À 8 h 40, le stock ERP ne rejoint plus l’agrégateur, mais les marketplaces continuent d’accepter des commandes. Couper tous les canaux protégerait la survente au prix d’une journée de chiffre d’affaires. Ne rien faire transforme chaque minute en risque client. Le problème impose une troisième voie : vendre une population réduite selon des données dont la fraîcheur et la marge restent défendables.
Le vrai enjeu d’un mode dégradé vendeur marketplace est de maintenir le service minimal sûr, pas une imitation fragile du nominal. Prix, stock et commandes ne portent ni la même urgence ni la même réversibilité. Contre-intuitivement, continuer moins peut accélérer le retour complet, car l’équipe protège sa capacité de diagnostic et réduit le backlog futur.
Vous allez comprendre comment une agence marketplace spécialisée dans la continuité vendeur prépare activation, règles, capacités et portes de sortie. Le premier signal faible apparaît lorsque les équipes savent couper un flux mais ne savent pas quelles opérations doivent survivre. Le second se voit quand le retour au nominal dépend d’un « feu vert » oral sans échantillon ni réconciliation.
Préserver un service minimal sûr
Choisir la promesse que le run peut encore tenir
Le mode dégradé réduit volontairement fonctions, volume ou cadence afin de protéger promesse client, marge et capacité de reprise. Il ne cherche pas à sauver chaque vente. La première décision identifie les objets dont l’état reste connu et les opérations dont l’exécution demeure contrôlable malgré la panne.
Le périmètre sûr peut conserver les commandes déjà payées, les expéditions prêtes et une sélection de SKU à stock profond. Il peut suspendre nouveaux prix, longues traînes et canaux sans accusé fiable. Chaque maintien s’accompagne d’une raison ; chaque gel indique conséquence et condition de levée.
La priorité consiste d’abord à arrêter l’aggravation irréversible, ensuite à protéger les engagements existants, puis à conserver les ventes dont le risque résiduel est accepté. Cet ordre résiste mieux au stress qu’une liste improvisée pendant l’incident.
Définir les états du run
Distinguer nominal, dégradé, arrêt et reprise
Le nominal respecte les contrats habituels. Le dégradé conserve une promesse réduite avec contrôles supplémentaires. L’arrêt empêche une opération dont la maîtrise est perdue. La reprise réintroduit progressivement volume et automatisations. Ces états sont nommés afin que « ça remarche » ne provoque pas une réouverture totale.
Chaque domaine peut se trouver dans un état différent. Les prix restent gelés pendant que commandes et expéditions fonctionnent ; un canal est arrêté tandis qu’un autre reçoit un stock tampon. Une vue commune évite qu’un statut global masque des décisions contradictoires entre intégration, commerce et logistique.
Déclencher au bon moment
L’activation repose sur des seuils observables : fraîcheur de stock, taux de rejet, écart de prix, file de commandes, accusés manquants ou indisponibilité d’une source. La règle précise fenêtre de confirmation et autorité. Elle peut être automatique pour la contention, mais la durée et l’extension restent gouvernées.
Attendre l’incident client visible coûte souvent trop cher. Si la donnée critique dépasse son âge maximal et qu’aucune preuve de propagation n’existe, alors le mode réduit s’active avant la première survente confirmée. En revanche, un retard borné dont la source reste fiable peut seulement déclencher une surveillance renforcée.
Construire la matrice de continuité
Décider maintenir, réduire, traiter ou arrêter
Pour chaque objet et opération, la matrice indique état cible, source utilisée, cadence, limite, owner et preuve. Les colonnes couvrent au minimum prix, disponibilité, nouvelles commandes, statuts, expéditions, annulations, remboursements et support. Une règle par défaut s’applique lorsque la situation ne correspond à aucun cas prévu.
La décision croise impact si l’opération s’arrête et impact si elle continue faux. Une mise à jour de tracking limite les contacts et peut rester prioritaire ; une promotion augmente la demande et doit souvent être neutralisée. La matrice rend ces arbitrages explicites avant que chaque équipe défende son propre flux.
Choisir les sources de vérité
Le fonctionnement normal peut agréger ERP, PIM, OMS, WMS et données canal. En crise, chaque domaine désigne une source de repli dont la fraîcheur et les limites sont connues. Un export horodaté peut suffire quelques heures pour une population stable ; il devient dangereux sur des références à forte rotation.
