"Signer un contrat fournisseur est une négociation business."

Beaucoup considèrent le contrat fournisseur comme une formalité standardisée. La réalité est qu’investir dans sa rédaction consciencieuse est l’un des investissements le plus rentable qu’une organisation puisse faire.

La clé est d’accepter que ces rendements ne se génèrent pas le jour de la signature, mais bien le jour de l’incident. Effectivement, les crises ont cette capacité de révéler la valeur d’un contrat équilibré, sur lequel on puisse réellement s’appuyer.

Ma thèse est la suivante : mieux vaut investir vos efforts dans une négociation pacifiée, que dans un litige déséquilibré.

Cette tribune n’est pas un recueil de recommandations juridiques. Sans prétention d’exhaustivité par ailleurs, elle propose simplement des éléments de cadrage ayant vocation à faire économiser du temps et des ressources sur la gestion du risque fournisseur.

Les 5 questions socle

Un contrat doit répondre à cinq questions. C’est précisément parce qu’elles semblent évidentes qu’on tend à les négliger.

• Qui contractualise ? Vous l’avez compris, le point ici est d’identifier précisément la filiale engagée, car ce n'est pas toujours l'entité à laquelle on pense. La personne morale signataire n'est pas nécessairement celle qui porte les actifs, ni celle qui est assurée. C'est pourtant elle, et non le groupe, qui répondra le jour du litige.
  
  

• Pourquoi et pour quel objet ? Prendre garde de bien définir les périmètres d’intervention et de responsabilité. Cela passe par une définition précise du libellé du service rendu. Sans elle, on ne sait pas ce qu'on a acheté, et on ne saura pas davantage qui porte la responsabilité.
  
  

• Comment le service est-il rendu ? Clarifier les attentes et les moyens, c’est déminer des litiges à venir. Où sont les zones de flou ? Quels sont les moyens engagés par le fournisseur ? Quels “SLAs” ou niveaux de service sont attendus ? Sont-ils bien stipulés au contrat ?
  
  

• Comment en sort-on ? Autrement dit, existe-t-il une clause de réversibilité ? Spécifie-t-elle concrètement les modalités de sortie en cas de faille ou faillite du fournisseur ? De métier, je vous assure que ce n’est pas dans le conflit que vous souhaiterez avoir cette discussion. Les formalités doivent être comprises et pré-validées dès la signature par les deux parties. Objectif : arriver à une clause immédiatement exécutable, sans négociation.
  
  

• À quel coût ? Pliez-vous à l’exercice de mettre un chiffre sur toute sortie éventuelle. A quelles pénalités pouvez-vous vous engager ? Sont-elles dérisoires ou réelles ? 
  
  

Plus que dans 5 questions, la clé réside ici dans le fait d’adopter une posture de proactivité. Astreignez-vous à une lecture interactive du contrat, à poser des questions, même, voire surtout, si vous n'en êtes pas le rédacteur. 

Nul besoin d’être juriste pour clarifier ces points. Le tout est de le faire avant la contractualisation, et non après. 

La responsabilité se négocie sur la conséquence, pas sur le prix

La clause de responsabilité n'est pas une clause type. Elle s'écrit au cas par cas, et elle s'écrit différemment selon qu'on se place côté client ou côté fournisseur.

Un principe directeur à garder à l’esprit : on ne définit pas le montant de responsabilité sur le prix du service mais bien sur les conséquences de son arrêt.

Par exemple, une pratique courante consiste à plafonner la responsabilité sur les sommes versées au titre du contrat, souvent les douze derniers mois de redevance. Si le raisonnement paraît défendable, il aligne l'indemnisation sur la valeur du service, et non les dégâts qu’il peut causer. 

Un service peu coûteux dont l'interruption paralyse votre activité mérite plus que le coût d’un an de licence. Prenez donc bien garde à négocier une clause de responsabilité solide.

La cohérence de toute la chaîne

Votre posture de responsabilité doit tenir du sous-traitant final jusqu'à votre propre client. C'est une exigence de cohérence, et c'est là que beaucoup de dispositifs se fissurent.

