Shortlist logiciel ESG : les 12 questions qu'un DAF doit poser avant signature

Les 3 questions économiques que tout DAF doit poser à l'éditeur

Le prix de licence est facile à comparer. Il est aussi insuffisant pour arbitrer entre deux logiciels ESG.

Pour le DAF, la première étape consiste à reconstruire l’économie réelle du projet sur plusieurs années : coût total de possession, prévisibilité des tarifs et valeur attendue de l’investissement.

Question 1, quel est le TCO complet sur 3 à 5 ans, poste par poste ?

La première question à poser systématiquement consiste à demander à chaque éditeur shortlisté un TCO (Total Cost of Ownership ou coût total de possession) structuré poste par poste sur trois à cinq ans, plutôt qu’un forfait global.

La comparaison doit au minimum faire apparaître :

• la licence logicielle en année 1 et son évolution sur la durée du contrat ;
• ‍
  l’implémentation et le paramétrage initial, au forfait, en régie ou selon un modèle mixte ;
• ‍
  l’intégration au SI, en distinguant les connecteurs natifs des développements spécifiques ;
• ‍
  la formation et l’accompagnement des administrateurs et contributeurs ;
• ‍
  la maintenance et les évolutions incluses ou facturées séparément ;
• ‍
  le coût des extensions prévisibles : nouveaux sites, nouveaux utilisateurs, nouveaux modules ou nouveaux périmètres.

Le point de vigilance est simple : un prix d’entrée attractif ne dit rien du coût réel de la solution à trois ou cinq ans. Deux logiciels affichant une licence comparable peuvent avoir des TCO très différents lorsque l’on ajoute les coûts de paramétrage, d’intégration ou d’extension.

‍

Demandez une décomposition suffisamment précise pour pouvoir reconstruire le coût du projet dans vos propres hypothèses.

Pour approfondir la méthode de chiffrage du TCO d’un logiciel ESG, consultez notre analyse des différents postes de coût.

À retenir : un TCO structuré poste par poste est le préalable non négociable de tout arbitrage financier. Sans périmètre de coût commun, la comparaison entre éditeurs reste biaisée.

‍

Question 2, quel engagement tarifaire sur 3 ans minimum ?

Deuxième question : quel prix l’entreprise paiera-t-elle réellement pendant toute la durée du contrat ?

Le tarif de départ ne suffit pas. Il faut sécuriser les règles qui détermineront son évolution.

Demandez notamment :

• pendant combien de temps le prix de la licence est garanti ;
• ‍
  quelle grille tarifaire s’applique aux modules complémentaires ;
• ‍
  comment sont facturés les nouveaux utilisateurs, sites ou filiales ;
• ‍
  quelles clauses de révision sont prévues : indexation, indice retenu, fréquence et éventuel plafond.

Cette question est particulièrement importante lorsque le projet ESG est amené à s’étendre. Un outil déployé initialement auprès d’une équipe RSE peut progressivement accueillir des dizaines ou centaines de contributeurs et couvrir davantage de sites, de pays ou de référentiels.

Il faut donc simuler le contrat dans sa configuration future, et pas seulement dans celle du jour de la signature.

À retenir : un contrat sans visibilité tarifaire pluriannuelle expose l’entreprise à des hausses difficiles à arbitrer une fois la solution déployée. Les conditions d’évolution du prix sont aussi structurantes que le prix initial.

‍

Question 3, quel ROI documenté sur les gains attendus ?

La troisième question économique porte sur la valeur : quels gains l’investissement doit-il produire et comment l’éditeur peut-il les documenter ?

Plusieurs catégories peuvent être étudiées.

Les gains de productivité concernent notamment la réduction du temps consacré à la collecte, aux relances, aux contrôles, à la consolidation ou à la préparation des reportings.

Les gains de fiabilité portent sur la réduction des erreurs, la traçabilité des modifications et la capacité à sécuriser les contrôles et l’audit.

Les gains liés à la conformité peuvent provenir d’une meilleure documentation des données et d’une organisation plus robuste des processus de reporting.

