Établir un profil d’exigences pour le SaaS : fonctions, interfaces et données

Du besoin au profil d’exigences vérifiable

Dans le cadre d’une souscription SaaS, les mises à jour, la sécurité, l’exploitation et la disponibilité relèvent du fournisseur. Le paiement s’effectue par abonnement – mensuel ou annuel – plutôt que par le biais de frais de licence uniques ; l’installation et la maintenance en interne sont supprimées. Le profil d’exigences régit donc les questions de service, de données et de contrat avec autant de force contraignante que les fonctionnalités métier.

Tout n’est pas négociable : l’exploitation et les correctifs de sécurité ne sont généralement pas discutables dans le modèle SaaS. En revanche, il reste possible de définir l’étendue des modules, les interfaces, les horaires de support, le lieu de stockage des données, les formats d’exportation et les conditions de sortie. Ces points peuvent servir de critères d’exclusion : quiconque ne prend pas en charge les flux de paiement requis ou ne garantit pas un export complet des données est écarté, indépendamment de l’étendue des fonctionnalités.

Le point de départ est votre propre paysage de processus : les exigences varient selon le secteur, la taille de l’entreprise et les processus existants ; les listes de fonctions toutes faites conviennent rarement. Chaque exigence est formulée comme une phrase vérifiable, pour laquelle une preuve peut être demandée – documentation, accès de test, annexe contractuelle ou référence.

Avantages et risques du SaaS dans le contexte suisse

Exigences fonctionnelles : profondeur standard plutôt que liste de souhaits

Les processus centraux constituent l’ossature des critères obligatoires : la comptabilité financière, le traitement des commandes et la gestion des stocks font partie de l’éventail classique des fonctions des ERP SaaS, complétés de plus en plus par le commerce électronique, le CRM, le reporting et l’automatisation. La nécessité d’un domaine donné se décide selon vos propres procédures, et non selon la fiche technique. Si vous ne gérez pas de stock, supprimez la gestion des stocks au lieu de la maintenir comme critère et d’alourdir l’évaluation.

La question centrale est la suivante : solution standard ou plateforme ? Certaines PME privilégient une solution standard légère, tandis que d’autres ont besoin de plateformes extensibles avec un écosystème API, des modules spécifiques au secteur ou une évolutivité internationale. Il existe également des logiciels de gestion modulaires pour les PME suisses sous forme de SaaS ; l’installation, la maintenance et le support sont assurés directement par l’équipe du fournisseur. Le profil précise donc quels modules sont indispensables, lesquels pourront être ajoutés ultérieurement et par quel moyen l’étendue peut être élargie.

Chaque critère obligatoire doit comporter des détails vérifiables : nombre de sociétés comptables et de mandants, types de pièces justificatives pris en charge, unités de quantité et de devise, représentation des succursales et des centres de coûts, concept de droits et de rôles. Seule cette profondeur permet de déterminer si le standard soutient le processus – ou si une adaptation est nécessaire, ce qui est souvent impossible dans le SaaS.

Interfaces : écosystème API et paiements suisses

La capacité d’intégration constitue un groupe d’exigences à part entière, et non une annexe à la liste des fonctions. Les attentes vis-à-vis des ERP SaaS portent sur la capacité d’intégration, la conservation des données et l’adaptabilité. Il convient de clarifier la disponibilité et l’étendue de l’interface de programmation : quels objets sont lisibles et inscriptibles, s’il existe des webhooks, comment l’authentification est effectuée, quelles limites de volume ou de fréquence s’appliquent et si un environnement de test est disponible.

Pour les systèmes existants, le raccordement est nommé concrètement : le commerce électronique, le CRM et le reporting sont généralement connectés à l’ERP ; certaines plateformes intègrent également l’informatique héritée (legacy IT) existante. Outre l’API, les voies d’exportation sont obligatoires – export complet de toutes vos propres données dans un format courant, et non seulement des rapports en PDF.

Dans le contexte suisse, des points de contrôle fixes s’ajoutent aux paiements : facture QR, QR-IBAN et fichiers de paiement Pain.001 selon la norme ISO 20022. Le profil doit également inclure la prise en charge native de l’allemand et du français, afin que les interfaces et les documents fonctionnent dans les deux langues.

Données : lieu, séparation et cycle de vie

Le lieu de stockage des données fait partie des critères stricts. Pour les entreprises suisses, la sécurité et le lieu de stockage des données sont décisifs ; les fournisseurs indiquent soit un hébergement en Suisse, soit dans l’UE. Quiconque ne divulgue pas la région d’hébergement ne satisfait pas à cette exigence.

Dans les architectures multi-locataires, la LPD exige une séparation robuste des données, un chiffrement et des mesures techniques prouvables. Le profil définit comment les mandants sont séparés, comment les données sont chiffrées lors du transfert et au repos, qui gère les clés et comment les accès sont journalisés.

Les délais de conservation et de suppression sont réglementés par catégorie de données, tout comme la reprise des données lors d’un changement de fournisseur : format, exhaustivité, délai et assistance lors de la migration. Les journaux système, d’accès et de surveillance contiennent souvent des données personnelles et nécessitent donc leurs propres règles de conservation dans le profil – plutôt qu’une suppression générale.

