Une quatrième partie, c'est le fournisseur de votre fournisseur : les sous-traitants ultérieurs sur lesquels vos éditeurs SaaS s'appuient pour fonctionner, comme leur hébergeur cloud, leur service d'e-mail ou leur fournisseur d'IA. Vous ne les contractez jamais et vous ne les voyez généralement pas, pourtant une panne ou une violation à ce niveau atteint quand même vos données. Nous avons lu, une par une, les divulgations publiques de sous-traitants de 163 éditeurs de logiciels professionnels. Résultat : 92% tournent sur Amazon Web Services, près de 100% dépendent d'au moins une de trois entreprises seulement, et les divulgations qui le prouvent sont en train de disparaître discrètement.
Pourquoi cette étude est inédite
Chaque éditeur SaaS est tenu de publier la liste des entreprises dont il dépend. Chaque liste est publique et anodine prise isolément, et personne ne les agrège. La couche située sous l'économie du logiciel n'avait donc jamais été cartographiée à grande échelle. Nous l'avons fait : voici la première mesure publiée du degré de concentration de cette couche, construite en lisant et en normalisant les divulgations de 163 éditeurs. Ce n'est ni une enquête ni une estimation. C'est un décompte.
Une seule entreprise se trouve sous presque tout
Nous utilisons une mesure reproductible, l'indice de concentration des quatrièmes parties (ICQP) : la part des fournisseurs étudiés qui citent un prestataire donné comme sous-traitant. Amazon Web Services affiche un ICQP de 92%. Google Cloud, 86%. En combinant les trois hyperscalers, presque aucun fournisseur n'échappe : dans notre échantillon détaillé, 100% dépendaient d'au moins un de AWS, Azure ou Google Cloud.
La signification pratique est brutale. Un seul incident majeur chez AWS atteindrait plus de neuf de ces outils sur dix en même temps. Dans cet échantillon, il n'existe presque pas de défaillance d'un fournisseur qui reste contenue à ce seul fournisseur.
À combien de quatrièmes parties êtes-vous réellement exposé ?
La concentration n'est que la moitié de l'exposition. L'autre moitié, c'est le volume. Les fournisseurs que nous avons détaillés divulguaient d'une poignée à plus de 50 sous-traitants chacun, plusieurs en citant entre 27 et 43. Un seul outil de recrutement ou de support peut à lui seul porter 30 dépendances en aval ou plus. Votre véritable nombre de quatrièmes parties n'est donc pas le nombre de fournisseurs avec qui vous avez signé : c'est un large multiple de ce nombre, et presque rien de tout cela ne figure sur un contrat que vous avez examiné.
À l'intérieur de chaque fonction, la concentration est pire encore
Une pile logicielle ne tombe pas en panne par cloud dans l'abstrait. Elle tombe par fonction, et dans la plupart des fonctions le marché s'est resserré sur un ou deux noms. La diffusion en périphérie revient par défaut à Cloudflare. L'e-mail transactionnel passe surtout par la famille Twilio (dont SendGrid et Segment, un ICQP d'environ 68%) et par Mailgun, désormais propriété du suédois Sinch. Et la couche la plus récente, l'IA, est arrivée déjà concentrée : OpenAI affiche un ICQP d'environ 52% et Anthropic environ 40%. Il y a deux ans, cette couche apparaissait à peine dans les divulgations. Elle est désormais courante, et elle s'est formée de façon étroite.
Au-delà des trois grands, la même distribution récurrente revient dans presque toutes les piles. Les paiements passent par Stripe. L'e-mail transactionnel par la famille Twilio, SendGrid et Mailgun. La supervision et le suivi des erreurs se regroupent sur Datadog et Sentry. Le support client sur Zendesk et Intercom. L'identité s'appuie sur Okta et Auth0. L'analytique produit se concentre sur Segment, Amplitude et Mixpanel. Si vous voulez deviner ce qui se trouve sous vos propres outils avant de vérifier, voici la liste que vous trouverez presque à coup sûr.
