Points clés
Demandez cinq éléments à chaque fournisseur de votre liste restreinte, par écrit, avant de comparer les fonctionnalités. D'abord, la certification de sécurité de l'information avec son numéro de certificat, l'organisme délivrant et la déclaration de périmètre, afin de confirmer que c'est bien la plateforme qui est dans le périmètre et pas seulement un bureau du groupe. Ensuite, un accord de traitement des données signé ou signable nommant chaque sous‑traitant. Troisièmement, la région d'hébergement, indiquée comme une région cloud précise et non comme un continent. Quatrièmement, les objectifs de reprise en heures : recovery time objective et recovery point objective, plus la fréquence des sauvegardes. Cinquièmement, le modèle de contrôle d'accès : permissions basées sur les rôles, prise en charge de l'authentification unique, et si un journal d'audit enregistre qui a modifié quoi.
Fabrico répond à ces cinq points comme suit : certifications ISO 27001, ISO 9001 et ISO/IEC 20000‑1, un accord de traitement des données conforme au RGPD, hébergement dans une région AWS EU, un RTO de 4 heures et un RPO de 4 heures avec sauvegardes quotidiennes, et contrôle d'accès basé sur les rôles avec SSO et SAML disponibles ainsi qu'un journal d'audit complet. Le chiffrement est appliqué au repos et en transit, et la plateforme est protégée derrière Cloudflare contre les attaques DDoS.
La plupart des fabricants utilisent un questionnaire fournisseur standard rédigé pour l'IT d'entreprise, puis le confient à une équipe d'usine qui n'en a jamais rempli. Les six domaines ci‑dessous sont ce que ces formulaires testent réellement, traduits en langage d'atelier.
1. Certification et périmètre. Le réviseur veut qu'un tiers indépendant ait audité le système de gestion de la sécurité du fournisseur. En Europe, il s'agit normalement de l'ISO/IEC 27001. En Amérique du Nord, un rapport SOC 2 Type II est plus courant. Les deux ne sont pas équivalents et aucun ne remplace l'autre, donc demandez lequel le fournisseur détient plutôt que de supposer. Demandez surtout la déclaration de périmètre. Un certificat peut légitimement couvrir le bureau de développement d'une entreprise tout en excluant un service hébergé.
2. Résidence des données. Les données de vos machines, les ordres de travail et les noms des employés sont des données personnelles et commerciales. Le réviseur a besoin de savoir quelle juridiction légale les héberge physiquement. « Le cloud » et « l'Europe » ne sont pas des réponses. Le nom d'une région AWS, Azure ou Google Cloud est une réponse. Si vous opérez dans l'UE, c'est aussi la première question que posera votre délégué à la protection des données, et elle est traitée plus en détail dans notre guide d'achat RGPD et protection des données pour les logiciels OEE et CMMS.
3. Sous‑traitants. Toute plateforme SaaS fait appel à d'autres fournisseurs : un hébergeur cloud, un service d'email, un outil de surveillance des erreurs, parfois un fournisseur d'IA. Chacun est un lieu où vos données transitent. Un fournisseur qui ne peut pas produire une liste de sous‑traitants n'y a pas réfléchi, et vous ne pouvez pas compléter votre propre dossier de conformité sans elle.
4. Disponibilité et reprise. Deux chiffres différents, fréquemment confondus. Le recovery time objective indique combien de temps le service peut être indisponible avant de devoir être restauré. Le recovery point objective indique la quantité de données que vous pouvez perdre, exprimée en temps. Un fournisseur annonçant 99,9 % de disponibilité ne vous a rien dit sur l'un ou l'autre. Demandez les deux en heures, et demandez à quelle fréquence les sauvegardes sont effectuées.
5. Contrôle d'accès et audit. Sur le plancher de production, des dizaines de personnes utilisent le même système, et certaines partagent une tablette. Le réviseur veut un contrôle d'accès basé sur les rôles pour qu'un technicien ne puisse pas supprimer une usine, une authentification unique pour que les départs perdent l'accès lorsque les RH désactivent le compte, et un journal d'audit pour qu'un enregistrement de maintenance contesté puisse être rattaché à une personne et à un horodatage.
