Deux façons d'utiliser un audit SAP pour résoudre l'accès indirect

Conseil n° 1 - Soyez proactif face à l’accès indirect

L'accès indirect SAP se produit lorsque vos applications non SAP s'interfacent avec le logiciel SAP. L'accès indirect a fait couler beaucoup d'encre au cours des dernières années, notamment lors de l'affaire Diageo SAP (60 millions d'euros en 2017).

L'accès indirect est un aspect complexe de la gestion des licences de cet éditeur et, avec seulement quelques directives publiées, les clients sont souvent invités  à faire le point sur leurs environnements système. C'est à vous d'analyser votre exposition à l'utilisation indirecte.

Même si USMM et SAP LAW ne peuvent pas détecter l'accès indirect, les dernières mises à jour SAP peuvent donner accès à tous les documents susceptibles d’entraîner un accès indirect pour les utilisateurs RFC. Il existe donc des indicateurs montrant que l'accès indirect pourrait apparaître dans les rapports reconnus par le département d'audit de SAP.

L’éditeur fait aussi des recherches. Si votre entreprise partage une success story liée à l’utilisation de Salesforce et que vous n'êtes pas titulaire d'une licence, vous pouvez vous attendre à être contacté par SAP, qui n’hésite pas à auditer ses clients qui ont choisi une solution concurrente.

Lors d'un audit de licence logicielle, SAP se concentre sur la recherche de ces interfaces tierces. S'ils les trouvent, ces audits se soldent par des contrats très coûteux pour le client, ou encore par des poursuites judiciaires et des pénalités qui se chiffrent parfois en millions de dollars où, selon la négociation, le client n‘obtient peu ou pas de valeur ajoutée pour l’achat des licences supplémentaires.

Quelle est la solution à votre risque d'accès indirect SAP ?

Analysez vos interfaces et vos accès indirects dès maintenant, avant de vous faire auditer. Ce type d'analyse de la gestion des actifs logiciels SAP prend plus de temps, que celui que vous mettrez pour répondre à un audit SAP. Vous obtiendrez de la transparence sur votre architecture, comprendrez vos risques d'accès indirect et pourrez prendre une décision éclairée avant qu'un audit de conformité ne vous oblige à y réfléchir.

Il est bien sûr possible de prélever vos données et d'effectuer ces modifications manuellement, mais nous vous le déconseillons fortement. SAP demande à ses clients de fournir une analyse de conformité technique. Vous pouvez utiliser deux modèles de licence : legacy ou accès numérique. Il n'est pas surprenant que SAP pousse ses clients vers le modèle de l'accès numérique. Début mai 2019 lors de la conférence annuelle Sapphire à Orlando, Christian Klein (COO de SAP) a présenté le nouveau "Digital Access Adoption program" (DAAP) - clairement conçu pour motiver les clients à adopter le modèle d'accès numérique.

Un outil de gestion des licences SAP peut vous aider à relever les challenges, tels que l'examen des listes d'utilisateurs du système tiers et l’audit croisé avec le pool d'utilisateurs SAP actif.

Conseil n° 2 - Devriez-vous passer au modèle d'accès numérique ?

Étape par étape, SAP automatise davantage le processus annuel de mesure du système - ou le processus d'audit des licences logicielles -. Cela inclut le développement d'une fonctionnalité de mesure pour l'accès indirect afin de le rendre plus transparent pour les clients. C'est génial ! Mais c'est plus compliqué qu'il n'y paraît.

Selon le nouveau modèle d'accès indirect, ou Digital Access, toutes les interfaces tierces nécessitent une licence supplémentaire si elles créent un des neuf types de documents dans SAP, comme les factures. Chaque document est compté en fonction de sa création originale - il n'y a pas de licence supplémentaire pour la lecture, la modification ou la suppression.

Les nouvelles licences de documents sont plus simples que l'ancien modèle et pourront être mesurées de manière transparente. SAP vous encouragera à rejoindre le nouveau modèle de licence dès maintenant selon les formules : "C'est simple et facile à contrôler", "Tout le monde le fait."

Documenter les licences : la simplicité a un coût.

SAP souhaite faire passer votre utilisation indirecte sous licence Digital Access parce qu'il est plus facile de la mesurer, d’avoir un suivi et de vendre ainsi des licences spécifiques. Le nouveau modèle, supposé simple pourrait cependant s’avérer plus cher que l’ancien.

Le nouveau modèle a également son lot de complications, telles que la double licence. Cela se produit lorsque l'accès indirect d'une personne qui possède déjà une licence d'utilisateur nommé en raison d'un accès direct, profite d’une autorisation avec une nouvelle licence de document, lorsqu'il en crée un.

Les licences de documents vous conviennent-elles ?

Restez fidèle à l'accès indirect SAP que vous connaissez déjà et tirez parti des risques que vous connaissez. L'ancien modèle d'accès indirect SAP est potentiellement moins cher parce qu'il est auto-vérifié et fait l'objet d'une licence basée sur "votre bonne foi". L’éditeur ne connaît pas toute l'étendue de votre accès indirect.

Comment procéder ? Malgré les faiblesses de l'ancien modèle de licence, vous pouvez prendre des mesures pour comprendre l'étendue de vos instances d'accès indirect. Commencez par une analyse approfondie pour trouver toutes les instances d'accès indirect et toutes les applications tierces liées aux systèmes SAP. C’est le meilleur moyen de connaitre vos risques liés à accès indirects.

Obtenez ensuite une liste des utilisateurs des applications tierces liées aux systèmes SAP, qui est utilisée avec une solution de gestion des licences pour attribuer automatiquement la licence correcte et la consolider avec les licences SAP existantes.