Enfin, certains gains sont plus stratégiques : capacité à répondre plus rapidement aux demandes clients, à certains appels d’offres ou à produire des indicateurs ESG utiles aux métiers.

Demandez à l’éditeur des références clients documentées,. N'hésitez pas à demander à contacter les clients comparables à votre organisation pour obtenir des chiffres et preuves documentés. Ils seront plus utiles à votre décision que le pourcentage de ROI générique annoncé sur la page web de l'éditeur.

‍

Les 3 questions fonctionnelles et techniques à poser sur les logiciels ESG shortlistés

Une fois l’équation économique clarifiée, la shortlist doit être challengée sur sa capacité à répondre au besoin réel de l’entreprise.

À ce stade, trois questions permettent de vérifier la profondeur fonctionnelle, la capacité à gérer la complexité organisationnelle et l’intégration dans le SI existant.

Question 4, quels sont les référentiels et méthodologies supportés nativement ?

La première question fonctionnelle porte sur les référentiels réellement pris en charge par la solution.

Côté climat, vérifiez notamment la couverture du GHG Protocol, du BEGES, de la méthodologie Bilan Carbone® et des bases de facteurs d’émission nécessaires à votre activité, ainsi que des méthodologies sectorielles lorsque vous en avez besoin.

Côté ESG, le périmètre peut inclure les ESRS, mais aussi selon vos usages la VSME, le GRI, EcoVadis, CDP ou d’autres référentiels volontaires et sectoriels.

Le point critique consiste surtout à distinguer deux situations :

• le référentiel est supporté nativement, avec une méthodologie et une structure déjà intégrées à la solution ;
• le référentiel peut être reproduit par paramétrage, ce qui peut nécessiter davantage de configuration, de maintenance et parfois d’expertise interne.

Demandez donc à voir concrètement le référentiel dans le logiciel plutôt que de vous contenter d’une réponse « oui » dans une matrice fonctionnelle.

Pour approfondir les fonctionnalités d’un logiciel bilan carbone à exiger, consultez notre cahier des charges dédié. Pour les besoins de reporting de durabilité, retrouvez également nos critères fonctionnels CSRD à valider lors du choix d'un logiciel dédié.

‍

Question 5, comment la solution gère-t-elle la consolidation multi-sites et multi-filiales ?

Pour une ETI ou un groupe, cette question est souvent beaucoup plus discriminante qu’une longue liste de fonctionnalités.

Demandez à l’éditeur de montrer comment son logiciel gère :

• plusieurs niveaux d’arborescence organisationnelle ;
• des sites, filiales, business units ou pays ;
• les évolutions de périmètre liées aux acquisitions, cessions ou restructurations ;
• une collecte distribuée avec plusieurs profils de contributeurs et niveaux de validation ;
• le passage d’une donnée consolidée à sa donnée source ;
• des restitutions groupe et des restitutions propres à chaque entité.

La meilleure façon de vérifier ces capacités consiste à demander une démonstration construite autour d’un cas représentatif de votre organisation.

Une solution fluide avec une société, un administrateur et quelques indicateurs peut en effet devenir beaucoup plus difficile à administrer avec plusieurs centaines de sites et des workflows de validation décentralisés.

Pour approfondir la grille de questions à poser en démonstration sur un périmètre multi-sites, consultez notre article dédié.

Un logiciel performant en mono-site n’est pas nécessairement adapté à une consolidation groupe. Testez la solution sur votre complexité réelle.

‍

Question 6, quelle intégration au SI existant (ERP, RH, achats, BI) ?

Un logiciel ESG n’a pas vocation à devenir une nouvelle source de saisie manuelle pour des données qui existent déjà ailleurs.

La DSI doit donc pouvoir évaluer précisément les capacités d’intégration de chaque solution shortlistée.

Questionnez la présence de connecteurs natifs avec vos ERP, SIRH, logiciels achats, outils énergétiques ou solutions de Business Intelligence.

Vérifiez également la disponibilité et la maturité de l’API (Application Programming Interface) : documentation, méthodes disponibles, limitations, environnement de test et modalités de support.

