SaaS sprawl — Définition IT

Le SaaS sprawl (prolifération SaaS) désigne la croissance non maîtrisée du nombre d'applications SaaS en usage dans une organisation, généralement bien au-delà de ce que la DSI connaît officiellement. C'est l'un des phénomènes les plus structurants — et les plus problématiques — de l'IT des années 2020.

Selon Productiv, une entreprise moyenne utilise 285 SaaS en 2024, contre 130 en 2019. Les grandes entreprises dépassent souvent 500 à 1 000 applications. Et selon BetterCloud, la DSI ne connaît officiellement que 30 à 50 % de ces applications — le reste relève du Shadow IT ou de l'IT non documenté.

Les causes du SaaS sprawl

Plusieurs facteurs convergents alimentent le sprawl :

• •Friction d'achat quasi nulle: : n'importe quel collaborateur peut souscrire un SaaS avec une carte bancaire personnelle ou un essai gratuit, en quelques minutes.
• •Décisionnaires multiples: : marketing, RH, vente, finance, ingénierie achètent leurs propres outils sans coordination centrale.
• •Modèles freemium: : adoption virale au sein des équipes avant que les contrats arrivent.
• •Acquisitions et fusions: : chaque opération M&A ajoute le portefeuille SaaS de l'entité absorbée.
• •Turnover et silos: : les outils achetés par une équipe survivent à son départ ou son éclatement.
• •Innovation tech: : nouveaux SaaS lancés chaque semaine, adoptés vite, oubliés lentement.

Les symptômes

Le SaaS sprawl se manifeste par plusieurs symptômes mesurables :

• •Doublons fonctionnels: : 3 outils de visioconférence, 5 outils de gestion de projet, 7 outils de prise de notes.
• •Licences fantômes: : utilisateurs partis depuis des mois conservant leur accès.
• •Coûts éclatés: : dépenses sur plusieurs centaines de cartes corporate, invisibles du contrôle de gestion.
• •Surfaces de sécurité: : applications SaaS hors SSO, sans MFA, conservant des données sensibles.
• •Données dispersées: : informations clients dans 15 outils non synchronisés.
• •Conformité fragile: : impossible de produire un inventaire RGPD ou NIS2 exhaustif.

Les coûts cachés

Le SaaS sprawl génère plusieurs strates de coûts :

• •Coûts directs: : licences inutilisées (30 à 40 % du parc selon Zylo), doublons fonctionnels.
• •Coûts d'intégration: : maintien d'intégrations entre outils redondants.
• •Coûts opérationnels: : support utilisateur multiplié par 10 outils plutôt que 2.
• •Coûts de sécurité: : remédiations d'incidents liés à des SaaS oubliés.
• •Coûts de conformité: : audits plus longs, sanctions potentielles.
• •Coûts d'opportunité: : temps perdu à naviguer entre outils, données non consolidées.

Total estimé : 20 à 40 % des dépenses SaaS d'une entreprise moyenne, soit plusieurs centaines de milliers d'euros par an pour une PME de 200 personnes.

Les risques cyber

Chaque SaaS non gouverné est :

• •Un compte utilisateur supplémentaire à compromettre.
• •Une potentielle fuite de données (un commercial qui copie son CRM dans un outil non validé).
• •Une intégration non auditée avec d'autres systèmes.
• •Une cible pour le credential stuffing (mots de passe réutilisés).
• •Un risque pour les fournisseurs et clients (supply chain attacks).

Les régulations NIS2, DORA et RGPD imposent désormais une cartographie exhaustive des SaaS traitant des données sensibles.

Comment maîtriser le SaaS sprawl

Trois piliers d'action :

### 1. Découverte continue

Identifier toutes les applications SaaS utilisées, y compris non déclarées :

• •SSO logs: : applications connectées au fournisseur d'identité.
• •Browser extensions: : détection passive des URL professionnelles visitées.
• •Données financières: : analyse des notes de frais et cartes corporate.
• •Network discovery: : flux réseau sortants vers des domaines SaaS.
• •API providers: : appels OAuth et webhooks.

C'est exactement ce que les SaaS Management Platforms (Kabeen, Zylo, BetterCloud, Productiv, Torii) automatisent.

### 2. Rationalisation

Une fois la photo prise :

• •Identifier les doublons: par capacité fonctionnelle.
• •Négocier les regroupements: : passer de 3 outils visio à 1 standard d'entreprise.
• •Désattribuer les licences inutilisées: .
• •Rattacher au [SSO](/fr/glossary/sso): les applications validées.
• •Décommissionner les apps oubliées: après période de grâce.

Voir application rationalization.

### 3. Gouvernance préventive

Pour éviter que le sprawl ne se reconstruise :

• •Politique d'achat SaaS: : tout nouveau SaaS doit passer par un comité.
• •Catalogue de référence: : applications validées et leurs alternatives.
• •Workflow d'onboarding: : intégrer chaque nouveau SaaS au SSO et à l'ITAM.
• •Revue trimestrielle: : usage, coûts, conformité.
• •Sensibilisation: : former les acheteurs (managers, équipes métier) aux enjeux.

SaaS sprawl et IA

Le sprawl s'étend désormais à l'IA : ChatGPT personnel, Claude pour les développeurs, Midjourney pour le marketing, agents IA divers — tous adoptés sans validation. C'est le Shadow IA, l'évolution naturelle du SaaS sprawl à l'ère générative. La gouvernance doit s'étendre en conséquence (cf. ISO 42001).