Plan de sortie d'un fournisseur SaaS : le prévoir à l'avance

Le 16 juillet 2026, OneTrust a publié la FAQ de retrait de Tugboat Logic, le produit qu'elle appelle aussi Certification Automation. Les renouvellements ont pris fin le 31 août 2026, le soutien standard se termine le 31 août 2027, l'accès cesse à la fin de l'abonnement et les clients ont 60 jours après l'expiration du contrat pour récupérer leurs données. Aucun soutien prolongé n'est offert. Ce n'est ni une faillite ni un incident : c'est une décision de produit, et chaque fournisseur SaaS peut en prendre une. Le moment de préparer la sortie est la signature du contrat, pas la lettre d'annonce.

Ce que disent les sources

DORA. Le règlement (UE) 2022/2554, applicable depuis le 17 janvier 2025, est le texte le plus précis sur la sortie. Son article 28, paragraphe 8, dispose que « pour les services TIC qui soutiennent des fonctions critiques ou importantes, les entités financières mettent en place des stratégies de sortie ». Ces stratégies tiennent compte d'une défaillance du prestataire, d'une détérioration du service, d'une perturbation ou d'une résiliation. L'entité doit pouvoir se retirer sans perturber ses activités, sans restreindre le respect de ses obligations réglementaires et sans nuire aux services offerts à ses clients. Les plans de sortie sont « complets et documentés », soumis à des tests suffisants et réexaminés périodiquement. Les plans de transition doivent permettre de retirer les services et les données du prestataire et de les transférer « en toute sécurité et intégralement » à un autre prestataire ou à l'interne.

L'article 30 traduit cette exigence en clauses. Pour tout contrat TIC : l'accès, la récupération et la restitution des données « dans un format facilement accessible » en cas d'insolvabilité, de cessation des activités ou de résiliation (paragraphe 2, point d), et les droits de résiliation avec leurs délais de préavis minimaux (point h). Pour les fonctions critiques ou importantes, s'y ajoutent les stratégies de sortie, « en particulier la fixation d'une période de transition adéquate obligatoire » pendant laquelle le prestataire continue de fournir le service (paragraphe 3, point f).

BSIF, ligne directrice B-10. La ligne directrice sur la gestion du risque lié aux tiers, datée du 30 avril 2023, définit le plan de sortie comme une série de mesures à prendre lors d'une sortie planifiée ou non planifiée, avec les éléments qui déclenchent le plan. À la section 2.3.5.1, elle demande, pour les ententes critiques ou à risque élevé, un guide de sortie en situation de crise, un guide de sortie planifiée, un renvoi aux dispositions contractuelles « telles que les modalités de notification et les dispositions obligeant le tiers à fournir des services pendant une période prescrite », et assez de détails (fournisseurs de rechange, échéanciers, coûts, ressources, solutions provisoires) pour une exécution rapide. Pour les clauses de défaut et de résiliation, elle exige un préavis suffisant et la remise des données et des documents de manière à ce que l'institution puisse poursuivre ses activités sans frais excessifs. Elle reste proportionnelle : un plan de sortie peut ne pas être nécessaire pour une entente à faible risque.

Pourquoi ça compte

Les deux textes visent les entités financières, mais ils décrivent ce que toute organisation devrait savoir de ses fournisseurs SaaS : combien de temps le service continuera après un avis de fin, sous quelle forme les données reviendront, combien de temps elles resteront disponibles et ce qu'il en restera chez le fournisseur.

Le cas de Tugboat Logic montre la sortie la plus fréquente : planifiée, mais selon le calendrier du fournisseur. Un délai de 60 jours après l'expiration suffit pour télécharger des fichiers. Il ne suffit pas toujours pour vérifier qu'un export est complet, le charger ailleurs et confirmer que rien ne manque, surtout quand les données sont des preuves d'audit dont les dates comptent.

La suppression est le point le plus souvent oublié. DORA parle de retirer les données du prestataire ; ni DORA ni B-10 ne nomment une attestation de suppression. C'est pourtant la seule façon de fermer le dossier : savoir quand les données de production et les sauvegardes auront disparu, et l'avoir par écrit.

Ce que nous en pensons chez Sentrix

1. Classer chaque fournisseur SaaS avant d'écrire son plan. La proportionnalité de B-10 et la notion de fonction critique ou importante de DORA disent où l'effort doit porter. Le module risques tiers tient ce classement avec la fiche du fournisseur.
2. Exiger un format d'export documenté, et le tester. Des formats ouverts, avec les métadonnées : dates, auteurs, liens entre les objets. Un export qui n'a jamais été rechargé ailleurs n'est pas un plan.
3. Écrire la période de transition et la conservation après résiliation en jours, avec l'obligation de maintenir le service pendant la transition, comme l'exige l'article 30 de DORA.
4. Demander une confirmation écrite de suppression, données de production et sauvegardes, avec le délai de purge des sauvegardes.
5. Fixer un préavis minimal pour la résiliation et pour la fin de vie d'un produit. La ligne directrice du BSIF en fait un élément du plan ; un avis de retrait devrait vous laisser au moins le temps d'un appel d'offres.
6. Tenir le plan dans le registre des fournisseurs, avec la date du dernier test et les déclencheurs. Notre article sur le registre des informations de DORA montre comment ces champs s'y rattachent.

La prochaine étape

Prenez vos trois fournisseurs SaaS les plus critiques et répondez par écrit, pour chacun : préavis en cas de fin du produit, durée de la transition, format d'export, délai de conservation après résiliation, confirmation de suppression. Chaque case vide est une clause à négocier au prochain renouvellement. Pour faire l'exercice avec nous, contactez-nous.