La source porte horodatage, couverture, version et responsable. Les rapprochements manuels ne la modifient pas silencieusement : ils produisent un journal d’écarts. Lorsque deux vérités divergent, la matrice indique celle qui protège la promesse plutôt que celle qui offre le volume le plus favorable.
Protéger les prix et la marge
Geler les mécanismes qui amplifient l’écart
Le repricing, les conversions de devise et les règles promotionnelles peuvent propager un prix erroné plus vite que l’équipe ne le détecte. Le mode dégradé choisit prix gelé, dernière valeur approuvée, borne de marge ou arrêt de publication. Les SKU sensibles reçoivent un contrôle plus strict que la longue traîne.
La valeur de secours conserve taxe, commission, transport et plancher commercial. Un prix techniquement valide peut rester destructeur de marge. Les changements manuels sont limités à une liste, une durée et un approbateur. La réouverture compare échantillon canal, source et calcul complet avant de réactiver la dynamique.
Borner le stock vendable
Choisir tampon, réserve ou retrait
Lorsque la synchronisation est incertaine, le stock vendable peut être calculé depuis un snapshot diminué d’un tampon, des commandes connues et des réserves. La méthode dépend de rotation, fréquence d’annulation et délai de réparation. Les références unitaires ou très rapides sont masquées plutôt qu’estimées.
Le tampon n’est pas un nombre uniforme. Il tient compte du canal, du lead time et de la capacité à annuler sans pénalité. La quarantaine d’un flux vendeur permet d’isoler les populations douteuses sans condamner l’assortiment dont la disponibilité reste prouvée.
Sécuriser la prise de commande
Les nouvelles commandes continuent uniquement si accusé, réservation et identité peuvent être suivis. La déduplication reste active même lorsque l’OMS principal est ralenti. Une file de secours conserve les événements reçus, mais ne promet pas un traitement immédiat si les stocks ou paiements ne sont pas confirmés.
Le contrat décrit entrée, sortie, idempotence, seuil de file et owner. La journalisation conserve identifiant canal, commande, version et verdict. Un retry borne ses tentatives, tandis qu’un monitoring distinct alerte sur âge plutôt que sur seul volume. Ce passage évite qu’une continuité apparente fabrique doublons et commandes orphelines.
Maintenir préparation et expédition
Les commandes déjà engagées méritent souvent la première capacité. Le mode précise quelles vagues restent préparées, comment les statuts remontent et qui traite les exceptions. Une expédition réelle sans mise à jour canal produit contacts, litiges et remboursements ; le suivi doit donc survivre ou être rejoué de façon sûre.
Les cutoffs transporteur, priorités client et contraintes d’entrepôt déterminent l’ordre. Les commandes à risque sont isolées avant le lancement de vague. Le manuel peut couvrir un volume maximal documenté ; au-delà, l’équipe réduit l’entrée plutôt que de laisser un backlog invisible dépasser la capacité du lendemain.
Protéger paiements et remboursements
Encaissement, capture, remboursement et reversement ne sont pas des statuts interchangeables. Le mode dégradé interdit les actions dont l’idempotence ou la preuve n’est plus garantie. Une transaction inconnue reste à vérifier plutôt qu’à rejouer à l’aveugle. Les montants et identifiants sont rapprochés avant correction.
Finance définit les opérations autorisées, les doubles validations et l’ordre de traitement. Les remboursements urgents peuvent continuer sur une file bornée, avec preuve PSP et écriture. Les gestes commerciaux sont distingués des mouvements de paiement afin que la reprise réconcilie les deux sans double effet.
Limiter les changements catalogue
Un enrichissement non urgent augmente les variantes à réconcilier. Le mode suspend créations, changements de catégorie, médias massifs et mappings dont la propagation n’est plus observable. Les corrections indispensables à une obligation légale ou à la sécurité produit restent possibles avec une liste approuvée.
La source conserve les changements en attente au lieu de les perdre. À la reprise, l’équipe ne renvoie pas tout le backlog en une seule vague. Elle classe dépendances, conflits et ancienneté, puis rejoue une population pilote. Le catalogue redevient dynamique après validation des accusés et du rendu final.
