Le shadow IT : pas de la désobéissance, un trou dans votre offre
Quelque part dans votre organisation se trouve un abonnement dont personne à l’informatique n’a connaissance, payé sur une carte personnelle, avec des données de l’entreprise dedans. Ce n’est pas un incident. C’est le résultat prévisible d’un processus de demande plus long que la patience de quelqu’un qui a une échéance.
Le shadow IT, c’est tout logiciel ou service utilisé pour le travail sans que l’informatique le sache. En pratique, dans une organisation de cent personnes, cela fait vite plusieurs dizaines d’abonnements.
Cela ne vient presque jamais d’une mauvaise volonté. Cela vient de ce que quelqu’un avait besoin de quelque chose, que par l’informatique cela aurait pris quatre semaines, et qu’une carte traînait dans le tiroir. La cause est le délai, pas les personnes.
Le problème n’est pas l’outil mais ce qui manque autour : pas de contrat de sous-traitance, pas de sauvegarde, pas de sortie d’effectif, et personne qui sache que cela existe quand cela tombe.
Ce que c’est et pourquoi cela apparaît
Le shadow IT, c’est tout logiciel, stockage ou service utilisé pour le travail sans que l’organisation informatique le sache. Un outil de planification qu’une équipe s’est offert. Un service de partage de fichiers où le marketing range ses visuels. Un service de formulaires par lequel arrivent les candidatures. Un assistant d’IA sur un compte personnel.
L’image qui l’accompagne est celle de collaborateurs qui contournent les règles. Cette image est rarement juste. Ce qui se passe réellement est ceci : quelqu’un a besoin de quelque chose, en fait la demande, apprend qu’une évaluation et un appel d’offres y sont attachés, regarde la date à laquelle le projet doit être livré, et règle cela lui-même pour neuf euros par mois.
Vu ainsi, le shadow IT n’est pas un problème de comportement mais une mesure. Il mesure l’écart entre ce dont les gens ont besoin et ce qu’ils peuvent obtenir à temps par la voie officielle. Une organisation avec beaucoup de shadow IT n’a pas des collaborateurs désobéissants ; elle a un processus de demande trop lent pour le travail qui en dépend.
Cela explique aussi pourquoi nettoyer sans traiter la cause ne fonctionne pas. Coupez tout et quelque chose de nouveau apparaît en six mois — mieux caché, puisque tout le monde sait désormais que l’on surveille.
Ce qui cloche réellement
L’outil lui-même n’est généralement pas le problème. Ce qui manque, c’est tout ce qui l’entourerait normalement.
- Il n’y a pas de contrat de sous-traitance. S’il contient des données personnelles — noms de clients, candidats, arrêts maladie — vous répondez au titre du RGPD d’un traitement sur lequel vous n’avez rien de convenu. C’est un manquement que l’on ne répare pas le jour où quelqu’un pose la question.
- Il n’y a pas de sauvegarde. Non parce que le service n’en a pas, mais parce que personne de votre côté ne l’a vérifié. Si le fournisseur disparaît ou si le compte est perdu, le contenu est perdu et votre plan de reprise n’en dit rien.
- La sortie d’effectif passe à côté. Vous désactivez le compte de quelqu’un dans votre environnement en pensant qu’il est sorti. L’abonnement à son nom, créé avec son courriel personnel, continue de fonctionner — fichiers compris.
- Personne ne sait que cela existe. Vous l’apprenez quand cela tombe. Une équipe est alors à l’arrêt avec un service sans contrat, sans interlocuteur et sans accord de support, et cela arrive à un service desk qui n’en sait rien.
- Le paiement passe sur une carte personnelle. Si la personne part, le paiement part. En général vous le découvrez le jour où le service est coupé.
Il y a un aspect moins souvent évoqué : la dépense en double. Dans presque tous les inventaires que nous menons, deux ou trois services se révèlent détenir chacun leur abonnement à quelque chose qui aurait pu être acheté une fois, ou à quelque chose déjà compris dans les licences déjà présentes.
Comment recenser ce qui tourne
Il n’est pas nécessaire d’acheter un produit dédié. L’information est déjà dans quatre endroits que vous avez probablement, et ensemble ils couvrent l’essentiel.
- Votre fournisseur d’identité. Si quelqu’un se connecte à un service avec son compte professionnel, c’est enregistré. La liste des applications d’entreprise de votre environnement est donc votre meilleure source unique, et elle existe déjà.
- Le trafic sortant. Votre pare-feu ou votre gestion réseau voit vers quels services les connexions partent. Cela produit du bruit, mais les noms récurrents ressortent.
- La comptabilité. Cherchez dans les notes de frais et les relevés de carte les montants entre cinq et cent euros qui reviennent chaque mois. C’est la source la plus ennuyeuse et souvent la plus rentable.
- Demandez, tout simplement. Un tour des responsables d’équipe avec la question « qu’utilisez-vous que nous ignorons peut-être » rapporte plus qu’un scan, à condition qu’il soit clair que la réponse n’attirera pas d’ennuis. Cette dernière partie est la condition, et elle n’est pas facultative.
Attendez-vous à une liste plus longue que prévu. Dans une organisation de cent personnes, quelques dizaines de services est normal, et la plupart sont inoffensifs. C’est précisément pourquoi il vous faut la liste : sans vue d’ensemble, impossible de distinguer les trois qui comptent.
Ce que l’on fait de la liste
Il y a trois issues par service, et la répartition penche presque toujours du côté auquel on ne s’attend pas.
