Sous-traitance informatique : déléguer sans perdre la maîtrise des coûts et des données

La sous-traitance informatique consiste à confier à un prestataire externe certaines activités du système d’information : support, maintenance, cybersécurité, hébergement ou développement. Elle répond à un manque de ressources ou d’expertise, mais ne dispense pas l’entreprise de piloter ses priorités. Pour en tirer profit, trois points doivent être explicites dès le départ : le périmètre confié, le niveau de service attendu et les conditions de sortie.

Choisir une formule adaptée au besoin réel

L’externalisation désigne largement le fait de confier une activité à un tiers. Dans l’usage professionnel, la sous-traitance informatique peut concerner une mission ponctuelle ou une prestation durable. Au sens juridique, la qualification de sous-traitance dépend toutefois du montage contractuel : tout achat de services informatiques ne relève pas automatiquement du régime de la loi du 31 décembre 1975.

Capacité et spécialité : deux besoins distincts

La sous-traitance de capacité apporte un renfort lorsque l’équipe possède les compétences, mais manque de temps : déploiement de postes, pic de demandes ou retard de développement. La sous-traitance de spécialité donne accès à une expertise absente en interne, par exemple pour un audit de cybersécurité, une architecture cloud ou une migration complexe. Les deux peuvent se combiner dans un même projet.

Infogérance, MSP, ESN : ne pas confondre service et fournisseur

L’infogérance correspond à la gestion récurrente de tout ou partie du système d’information. Un Managed Service Provider (MSP) propose généralement des services managés associant supervision, maintenance proactive et engagements contractuels. Ces appellations ne garantissent cependant aucun périmètre précis : seul le contrat décrit ce qui est réellement assuré.

Une entreprise de services du numérique (ESN) ou un freelance représente, quant à lui, un type de fournisseur. Le freelance peut convenir à une expertise ciblée ; une équipe structurée peut faciliter le remplacement des intervenants et la couverture de plusieurs domaines. Le choix dépend surtout de la continuité attendue et des compétences vérifiables.

Déterminer ce que l’entreprise doit déléguer ou conserver

Une PME sans responsable informatique cherchera souvent un interlocuteur couvrant les besoins quotidiens. Une scale-up pourra externaliser une migration pour préserver sa capacité de développement. Une ETI disposant d’une DSI privilégiera parfois une externalisation sélective, notamment pour ses sites distants ou sa surveillance de sécurité.

• Exploitation : support utilisateur, maintenance réseau, gestion du parc PC et Mac, mises à jour et supervision.
• Infrastructure : hébergement cloud, administration des serveurs, migrations, sauvegardes et reprise d’activité.
• Projets : développement logiciel, intégration de CRM, architecture applicative et gestion de projet.
• Sécurité : audits, traitement des vulnérabilités, gestion des accès et accompagnement lors d’incidents.

L’intérêt est de libérer du temps et d’accéder à des compétences spécialisées. La réduction des coûts n’est pas automatique : une économie de 20 à 30 % est citée selon Syntec Informatique dans une analyse juridique du sujet, mais elle ne constitue pas une prévision applicable à chaque entreprise. Transition, licences, coordination et prestations hors forfait doivent entrer dans le calcul.

Le principal risque consiste à déléguer sans conserver de capacité d’arbitrage. L’entreprise doit garder un responsable interne capable de prioriser les demandes, valider les changements et contrôler les accès. Externaliser l’exécution ne signifie pas abandonner la gouvernance, la connaissance des applications critiques ou la responsabilité de ses décisions.

Comparer les prestataires et les devis sur une base identique

Avant toute consultation, réalisez un état des lieux : équipements, applications, contrats existants, incidents récurrents et dépendances critiques. Le cahier des charges doit préciser les utilisateurs concernés, les sites, les horaires de couverture, les contraintes sectorielles et les exclusions acceptables. Sans ce socle, deux offres affichant le même prix peuvent couvrir des besoins très différents.

Le taux journalier moyen (TJM) ne permet pas, seul, de comparer deux propositions. Examinez aussi la séniorité des intervenants, la charge estimée et le travail restant à votre équipe. Pour un abonnement, vérifiez si les déplacements, interventions hors horaires, nouveaux équipements et restaurations de données sont inclus.

Demandez des références comparables à votre environnement et identifiez l’équipe qui interviendra réellement. Évaluez chaque candidat avec la même grille : expertise technique, organisation du support, sécurité, documentation, continuité des équipes et coût total. Une démonstration du portail de tickets ou un exemple anonymisé de rapport d’exploitation apporte davantage qu’une promesse de réactivité.

Transformer les engagements commerciaux en clauses vérifiables

Le contrat doit reprendre le périmètre, les responsabilités respectives, les livrables, les modalités de réception et la procédure de changement. Il doit aussi préciser les assurances, les limites de responsabilité et les conditions de résiliation. La distinction entre obligation de moyens et obligation de résultat doit être examinée prestation par prestation, plutôt que résumée par une formule générale.

Des niveaux de service qui reflètent l’activité

Le SLA, ou accord de niveau de service, formalise les engagements mesurables. La garantie de temps d’intervention (GTI) concerne le début de l’intervention ; la garantie de temps de rétablissement (GTR) concerne le retour du service selon les conditions convenues. Une réponse à un ticket n’équivaut donc pas à une panne résolue.

Précisez les niveaux de gravité, les horaires de décompte, les exclusions de disponibilité, l’escalade et les éventuelles pénalités. Distinguez également un rétablissement provisoire d’une correction définitive. Le reporting doit permettre de vérifier ces engagements sans dépendre uniquement de l’appréciation du prestataire.

Des données protégées, même chez un tiers

Lorsqu’il traite des données personnelles pour votre compte, le prestataire doit être encadré conformément au RGPD, notamment par les clauses requises pour la sous-traitance. Vérifiez les instructions documentées, la confidentialité, les mesures de sécurité, les sous-traitants ultérieurs et l’assistance en cas de violation. Identifiez les lieux d’hébergement et d’accès ainsi que les éventuels transferts hors de l’Espace économique européen et leurs garanties.

Préparer la continuité et la sortie avant le démarrage

La transition doit prévoir un inventaire contradictoire, le transfert sécurisé des accès, une documentation à jour et un calendrier de reprise. Désignez un interlocuteur de chaque côté et fixez des points de suivi portant sur les incidents, les changements, le budget et les risques. Les utilisateurs doivent savoir où demander de l’aide dès le premier jour.

Pensez la sauvegarde comme un radeau de secours : sa présence ne suffit pas si personne ne sait le détacher ni le conduire. Concrètement, exigez des tests de restauration, des accès de secours maîtrisés et une procédure utilisable même lorsque la messagerie ou l’annuaire principal est indisponible. Cette autonomie évite qu’une panne du système bloque aussi les moyens de le réparer.

La clause de réversibilité doit définir les données restituées, leurs formats, les configurations, la documentation, les délais, l’assistance et son prix. Pour un logiciel spécifique, clarifiez les droits sur le code et les dépendances nécessaires à son exploitation. Prévoyez enfin la suppression des copies selon les obligations applicables. Une externalisation maîtrisée reste transférable : changer de prestataire ne devrait pas imposer de reconstruire son informatique.