Neutraliser les promotions risquées
Une promotion amplifie demande, fréquence de prix et pression logistique au moment où la visibilité baisse. Les campagnes à venir sont différées si stock, marge ou capacité ne sont plus fiables. Les promotions déjà visibles sont évaluées par population ; leur retrait peut lui-même produire une incohérence de prix.
Commerce, marketplace et finance décident du maintien depuis engagement public, coût d’arrêt et risque d’exécution. La règle documente coupons, prix barrés, budgets et dates. Une relance marketing n’est autorisée qu’après capacité prouvée, pas au premier retour technique d’un flux.
Adapter les règles par canal
Les marketplaces diffèrent par délai de stock, accusés, annulations, pénalités et capacité de masquage. Une règle uniforme peut être trop prudente sur un canal et dangereuse sur un autre. La matrice porte les opérations réellement disponibles, leurs temps de propagation et leurs limites contractuelles.
Un canal sans confirmation fiable peut être coupé avant celui qui fournit un retour unitaire. Les canaux prioritaires ne sont pas automatiquement les plus gros : marge, promesse, risque de suspension et coût de reprise participent à l’arbitrage. La décision conserve une justification datée.
Prioriser objets et clients
Le mode définit les populations à protéger : commandes payées, produits réglementés, clients avec promesse imminente, SKU à marge ou forte rotation. La priorité reste transparente et applicable dans les outils. Une liste trop fine devient inexécutable sous pression ; quelques classes robustes valent mieux.
Les traitements sont ordonnés par irréversibilité et délai. Une commande avant cutoff passe devant un enrichissement ; une erreur de prix destructrice passe devant un contenu incomplet. Si deux classes consomment la même capacité, alors l’owner choisit avec l’impact explicite au lieu de laisser la file décider.
Dimensionner le traitement manuel
Promettre seulement ce que l’équipe peut absorber
Le mode manuel possède un débit, une durée et un taux d’erreur. L’équipe mesure minutes par objet, personnes disponibles et contrôles requis. Elle réserve une part aux exceptions et aux relances. Continuer cent commandes par heure avec une capacité réelle de quarante fabrique une dette plutôt qu’un service.
La méthode sur le seuil économique d’une remédiation manuelle aide à fixer ce plafond. Si la crise dure, le périmètre se réduit ou les relèves s’organisent ; les équipes ne compensent pas indéfiniment par des heures non soutenables.
Capturer l’état de référence
Au déclenchement, un snapshot conserve prix, stock, commandes ouvertes, versions de règles et files. Il sert à déterminer ce qui a changé pendant le mode et à préparer la réconciliation. L’horodatage est cohérent entre systèmes ou accompagné d’une fenêtre d’incertitude connue.
La capture ne doit pas retarder une contention urgente. Les données minimales sont automatisées et accessibles hors du composant en panne. Les exports portent hash, période et propriétaire. Un second snapshot avant réouverture permet de comparer populations plutôt que quelques exemples rassurants.
Surveiller le mode dégradé
Observer sécurité, capacité et dette
Les indicateurs du nominal ne suffisent plus. Le tableau suit exposition résiduelle, âge des sources, commandes en attente, capacité manuelle, erreurs secondaires et contrôles en retard. Chaque seuil possède une action : réduire, arrêter, appeler une relève ou réévaluer le scénario.
La responsabilité du monitoring, les dépendances et le canal d’alerte sont testés. Un runbook décrit repli, rollback et sortie. La journalisation permet de rejouer chaque décision sans fichiers personnels. Ce deuxième bloc de mise en œuvre vérifie que le mode reste gouvernable même si l’outil principal disparaît.
Informer équipes et clients
Les opérations reçoivent état, périmètre, règles temporaires et prochaine mise à jour. Le support obtient commandes concernées, messages autorisés et critères d’escalade. Commerce connaît les ventes suspendues et les risques de promesse. Une version unique évite que les équipes expliquent des politiques différentes.
Le client n’a pas besoin du détail technique, mais d’un engagement réaliste. Les messages séparent retard possible, action requise et heure du prochain point. Une communication proactive cible les populations confirmées ; elle ne transforme pas toute exposition en incident annoncé sans preuve.
Borner droits et changements
La crise peut justifier un accès temporaire ou une capacité de modification directe. Ces droits portent bénéficiaire, motif, durée et actions autorisées. La double validation s’applique aux prix, paiements et populations larges. Les comptes partagés restent interdits, car ils détruisent la preuve nécessaire à la reprise.
