Lire un SLA d'infogérance ligne à ligne

Deux contrats affichant 99,9 % de disponibilité peuvent différer d'un facteur douze. Non parce que l'un ment, mais parce que le premier calcule sur l'année et le second sur le mois. Sur l'année, 99,9 % autorise huit heures quarante-cinq d'arrêt cumulé. Sur le mois, le même pourcentage n'en autorise que quarante-trois minutes, et il déclenche des pénalités douze fois plus souvent.

Le tableau qu'il faut avoir en tête

La lecture de ce tableau conduit à une question simple à poser en négociation : sur quelle fenêtre le taux est-il calculé, et cette fenêtre est-elle glissante ou calendaire. Une fenêtre annuelle calendaire permet à un prestataire d'absorber un incident majeur de janvier pendant onze mois. Une fenêtre mensuelle rend chaque mois indépendant, ce qui est presque toujours plus proche de l'expérience réelle du client.

Ce que « indisponible » veut dire

La deuxième zone décisive est la définition de l'indisponibilité. Trois formulations circulent et elles n'ont pas la même portée. L'indisponibilité totale du service, la plus restrictive, exclut les dégradations : un service qui répond en trente secondes au lieu de trois cents millisecondes reste disponible au sens du contrat. L'indisponibilité d'un composant identifié, plus favorable au client, ouvre le décompte dès qu'une brique tombe. L'indisponibilité constatée par une sonde applicative, la plus honnête, se rapproche du ressenti utilisateur mais impose de s'accorder sur la sonde, son emplacement et sa fréquence.

Le corollaire est le mode de preuve. Dans l'immense majorité des contrats, la mesure est produite par le prestataire à partir de ses propres outils. Ce n'est pas illégitime, mais cela justifie de prévoir une contre-mesure côté client, ne serait-ce qu'une supervision externe, et d'accorder au client le droit de contester avec ses propres relevés.

Les exclusions, où part la moitié de l'engagement

La liste des exclusions mérite d'être lue avant le pourcentage. Cinq familles y figurent presque toujours : la maintenance planifiée, la force majeure, le fait du client, le fait d'un tiers, et les attaques. Chacune se négocie sur un point précis.

Pour la maintenance planifiée, ce qui compte est le préavis, le plafond annuel d'heures et la plage horaire autorisée. Une maintenance sans plafond permet de sortir autant d'heures que nécessaire du décompte. Pour le fait d'un tiers, la question est de savoir si l'opérateur de télécommunications du prestataire est un tiers, car s'il l'est, la moitié des incidents réels sort du contrat. Pour les attaques, la formulation générale doit être réduite aux attaques dont la mitigation n'entrait pas dans le périmètre acheté, sans quoi une protection facturée peut être exclue de l'engagement qu'elle est censée servir.

Quand l'horloge démarre

Le point de départ du décompte fait varier la durée d'indisponibilité constatée davantage que la panne elle-même. Trois options existent : l'ouverture du ticket par le client, la détection par la supervision du prestataire, ou la qualification du ticket par le premier niveau de support. La troisième est la moins favorable et la plus fréquente, parce qu'elle place la file d'attente du support hors du décompte.

Cette mécanique se retrouve intégralement dans les garanties de délai, dont les sigles prêtent à confusion et dont nous avons détaillé les définitions dans notre note sur la différence entre garantie d'intervention et garantie de rétablissement. Un contrat cohérent aligne la définition d'ouverture d'incident sur les deux documents.

Les pénalités ne réparent rien

Les crédits de service sont plafonnés, généralement à un pourcentage de la redevance mensuelle, parfois à un mois de redevance sur l'année. Ils ne couvrent jamais la perte d'exploitation, exclue au titre des dommages indirects. Ils sont souvent conditionnés à une demande écrite du client dans un délai court, trente jours par exemple, ce qui suffit à en faire perdre la moitié faute de suivi.

Leur fonction réelle n'est donc pas de réparer mais de signaler. Un contrat bien construit prévoit un second niveau : au-delà d'un nombre d'incidents ou d'un seuil de dégradation répétée, il ouvre un droit de sortie anticipée sans indemnité. C'est cette clause qui a de la valeur, pas le montant des crédits. Elle rejoint la mécanique décrite dans notre analyse de la clause de réversibilité.

Les deux annexes qui font la différence

Une matrice de responsabilités, activité par activité, indique qui fait quoi et qui décide. Sans elle, chaque incident commence par une discussion sur le périmètre. Un inventaire nominatif des éléments couverts, tenu à jour contradictoirement, évite l'autre discussion classique : le serveur en panne était-il dans le périmètre facturé. Cet inventaire n'a de valeur que s'il est vivant, ce que nous détaillons dans nos notes sur la tenue d'une CMDB vivante plutôt que d'un tableur mort.

Enfin, les objectifs de reprise doivent être cohérents avec l'engagement de disponibilité. Promettre quatre heures de rétablissement sur un service dont la restauration complète prend onze heures est une contradiction qui n'apparaît qu'au premier incident majeur. La méthode de chiffrage est celle décrite dans notre analyse consacrée à la définition de RPO et RTO avec les métiers.