6. Surface d'intégration. Chaque connexion ajoutée est une porte d'accès. Si la plateforme synchronise avec SAP PM, un ERP ou un historien, le réviseur veut savoir comment cette connexion s'authentifie et ce à quoi elle donne accès. Les intégrations en lecture seule passent la revue beaucoup plus rapidement que les intégrations bidirectionnelles, alors sachez lesquelles vous avez réellement besoin avant la réunion.
Envoyez ces questions telles quelles, à tous les fournisseurs en même temps, et demandez des réponses écrites. Les réponses qui arrivent sous la forme d'une invitation à un appel plutôt qu'un document sont en elles‑mêmes un indice.
La question 12 est celle que les acheteurs oublient et sur laquelle les achats insisteront. Posez‑la tôt, car il est beaucoup moins coûteux de découvrir une réponse insatisfaisante la première semaine que la troisième année.
« Nous sommes alignés sur l'ISO 27001. » « Aligné » n'est pas certifié. Cela signifie qu'aucun auditeur externe n'a testé la revendication. Demandez le certificat ou traitez le fournisseur comme non certifié.
« Nous ne pouvons pas partager notre liste de sous‑traitants. » En vertu du RGPD, votre organisation est le responsable du traitement et reste accountable pour l'endroit où les données circulent. Un fournisseur qui refuse de nommer ses sous‑traitants vous demande d'accepter une responsabilité que vous ne pouvez pas quantifier.
« Nous vous fournirons ces chiffres plus tard. » Les objectifs de reprise existent soit en tant que chiffres testés, soit pas du tout. Un fournisseur qui a réalisé un test de restauration connaît immédiatement ses chiffres.
Fabrico est une plateforme combinée CMMS et OEE développée et hébergée dans l'UE. Sur les cinq éléments de la revue ci‑dessus, les réponses sont : certifications ISO 27001, ISO 9001 et ISO/IEC 20000‑1 ; un accord de traitement des données conforme au RGPD disponible ; hébergement dans une région AWS EU ; un RTO de 4 heures et un RPO de 4 heures avec sauvegardes quotidiennes ; et contrôle d'accès basé sur les rôles avec SSO et SAML disponibles pour des configurations personnalisées, plus un journal d'audit. Le chiffrement couvre les données au repos et en transit, et Cloudflare assure la protection contre les DDoS.
Sur le plan opérationnel, le délai de réponse contractuel du support est inférieur à 2 heures, et l'interface est fournie en anglais, bulgare, allemand, français et polonais, ce qui compte lorsqu'une revue de sécurité est suivie d'une conversation avec le comité d'entreprise sur qui peut lire quoi. L'intégration est disponible via une API REST, des webhooks, l'import/export Excel, et une synchronisation bidirectionnelle SAP PM incluant S/4HANA.
Deux points que Fabrico ne revendique pas, car être franc à leur sujet évite un tour de clarification : il n'y a pas de rapport SOC 2, et il n'y a pas de mode hors ligne. Si le formulaire de votre réviseur exige spécifiquement un SOC 2, dites‑le au début de l'évaluation plutôt qu'à la fin.
Prenons le cas d'un fournisseur exploitant trois usines, évaluant une plateforme CMMS et OEE combinée, avec un formulaire InfoSec d'entreprise d'environ 40 questions et un délégué à la protection des données qui doit approuver séparément.
En séquentiel, la forme habituelle est six semaines de démonstrations fonctionnelles, puis l'envoi du dossier de sécurité, puis deux à quatre semaines d'échanges par fournisseur, puis l'examen juridique de l'accord de traitement des données. Le délai total avant signature du contrat est couramment de trois à quatre mois, et l'équipe d'usine passe la majeure partie de ce temps à attendre.