Pour chaque connexion qui n’est pas native, faites chiffrer le développement spécifique et sa maintenance.

Enfin, vérifiez les mécanismes de gestion des identités : SSO (Single Sign-On) et protocoles d’authentification ou de provisioning compatibles avec votre SI lorsque ceux-ci sont requis.

Le coût à évaluer n’est pas uniquement celui facturé par l’éditeur. La charge interne de la DSI fait elle aussi partie du coût réel du projet. Une intégration mal anticipée peut transformer une licence compétitive en projet coûteux. Faites valider l’architecture cible et la charge DSI avant la signature.

Pour approfondir la grille technique d’intégration d’un logiciel ESG au SI, consultez notre article dédié aux API et connecteurs.

‍

Les 3 questions sécurité et souveraineté des logiciels ESG à valider

Les données ESG ne sont pas toutes des données personnelles, mais elles peuvent contenir des informations sensibles : données énergétiques, informations fournisseurs, données RH agrégées ou détaillées, indicateurs financiers et données stratégiques.

Une solution fonctionnellement convaincante peut donc encore être bloquée lors de la revue DSI, RSSI ou DPO si ces sujets ont été traités trop tard.

Question 7, quelles certifications de sécurité (ISO 27001, SOC 2) ?

La première question ne doit pas se limiter à demander si l’éditeur possède une certification ISO 27001 ou un rapport SOC 2.

Ces certifications constituent des éléments de preuve utiles lorsqu’elles sont disponibles, mais elles doivent être appréciées avec l’ensemble de la démarche sécurité de l’éditeur. La décision doit porter sur la maturité globale du dispositif de l’éditeur et son adéquation avec vos propres exigences.

Demandez donc à chaque solution shortlistée de documenter :

• sa gouvernance et sa politique de sécurité ;
• la gestion des accès et des privilèges ;
• le chiffrement des données au repos et en transit ;
• sa politique de sauvegarde et de restauration ;
• ses dispositifs de gestion des vulnérabilités et des incidents ;
• la réalisation de tests d’intrusion réguliers ;
• les certifications, audits ou évaluations indépendantes disponibles.

Selon le secteur et les contraintes propres à votre entreprise, des exigences supplémentaires peuvent s’ajouter : certification HDS lorsque des données de santé sont concernées, exigences liées à NIS2 ou DORA, qualification SecNumCloud lorsque le niveau de sensibilité le justifie.

Le point important pour le DAF consiste donc moins à cocher une certification unique qu’à vérifier que la DSI ou le RSSI dispose de suffisamment d’éléments concrets pour évaluer la maturité réelle de l’éditeur.

Pour approfondir la grille de contrôle sécurité en quatre dimensions, consultez notre article consacré à la sécurité et à la souveraineté des données ESG.

‍

Question 8, où sont hébergées les données et comment l’hébergement est-il sécurisé ?

La deuxième question consiste à comprendre concrètement où et comment les données ESG sont hébergées.

Demandez à l’éditeur de préciser :

la localisation géographique des données ;
le ou les fournisseurs cloud utilisés ;
la localisation des sauvegardes ;
les principaux sous-traitants intervenant dans l’hébergement et le traitement des données ;
les mesures mises en place pour sécuriser l’infrastructure et assurer la disponibilité des données.

L’objectif n’est pas nécessairement d’exiger un modèle d’hébergement particulier. Les attentes peuvent varier fortement selon le secteur, la sensibilité des données et la politique interne de l’entreprise.

En revanche, l’éditeur doit être capable de fournir une vision claire et documentée de son architecture d’hébergement afin que la DSI, le RSSI ou le DPO puissent vérifier sa compatibilité avec les exigences de l’organisation.

Pour certaines entreprises soumises à des contraintes spécifiques, des critères complémentaires de localisation ou de souveraineté pourront être ajoutés à l’analyse. Ils doivent alors être définis en fonction du niveau de risque réel de l’entreprise plutôt qu’appliqués indistinctement à tous les projets ESG.

