IT Glossary
La gouvernance SaaS fixe les règles d'achat, d'usage et de retrait des applications. Découvrez ce que contient une politique réellement applicable.
August 7, 2026
La gouvernance SaaS est l'ensemble des règles et processus qui déterminent comment les applications entrent dans l'organisation, y fonctionnent et en sortent : qui peut acheter du logiciel, quel examen de sécurité et de données il doit passer, qui en est propriétaire, comment l'accès est accordé et quand l'outil est retiré. Elle gouverne le parc applicatif lui-même, là où la gouvernance des accès gouverne les habilitations à l'intérieur.
La politique qui échoue interdit les achats non validés sans offrir d'alternative rapide, les salariés achètent donc quand même et le parc devient invisible. La politique qui fonctionne accepte que les gens trouvent des outils et rend le chemin validé plus rapide que la carte bancaire : un catalogue court, un examen le jour même pour les outils peu risqués, et une découverte continue pour rattraper ce qui passe malgré tout. Une gouvernance qu'on ne peut pas faire appliquer est de la documentation, pas du contrôle.
Une entreprise rédige une politique exigeant la validation de l'IT pour chaque achat. Un an plus tard, la découverte trouve 47 applications non validées. La politique n'était pas fausse, elle était inapplicable, parce que rien ne détectait une infraction avant un audit. Ajouter une découverte continue transforme la même politique en contrôle opérant, un outil non validé apparaissant désormais en quelques jours plutôt qu'au renouvellement. Citel Guichard utilise la gestion SaaS exactement pour ce type de gouvernance IT, sur la couche de découverte et de propriété que fournit Corma.
La gouvernance SaaS décide quelles applications l'entreprise utilise et sous quelles conditions. La gouvernance des accès décide qui détient quelle habilitation à l'intérieur de ces applications.
Pas par la politique seule. Elle le réduit quand le chemin validé est réellement plus rapide, et elle détecte le reste par une découverte continue plutôt que par des audits périodiques.
L'IT la pilote généralement, avec la finance sur le coût et la sécurité sur le risque fournisseur. Chaque application prise individuellement a malgré tout besoin d'un propriétaire métier nommé pour être gouvernable.
ISO 27001 ne la nomme pas comme telle, mais ses contrôles sur les relations fournisseurs, l'inventaire des actifs et la gestion des accès en exigent en pratique les mêmes composantes.