Il y a une question de transfert vers les États-Unis dans presque chaque outil
L'écrasante majorité des sous-traitants distincts que nous avons recensés ont leur siège aux États-Unis, et dans notre échantillon détaillé, chaque fournisseur s'appuyait sur au moins un sous-traitant américain. C'est le point que la plupart des contrôles d'achat manquent : un fournisseur peut proposer une résidence des données dans l'UE tout en reposant sur une couche de quatrièmes parties massivement contrôlée depuis les États-Unis, car la résidence régit l'endroit où les données sont stockées, non le siège ni l'exposition à l'accès légal des entreprises situées en dessous. Pour quiconque évalue un fournisseur au regard du chapitre V du RGPD ou de la LPD suisse, la question du transfert ne s'arrête pas au fournisseur. Elle descend d'un niveau, vers des entreprises que le client n'a jamais contractées et qu'il ne peut généralement pas voir.
Les alternatives européennes existent, mais elles sont rares
Des prestataires ayant leur siège en Europe apparaissaient bien dans les données, dont Hetzner en Allemagne, OVH en France, Aiven en Finlande, Sinch en Suède (qui détient désormais Mailgun) et Exoscale en Suisse. Mais ils étaient l'exception nette, pas la règle. Pour une organisation soucieuse de souveraineté des données ou de LPD, la carte montre que des options européennes sont réelles et utilisables, mais que la gravité par défaut de la chaîne d'approvisionnement SaaS ramène presque tout vers un petit groupe de prestataires américains.
Les divulgations disparaissent
C'est le constat que nous ne cherchions pas, et le plus important. La non-divulgation pure est rare, car la loi impose de fait une liste. Mais une part importante et croissante de fournisseurs ne la publient plus sous une forme réellement lisible à grande échelle. Parmi les fournisseurs vérifiés, environ quatre sur dix ne servaient leur liste qu'à travers un portail de confiance JavaScript, un PDF fourni sur demande, ou une page derrière un identifiant. La liste s'affiche pour un humain qui clique dans un navigateur. Elle ne s'affiche pas pour quiconque tente d'en lire beaucoup, de les comparer, ou de demander des comptes au marché.
La tendance va vers moins d'ouverture, pas plus. Un fournisseur de l'échantillon, Render, a remplacé son centre de confiance ouvert par un centre de documents sous NDA : un client doit renoncer à des droits simplement pour voir de qui Render dépend. L'effet, voulu ou non, est que la couche des quatrièmes parties devient plus difficile à auditer au moment précis où DORA, NIS2 et le RGPD exigent des organisations qu'elles la cartographient.
C'est le cœur de responsabilité de cette étude : plus les régulateurs demandent aux organisations de comprendre leur chaîne d'approvisionnement, plus le marché la rend difficile à voir.
Comment cartographier votre propre exposition aux quatrièmes parties
Vous pouvez mener une version de cette analyse sur votre propre pile. Partez des fournisseurs que vous utilisez réellement, récupérez la liste de sous-traitants de chacun, normalisez les noms vers les vrais prestataires sous-jacents (AWS, Amazon Web Services et Amazon.com ne sont qu'une seule entreprise), puis repérez deux choses : quels prestataires sont partagés par beaucoup de vos fournisseurs, et quels fournisseurs ne publient plus de liste lisible.
Le faire à la main sur un parc important est lent, et la couche masquée complique la tâche chaque trimestre. Une surveillance continue et externe du type que défend cette étude est intégrée au module Supplier Shield d'Acuna GRC, et pour un premier passage structuré sur un parc réglementé, un cabinet spécialisé comme Abilene Advisors peut mener la cartographie avec vous.
Ce que cela implique
Trois conclusions pour quiconque pilote un programme de gestion des risques tiers. Premièrement, traitez AWS, Google Cloud et Azure comme des quatrièmes parties systémiques, non comme des fournisseurs ordinaires : si plus de neuf de vos outils sur dix partagent un même prestataire, la continuité et les plans de sortie doivent commencer là. Deuxièmement, étendez la diligence d'un niveau, vers la couche des quatrièmes parties où résident à la fois la concentration et l'exposition au transfert américain. Troisièmement, capturez la divulgation tant que vous le pouvez, car les listes de sous-traitants se ferment et pourraient ne pas rester lisibles.
À lire aussi
La discipline dans laquelle s'inscrit cette étude : comprendre le TPRM. La couche pratique : notre check-list d'évaluation des fournisseurs, contrôles sur les quatrièmes parties inclus. L'obligation réglementaire : le risque de concentration est explicite dans DORA (article 29) et la sécurité de la chaîne d'approvisionnement dans NIS2.