Une fenêtre de changement limite les interventions concurrentes. Le coordinateur publie ce qui peut être modifié et par qui. Les scripts d’urgence sont versionnés, relus et exécutés sur un échantillon. Chaque accès temporaire est retiré ou renouvelé explicitement avant la fermeture.
Limiter la durée et la dette
Le mode possède une durée cible et une durée maximale. Plus il dure, plus snapshots vieillissent, exceptions s’accumulent et équipes se fatiguent. Des revues régulières recalculent capacité, risque et coût. Au-delà d’un seuil, le périmètre se réduit même si aucune nouvelle erreur n’est visible.
Les contrôles temporaires et reprises manuelles sont enregistrés comme dette avec condition de retrait. Sans cette discipline, l’organisation revient officiellement au nominal tout en conservant des doubles validations pendant des mois. Le coût complet du mode nourrit alors la priorité de correction durable.
Définir les portes de réouverture
Prouver la stabilité avant le volume
La porte exige cause contenue, source fraîche, files connues, tests réussis, droits nettoyés et capacité disponible. Un échantillon couvre cas nominal, doublon, absence de donnée et délai. La simple exécution verte d’un job ne prouve ni le rendu canal ni les conséquences sur les commandes.
La reprise avance par canal, catégorie ou lot avec un palier d’observation. Le redémarrage après un incident de diffusion fournit cadence, garde et rollback. Les seuils de recul sont fixés avant le premier lot.
Réconcilier le backlog
Le backlog contient événements retenus, changements différés, commandes incertaines et contrôles à reprendre. Il est dédupliqué, ordonné et comparé à l’état actuel avant rejeu. Un événement ancien peut être devenu faux ; la reprise vérifie sa pertinence au lieu de respecter aveuglément l’ordre historique.
Les lots portent volume, début, fin, erreurs et verdict. Le nominal n’est déclaré qu’après réconciliation des objets critiques et affectation des exceptions restantes. Les tableaux temporaires sont archivés ou supprimés selon leur finalité, afin qu’ils ne deviennent pas une seconde source durable.
Cas concret : étudier une panne de stock
Maintenir un assortiment borné pendant quatre heures
À 8 h 40, la synchronisation ERP tombe et le dernier snapshot date de vingt minutes. Les SKU à rotation forte sont masqués ; les références avec plus de quinze unités reçoivent un tampon de cinq. Les commandes déjà acceptées continuent, tandis que les promotions et créations catalogue sont suspendues.
Le manuel peut contrôler cinquante commandes par heure et le flux courant en produit trente-deux. Un tableau suit réservation, accusé et expédition. Après deux heures, six références franchissent leur seuil et sont retirées. Aucune survente n’est confirmée ; le manque à gagner estimé reste sous 4 800 euros, contre 17 000 euros de marge exposée sans tampon.
À 12 h 10, la source revient. Dix SKU pilotes sont rapprochés, puis deux lots de cinquante. Le rollback reste possible jusqu’au second palier. Le backlog de stock est recalculé depuis l’état courant, pas rejoué en bloc. À 13 h 05, les contrôles sont stables et les promotions restent différées jusqu’au cycle suivant.
Gouverner la continuité
Marketplace possède la promesse canal ; commerce les règles de prix ; logistique la disponibilité ; opérations la capacité ; technique les flux ; finance les mouvements sensibles. Une matrice RACI simplifiée indique décision et suppléance. Les exercices testent les interfaces entre domaines, pas seulement le démarrage d’un script.
Ciama pour le pilotage marketplace peut centraliser états, populations, seuils et décisions. L’accompagnement de run et supervision vendeur aide à tester les scénarios et mesurer capacité, réconciliation et délai de retour.
Pour qui cette matrice convient-elle ?
La matrice concerne responsables marketplace, commerce, logistique, finance, support, opérations et intégration qui doivent maintenir une promesse réduite pendant une panne. Elle devient prioritaire lorsque plusieurs systèmes ou canaux peuvent continuer partiellement et que l’arrêt total coûte autant qu’une continuation non maîtrisée.
Une petite équipe peut préparer trois scénarios couvrant prix, stock et commandes. Une organisation plus mature différencie canaux, pays et entrepôts. Dans les deux cas, les règles doivent rester exécutables avec les personnes réellement présentes, les accès disponibles et une capacité chiffrée.