La protection des données comme poste d’exigence

Depuis le 1er septembre 2023, la nouvelle loi fédérale sur la protection des données (LPD) est en vigueur. Elle présente une grande proximité matérielle avec le RGPD, mais contient ses propres dispositions ; pour les projets SaaS suisses, c’est elle qui fait foi – et non le RGPD de manière générale.

Les données personnelles sont toutes les informations qui se rapportent à une personne physique déterminée ou déterminable ; cela comprend également les identifiants en ligne tels qu’un numéro d’ID dans un cookie. Le traitement désigne toute opération effectuée avec ces données, de la collecte au stockage et à la conservation, jusqu’à la suppression. Le profil doit donc clarifier où les données personnelles surviennent – y compris dans les profils d’utilisation et les données d’accès pour les plateformes SaaS.

La LPD impose des exigences particulières aux sous-traitants : contrats de traitement des données, catalogue de mesures techniques et organisationnelles, lien de subordination et gestion des sous-traitants sont obligatoires ; les violations peuvent entraîner des amendes allant jusqu’à CHF 250'000. Il convient donc de demander : la liste des sous-traitants avec leur lieu d’établissement, le projet de contrat de traitement des données, la documentation MTO, les procédures pour les demandes des personnes concernées et la notification des incidents de sécurité.

La protection des données dès la conception (Privacy by Design) doit être ancrée dès le processus de développement, et non ajoutée après coup ; il convient donc de demander comment les nouveaux modules et adaptations sont préconfigurés de manière respectueuse de la vie privée. La situation est compliquée par le fait que la délimitation entre sa propre responsabilité et le traitement pour compte d’autrui est souvent complexe dans les plateformes SaaS : l’exploitant traite les données pour le compte des clients et prend simultanément ses propres décisions. Le profil définit donc, par catégorie de données, le rôle tenu par le fournisseur.

Ne pas oublier les exigences spécifiques au pays

La taxe sur la valeur ajoutée figure parmi les premiers points de contrôle. La prise en charge des taux suisses est exigée – 8,1 % taux normal, 2,6 % taux réduit, 3,8 % pour l’hébergement – ainsi que la représentation correcte de la facturation sur les périodes.

En matière de paiements, il faut exiger la facture QR, le QR-IBAN et les fichiers Pain.001 selon la norme ISO 20022 ; ils font partie des exigences typiquement suisses que les fournisseurs internationaux couvrent souvent mal. Le profil doit également inclure la comptabilité des salaires avec les certificats de salaire ainsi que la prise en charge native de l’allemand et du français.

La législation locale reste la référence. Quiconque vérifie la conformité uniquement selon les directives de l’UE overlook les spécificités de la LPD. Les exigences relatives à la conservation des données, à l’archivage et aux obligations d’information sont donc formulées selon le droit suisse.

Aperçu des exigences SaaS suisses

Exploitation, disponibilité et logique tarifaire

L’aspect service fait partie du profil. Les mises à jour, correctifs de sécurité et sauvegardes relèvent de la responsabilité du fournisseur ; les solutions cloud fonctionnent sans infrastructure locale, sont flexibles et évolutives, et sont régulièrement mises à jour. Il faut exiger des indications concrètes sur les engagements de disponibilité, les fenêtres de maintenance planifiées, les délais de réaction et de résolution, ainsi que sur les canaux et langues de support.

Les prix et les structures de forfaits nécessitent de la transparence. Une comparaison de fournisseurs pour les PME suisses mentionne des prix de forfaits allant de CHF 39 à CHF 169 par mois et souligne que la combinaison de plusieurs modules – tels que les salaires, le CRM, les commandes et le stock – atteint rapidement CHF 100 à 200 par mois. Ces coûts additionnels doivent être inscrits comme poste distinct : qu’est-ce qui est inclus dans le forfait de base, qu’est-ce qui coûte supplémentaire, comment les licences utilisateur sont-elles comptabilisées et quel est l’impact de la croissance sur le prix ?

Le scénario de sortie doit figurer dans le profil dès le début : restitution de toutes les données dans un format courant, délais, assistance lors de la migration, maintien en conditions opérationnelles pendant une période de transition et réglementation du sort des sauvegardes après la fin du contrat. Sans ces garanties, la solution lie plus fortement qu’un abonnement ne le laisse supposer.

Pondérer, documenter, comparer

Le profil est divisé en critères obligatoires et souhaitables. Les critères obligatoires servent de critères d’exclusion – si l’un manque, la solution est écartée. Les critères souhaitables sont pondérés, par exemple selon l’utilité, l’effort et le risque, de sorte qu’un score est attribué à chaque fournisseur et que la décision devient traçable.

Des preuves sont exigées, pas simplement demandées : contrat de traitement des données, liste des sous-traitants, preuve MTO, SLA avec engagements de disponibilité et de support, documentation API, liste des formats d’exportation, grille tarifaire et références. Un accès de test ou un bac à sable montre si le standard soutient vos processus centraux avant la signature des contrats.

L’évaluation est consignée par écrit : pour chaque critère, l’évaluation, la source de la preuve et les points ouverts. Les points ouverts sont réglés avant la signature du contrat, afin que la décision reste vérifiable même en cas de changement ultérieur de module, de prix ou de fournisseur.

Étapes pour élaborer un profil d’exigences vérifiable