Guide
Comment créer un fournisseur de services cloud ou gérés aux EAU
La réponse courte
Une société de cloud ou de services gérés démarre généralement avec une licence commerciale ordinaire, et la question est de savoir quelles autorités ont ensuite leur mot à dire. Celles à vérifier sont la Telecommunications and Digital Government Regulatory Authority (TDRA), si une partie du service ressemble à des télécommunications, et le UAE Cyber Security Council, pour les exigences en matière de cybersécurité. Le droit de la protection des données s'applique quoi que dise la licence.
L'élément qui détermine le plus souvent la voie à suivre est le périmètre du service : si l'entreprise revend, exploite une infrastructure, ou gère les environnements propres des clients. Cette réponse détermine les contrats, les assurances, le personnel et les autorisations. Elle détermine également si la question des télécommunications mérite une vérification formelle.
Choisir le modèle de service avant la licence
La plupart des fondateurs décrivent quatre modèles. Chacun impose à l'entreprise des obligations différentes :
- Revendre les services d'un hyperscaler dans le cadre d'un accord de partenariat.
- Exploiter une infrastructure cloud privée ou publique.
- Gérer les opérations sur des environnements appartenant aux clients.
- Combiner hébergement, sauvegarde, sécurité et support.
Un revendeur assume des obligations d'accréditation de partenaire, de facturation et d'assistance. Un exploitant assume le matériel, les installations, la disponibilité et la reprise. Une société de services gérés assume un accès privilégié aux systèmes d'autrui. Une offre groupée assume tout cela à la fois. Un prestataire qui transporte des données de facturation entre entreprises est un cas différent, traité dans le guide du prestataire de facturation électronique.
Si plusieurs modèles s'appliquent, il faut s'attendre à un groupe plutôt qu'à une société unique. Le propriétaire de l'actif, l'exploitant et l'entité contractant avec le client sont souvent distincts. Les prêteurs et les clients d'ancrage ont tendance à pousser vers cette séparation. Une société unique portant le matériel, la dette et le risque client est plus difficile à financer.
Où se situe le périmètre réglementaire
Le risque est qu'un service franchisse une limite sans que personne ne s'en rende compte, c'est pourquoi la position est confirmée auprès des autorités plutôt que supposée. Les points suivants doivent être vérifiés dès le début :
- Si une partie du service constitue une activité de télécommunications plutôt qu'un service informatique. C'est une question pour la TDRA.
- Quelles normes de cybersécurité le secteur du client attend de ses fournisseurs, et ce que le UAE Cyber Security Council a publié qui concerne le service.
- Si l'entreprise est responsable du traitement ou sous-traitant pour chaque ensemble de données qu'elle traite.
- Où se situent les sous-traitants, et si les données franchissent une frontière.
- Ce que permet l'accord avec le fournisseur en amont, car un accord de partenariat avec un hyperscaler peut limiter la revente et l'utilisation en marque blanche.
Qu'une vérification révèle un problème ne signifie pas qu'une autorisation est requise. Cela signifie que la position doit faire l'objet d'une vérification factuelle auprès de l'autorité concernée. Qualifier une activité de plateforme technologique ne la fait pas sortir du champ de la réglementation si le parcours client exerce une fonction réglementée.
Consigner la position par écrit : ce que l'entreprise construit et exploite, ce qu'elle ne fait pas, quelles fonctions relèvent de partenaires agréés, et quelles étapes de développement changeraient la réponse. Les bailleurs, les prêteurs et les banques le demandent tous, de même que les clients entreprises lors des appels d'offres.
Les choix de structure qui changent la réponse
- L'emplacement de la propriété de l'infrastructure et les régions qu'elle dessert.
- Si la société contracte en tant que principal, agent ou revendeur.
- Qui est responsable de la sauvegarde, de la reprise et de l'administration de la sécurité.
- Comment les données clients sont cloisonnées et qui détient les accès privilégiés.
- Comment les crédits de service, les plafonds de responsabilité et la cyberassurance s'articulent.
L'entité qui signe les contrats clients doit détenir les personnes, les systèmes et le risque nécessaires pour les exécuter. Un véhicule détenteur d'actifs, une société de propriété intellectuelle ou une société mère étrangère peuvent se situer ailleurs dans le groupe, mais chacun a besoin d'un rôle réel. Une structure conçue pour afficher un faible coût de constitution tend à revenir sous forme de questions bancaires et de reprise du travail. Pour les modèles à forte intensité de calcul qui dépendent de l'énergie et du matériel, le guide sur le calcul IA couvre cette couche supplémentaire.
Rôles, personnes et substance
Un prestataire de services gérés, ce sont ses collaborateurs. Les ingénieurs détiennent des droits d'administrateur sur les systèmes clients, la société a donc besoin d'un responsable nommé pour chacun des points suivants :
- Les opérations de sécurité et l'escalade des incidents.
- La protection des données, y compris les conditions de sous-traitant que les clients exigeront.
- La fourniture du service au regard des objectifs de reprise contractuels.
- La gestion financière et contractuelle.
Chaque personne a besoin d'un statut de résidence et de travail avant de toucher aux environnements clients. Les locaux comptent également, mais moins pour un revendeur que pour un opérateur disposant de matériel en baie. Les clients lisent la page de l'équipe et l'organigramme comme preuve de substance, et les banques aussi.
Comment circule l'argent, et ce que vérifie une banque
Les revenus de ce secteur sont récurrents : factures mensuelles, facturation à l'usage, ristournes partenaires et parfois frais refacturés. Les coûts sont souvent payés à l'étranger à des hyperscalers et à des fournisseurs de matériel, en devises étrangères. Une banque examine qui sont les clients, où se trouvent les fournisseurs, et si les contrats expliquent les flux.
Soyez prêt à présenter :
- Les contrats avec les fournisseurs et les centres de données.
- Un catalogue de services et une matrice des responsabilités.
- Les politiques de sécurité de l'information.
- Les preuves de continuité d'activité et de reprise après sinistre.
- La couverture du support et l'escalade des incidents.
L'objectif est que le deck, le modèle financier, les contrats et le dossier bancaire racontent une seule et même histoire. C'est autour de cela que s'organise la préparation du compte bancaire d'entreprise, et le plan d'affaires et la documentation deviennent généralement le document de référence. La cohérence élimine les questions évitables. Elle ne garantit ni un compte, ni un financement, ni une approbation.
Les erreurs les plus fréquentes
- Copier les conditions de niveau de service d'un hyperscaler sans disposer des opérations permettant de s'y conformer.
- Ne pas divulguer l'emplacement des sous-traitants ultérieurs dans les contrats clients.
- Vendre des services d'hébergement dans un secteur réglementé avant de satisfaire aux contrôles du client.
- Regrouper une connectivité de type télécom avec des services informatiques sans vérifier cette limite réglementaire.
- Signer un contrat client depuis une entité qui ne détient aucune des capacités de livraison nécessaires.
- Comparer les frais de constitution plutôt que l'ensemble des parcours, y compris le coût du renouvellement, les effectifs et le coût d'une restructuration après la signature des contrats.
Coût
Le coût se construit par couches, et les honoraires du cabinet sont détaillés dans la lettre de mission ; le fonctionnement de Velarozone explique la démarche. Pour un opérateur, les locaux, le matériel et le personnel dominent le coût de la licence. Pour un revendeur, ce sont l'accréditation des partenaires et les ingénieurs. Aucun chiffre réglementaire ne s'applique à l'ensemble du secteur, et aucun n'est donc indiqué ici.
