Sous-traitance informatique : déléguer la technique sans perdre la maîtrise

La sous-traitance informatique consiste à confier à un prestataire externe une partie ou la totalité des activités liées au système d’information. Elle peut répondre à un manque de compétences, absorber un pic de charge ou assurer la maintenance quotidienne. Son intérêt dépend toutefois moins du nombre de tâches déléguées que de la précision du périmètre, des engagements de service et des conditions de sortie.

Choisir le bon niveau de délégation

Dans l’usage courant, sous-traitance et externalisation informatique désignent le recours à une entreprise extérieure pour réaliser des prestations IT. La qualification juridique dépend néanmoins du montage contractuel : une prestation directement commandée par un client ne relève pas automatiquement du régime légal de la sous-traitance.

L’infogérance correspond généralement à la gestion récurrente de tout ou partie du système d’information. Un MSP, ou Managed Service Provider, propose des services managés associant souvent supervision, maintenance préventive et interventions à distance. Ces termes ne garantissent pas, à eux seuls, une couverture particulière : seul le contrat précise les services réellement assurés.

Une ESN, entreprise de services du numérique, et un freelance désignent des types de prestataires, pas des niveaux de délégation. Un indépendant peut apporter une expertise pointue ; une ESN peut mobiliser plusieurs profils. Dans les deux cas, vérifiez la continuité du service en cas d’absence ou de départ d’un intervenant.

Externaliser les tâches adaptées, conserver les décisions clés

Les services externalisables couvrent le support utilisateur, la gestion du parc PC et Mac, la maintenance réseau, l’hébergement cloud, les migrations, la cybersécurité et les sauvegardes. Les projets applicatifs s’y prêtent aussi : développement logiciel, intégration d’un CRM, architecture ou gestion de projet.

Une PME sans équipe informatique peut rechercher un interlocuteur polyvalent. Une scale-up aura plutôt besoin de ressources évolutives pour accompagner sa croissance. Une ETI disposant d’une DSI peut externaliser une spécialité ou l’exploitation de certains sites, sans abandonner sa gouvernance.

Évaluer les gains sans présumer des économies

L’externalisation peut libérer du temps, accélérer un projet et faciliter l’accès à des compétences difficiles à recruter. Elle ne réduit pas automatiquement la facture. L’article juridique de Murielle Cahen rapporte une économie de 20 à 30 % selon Syntec Informatique : ce repère ne constitue pas une prévision pour votre entreprise. Le résultat dépend notamment du périmètre, du niveau de service et du coût de la transition.

Les risques doivent entrer dans l’arbitrage : perte de connaissance interne, prestations hors forfait, dépendance technique ou coordination insuffisante entre fournisseurs. Conservez en interne un responsable capable de prioriser les demandes, valider les changements et contrôler les accès.

Le fossé le plus coûteux se situe parfois entre deux périmètres pourtant bien couverts : l’hébergeur surveille le serveur, l’éditeur maintient le logiciel, mais personne ne vérifie que les salariés peuvent réellement travailler. Pour chaque application critique, désignez un responsable du parcours complet, du poste utilisateur jusqu’aux données. Cette cartographie des interfaces évite qu’un incident circule entre prestataires sans pilote.

Consulter des prestataires sur une base comparable

Avant de demander des devis, réalisez un état des lieux : équipements, applications, contrats existants, accès administrateurs, incidents récurrents et contraintes métier. Un audit préalable permet de repérer les systèmes obsolètes, les sauvegardes non testées ou les dépendances techniques susceptibles de modifier le budget.

Transformez cet inventaire en cahier des charges. Décrivez les sites concernés, les horaires de travail, les services attendus, les exclusions acceptables et les objectifs prioritaires. « Assurer le support » reste trop vague sans préciser les utilisateurs couverts, les canaux de contact et les plages d’intervention.

• Compétences : demandez des références sur des environnements comparables et identifiez les intervenants pressentis.
• Organisation : vérifiez les remplacements, l’escalade des incidents et la capacité d’intervention sur site.
• Sécurité : examinez la gestion des accès privilégiés, l’authentification multifacteur et la traçabilité.
• Données : identifiez les lieux d’hébergement, les sous-traitants ultérieurs et les éventuels transferts internationaux.
• Pilotage : demandez un exemple de rapport de service et les modalités des réunions de suivi.

Soumettez également un scénario concret : messagerie indisponible, compte compromis ou restauration d’un dossier supprimé. La réponse doit expliquer qui intervient, avec quelles autorisations et selon quelle procédure, plutôt que se limiter à une promesse de réactivité.

Lire le devis au-delà du prix affiché

Comparez les propositions sur une même durée et un même périmètre. Le coût total comprend la reprise initiale, l’exploitation, les licences, les projets prévisibles, les interventions exceptionnelles et la sortie du contrat. Intégrez aussi le temps de coordination conservé en interne.

Le TJM désigne le taux journalier moyen. Il ne suffit pas à comparer deux offres : l’autonomie du profil, l’encadrement et la charge estimée comptent également. Pour un abonnement, vérifiez si le prix dépend du nombre d’utilisateurs, de postes, de serveurs ou du volume de données.

Repérez les suppléments : déplacements, astreintes, interventions hors horaires, restauration, ajout d’équipements ou migration. Une offre dite « illimitée » peut exclure les projets et certaines applications. Exigez une liste écrite des inclusions et exclusions.

Contractualiser le service, la sécurité et la sortie

Le contrat doit fixer les responsabilités respectives, les livrables, les procédures de validation et les engagements applicables à chaque prestation. Une obligation de moyens porte sur les diligences à mettre en œuvre ; une obligation de résultat engage sur un résultat défini. Leur portée mérite une vérification juridique adaptée au contrat.

Distinguer intervention et rétablissement

Les SLA, ou engagements de niveau de service, doivent être mesurables. La GTI encadre le temps d’intervention ; la GTR, lorsqu’elle est prévue, celui du rétablissement. Une intervention rapide ne garantit donc pas une résolution rapide. Précisez les niveaux de gravité, les horaires couverts, les exclusions, le calcul de disponibilité, le reporting et les éventuelles pénalités.

Préparer la protection des données et la réversibilité

Lorsque le prestataire traite des données personnelles pour votre compte, encadrez cette relation conformément au RGPD, notamment à son article 28. Formalisez les instructions, la confidentialité, les mesures de sécurité, l’assistance en cas de violation et le recours à d’autres sous-traitants. L’externalisation ne supprime pas les obligations du responsable de traitement.

Associez les sauvegardes à des tests de restauration et à un plan de reprise d’activité. Définissez les pertes de données et les durées d’interruption acceptables. Enfin, prévoyez dès la signature la réversibilité : formats d’export, documentation, restitution des accès, transfert des connaissances, délais, coûts et suppression des copies. La maîtrise du système d’information se mesure aussi à la capacité de changer de prestataire sans interrompre l’activité.