- Reprendre. Le service fait l’affaire, il est réellement utilisé, et il n’a rien de fautif hormis d’être resté hors de vue. Basculez-le sur un compte professionnel, réglez le contrat de sous-traitance, raccordez la connexion à vos propres identités et inscrivez-le à l’inventaire. C’est l’issue pour la plus grande partie de la liste.
- Remplacer. Quelque chose dans vos licences existantes fait déjà la même chose. La conversation n’est alors pas « c’est interdit » mais « vous l’avez déjà et nous vous le configurons ». Sans cette seconde moitié, cela ne prendra pas.
- Couper. Il contient des données qui n’ont rien à y faire, ou le fournisseur n’est pas évaluable. C’est la plus petite catégorie, et la seule où l’on retire quelque chose sans rien donner en échange. Gardez-la pour la fin, avec une date et une solution de remplacement.
Ce que l’on consigne dans les trois cas, c’est qui en est propriétaire de votre côté. Pas l’informatique — le service qui l’utilise. L’informatique gère l’accès et le contrat ; savoir si le service est encore nécessaire revient à celui qui travaille avec. C’est la même répartition des rôles que dans gouvernance de service.
Pourquoi cela revient si l’on se contente de nettoyer
Un inventaire est un instantané. Si la cause demeure, la liste est de nouveau pleine un an plus tard, et ce n’est pas un échec du nettoyage mais l’issue prévisible.
Une chose fait la différence : le délai d’une demande. Tant que quelqu’un avec une échéance doit attendre quatre semaines une réponse, la carte bancaire reste plus rapide. Ce que font les organisations qui gardent la main :
- Une voie courte pour les petites choses. En dessous d’un montant et sans données personnelles : réponse sous une semaine, une page, pas d’appel d’offres. Gardez l’évaluation lourde pour là où elle a sa place.
- Une liste de ce qui est déjà autorisé. Qui peut vérifier que le service souhaité est déjà approuvé ne demande rien et se met au travail. C’est un gain des deux côtés.
- Le non est permis, mais avec une alternative. Un refus sans remplacement est la cause directe de la prochaine vague de shadow IT. Ce n’est pas une menace, c’est ce qui arrive.
- Reprendre le tour deux fois par an. Une revue semestrielle des mêmes quatre sources coûte une demi-journée et garde la liste juste.
Une catégorie croît plus vite que les autres et relève d’ici pour la même raison : les assistants d’IA sur des comptes personnels. C’est du shadow IT à l’état pur — pas d’abonnement, pas de facture, pas de trace — et l’approche est la même : assurez-vous qu’il existe une voie approuvée avant d’essayer de fermer celle que vous ne voulez pas. C’est développé dans l’IA au poste de travail.
Les questions que l’on nous pose
Celles qui reviennent le plus souvent lorsque le sujet est sur la table.
Combien de shadow IT est normal ?
Dans une organisation de cent personnes, nous trouvons en général quelques dizaines de services absents de l’inventaire. Cela paraît alarmant et ne l’est habituellement pas : l’essentiel est un outil de planification, un outil de conception ou un petit convertisseur sans données personnelles. La question n’est pas combien il y en a mais lesquels, parmi eux, contiennent des données qui n’ont rien à y faire. Sans inventaire, cette distinction est impossible, et la discussion devient affaire de ressenti.
Faut-il couper immédiatement tout ce que l’on trouve ?
Non, et c’est chez nous la plus petite catégorie. La plupart des services conviennent et étaient simplement hors de vue ; on les reprend sur un compte professionnel avec un contrat de sous-traitance. Une partie peut être remplacée par ce qui figure déjà dans vos licences, et l’offre de le configurer va avec. On coupe là où se trouvent des données qui n’ont rien à y faire — et même alors avec une date et une alternative, sinon cela revient sous une autre forme.
Comment trouver ce qui tourne sans acheter un produit dédié ?
Avec quatre sources que vous avez probablement. Votre fournisseur d’identité montre à quels services les gens se connectent avec leur compte professionnel. Votre pare-feu voit vers quoi partent les connexions. La comptabilité montre les petits montants mensuels sur les notes de frais et les cartes. Et un tour des responsables d’équipe rapporte souvent le plus, à condition qu’il soit clair qu’une réponse honnête n’attirera pas d’ennuis. Ensemble, ces quatre couvrent l’essentiel.
Qui répond d’un service qu’un service a acheté lui-même ?
Au titre du RGPD, l’organisation est responsable de traitement, quel que soit celui qui a appuyé sur le bouton. C’est précisément pourquoi « c’est le service qui l’a fait » n’est pas une défense face à une autorité ou à un client. En pratique, nous plaçons la propriété auprès du service qui l’utilise — c’est lui qui juge s’il est encore nécessaire — et la gestion des accès et du contrat auprès de l’informatique. Les deux par écrit, car un propriétaire qui ne figure nulle part n’en est pas un.
Où cela se range chez nous
Les services dont relève ce sujet.
Envie de savoir ce qui tourne hors de vue chez vous ?
Un inventaire sur ces quatre sources coûte une demi-journée et produit une liste qui vous appartient, même si vous n’en faites rien de plus.
Des connaissances informatiques concrètes dans votre boîte mail
De nouveaux guides sur la gestion, la sécurité et le poste de travail, écrits par ceux qui font le travail. Sans discours commercial, et la désinscription se fait en un clic.