Évaluation des fournisseurs A2P SMS : de la diligence aux contrôles opérationnels
Un guide pour évaluer séparément le fournisseur et chaque route, consigner les éléments de preuve et les incertitudes, puis définir des conditions d’approbation proportionnées au risque.
Deux évaluations distinctes : le fournisseur et la route
La diligence relative à une entreprise fournisseuse et l’homologation d’une route A2P SMS répondent à des questions différentes. La première porte sur l’entité avec laquelle vous contractez, les responsabilités qu’elle assume et la façon dont elle gère ses opérations. La seconde concerne une combinaison précise de service, de destination, de type de trafic et de conditions d’utilisation.
Une évaluation favorable de l’entreprise ne prouve pas, à elle seule, qu’une route convient à une destination ou à un cas d’usage. À l’inverse, des essais opérationnels concluants sur une route ne remplacent pas l’examen de l’entité, du contrat ou de la chaîne d’approvisionnement déclarée. Conservez des dossiers distincts et précisez quels éléments de preuve peuvent être utilisés pour les deux évaluations.
- Dossier du fournisseur : identité, capacité à contracter, responsabilités, sécurité, conformité, support et sous-traitance déclarée.
- Dossier de la route : destinations et services couverts, provenance déclarée, restrictions, conditions opérationnelles et éléments de preuve disponibles pour cette configuration.
- Registre de la relation : indiquez quelle entité fournit chaque partie du service et qui est responsable en cas d’incident.
Définir le périmètre avant de demander des preuves
Un examen sans périmètre explicite produit des réponses difficiles à comparer. Avant de demander des documents, consignez le service évalué, les destinations prévues, le trafic légitime qui sera envoyé et les responsabilités attendues de chaque partie. Ne supposez pas qu’une réponse générale couvre toutes les routes, filiales ou tous les services.
Décrivez également les limites de l’évaluation : les destinations exclues, les affirmations nécessitant des preuves supplémentaires et les aspects qui n’ont pas pu être vérifiés. Si le périmètre change, conservez l’historique et déterminez si un nouvel examen est nécessaire.
- Identifiez l’entité contractante et les entités participant à la prestation, d’après les informations déclarées.
- Délimitez le service, les destinations, le type de trafic et les fonctions de chaque partie.
- Notez les hypothèses, les exclusions et les questions en suspens avant d’accorder une approbation.
Créer une matrice de preuves traçable
La matrice permet de distinguer une affirmation des preuves qui l’étayent. Pour chaque point, consignez l’affirmation, le document ou le registre examiné, la personne qui l’a fourni, les entités ou services auxquels il s’applique et la date de vérification. Ajoutez un responsable interne, un statut et les questions en suspens.
N’attribuez pas à une source une portée qu’elle n’a pas. Un document peut décrire une politique générale sans prouver qu’elle s’applique à une route précise ; une déclaration commerciale ne vaut pas validation indépendante. Lorsque les preuves sont insuffisantes, consignez explicitement l’incertitude au lieu d’en tirer une conclusion favorable.
- Champs pratiques : domaine, affirmation, source, date d’examen, périmètre, responsable, statut et observations.
- Statuts possibles : en attente, preuves reçues, examiné avec réserves, non vérifié ou clôturé ; définissez leur signification en interne.
- Conservez les versions et les dates afin de pouvoir repérer les changements entre les examens.
- Distinguez les documents primaires, les déclarations du fournisseur et les observations opérationnelles ; ne les présentez pas comme des preuves équivalentes.
Examiner l’identité, le contrat et la chaîne d’approvisionnement
Vérifiez que l’entité avec laquelle vous négociez est clairement identifiée et que le périmètre contractuel proposé correspond au service évalué. Examinez qui assume les obligations pertinentes, comment les responsabilités opérationnelles sont réparties et quels mécanismes permettent de communiquer les changements susceptibles d’affecter le service.
Demandez, lorsque cela est pertinent pour la décision, une description de la participation de tiers à la chaîne d’approvisionnement. Consignez les éléments déclarés et ceux qui n’ont pas pu être corroborés. Les documents disponibles peuvent avoir des limites : ne déduisez pas l’existence d’un contrôle direct, d’une autorisation ou d’une capacité contractuelle d’une présentation commerciale.
- Comparez les dénominations de l’entité dans les documents commerciaux et contractuels.
- Identifiez les responsabilités et les canaux de communication prévus dans l’accord.
- Consignez les dépendances ou sous-traitances déclarées et la manière dont leurs changements sont signalés.
- Soumettez les divergences à un examen juridique ou aux achats, selon le processus de votre organisation.
Évaluer la provenance et les restrictions de chaque route
Demandez une description de la provenance de la route et des restrictions d’utilisation applicables au service évalué. Mettez ces réponses en regard des destinations, du trafic et des responsabilités définis au départ. Les informations déclarées ne prouvent pas, à elles seules, le comportement technique d’une route ni son adéquation à tous les usages.
Consignez la manière dont les changements de provenance, de disponibilité ou de conditions d’utilisation sont communiqués, ainsi que les destinataires de ces notifications. Si les informations ne permettent pas de déterminer le périmètre d’une route, laissez le point en attente ou limitez l’approbation à ce qui est décrit. Ne transposez pas les conclusions tirées d’une destination ou d’une configuration à d’autres.