Éviter les erreurs fréquentes
La première erreur laisse tout tourner par optimisme. La deuxième coupe tout sans mesurer la partie saine. La troisième applique le même tampon à tous les SKU. La quatrième confond retour du job et retour au nominal. La cinquième oublie les paiements, tandis que la sixième sous-estime le backlog.
Une autre dérive crée un manuel sans plafond de capacité. Des droits d’urgence non retirés et des contrôles sans date maintiennent ensuite une dette invisible. Enfin, rejouer tous les événements anciens peut recréer l’incident. États, sources, seuils, paliers et réconciliation corrigent ces erreurs.
Plan d’action en dix jours
Définir le service minimal sûr
Jour 1 — cartographier les objets. Listez prix, stock, commandes, paiements, catalogue et statuts avec leur source, délai, dépendances et conséquence d’arrêt sur chaque canal.
Jour 2 — définir les états. Écrivez nominal, réduit, manuel et arrêté pour chaque domaine, avec les opérations autorisées, interdites et soumises à validation humaine.
Jour 3 — fixer les seuils. Reliez fraîcheur, rejet, file, erreur et capacité à une activation, une réduction, une relève ou un arrêt précis et vérifiable.
Construire les moyens de continuité
Jour 4 — choisir les sources. Désignez snapshots, exports, tableaux et preuves utilisables par les opérateurs lorsque les systèmes habituels deviennent indisponibles, incomplets ou durablement incohérents.
Jour 5 — dimensionner le manuel. Mesurez débit, durée, contrôle et taux d’erreur avant de promettre le volume quotidien que l’équipe présente peut réellement absorber.
Jour 6 — préparer la matrice. Associez maintenir, réduire, traiter ou arrêter à chaque objet, canal, opération sensible et classe de priorité client clairement identifiable.
Jour 7 — préparer les accès. Testez droits temporaires, journalisation, scripts, contacts, communication alternative et retrait contrôlé après chaque usage de crise par une personne autorisée.
Tester la dégradation et la reprise
Jour 8 — jouer une panne. Rendez une source indisponible, faites vieillir le snapshot et vérifiez que les équipes appliquent les bonnes règles sans consigne orale supplémentaire.
Jour 9 — tester les portes. Rejouez échantillon, lot, palier, monitoring, rollback et réconciliation complète avant de déclarer le retour au nominal sur tous les canaux.
Jour 10 — valider la gouvernance. Nommez décideurs, suppléants, durée maximale, revues et propriétaires des dettes créées pendant le scénario de continuité réellement testé avec les métiers.
- Définir la promesse minimale sûre pour prix, stock et commandes avant de choisir les outils ou les gestes de secours.
- Relier chaque opération à une source, une capacité, une limite et une décision de maintien, réduction, traitement manuel ou arrêt.
- Tester les règles avec une panne réaliste, des données vieillissantes et les personnes qui assureront effectivement la permanence.
- Revenir par paliers, réconcilier le backlog et retirer les droits comme les contrôles temporaires avant de déclarer le nominal.
Guides complémentaires de reprise
Relier runbook, escalade et alertes
Le runbook vendeur pour panne majeure rassemble contacts, sources et gestes qui rendent la matrice exécutable. Il évite de rechercher l’information alors que les seuils sont déjà franchis.
Le protocole pour escalader un incident sans perdre des heures porte ensuite les décisions au bon mandat. Les alertes sur prix, stock, commandes et cash alimentent activation et portes de sortie avec des populations mesurables.
Conclusion : dégrader sans perdre le contrôle
Un mode dégradé vendeur marketplace maintient uniquement ce qui reste sûr, traçable et absorbable. Prix, stock et commandes reçoivent des règles différentes selon leur source, leur vitesse et leur réversibilité. La matrice évite de choisir entre arrêt aveugle et continuité optimiste.
Activation précoce, capacité manuelle, snapshots et monitoring bornent la crise. Les portes de réouverture prouvent ensuite la stabilité sur une population avant de rendre le volume. La réconciliation ferme les écarts que la restauration technique ne traite pas.
Pour construire vos scénarios, tester les capacités et sécuriser les reprises par paliers, Dawap peut vous accompagner avec son expertise d’agence marketplace. L’objectif est un service réduit mais défendable, puis un retour au nominal sans nouvelle vague d’erreurs.