à retenir : il n’existe pas un modèle d’hébergement adapté à toutes les entreprises. Le critère essentiel est de disposer d’une information transparente sur la localisation, les prestataires impliqués et les mesures de sécurité afin de permettre une validation par vos équipes compétentes.

Question 9, comment l’éditeur couvre-t-il la conformité RGPD et les exigences réglementaires applicables ?

Toutes les données ESG ne relèvent pas du RGPD. Mais un logiciel ESG peut traiter des données personnelles, notamment lorsqu’il centralise certaines données RH, fournisseurs ou les données de connexion et d’usage des contributeurs.

L'important n'est pas que le le logiciel soit "conforme RGPD" , mais plutôt que l’éditeur soit en capacité de fournir les éléments permettant à votre DPO, votre DSI et votre juridique de vérifier sa conformité à vos propres exigences.

Lorsque l’éditeur agit comme sous-traitant au sens du RGPD, demandez son DPA (Data Processing Agreement) et vérifiez avec votre DPO ou votre juridique les conditions dans lesquelles les données personnelles sont traitées.

Plusieurs éléments doivent notamment pouvoir être documentés :

• les traitements de données personnelles concernés ;
• les sous-traitants mobilisés et leur localisation ;
• les modalités d’exercice des droits des personnes ;
• les éventuels transferts de données hors de l’Union européenne et les garanties associées ;
• la procédure de notification en cas de violation de données ;
• les éléments nécessaires à une éventuelle analyse d’impact sur la protection des données.

Mais le RGPD n’est pas nécessairement le seul cadre applicable. Selon l’activité de l’entreprise, NIS2, DORA ou encore les exigences liées à l’hébergement de données de santé peuvent compléter la grille de contrôle.

L’enjeu consiste donc à identifier ces contraintes avant la signature et à transmettre suffisamment tôt la documentation de l’éditeur aux équipes compétentes. Une revue DPO ou DSI réalisée une fois l’éditeur sélectionné peut faire apparaître tardivement un point bloquant qui aurait pu être identifié dès la shortlist.

‍

Les 3 questions de gouvernance contractuelle à sécuriser dans le contrat logiciel ESG

La dernière dimension concerne ce qui se passe après la signature.

Un logiciel ESG peut rester en place plusieurs années. Le contrat doit donc couvrir non seulement le fonctionnement nominal de la solution, mais aussi les incidents, l’évolution du service et la sortie de la relation

Question 10, quelle réversibilité en cas de sortie du contrat ?

La réversibilité répond à une question simple : si vous décidez de changer d’éditeur dans trois ans, pouvez-vous récupérer l’ensemble de vos données dans des conditions exploitables ?

Le contrat doit préciser :

• les formats de restitution ;
• les données et métadonnées incluses ;
• le niveau de traçabilité conservé ;
• le délai de mise à disposition ;
• les éventuels coûts de réversibilité ;
• la durée de conservation après la fin du contrat ;
• les modalités de suppression des copies restantes.

Un export PDF des tableaux de bord ne constitue évidemment pas une réversibilité suffisante. Les données doivent pouvoir être reprises dans un autre système sans reconstruction intégrale de plusieurs années d’historique.

Pour les données personnelles, le RGPD prévoit par ailleurs que le sous-traitant supprime ou restitue les données au terme de la prestation, selon le choix du responsable de traitement, sous réserve des obligations légales de conservation.

Attention, la réversibilité est un vrai point de vigilance,souvent négligé en négociation mais critique en cas de changement d'éditeur ou de faillite. À sécuriser dès le contrat initial. Une clause de réversibilité insuffisante crée une dépendance à l’éditeur. Les conditions de sortie doivent être négociées lorsque vous avez encore la possibilité de choisir de ne pas entrer.

‍

Question 11, quel SLA et quelle continuité d'activité ?

Le SLA (Service Level Agreement) définit le niveau de service auquel l’éditeur s’engage.

Demandez le taux de disponibilité contractuel, mais également sa méthode de calcul : plages exclues, maintenances programmées, période de référence et incidents pris en compte.