Foire aux questions
Qu'est-ce qu'une quatrième partie en gestion des risques ?
Une quatrième partie est un sous-traitant ultérieur dont dépend votre fournisseur direct, comme son hébergeur cloud, son fournisseur d'e-mail ou son fournisseur d'IA. C'est un niveau en dessous du fournisseur que vous avez contracté. Parce qu'une violation ou une panne à ce niveau atteint quand même vos données, le risque de quatrième partie fait désormais partie intégrante de la gestion des risques tiers.
Quels fournisseurs cloud la plupart des éditeurs SaaS utilisent-ils ?
Dans cette étude, 92% des éditeurs SaaS étudiés citaient Amazon Web Services comme sous-traitant et 86% citaient Google Cloud, et près de 100% dépendaient d'au moins un de AWS, Microsoft Azure ou Google Cloud.
Qu'est-ce qu'un sous-traitant ultérieur ?
Un sous-traitant ultérieur est un tiers qu'un fournisseur mobilise pour traiter des données pour son compte. En vertu de l'article 28 du RGPD, les fournisseurs doivent divulguer leurs sous-traitants ultérieurs, ce qui rend ces listes publiques et cartographiables.
Pourquoi la concentration de la chaîne d'approvisionnement SaaS est-elle un risque ?
Quand la plupart de vos outils dépendent discrètement des mêmes quelques prestataires, une seule panne ou compromission chez l'un d'eux peut toucher une grande partie de vos logiciels d'un coup. La concentration transforme de nombreux fournisseurs distincts en un point de défaillance unique et partagé.
Comment réduire le risque de quatrième partie et de concentration des fournisseurs ?
Hiérarchisez les fournisseurs selon leur criticité, étendez la diligence à la couche des sous-traitants, traitez les grands fournisseurs cloud comme des dépendances systémiques dans la continuité et les plans de sortie, et surveillez les divulgations de sous-traitants en continu, car elles changent et sont de plus en plus masquées.
Méthodologie
Nous avons détaillé les divulgations publiques de sous-traitants, au titre de l'article 28 du RGPD, de 163 éditeurs SaaS professionnels largement utilisés, en n'utilisant que la divulgation publiée par chaque fournisseur. Date d'accès de chaque enregistrement : 8 juillet 2026. Les variantes d'entreprise ont été normalisées vers une seule entité avant le décompte (AWS vers Amazon, Azure vers Microsoft, SendGrid et Segment vers Twilio). Les pourcentages de concentration sont agrégés sur les 142 fournisseurs de notre ensemble d'itémisation principal ; 21 fournisseurs supplémentaires récupérés via des portails rendus font partie de la collecte mais sont exclus des pourcentages agrégés pour éviter tout double comptage. Rien n'a été déduit ni estimé ; lorsqu'un fournisseur ne publiait aucune liste lisible, cela a été consigné comme une donnée.
Limites
Nous sous-estimons presque certainement la concentration : les fournisseurs que nous n'avons pas pu extraire se trouvent derrière des portails et sont, de façon disproportionnée, de grands fournisseurs grand public les plus susceptibles de tourner sur AWS et Google ; les exclure tire le chiffre mesuré vers le bas, pas vers le haut. Nous ne comptons que les dépendances divulguées, et une mention prouve qu'une dépendance existe, non son degré de criticité. La juridiction est déterminée par le siège, non par la région de stockage des données. Les fournisseurs qui publient des listes lisibles penchent vers les entreprises les plus soucieuses de transparence, ce qui est en soi pertinent pour le constat sur la disparition des divulgations.
À propos de l'auteur
Cette étude a été réalisée et rédigée par l'équipe Supplier Shield, la rédaction spécialisée dans le risque tiers et le risque de la chaîne d'approvisionnement. Nos recherches s'appuient uniquement sur des sources publiques et vérifiables, et sont libres de citation avec attribution.
Citer cette étude
Supplier Shield, La carte des quatrièmes parties 2026, juillet 2026. Libre de citation et de référence avec attribution et un lien vers cette page. L'ensemble de données anonymisé et tous les graphiques sont réutilisables avec un lien retour.