SaaS sprawl : la méthode d'audit en cinq étapes

La thèse de cet article tient en une phrase : on ne rationalise pas ce qu'on ne voit pas, donc l'inventaire précède toute décision de coupe — et cinq étapes suffisent à l'obtenir. Si votre parc est déjà cartographié, mesuré et doté de propriétaires, cet article ne vous apprendra rien.

L'organisation moyenne de l'échantillon Zylo utilise 305 applications, pour 55,7 M$ annuels (index 2026, commanditaire : Zylo). Sur le mid-market, le parc moyen passe de 116 à 164 applications en un an, +41 % (2026 State of SaaS, commanditaire : BetterCloud). Gartner prévoyait, en novembre 2024, 299,1 Md$ de dépense SaaS mondiale pour 2025 (+19,2 %).

La trajectoire est plus instructive que le niveau : entre 2021 et 2023, le parc moyen mesuré par Zylo avait diminué de 323 à 269 applications. Puis l'IA a tout relancé : +11 % en un an, 27 applications « IA » par organisation (BetterCloud, 2026), et 78 % des responsables IT touchés par des facturations imprévues liées à l'IA ou à la consommation (Zylo, 2026). L'audit n'est pas un grand ménage ponctuel : c'est un cycle.

Précision d'hygiène : presque toutes les statistiques du SaaS sprawl proviennent d'éditeurs qui vendent la solution au problème qu'ils mesurent. Zylo et BetterCloud éditent des plateformes de gestion SaaS ; Okta, une plateforme d'identité. Leurs données restent les plus larges disponibles (40 millions de licences côté Zylo) mais penchent vers les grands comptes. Une PME de 50 personnes n'a pas 305 applications ; le mécanisme, lui, est identique : achats décentralisés, licences dormantes, doublons fonctionnels. Et le shadow IT n'est pas une faute morale.

« Shadow IT is rarely the result of malicious intent. » — NCSC britannique, guidance « Shadow IT », juillet 2023.

Les causes réelles, selon le NCSC : des circuits de demande trop lents, des outils approuvés insuffisants. Un inventaire honnête révèle donc autant de besoins mal servis que d'abonnements à couper : réaffecter avant de supprimer.

Chaque famille a un angle mort mesurable — l'argument pour les croiser plutôt que d'en choisir une.

Okta compte 101 applications par client — uniquement celles intégrées à son SSO — quand Zylo, partant de la dépense, en compte 305. La différence n'est pas une erreur de mesure : c'est l'angle mort d'une méthode unique.

L'ordre compte : le financier d'abord, la technique ensuite, la décision en dernier. Commencez par extraire douze mois de facturation, de cartes et de notes de frais — la seule source que toute direction possède déjà. Croisez ensuite avec les consoles en place : SSO, autorisations OAuth, journaux de passerelle. Chaque écart entre les deux listes est une découverte.

Vient la mesure d'usage — c'est là que dort l'argent : 54 % de licences réellement utilisées en moyenne (Zylo, 2026), chaque point sous 100 % est un argument au prochain renouvellement. Qualifiez ensuite chaque application — propriétaire métier nommé, données traitées, redondances — puis décidez : réaffecter, renégocier, résilier. Installez enfin une revue trimestrielle, car le parc regonfle. Cette discipline de l'inventaire avant la décision est au cœur de notre façon de construire ; le même réflexe structure nos services d'audit.

Ce que ça coûte de ne rien faire — L'organisation moyenne de l'échantillon Zylo (orienté grands comptes) laisse 19,8 M$ de licences inutilisées par an ; 3,8 M$ pour les structures de 1 à 500 employés. Retenez le ratio : 54 % d'utilisation, c'est près d'un franc d'abonnement sur deux dormant. Ajoutez le risque : 18 % des organisations ont subi un incident lié à un ex-collaborateur ayant gardé ses accès ; 25 % seulement automatisent l'offboarding (BetterCloud, 2026).

L'art. 12 LPD impose un registre des activités de traitement : finalités, catégories de données et de destinataires, mesures de sécurité, États destinataires le cas échéant. Chaque application SaaS qui touche des données personnelles a vocation à y figurer.

L'alinéa 5 exempte les entreprises de moins de 250 collaborateurs, à condition d'un risque limité d'atteinte à la personnalité (art. 24 OPDo). Or démontrer un risque limité suppose de savoir quelles applications traitent quelles données : l'exemption repose sur l'inventaire. Un audit bien mené alimente donc directement ce registre : deux obligations, un seul chantier, dans l'esprit de notre méthode.

Les chiffres cités viennent d'échantillons orientés grands comptes : vos montants seront plus petits, pas forcément vos ratios. La méthode suppose un minimum de centralisation technique ; sans SSO ni suite collaborative administrée, les étapes 2 et 3 se réduisent à la facturation et aux entretiens — moins précis mais suffisant en première passe. Le trafic réseau soulève une vraie question de proportionnalité de la surveillance, à traiter avant déploiement. Enfin, sous une vingtaine d'applications, un tableur et une réunion suffisent.