Une business rule casse les SLA du client : qui paie la pénalité ?

Vous intervenez sur l'instance ServiceNow d'un opérateur télécom. On vous demande de créer une business rule qui clôture automatiquement les incidents restés sans mise à jour depuis 7 jours. Vous écrivez la condition côté serveur, mais une erreur de logique dans le current.priority fait que la règle s'applique aussi aux tickets de priorité 1 (P1), les incidents critiques.

Pendant la nuit, le job tourne. Au matin, 3 200 incidents P1 sont fermés sans résolution. Les équipes support du client ne voient plus les tickets ouverts, les horloges de SLA sont stoppées artificiellement, et les indicateurs remontés au client final sont faux. Quand la vérité éclate, le mal est fait : l'opérateur a manqué ses engagements de service vis-à-vis de ses propres clients entreprises.

Ce type d'incident n'a rien d'exceptionnel. Sur une plateforme aussi centrale qu'une CMDB ou qu'un moteur de workflow, une erreur de configuration se propage instantanément à toute l'organisation. Le préjudice n'est pas matériel — aucun serveur n'a brûlé — mais il est bien réel et chiffrable.

En droit français, le consultant informatique est en principe tenu à une obligation de moyens : il doit mettre en œuvre son savoir-faire avec diligence, sans garantir un résultat absolu. La jurisprudence considère néanmoins que le prestataire technique a un devoir de conseil et de mise en garde renforcé, et que certaines prestations standardisées peuvent basculer en obligation de résultat.

Concrètement, ce qui déterminera votre responsabilité, c'est :

• La rédaction de votre contrat de prestation ou de votre lettre de mission (engagement de moyens explicite, périmètre, recette).
• L'existence ou non d'une procédure de test et de validation. Si vous avez déployé directement en production sans passer par une instance de développement et une recette client signée, votre faute sera retenue plus facilement.
• La traçabilité de vos alertes. Avez-vous documenté les risques, demandé une fenêtre de tests, signalé l'absence d'environnement de recette ?

Le réflexe protecteur : déployer toute business rule, tout Flow Designer et toute modification de la CMDB via une instance sub-prod, avec une recette tracée et validée par écrit par le client avant mise en production.

Voici le point que la plupart des consultants ServiceNow découvrent trop tard. Les pénalités de SLA, la perte d'exploitation du client, le coût de remédiation : tout cela relève du dommage immatériel, c'est-à-dire un préjudice financier qui ne résulte pas d'une atteinte physique à un bien ou à une personne.

Or, beaucoup de contrats d'assurance distinguent :

• Les dommages immatériels consécutifs à un dommage matériel ou corporel garanti (souvent couverts).
• Les dommages immatériels non consécutifs — exactement votre cas, une faute de configuration sans casse physique (souvent exclus des contrats génériques ou multirisques mal calibrés).

Pour un consultant ITSM, le risque est par nature immatériel non consécutif. Une RC Pro qui n'inclut pas explicitement cette garantie vous laisse sans filet face au sinistre le plus probable de votre métier. C'est le premier point à vérifier sur toute proposition d'assurance, avant même le montant du plafond.

Quand le client subit le préjudice, il ne se retourne pas forcément contre vous directement. La réclamation suit généralement la chaîne contractuelle :

1. Le client final facture ses pénalités à l'intégrateur ServiceNow partenaire qui a remporté le marché.
2. L'intégrateur, qui vous a sous-traité la prestation, exerce un recours contre vous en vertu du contrat de sous-traitance.
3. Si vous êtes en régie chez une DSI directement, c'est la DSI cliente qui vous met en cause.

Dans tous les cas, vous êtes au bout de la chaîne. Et c'est précisément pour cette raison que les intégrateurs et grands comptes exigent contractuellement une attestation de RC Pro avant de vous confier une mission : ils veulent un assureur solvable derrière vous en cas de sinistre. La RC Pro du consultant ServiceNow n'est donc pas qu'une protection personnelle, c'est aussi une condition d'accès au marché.

Mettons des chiffres sur le scénario. Sur un contrat de service géré dans ServiceNow, les pénalités de SLA se comptent souvent en pourcentage du montant mensuel du service, par paliers de manquement. Pour un opérateur dont le contrat avec son client entreprise pèse plusieurs millions par an, une nuit de SLA manqués peut représenter plusieurs dizaines de milliers d'euros de pénalités, auxquels s'ajoutent les coûts de remédiation et l'éventuelle perte du contrat.

La RC Pro prend en charge l'indemnisation due au tiers lésé dans la limite du plafond souscrit, ainsi que les frais de défense — souvent le poste le plus utile, car un litige technique de ce type mobilise expertises et avocats avant même toute condamnation. C'est aussi pourquoi un freelance certifié CSA ou CAD a tout intérêt à dimensionner son plafond sur le niveau d'exposition de ses clients, pas sur son propre chiffre d'affaires.