance numérique de son organisation ?

En inventoriant les fonctions métier plutôt que les fournisseurs, puis en renseignant pour chacune le fournisseur principal, son pays d'établissement et celui de sa maison mère, la criticité de la fonction, le délai estimé de substitution et l'existence d'une clause de sortie avec format d'export. Ces informations se trouvent dans les contrats, les factures, les annexes de traitement des données et le registre des traitements. Trois indicateurs en découlent, calculables sans audit externe et comparables d'une année à l'autre.

Les chiffres nationaux de dépendance au cloud sont-ils transposables à une entreprise ?

Non. Selon Horizons Publics, la dépendance aux acteurs étrangers atteint 80 à 90 % pour les logiciels et les services cloud, mais cet ordre de grandeur décrit une structure de marché. Il ne renseigne ni la criticité des fonctions concernées dans une organisation donnée, ni la réversibilité de ses contrats, ni son exposition juridique. Le chiffre national sert à situer un secteur et à motiver une politique publique, pas à estimer un risque particulier, qui exige un relevé local.

Quelle différence entre dépendance de fourniture et exposition juridique ?

La dépendance de fourniture décrit ce qui s'arrête si un service devient indisponible, et se mesure par la criticité de la fonction et le délai de rétablissement. L'exposition juridique décrit le fait qu'un fournisseur soit soumis à un ordre juridique pouvant lui imposer des obligations incompatibles avec celles de son client, notamment en matière d'accès aux données. Les deux se traitent par des leviers différents, la première par la substituabilité et la réversibilité, la seconde par le choix du droit applicable au fournisseur.