Sous-traitance informatique : déléguer sans perdre la maîtrise des coûts et des données
La sous-traitance informatique consiste à confier à un prestataire externe une partie ou l’ensemble des activités informatiques de l’entreprise : support, maintenance, cybersécurité, infrastructure ou développement. Elle répond à un manque de ressources ou d’expertise, mais son intérêt dépend surtout du périmètre confié, des engagements contractuels et de la capacité à reprendre la main. Externaliser l’exécution ne signifie pas abandonner le pilotage.
Choisir la bonne forme de délégation selon le besoin
Dans le langage courant, sous-traitance et externalisation informatique désignent souvent le recours à une entreprise extérieure. Juridiquement, la sous-traitance peut aussi concerner un prestataire qui confie à un tiers une partie du contrat conclu avec son client. Il faut donc identifier précisément qui intervient et sous quelle responsabilité.
Testez vos connaissances sur la sous-traitance informatique
Répondez aux six questions pour vérifier votre compréhension des notions essentielles.
Résultat final
Notions à revoir
L’infogérance correspond plus particulièrement à la gestion durable de tout ou partie du système d’information. Un Managed Service Provider (MSP) propose généralement des services récurrents associant supervision, maintenance et actions préventives. Ces notions se recoupent : elles ne constituent pas des catégories exclusives.
| Forme | Besoin principal | Exemple |
|---|---|---|
| Sous-traitance de capacité | Renforcer une équipe déjà compétente | Absorber un pic de déploiements |
| Sous-traitance de spécialité | Accéder à une expertise absente en interne | Auditer une infrastructure cloud |
| Infogérance | Déléguer une exploitation récurrente | Gérer le parc et le support utilisateur |
| Services managés par un MSP | Organiser une gestion proactive et suivie | Superviser les équipements et traiter les alertes |
Une ESN ou un freelance désigne, en revanche, un type de fournisseur. Un indépendant peut apporter une expertise ciblée ; une ESN peut mobiliser plusieurs profils et organiser leur remplacement. Dans les deux cas, vérifiez la disponibilité réelle, la continuité du service et les compétences effectivement affectées à votre mission.
Délimiter ce qui peut sortir, et ce qui doit rester piloté
Une PME sans équipe dédiée peut externaliser son support et sa maintenance. Une scale-up peut rechercher un renfort pour accompagner sa croissance. Une ETI multisite peut conserver sa DSI tout en déléguant la supervision ou une migration. Le bon périmètre dépend de la criticité des outils, pas seulement de la taille de l’entreprise.
- Exploitation : maintenance réseau, gestion du parc PC et Mac, assistance et mises à jour.
- Infrastructure : hébergement cloud, administration des serveurs et migrations.
- Sécurité : audit, surveillance, gestion des vulnérabilités, sauvegardes et restauration.
- Projets : développement logiciel, intégration de CRM, architecture et gestion de projet.
Les bénéfices recherchés sont l’accès à des spécialistes, la disponibilité des équipes et une meilleure prévisibilité budgétaire. L’article juridique de Murielle Cahen rapporte, selon Syntec Informatique, une économie de 20 à 30 % liée à la sous-traitance. Ce repère ne constitue toutefois pas une garantie : les coûts de transition, les exclusions et le pilotage interne peuvent modifier sensiblement le bilan.
Fixez aussi votre seuil d’autonomie : si le prestataire devenait injoignable demain, pourriez-vous accéder aux comptes administrateurs, retrouver les configurations et restaurer une sauvegarde ? Cet exercice révèle les « clés de fonctionnement » à conserver : coffre d’identifiants maîtrisé par l’entreprise, inventaire à jour et documentation accessible. Il transforme une dépendance abstraite en points de contrôle vérifiables.
Gardez en interne un responsable capable d’arbitrer les priorités, de valider les changements et de suivre le budget. Sans interlocuteur identifié, les demandes se dispersent et les responsabilités deviennent floues.
Comparer les prestataires sur un périmètre et un coût identiques
Avant de solliciter des devis, réalisez un état des lieux : utilisateurs, sites, équipements, applications critiques, incidents récurrents et contraintes réglementaires. Transformez-le en cahier des charges indiquant les prestations attendues, les horaires de couverture et les responsabilités conservées par vos équipes.
