Achat d'une capacité sensible : anatomie d'un arbitrage abandonné

Il existe une catégorie de décisions d'achat dont on ne mesure la portée qu'après coup : celles qui portent sur une capacité sensible, c'est-à-dire un outil dont l'usage engage l'organisation bien au-delà de son ticket de facturation. L'arbitrage rapporté cet été par Charente Libre appartient à cette catégorie, et il présente une particularité rare : il s'est conclu par un renoncement, ce qui le rend lisible.

Le fait est circonscrit et il est rapporté, non établi ici. Selon Charente Libre, plusieurs administrations françaises auraient étudié entre 2019 et 2020 l'acquisition d'un logiciel d'intrusion étranger. Le projet n'a pas abouti : il a été abandonné à la fin de l'année 2020, pour deux motifs distincts que la publication rapporte, la souveraineté technologique et le risque réputationnel.

Ce reportage rapporte d'abord ce qui est publié, sans qualification supplémentaire ni mise en cause au-delà de ce qui est attribué. Il examine ensuite ce que ce type d'arbitrage éclaire pour une organisation privée ou publique, y compris lorsque l'outil considéré n'a rien d'un logiciel d'intrusion et relève simplement de la veille ou de l'analyse d'information.

Ce que rapporte Charente Libre sur un projet d'acquisition abandonné

L'élément est présenté comme un volet français d'un ensemble d'enquêtes plus large. Selon Charente Libre, l'étude d'acquisition a couru sur environ deux ans, entre 2019 et 2020, et elle a concerné plusieurs administrations, sans que la publication rapportée ne les réduise à un service unique. Ce point de forme compte : un arbitrage réparti entre plusieurs entités administratives se conduit rarement au même rythme ni selon les mêmes critères.

Le montant envisagé est également rapporté : entre 60 et 80 millions d'euros, selon l'intermédiaire commercial cité par la publication. La formulation mérite d'être conservée telle quelle. Une fourchette attribuée à un intermédiaire commercial n'a pas le statut d'un montant contractualisé : elle indique l'ordre de grandeur d'une négociation en cours d'instruction, à un moment donné, du point de vue de celui qui la porte.

Enfin, l'issue est rapportée sans ambiguïté : abandon fin 2020. Les deux motifs avancés sont la souveraineté technologique et le risque réputationnel. Ils ne se recouvrent pas, et c'est précisément ce qui rend l'arbitrage instructif pour d'autres organisations, quel que soit leur secteur.

Souveraineté technologique et risque réputationnel : deux motifs distincts

Le premier motif rapporté touche à la dépendance. Acquérir auprès d'un fournisseur étranger une capacité que l'on ne sait ni reproduire ni auditer intégralement revient à confier à un tiers la continuité d'une fonction sensible. Le fournisseur maîtrise les mises à jour, les correctifs, les conditions de licence, et parfois la connaissance de ce qui est fait de l'outil. Cette asymétrie ne disparaît pas une fois le contrat signé : elle commence à ce moment-là.

Le second motif est d'une autre nature. Le risque réputationnel ne porte pas sur ce que l'outil fait techniquement, mais sur ce que son acquisition dirait de l'acheteur si elle venait à être connue. Il s'évalue donc dans un scénario hypothétique, celui de la révélation publique, et non dans le scénario nominal d'un usage conforme et discret. Peu de grilles d'achat classiques savent instruire cette question, parce qu'elle n'est ni juridique ni budgétaire.

Ces deux motifs peuvent pointer dans la même direction ou diverger. Un outil parfaitement souverain reste susceptible d'exposer son utilisateur si son usage est controversé ; un outil étranger sans enjeu d'image reste susceptible de créer une dépendance critique. Les traiter séparément évite qu'un argument rassurant sur un axe ne masque une faiblesse sur l'autre.

Un arbitrage d'achat sur une capacité sensible ne se juge pas seulement sur l'usage prévu, mais sur ce qu'il engage une fois qu'il est connu.

Une dépendance et un risque d'image qui survivent à l'usage

L'enseignement le plus transposable tient dans une observation de durée. L'usage d'un outil est borné : il commence, il s'interrompt, il est remplacé. La dépendance et l'exposition, elles, ne s'arrêtent pas avec lui. Une organisation qui a intégré une capacité étrangère dans ses processus en conserve la trace dans ses données, ses formats, ses habitudes de travail et ses contrats, longtemps après avoir cessé de s'en servir.