- Consignez séparément la destination, le service, l’usage autorisé et la source des informations.
- Demandez des précisions sur les restrictions et les changements nécessitant un nouvel examen.
- Définissez les éléments de preuve opérationnels disponibles qui seront observés et les incertitudes qui subsisteront.
- Ne considérez pas un essai isolé ou une description commerciale comme une garantie de livraison future.
Sécurité, données et gestion des incidents
Adaptez les questions de sécurité au service et aux données réellement concernés. Consignez les informations partagées, les contrôles que le fournisseur déclare appliquer à l’accès aux identifiants et les personnes responsables de signaler et de gérer les incidents pertinents. Ne concluez pas qu’un contrôle existe ou fonctionne au seul motif qu’il a été mentionné lors d’une conversation.
Examinez les preuves disponibles et leur portée : une politique générale peut ne pas détailler les composants ou les équipements inclus dans le service. Si vous ne pouvez pas vérifier un aspect important, consignez cette limite et déterminez s’il faut prévoir une condition, un examen supplémentaire ou une décision de risque par le responsable interne.
- Précisez quels identifiants ou données sont échangés et à quelles fins.
- Demandez qui sont les responsables, quels sont les canaux de communication et quelle est la procédure d’escalade en cas d’incident.
- Consignez les contrôles décrits, les preuves examinées et les points qui restent à vérifier.
- Limitez l’accès aux documents sensibles conformément aux politiques de votre organisation.
Gouvernance du trafic et gestion des réclamations
L’évaluation du fournisseur doit tenir compte de la répartition des responsabilités relatives au trafic légitime. Précisez quelle partie gère les exigences applicables à l’expéditeur, au consentement et à la classification du message, ainsi que le traitement des réclamations. Les obligations concrètes dépendent du contexte et des règles applicables ; ne les remplacez pas par une déclaration générale du fournisseur.
Définissez les informations nécessaires à l’examen d’une réclamation et les modalités de leur échange dans le cadre convenu. Gardez les messages, les listes et les processus d’envoi sous le contrôle de votre organisation. Ne supposez pas qu’une route valide à elle seule le consentement ou la légitimité d’un envoi.
- Attribuez par écrit les responsabilités de l’expéditeur et du fournisseur.
- Précisez la procédure de réception, d’escalade et de documentation des réclamations.
- Consignez le type de trafic et les usages autorisés dans le périmètre évalué.
- Adressez les questions réglementaires aux responsables de la conformité ou aux conseillers juridiques.
Support opérationnel et preuves de service
Évaluez si les canaux de support, l’escalade et la communication des incidents sont adaptés aux opérations prévues. Consignez les engagements convenus et les moyens de suivi disponibles, sans les confondre avec des résultats garantis. Un délai de réponse promis ne prouve ni qu’un message sera livré ni qu’un incident sera résolu dans un délai donné.
Lorsque des journaux opérationnels sont disponibles, déterminez précisément ce qu’ils montrent et ce qu’ils ne montrent pas. Par exemple, le statut de livraison rapporté par un système ne doit pas être automatiquement présenté comme une confirmation indépendante de réception sur le téléphone. S’entendre sur la manière d’expliquer les statuts et leurs limites permet de réduire les interprétations erronées.
- Confirmez les canaux, les contacts, les modalités d’escalade et le format de communication des incidents.
- Documentez les journaux consultables, leur portée et leurs limites connues.
- Distinguez les engagements contractuels, les données rapportées et les résultats observés.
- Convenez de la manière d’enregistrer les incidents et des informations nécessaires à leur analyse.
Questions fréquentes
L’approbation d’un fournisseur signifie-t-elle que toutes ses routes sont homologuées ?
Non. L’évaluation de l’entité et l’examen de chaque route ont des périmètres distincts. Documentez séparément les destinations, les services, les restrictions et les preuves disponibles.
Que faire lorsque le fournisseur ne peut pas apporter de preuve à l’appui d’une affirmation ?
Consignez l’affirmation comme non vérifiée, notez la source consultée et déterminez s’il convient de demander des informations supplémentaires, de limiter le périmètre, d’imposer une condition ou de ne pas approuver ce point.
Comment fixer des limites initiales de trafic ?
Il n’existe pas de limite universelle que l’on puisse déduire des informations disponibles. Fixez des limites internes proportionnées au risque et au périmètre approuvé, en précisant le responsable, la justification, les conditions d’ajustement et la date d’examen.
Quels événements devraient déclencher un nouvel examen ?
Vous pouvez prévoir un nouvel examen en cas de changement important concernant l’entité, le contrat, la chaîne d’approvisionnement déclarée, la provenance ou les restrictions d’une route, les responsables du support ou les conditions de sécurité. Définissez ces événements selon votre processus et consignez les dates d’examen.
Un essai opérationnel garantit-il la livraison future des messages ?
Non. Une observation se rapporte à un périmètre et à un moment précis ; elle ne doit pas être interprétée comme une garantie future. Documentez ce qui a été observé, les preuves utilisées et leurs limites.
Sources consultées
- Serie de especificaciones 3GPP3GPP
- Recomendación E.164Unión Internacional de Telecomunicaciones (UIT-T)
- Recursos sobre redesGSMA