Vérifiez ensuite ce qui se passe lorsque l’engagement n’est pas respecté : crédits de service, pénalités ou autres mécanismes contractuels.

La continuité d’activité doit également être documentée. Demandez l’existence d’un PCA (Plan de Continuité d’Activité) et d’un PRA (Plan de Reprise d’Activité), ainsi que les objectifs de reprise prévus pour le service.

Lorsque cela est possible, les statistiques de disponibilité des derniers mois permettent de confronter l’engagement contractuel aux performances réellement observées.

Enfin, selon la criticité de la solution, l’entreprise peut examiner les dispositions prévues en cas de défaillance durable ou de disparition de l’éditeur.

À retenir : un pourcentage de disponibilité isolé ne suffit pas. Un SLA utile précise comment le service est mesuré et quelles conséquences s’appliquent lorsqu’il n’est pas délivré.

Question 12, quelle gouvernance de la relation dans la durée ?

Dernière question : qui pilotera réellement la relation une fois le contrat signé ?

Demandez si un interlocuteur Customer Success ou un responsable de compte est identifié et à quelle fréquence des revues seront organisées.

Vérifiez comment l’éditeur communique sa roadmap, informe ses clients des évolutions majeures et recueille leurs demandes d’évolution.

La gouvernance doit également couvrir les sujets plus sensibles : incidents, changements de sous-traitants, sécurité, évolutions contractuelles et accès aux documents nécessaires aux audits.

Sur les traitements de données personnelles, le RGPD prévoit notamment que le sous-traitant mette à disposition les informations nécessaires pour démontrer sa conformité et permette la réalisation d’audits dans les conditions prévues par le règlement.

La qualité de cette gouvernance est particulièrement importante pour un logiciel ESG : les référentiels, les besoins métiers et l’organisation de l’entreprise vont évoluer pendant la durée du contrat.

À retenir : un logiciel ESG signé pour plusieurs années mérite une gouvernance de la relation à la hauteur. La qualité du service après signature est aussi structurante que celle de la démonstration initiale.

La grille récapitulative des 12 questions à poser aux logiciels ESG shortlistés

Les 12 questions peuvent être réunies dans une grille commune et utilisées pour challenger deux ou trois éditeurs finalistes.

L’intérêt n’est pas seulement d’obtenir douze réponses positives. Il faut comparer la précision de la réponse, la preuve apportée et l’engagement contractuel associé.

Cette grille permet au DAF, au Responsable RSE, à la DSI, aux achats et au juridique de travailler sur une base commune.

Pour aller plus loin, vous pouvez ajouter trois colonnes à votre grille interne : réponse de l’éditeur, preuve fournie et engagement contractuel. Une fonctionnalité montrée en démonstration, une certification transmise et une obligation inscrite au contrat n’ont pas la même valeur dans l’arbitrage.

À retenir : un éditeur capable de répondre précisément et de documenter ces 12 points donne un signal de maturité. À l’inverse, plusieurs réponses vagues ou systématiquement renvoyées à « après signature » doivent entrer dans l’évaluation du risque fournisseur.

‍

Conclusion

Un logiciel ESG engage l’entreprise bien au-delà de son équipe RSE. Son coût réel, son intégration au SI, la sécurité des données et les conditions contractuelles peuvent produire des effets pendant plusieurs années.

Les 12 questions structurées en quatre dimensions - économie et TCO, fonctionnel et technique, sécurité et souveraineté, gouvernance contractuelle - permettent au DAF de comparer les logiciels ESG shortlistés sur une base commune, plutôt que sur la qualité de leur démonstration.

Elles permettent aussi de construire une décision défendable en COMEX : quel coût total ? Quelle valeur attendue ? Quels risques ? Quels engagements de l’éditeur ? Et quelles conditions de sortie ?

La qualité des réponses constitue enfin un critère de sélection en elle-même. Un éditeur capable de fournir rapidement des réponses précises, des preuves et des engagements contractuels démontre une maturité différente d’un acteur qui reste évasif une fois la phase commerciale terminée.