Un éditeur SaaS ne peut pas garantir à son client un droit d'audit que son propre hébergeur lui refuse. Si l'engagement existe contractuellement, il est inopposable en pratique. Le client doit donc connaître la chaîne de sous-traitance et obtenir qu'on la lui explique.

Une distinction mérite d'être faite : le droit de savoir n'est pas le droit d'agir. Obtenir la cartographie de la chaîne de valeur est une chose. Pouvoir auditer, être notifié avant un changement de sous-traitant, s'y opposer — en est une autre. Beaucoup de contrats accordent généreusement le premier et refusent silencieusement le second. On obtient alors de la visibilité sans levier.

Subsiste ensuite la vraie question de fond du risque fournisseur : jusqu'où va-t-on ? Qu’est-il raisonnable, utile, responsable de mettre en place ? 

Cette question continue d’alimenter bien des débats. Pour couper court, la réponse universelle n’existe pas. Il vous revient de l’acter pour votre cas de figure propre, mais toujours au moment de la contractualisation, et non après.

Les clauses qu'on oublie — et celle qu'on met sans (assez) réfléchir

• Réversibilité et audit : Nous en parlions au-dessus, cette clause est à adapter au cas d'usage. Ne jamais adopter des clauses génériques. Si votre clause est recopiée, le plus probable est qu’elle ne sera d’aucun recours.

  
  

• La propriété intellectuelle : Si elle a toujours été stratégique, l’IA rend désormais cette clause critique. Vérifier le statut des données entrantes et sortantes, rester titulaire de ses jeux de données, en conserver la maîtrise … La question de ce que le fournisseur s'autorise à faire de vos données pour améliorer son service ne peut plus rester implicite.

  
  

• La cession du contrat : Cette clause constitue angle mort auquel on est confronté bien plus souvent qu’on ne pourrait l’imaginer. En cas de rachat du fournisseur, qu’advient-il de votre relation ? Un changement d'actionnaire redessine une chaîne de sous-traitance sans que personne ne pense à vous prévenir.

  
  

• La loi applicable et la juridiction compétente : Au risque de citer l’évidence, il vous faut définir contractuellement sur quel terrain de responsabilité vous opérez. J’attire votre attention sur le fait qu’il n’existe pas de loi neutre. Dans le doute, mieux vaut ancrer sur le siège social et le lieu d'exécution, qu’une « loi suisse soi-disant neutre ».
  
  

Souveraineté : savoir où atterrissent vos données

Je finirai sur une perception largement biaisée et adoptée : l'extraterritorialité ne concerne pas que les États-Unis. Le Canada, l'Australie, les pays du dispositif Five Eyes disposent de mécanismes d'accès comparables. Raisonner en « données hors États-Unis, donc protégées » est un raccourci confortable, mais faux.

Le bon réflexe est méthodologique : conduire un Transfer Impact Assessment. L’objet n’est pas de cocher une case de transfert, mais répondre à deux questions concrètes : 

• qui peut accéder à ces données, 

• et par quel canal ?

  
  

Garder à l’esprit que face à une demande étrangère, on n'est pas seul. Le SISSE, à Bercy, rend des avis. Et la loi de blocage de 1968 permet de justifier un refus de communication.

Tout cela se joue avant la signature

Je conclurai en disant que les crises sont inévitables. Un contrat ne nous en prémunit certainement pas. En revanche, il permet aux deux parties de réfléchir de manière constructive à un plan de sortie lorsque ces situations émergent.

Cette tribune traitait des mesures de prévention à considérer au moment de la contractualisation. Ma prochaine tribune abordera les mesures à prendre en cas d’incident pour éviter le contentieux. 

D’ici-là, si ces sujets font écho à des enjeux de votre entreprise, nous avons concentré un guide concret et pratique dans ce livre. 

Nous aurons également l’opportunité d’en discuter le 30 Septembre à 10h avec 5 autres experts du risque fournisseurs. Inscription gratuite.

Au plaisir d’en discuter avec vous.