L’externalisation informatique est presque toujours décidée pour de bonnes raisons : accéder à des compétences qu’on ne peut pas recruter, lisser une charge, convertir un coût fixe en coût variable. Le raisonnement est sain.
Ce qui dérape vient après. Le contrat signé, la tentation est de considérer le sujet comme réglé. Il ne l’est pas : il a changé de nature. On est passé d’un problème d’exécution à un problème de pilotage, et les deux ne mobilisent pas les mêmes compétences.
Ce qui se délègue
L’exécution se délègue sans difficulté : l’exploitation, la supervision, l’application des correctifs, le traitement des incidents courants, la tenue des sauvegardes. Ce sont des tâches qui s’écrivent, se mesurent et se contrôlent.
Ce qui ne se délègue pas
Quatre choses restent chez vous, quel que soit le contrat :
- La définition du besoin. Un prestataire répond à ce qu’on lui demande. S’il définit lui-même le besoin, il le définira à la mesure de ce qu’il sait faire.
- La responsabilité réglementaire. En matière de données personnelles, le responsable de traitement répond du choix de son sous-traitant et des instructions qu’il lui donne.
- La capacité de contrôle. Il faut conserver quelqu’un capable de lire un rapport d’exploitation et d’y repérer ce qui manque.
- La capacité de sortir. Sans réversibilité organisée, l’externalisation devient une dépendance, et le renouvellement se négocie sans levier.
On délègue l’exécution. On ne délègue jamais l’exigence — parce que personne d’autre que vous n’a intérêt à la formuler.
L’objection habituelle
« Nous n’avons pas les compétences en interne, c’est précisément pour cela que nous externalisons. » L’objection est recevable pour l’exécution. Elle ne l’est pas pour le contrôle, parce que contrôler ne suppose pas de savoir faire.
Il n’est pas nécessaire de savoir administrer un serveur pour demander à quelle date la dernière restauration de sauvegarde a été testée, ni pour constater qu’on ne vous a pas répondu. Cette compétence — poser la bonne exigence au bon interlocuteur — s’acquiert bien plus vite qu’une compétence technique, et c’est celle qui manque le plus souvent.
Le dispositif minimal
Un comité à échéance fixe. Un tableau d’indicateurs choisis par vous, non fournis par le prestataire. Un compte rendu écrit pour chaque incident majeur. Une clause de réversibilité réellement activable. Quatre éléments, aucun ne coûte cher, et leur absence se paie toujours au même moment : celui où la relation se dégrade.