Vérifier les preuves plutôt que les promesses
Demandez des références comparables à votre environnement, les compétences des intervenants et leur organisation de remplacement. Faites préciser les interventions sur site, la localisation des données et les mesures de sécurité. Un exemple de rapport d’activité ou de procédure d’incident permet d’apprécier concrètement la méthode du prestataire.
Pour départager les candidats, utilisez une même grille : adéquation technique, continuité de service, sécurité, transparence tarifaire et réversibilité. Pondérez ces critères selon votre activité : une application de production indisponible peut peser davantage qu’un délai de dépannage bureautique.
Lire la facturation au-delà du montant affiché
| Modèle | Intérêt | Vigilance |
|---|---|---|
| Forfait | Budget défini pour des livrables précis | Gestion des changements et critères de réception |
| Régie | Souplesse selon le travail nécessaire | Temps consommé, plafond et validation des jours |
| Abonnement | Dépenses récurrentes plus prévisibles | Volumes inclus, exclusions et indexation |
En régie, le taux journalier moyen (TJM) ne suffit pas : comparez aussi la charge estimée et l’encadrement. Pour chaque offre, additionnez installation, licences, déplacements, astreintes, dépassements et sortie de contrat. Un support annoncé « illimité » doit préciser les utilisateurs, équipements et demandes couverts.
Transformer les engagements commerciaux en clauses vérifiables
Le contrat doit fixer le périmètre, les livrables, les exclusions, les obligations respectives et les modalités de modification. Précisez ce qui relève d’une obligation de moyens ou de résultat, sans supposer qu’une formule générale couvre toutes les prestations. Encadrez également responsabilité, assurance, confidentialité, renouvellement et résiliation.
Distinguer intervention et rétablissement
Les SLA, ou accords de niveau de service, rendent les engagements mesurables. La garantie de temps d’intervention (GTI) encadre le délai avant l’intervention prévue au contrat ; elle ne garantit pas la résolution. La garantie de temps de rétablissement (GTR) concerne le retour du service selon les conditions convenues.
Définissez les niveaux de gravité, le point de départ du délai, les plages couvertes et les éventuelles suspensions. Un taux de disponibilité doit préciser son mode de calcul et les maintenances exclues. Prévoyez enfin les preuves de suivi, l’escalade et les pénalités éventuelles : elles ne remplacent pas un dispositif de continuité.
Encadrer les données et préparer la sortie
Si le prestataire traite des données personnelles pour votre compte, formalisez les exigences de l’article 28 du RGPD : instructions documentées, confidentialité, sécurité, assistance, sous-traitants ultérieurs et sort des données. Vérifiez les lieux d’hébergement, les accès depuis l’étranger et l’encadrement des éventuels transferts hors Espace économique européen. L’externalisation ne supprime pas vos responsabilités de responsable de traitement.
La clause de réversibilité doit prévoir les formats d’export, la restitution des configurations, les délais, l’assistance au successeur et son coût. Incluez le transfert des accès et la suppression des copies selon les obligations applicables. Cette sortie se prépare dès la signature, pas lorsque la relation se dégrade.
Organiser la transition et contrôler le service dans la durée
Commencez par un inventaire partagé, une reprise de documentation et un transfert sécurisé des accès. Définissez qui accepte les changements et comment les utilisateurs contactent le support. Pour une migration critique, prévoyez des tests, des critères de validation et une procédure de retour arrière.
Une sauvegarde n’est utile que si sa restauration fonctionne. Organisez des essais et définissez la perte de données acceptable ainsi que le délai de reprise visé. Le plan de reprise d’activité organise le redémarrage ; le plan de continuité précise comment maintenir les fonctions essentielles pendant la perturbation.
Enfin, suivez les incidents, leur récurrence, les délais réels, les restaurations testées et les dépenses hors forfait. Ces indicateurs permettent d’ajuster le service et de vérifier que la sous-traitance informatique apporte une capacité supplémentaire, sans créer une dépendance incontrôlée.
Partager cet article
Articles qui pourraient vous intéresser :
Trouver le propriétaire d’une adresse IP : un fournisseur, pas forcément une personne
VPN facile : service arrêté, espace client et anciens abonnements à vérifier
Server SCP : transférer fichiers et dossiers sans confondre -P et -p
Vaultwarden : un coffre léger à auto-héberger, pas une sécurité automatique