En parallèle, les 12 questions ci‑dessus sont envoyées dès la semaine 1, parallèlement aux premières invitations aux démonstrations. Lorsque la liste restreinte fonctionnelle est réduite à deux fournisseurs à la semaine 4, les deux dossiers de sécurité sont déjà chez InfoSec et l'accord de traitement des données est chez le service juridique. Les mêmes trois à quatre mois se compressent à environ six à huit semaines et, plus important encore, vous ne découvrez jamais au troisième mois que votre fournisseur préféré échoue à un contrôle obligatoire.
Le coût de l'approche en parallèle est un email supplémentaire la semaine 1. Le coût de l'approche séquentielle est un déploiement qui commence avec un trimestre de retard, ce qui, pour une usine qui cherche à résoudre un problème de disponibilité, représente un trimestre de pertes que vous aviez déjà convenu d'arrêter.
Une revue de sécurité vérifie si un fournisseur mérite la confiance pour vos données. Elle ne vérifie pas si la plateforme sera effectivement utilisée. Ce sont des échecs distincts avec des causes distinctes, et les deux doivent être traités. Si votre fonction IT est réduite ou partagée entre sites, notre guide pour choisir un logiciel OEE et CMMS sans département IT dédié explique qui réalise réellement le travail de revue. Si vos usines sont en Allemagne, Autriche, Pays‑Bas ou France, le guide d'approbation du comité d'entreprise pour la surveillance OEE couvre l'approbation parallèle qui surprend la plupart des équipes. Pour les exigences fonctionnelles elles‑mêmes, partez du modèle de RFP pour logiciel CMMS, et pour les définitions des métriques que la plateforme doit produire, voyez le guide OEE pour la fabrication.
Si vous souhaitez le dossier de sécurité de Fabrico, incluant les déclarations de périmètre des certificats et l'accord de traitement des données, réservez une démonstration et demandez‑le nommément. Il est envoyé sous forme de documents, pas de diapositive.
Aucun n'est meilleur, ils répondent à des questions différentes. L'ISO 27001 certifie qu'un système de gestion de la sécurité de l'information existe et est audité selon une norme. Le SOC 2 Type II est un rapport d'attestation décrivant comment des contrôles spécifiques ont fonctionné sur une période, et il se lit comme un document plutôt que d'être vérifié comme un badge. Les acheteurs européens exigent généralement l'ISO 27001, les acheteurs nord‑américains exigent généralement le SOC 2. Demandez lequel votre formulaire de réviseur exige réellement avant d'établir la liste restreinte, car cela peut éliminer des fournisseurs.
Pour une plateforme CMMS ou OEE, un recovery time objective et un recovery point objective de l'ordre de quelques heures est normal, et des sauvegardes quotidiennes sont la norme. Ce qui compte plus que le chiffre précis, c'est que le fournisseur le formule en nombre et ait testé une restauration. Jugez la réponse sur sa précision, pas sur son caractère impressionnant.
Presque certainement oui. Un CMMS contient des ordres de travail assignés à des techniciens nommés, des horodatages indiquant qui a fait quoi, et souvent des emplois du temps. Il s'agit de données personnelles au sens du RGPD, quel que soit le volume de données machine qui les accompagne. Supposez que vous ayez besoin d'un accord de traitement des données et confirmez le périmètre avec votre délégué à la protection des données.
La maintenance doit l'envoyer et l'IT doit l'évaluer. L'équipe de maintenance sait quelles intégrations sont réellement nécessaires, ce qui détermine la surface de risque, et l'IT sait quelles réponses sont acceptables. Quand l'IT gère l'ensemble du processus, le questionnaire exige souvent des contrôles dont l'usine n'a pas besoin, et quand la maintenance gère tout, les réponses sont acceptées sans vérification.
Un fournisseur qui a déjà été soumis à des revues d'entreprise renverra des réponses écrites en quelques jours ouvrés, car les documents existent déjà. Des semaines de retard signifient généralement que le dossier est rédigé pour la première fois. Ce n'est pas automatiquement disqualifiant pour un jeune fournisseur, mais cela indique à quoi s'attendre du support par la suite.
Dernière mise à jour : 7 août 2026.
Connexion
Blog