Audit SaaS PME : Du chaos des factures à inventaire fiable en 90j

En 2026, le SaaS Sprawl ne sera plus une théorie dans les équipes Cloud des PME, mais une friction tangible dans la facture mensuelle. Le marketing, les RH, les ventes et certaines équipes d’ingénierie achètent des outils par carte de crédit sans que l’informatique, les achats ou les FinOps en soient informés. Pour changer cela de manière systématique, il ne faut pas une révolution, mais un programme de 90 jours composé de trois éléments : l’exploration des achats par carte de crédit, la vérification des journaux SSO pour une utilisation réelle et un pipeline automatique de réclamation des licences pour les licences inutilisées. Le contrôle de la pratique montre comment cela peut être mis en œuvre dans une entreprise de taille moyenne comptant entre 200 et 2 000 employés.

Les points clés en bref

Pourquoi la dispersion des SaaS sera plus visible en 2026

Qu’est-ce que la dispersion des SaaS ? La dispersion des SaaS décrit la croissance non contrôlée des licences et des abonnements de logiciels en cloud au sein d’une entreprise, sans que les fonctions d’informatique, de FinOps ou d’achat aient une vue d’ensemble complète. Les applications sont souscrites par des employés ou des équipes individuels via carte de crédit, puis transférées sur des comptes d’entreprise ou restent dans des structures parallèles. Les conséquences sont des licences redondantes, des abonnements inutilisés, des remises sur volume manquées et des risques de conformité liés au traitement des données et à la gestion des identités.

Trois facteurs ont amplifié cet effet en 2026. Premièrement : les outils d’intelligence artificielle. Chaque département souhaite utiliser Claude, Gemini, Copilot ou un outil vertical spécialisé, souvent en parallèle et sans coordination. Deuxièmement : les plateformes consolidées des fournisseurs. Microsoft, Google et Salesforce vendent des bundles qui chevauchent des outils internes. Si l’on n’y prend pas garde, on paie deux fois pour le même outil. Troisièmement : le turnover des employés. Chaque départ laisse généralement entre trois et sept licences SaaS actives qui n’ont jamais été désactivées.

L’ampleur du phénomène peut être chiffrée pour une entreprise de taille moyenne. Une entreprise de 500 employés dépense en moyenne entre 1,5 et 3,5 millions d’Euro par an pour les outils SaaS. Un audit de dispersion des SaaS bien mené permet de récupérer entre 15 et 25 pour cent de cette somme. Cela représente entre 250 000 et 875 000 Euro par an, qui peuvent être réinjectés dans le budget de l’entreprise sans perte de fonctionnalité. L’investissement dans le programme de 90 jours se situe généralement dans la plage des six chiffres bas. Le retour sur investissement est ainsi réalisable dès la première année.

Bloc 1 : Extraction de données de cartes de crédit pour les achats fantômes

La source la plus simple et souvent la plus efficace est la facture de carte de crédit. Les employés achètent des outils SaaS avec des cartes de crédit d’entreprise, souvent dans une fourchette de 10 à 200 euros par mois. En analysant systématiquement les relevés de carte de crédit des 24 derniers mois, on trouve des dizaines voire des centaines de fournisseurs qui n’apparaissent nulle part dans le paysage IT central. Des outils comme Vendr, Tropic ou Zluri proposent des parcours d’extraction automatisés qui extraient les noms de fournisseurs des transactions par carte de crédit et les comparent aux bases de données SaaS internes.

Une démarche typique se déroule ainsi : la comptabilité fournit les données de carte de crédit des 24 derniers mois au format CSV. Un script d’extraction ou un outil spécialisé regroupe les données par fournisseur, fréquence et volume. En deux à quatre semaines, une liste de 50 à 300 fournisseurs SaaS est générée. Chaque fournisseur est associé à un responsable et comparé à la base de données centrale des actifs. Les doubles facturations, les outils abandonnés et les licences fantômes deviennent visibles. La première réaction dans de nombreuses entreprises est la surprise face à la longueur de la liste.

L’impact culturel secondaire est important. Lorsqu’on communique clairement sur l’extraction de données de carte de crédit, on transmet aux employés un sentiment de responsabilité sans les stigmatiser comme des « pécheurs » en matière d’achats. Un ton ouvert « nous voulons voir l’utilisation réelle, pas vous prendre en flagrant délit » porte le programme. Celui qui commence avec de la méfiance perd la participation des départements spécialisés et donc le plus grand levier.

Bloc 2 : Vérification des journaux SSO pour une utilisation réelle

La deuxième source de données est le système d’authentification unique (SSO). Les fournisseurs d’identité comme Okta, Microsoft Entra, Google Workspace ou Auth0 enregistrent quel employé se connecte à quelle application et quand. En comparant ces journaux avec l’inventaire des licences, on observe deux modèles importants. Premièrement : des outils qui sont licenciés mais rarement ou jamais utilisés. Deuxièmement : des outils intensément utilisés mais qui ne figurent pas dans l’inventaire des licences, par exemple parce qu’ils sont utilisés via des comptes « Free Tier ».

Ces deux modèles conduisent à des mesures concrètes. Les licences inutilisées peuvent être réduites lors de la prochaine négociation contractuelle, souvent avec des économies significatives. Les applications « Free Tier » avec une utilisation élevée devraient être intégrées dans des contrats de licence formels, tant pour des raisons de conformité que pour la sécurité des données. Celui qui ne prend pas cette mesure laisse ses données commerciales critiques dans des systèmes tiers non contrôlés.