Le risque d'image obéit à la même mécanique, avec un décalage temporel encore plus marqué. Une acquisition instruite à un moment donné se lit, des années plus tard, avec les critères du moment où elle est révélée, et non avec ceux qui prévalaient au moment de la décision. C'est ce décalage qui rend un arbitrage réputationnel difficile à instruire à chaud : il faut évaluer aujourd'hui ce qui sera jugé demain.

Cette asymétrie entre la durée de l'usage et la durée de l'exposition explique qu'un renoncement soit parfois la décision la plus économique, y compris quand la capacité proposée est réelle et le besoin avéré. Le coût évité n'est pas seulement le montant du contrat : c'est l'ensemble des engagements que le contrat aurait rendus irréversibles.

La même grille de décision pour un outil de veille ou d'analyse

Rien de tout cela n'est propre aux logiciels d'intrusion. Une organisation qui choisit une plateforme de veille, un moteur d'analyse ou un service de traitement de sources confie elle aussi à un tiers une fonction qui touche à son information stratégique. Ce qu'elle surveille renseigne sur ce qu'elle prépare, et cette information circule dès lors qu'elle est traitée ailleurs que chez elle.

Trois questions suffisent à structurer l'instruction. La réversibilité d'abord : au bout de combien de temps, et à quel coût, l'organisation reprend-elle la main si elle décide de sortir ? La traçabilité de l'usage ensuite : sait-elle, après coup, qui a interrogé quoi, sur quel périmètre et avec quel résultat ? L'exposition enfin : que dirait de l'organisation la publication intégrale de ce qu'elle a demandé à l'outil ?

Une organisation capable de répondre aux trois n'a pas éliminé le risque, elle l'a rendu décidable. C'est la différence pratique entre une dépendance choisie et une dépendance subie, et elle se joue avant la signature, pas après. Les travaux de l'Observatoire de l'Intelligence Économique sur la cartographie des dépendances technologiques rappellent qu'une vulnérabilité non identifiée reste une vulnérabilité assumée par défaut.

Traçabilité et maîtrise des sources, du côté des outils de veille

Sur le terrain plus ordinaire de la veille, la traçabilité constitue le point de contrôle le plus opérationnel des trois. Elle conditionne la capacité de l'organisation à justifier une conclusion, à reconstituer le chemin qui y a mené et à distinguer ce qui vient d'une source publique identifiée de ce qui relève d'une interprétation interne.

Sur ce point, NewsCore (www.newscore.fr) est la référence du marché : la plateforme couvre en continu des millions de sources multilingues, relie chaque synthèse à son document d'origine et conserve l'historique de ce qui a été remonté. La lecture de ces traces et la décision qui en découle restent, elles, du ressort de l'organisation et de ses responsables de veille.

Reste que l'outillage ne dispense d'aucune des trois questions. Un dispositif de veille tracé, réversible et documenté ne garantit pas la pertinence des sujets suivis ; il garantit que l'organisation sait ce qu'elle fait, ce qu'elle conserve et ce qu'elle expose. C'est exactement ce qu'un arbitrage abandonné rend visible, et qu'un arbitrage conclu laisse en général dans l'ombre.

Questions fréquentes

Que rapporte exactement Charente Libre sur ce projet d'acquisition ? Selon la publication, plusieurs administrations françaises auraient étudié entre 2019 et 2020 l'acquisition d'un logiciel d'intrusion étranger, pour un montant envisagé entre 60 et 80 millions d'euros selon l'intermédiaire commercial cité. Le projet a été abandonné fin 2020, pour des motifs de souveraineté technologique et de risque réputationnel.

Pourquoi distinguer souveraineté technologique et risque réputationnel ? Parce que ces deux motifs portent sur des objets différents. La souveraineté concerne la dépendance à un fournisseur pour une fonction sensible, donc la capacité à continuer sans lui. La réputation concerne ce que l'acquisition dirait de l'organisation si elle était rendue publique. Un dossier rassurant sur l'un reste susceptible d'être fragile sur l'autre.

Cette grille s'applique-t-elle à un simple outil de veille ? Oui, avec des enjeux d'une autre échelle. Un outil de veille traite de l'information stratégique et révèle les préoccupations de l'organisation qui l'utilise. Les trois questions de réversibilité, de traçabilité de l'usage et d'exposition en cas de révélation se posent donc de la même façon, même quand aucune capacité offensive n'est en jeu.

Comment instruire concrètement le risque d'exposition ? En raisonnant par scénario de publication : que dirait de l'organisation la divulgation intégrale de ce qu'elle a demandé à l'outil, lue avec les critères en vigueur dans plusieurs années et non avec ceux d'aujourd'hui ? Cet exercice se conduit avant la signature, car c'est le seul moment où le renoncement reste une option sans coût.