La face cachée des audits des éditeurs de logiciels Un DSI face aux audits des éditeurs

"Dans ma carrière de DSI, j'ai connu quatre audits, deux de la part de Microsoft, un d'Oracle et un d'IBM", se rappelle Didier Pawlak, ancien analyste programmeur chez SPEIG, devenu DSI de Quintess de 2006 à 2014 et DSI du Groupe Pénélope depuis 2014. "C'est très difficile, même pour un DSI qui souhaite être en conformité : chaque éditeur à son propre mode de pricing selon le nombre de serveurs, de cœurs, d'utilisateurs, et il est généralement tellement complexe que même eux ont bien souvent du mal à s'y retrouver."

En cas d'acquisition d'un éditeur par un autre, tout se complexifie

Même en étant de toute bonne foi, un DSI peut se trouver pris en défaut par un éditeur, sachant que chacun d'eux à un mode de comptage des licences qui lui est propre et qu'aucune harmonisation n'est possible. Une association s'est même créée en Grande-Bretagne (la "Campaign for Clear Licensing") afin de pousser les éditeurs à simplifier leurs licences, mais aussi pour dénoncer leurs pratiques en matière d'audits.

"Un autre point très complexe à gérer pour un DSI, c'est lors de fusions et acquisitions de sociétés", ajoute Didier Pawlak. "Même les éditeurs ont de la peine à regrouper et consolider toutes les licences de manière uniforme sur un même compte groupe. On peut très bien avoir 10 comptes ouverts chez un même éditeur et avoir beaucoup de mal à obtenir une vision globale de toutes les licences que l'on exploite."

Se donner les moyens de piloter les cas particuliers

En outre, les DSI doivent faire face à l'obsolescence rapide des logiciels au catalogue des éditeurs. Sur ce point, Didier Pawlak évoque l'utilisation d'une ancienne application développée pour Microsoft Access 2003, un logiciel qui n'est plus au catalogue du groupe américain depuis plusieurs années et pour lequel il n'est plus possible d'acheter de nouvelles licences : "A l'arrivée d'un nouveau salarié, comme Access 2003 n'était plus commercialisé par Microsoft, nous avons acquis une licence supplémentaire de la dernière version en date, Access 2013. Nous n'avions pas le choix. C'est le genre de chose que l'on finit immanquablement par oublier et, quelques années plus tard, l'audit peut mettre en évidence qu'il manque une licence Access 2003. Il faut vraiment se doter d'outils pour capturer ce type d'informations et être capable de l'expliquer au moment de l'audit."

"Il faut voir l'audit de façon positive. Cela vous permet de remettre à jour votre parc", (Didier Pawlak - Groupe Penelope)

De même, avec les arrivées et départs de salariés dans l'entreprise, la DSI doit fréquemment ouvrir de nouvelles boîtes aux lettres dans l'urgence. Rapidement, le nombre de licences Exchange peut se trouver déphasé avec la réalité. "En arrivant chez Penelope, je me suis fait aider par la société spécialisée Comsoft qui m'a permis d'avoir une vision exacte de mon parc et être en conformité", ajoute Didier Pawlak.

"L'audit est bien plus souvent perçu comme une intrusion que comme une véritable aide de la part des éditeurs. Microsoft vous envoie un e-mail avec un questionnaire à renseigner et des éditeurs comme Oracle ou IBM mandatent un cabinet qui va venir mener l'audit. On reçoit alors un recommandé qui explique que telle société d'audit a été mandatée par tel éditeur. Il faut aussi voir l'audit de façon positive. Cela vous permet de remettre à jour votre parc", conclut le DSI.