La souveraineté PLM/ALM est plus importante que jamais. Je ne suis probablement pas le seul à me demander comment la mesurer réellement au moment de choisir la bonne solution informatique — car il n’existait jusqu’ici aucun étalon commun. Cela est en train de changer.
Dans le dernier article de cette série, j’ai évoqué la triade CIA (Confidentiality, Integrity, Availability) issue de la sécurité de l’information comme cadre d’évaluation — qui se prête déjà assez bien, à un niveau abstrait, à l’évaluation de la souveraineté.
L’EU Cloud Sovereignty Framework (CSF) va dans une direction similaire — en plus concret, avec huit dimensions au lieu de trois :
- SOV-1 – Souveraineté stratégique
- SOV-2 – Droit et juridiction
- SOV-3 – Souveraineté des données et de l’IA
- SOV-4 – Souveraineté opérationnelle
- SOV-5 – Souveraineté de la chaîne d’approvisionnement
- SOV-6 – Souveraineté technologique
- SOV-7 – Souveraineté de la sécurité et de la conformité
- SOV-8 – Durabilité écologique
Chaque dimension est évaluée individuellement — avec un des cinq niveaux SEAL, de SEAL-0 (aucune souveraineté) à SEAL-4 (souveraineté numérique complète). De ces évaluations individuelles résulte ensuite le Sovereignty Score global du fournisseur.
Dans un article précédent, j’ai parlé d’Airbus et de sa directrice du numérique Catherine Jestin. Elle demande aux régulateurs une déclaration claire sur le moment où une entreprise est réellement immunisée contre un accès externe. Le CSF pourrait constituer une première réponse structurée à cette question précise. Il a certes été conçu avant tout pour les appels d’offres publics, mais la logique sous-jacente peut aussi s’appliquer aux décisions du secteur privé.
Sur le principe : c’est un pas dans la bonne direction. Le CSF crée un langage commun sur les dimensions selon lesquelles la souveraineté devrait être évaluée. L’échelle SEAL permet au moins une comparaison grossière entre fournisseurs.
Ce qui reste en suspens
Un Sovereignty Score n’est au final qu’un chiffre. Ce qui est acceptable ou non, le framework ne le décide pas. C’est le rôle d’une stratégie de souveraineté propre à l’entreprise. Sans elle, l’évaluation reste dénuée de sens.
Et c’est précisément là que se trouve le vrai travail : non pas simplement comparer des fournisseurs, mais d’abord comprendre pourquoi et dans quelle mesure la souveraineté est réellement pertinente et déterminante pour sa propre entreprise. La souveraineté n’est pas une fin en soi.
L’EU Cloud Sovereignty Framework fournit pour la première fois un langage commun et une échelle de comparaison grossière pour la souveraineté. Ce qu’il ne fournit pas : la réponse à la question de savoir quel niveau de souveraineté est le bon pour sa propre entreprise. Ce travail stratégique reste la tâche de l’entreprise elle-même.