La mise en place technique est gérable. Une extraction hebdomadaire des données du système SSO, un mappage avec la base de données d’inventaire SaaS et un tableau de bord avec des profils d’utilisation par outil et par groupe d’employés suffisent. Des fournisseurs comme Productiv, BetterCloud et Zluri proposent des intégrations prêtes à l’emploi pour les IDP courants. Celui qui dispose d’une équipe IT réduite obtient des résultats plus rapidement avec un outil standard qu’avec un développement interne.

Bloc 3 : Pipeline automatique de récupération de licences

Le troisième bloc traite du cycle de vie. Les licences attribuées à un employé qui a quitté l’entreprise doivent être automatiquement désactivées ou réattribuées. Les licences inutilisées depuis 60 jours devraient être automatiquement marquées et récupérées après 90 jours. Ce pipeline ne fonctionne que si les départements RH, IT et FinOps travaillent sur un modèle de données commun.

L’architecture typique combine les données de base RH (entrée, sortie, changement de poste) avec l’activité SSO, l’inventaire des licences et des moteurs de workflow comme ServiceNow, Atlassian Jira Service Management ou des outils similaires. Celui qui met cela en place automatise la récupération des licences et réduit considérablement la gestion manuelle. Dans les six premiers mois, entre 5 et 15 % des licences existantes peuvent être récupérées sans effort supplémentaire.

La chaîne d’escalade est importante. Une licence n’est pas retirée sans avertissement, mais avec un délai de grâce de 14 jours et une notification à la personne utilisatrice et à son supérieur. Celui qui ne respecte pas cela construit de la frustration et perd l’acceptation du programme. La discipline dans l’escalade décide du succès, plus que la maturité de l’outil.

Un programme de 90 jours pour FinOps et les achats

Trois mois suffisent pour obtenir un premier état des lieux fiable. Les jalons suivants se sont avérés être un rythme réaliste pour plusieurs équipes Cloud de taille moyenne.

Ce que les équipes Cloud apprennent après les 90 premiers jours

Les expériences issues des premiers programmes sont étonnamment similaires dans de nombreuses entreprises. Trois leçons ressortent particulièrement. Premièrement : la liste des fournisseurs SaaS identifiés est toujours plus longue que prévu. Un doublement du nombre initialement estimé n’est pas inhabituel. Les directions doivent se préparer à cette surprise et ne pas tomber dans le premier réflexe défensif.

Deuxièmement : les économies proviennent moins de la désactivation d’outils que de la consolidation des volumes. Lorsqu’une entreprise dispose de trois outils marketing aux fonctionnalités similaires, il est rare de négocier avec succès une réduction des outils, car les départements spécialisés défendent leurs outils préférés. En revanche, en alignant les durées de contrat sur un point de renouvellement commun et en négociant un meilleur prix avec chaque fournisseur, on exploite systématiquement le potentiel d’économies.

Troisièmement : l’impact culturel est au moins aussi précieux que l’impact financier. Les employés qui font partie d’un programme transparent achètent de manière plus réfléchie dans les mois qui suivent. Ils déclarent les outils en temps voulu, examinent de manière plus critique les options de niveau gratuit et acceptent les voies d’approvisionnement formelles. Une fois cela établi, on évite 80 % des effets de dispersion futurs.

Pour la direction, une observation supplémentaire est utile. Les audits de dispersion SaaS fournissent souvent des indications sur des problèmes structurels au-delà de la question des licences. Si trois équipes marketing ont acheté indépendamment le même logiciel, il y a un problème de communication. Si l’équipe d’ingénierie achète constamment des outils SaaS pour des tâches qui manquent sur la plateforme interne, il y a un problème de plateforme. La discussion sur la maturité FinOps est enrichie par les audits de dispersion SaaS avec une collection de cas concrets. Les deux sont étroitement liés.

Comment le programme passe en mode de fonctionnement régulier

Après les 90 premiers jours, la phase de transition décide du succès à long terme. Trois éléments assurent le fonctionnement régulier. Premièrement : un forum permanent FinOps-Procurement avec un pilotage mensuel et un budget fixe. Deuxièmement : une ligne de reporting trimestrielle à la direction avec trois KPI clairs. Troisièmement : une intégration dans les directives d’approvisionnement de l’entreprise, qui lie chaque nouvel achat SaaS à un workflow d’approbation court mais contraignant.

Un ensemble de KPI typique pour la vue de la direction comprend le nombre d’applications SaaS actives, l’utilisation moyenne des licences et les coûts SaaS en pourcentage du budget IT. Ces trois chiffres suffisent pour une évaluation trimestrielle rapide. Celui qui peut établir une tendance sur quatre trimestres dispose d’un instrument de pilotage solide. Dans les PME en 2026, c’est précisément cette tendance qui est l’objectif réel du programme, et non un rapport d’audit ponctuel.

Une observation complémentaire est utile pour la communication avec le conseil d’administration : les équipes Cloud qui effectuent régulièrement des audits de dispersion SaaS gagnent des arguments pour la prochaine négociation de budget IT. Un historique d’économies documenté est plus efficace dans une conversation avec le CFO que n’importe quelle déclaration d’efficacité abstraite. Celui qui construit consciemment le reporting se construit un levier souple pour la prochaine investment dans la plateforme, les outils ou les talents.

Foire aux questions

Source de l’image de titre : Pexels / Lukas Blazek (px:577195)