Externaliser tout ou partie de son système d’information peut permettre à une PME de gagner en expertise, de mieux maîtriser ses risques et de disposer d’un pilotage informatique plus structuré sans nécessairement renforcer immédiatement ses équipes internes.
Mais confier son infrastructure, ses applications ou certaines données à un prestataire crée aussi une forme de dépendance. Le choix ne doit donc pas reposer uniquement sur le prix ou sur la liste des technologies maîtrisées.
Pour sélectionner un prestataire d’externalisation SI, il faut notamment vérifier sa capacité à comprendre les enjeux métier, son niveau de sécurité, ses engagements de service, son organisation, les modalités de sortie du contrat et sa capacité à travailler avec les équipes et partenaires déjà en place.
L’essentiel à retenir
- Commencez par définir ce que vous souhaitez réellement externaliser et ce qui doit rester sous votre contrôle.
- Évaluez autant la capacité du prestataire à piloter et conseiller que ses compétences purement techniques.
- Les engagements de sécurité, de disponibilité, de traitement des incidents et de protection des données doivent être formalisés contractuellement.
- Vérifiez dès le départ les conditions de réversibilité pour éviter de devenir dépendant du prestataire.
- Pour une PME, disposer d’un DSI capable de piloter les prestataires peut être aussi important que le choix du prestataire technique lui-même.
Qu’est-ce que l’externalisation du système d’information ?
L’externalisation du système d’information consiste à confier à un prestataire extérieur tout ou partie des activités informatiques de l’entreprise.
Cela peut concerner l’exploitation des infrastructures, la maintenance, la gestion du parc informatique, l’hébergement, le cloud, les sauvegardes, la cybersécurité, le support aux utilisateurs ou encore certains projets applicatifs.
L’externalisation peut être totale ou partielle.
Une PME peut par exemple conserver certaines compétences en interne tout en confiant l’infrastructure ou la cybersécurité à un spécialiste.
Il est également important de distinguer l’exécution technique du SI et son pilotage. Un prestataire d’infogérance peut assurer le fonctionnement quotidien de l’informatique, tandis qu’un DSI, interne ou externalisé, définit les priorités, arbitre les investissements et contrôle les différents prestataires.
Cette distinction est particulièrement importante lorsque plusieurs acteurs interviennent sur le système d’information.
Quels besoins faut-il définir avant de choisir un prestataire informatique ?
La première étape ne consiste pas à comparer des prestataires, mais à définir précisément ce que l’entreprise attend de l’externalisation. Un besoin formulé simplement comme « externaliser notre informatique » reste beaucoup trop large.
Il faut commencer par identifier le périmètre concerné : infrastructure, postes utilisateurs, applications, support, cybersécurité, sauvegardes, hébergement, réseau ou projets de transformation. Il faut également déterminer les difficultés actuelles.
L’entreprise cherche-t-elle à améliorer la disponibilité de son informatique ? À renforcer sa cybersécurité ? À réduire une dépendance vis-à-vis d’une personne clé ? À professionnaliser son support ? À accompagner sa croissance ? À mieux maîtriser ses coûts ?
Ces objectifs orienteront directement le choix du prestataire.
Ce que nous observons dans les PME
Dans certaines entreprises, plusieurs prestataires se sont ajoutés progressivement : un fournisseur pour le parc, un autre pour la téléphonie, un intégrateur pour l’ERP, un éditeur SaaS et éventuellement un spécialiste de la cybersécurité.
Chaque acteur maîtrise son périmètre, mais personne ne dispose nécessairement d’une vision globale.
Le besoin réel n’est alors pas forcément de remplacer tous les prestataires. Il peut être nécessaire de mettre en place une gouvernance du système d’information capable de coordonner ces acteurs et d’arbitrer les priorités.
Quels critères utiliser pour choisir un prestataire d’externalisation SI ?
Le niveau d’expertise technique reste évidemment important, mais il ne doit pas être le seul critère.
Un bon prestataire doit également comprendre le fonctionnement de l’entreprise, ses contraintes opérationnelles et les conséquences qu’une indisponibilité informatique pourrait avoir sur l’activité.
Demandez-lui notamment comment il prend connaissance d’un nouveau système d’information, comment il documente l’environnement existant, comment sont organisées les responsabilités et comment il accompagne les évolutions.
Les références sur des entreprises comparables peuvent également être utiles. Une PME industrielle multisite n’a pas nécessairement les mêmes attentes qu’une entreprise de services utilisant essentiellement des solutions cloud.
L’objectif n’est donc pas de choisir le prestataire possédant la liste de technologies la plus longue, mais celui dont les compétences correspondent réellement au contexte de l’entreprise.
Comment évaluer la sécurité d’un prestataire informatique ?
La sécurité constitue l’un des critères les plus importants lorsque l’on externalise une partie du SI. L’ANSSI rappelle que l’externalisation peut notamment créer des risques de perte de maîtrise du système d’information, liés aux interventions à distance ou encore à l’hébergement mutualisé. Elle recommande donc d’identifier les risques en amont et de traduire les exigences de sécurité dans le contrat. Il ne suffit donc pas de demander au prestataire s’il « fait de la cybersécurité ».
Il faut comprendre concrètement comment sont gérés les accès administrateurs, l’authentification, les sauvegardes, la supervision, la journalisation, les correctifs et les incidents.
Les éventuelles certifications du prestataire peuvent constituer un élément de preuve, mais elles ne remplacent pas l’analyse du service réellement proposé.
La CNIL recommande notamment de demander au sous-traitant des garanties suffisantes sur ses connaissances spécialisées, sa fiabilité et ses ressources, ainsi que sa politique de sécurité et ses éventuelles certifications.
Que faut-il vérifier concernant les sauvegardes et la continuité d’activité ?
Le simple fait qu’un prestataire indique réaliser des sauvegardes ne suffit pas. Il faut savoir ce qui est sauvegardé, à quelle fréquence, pendant combien de temps et surtout comment la restauration est testée. Une sauvegarde qui n’a jamais fait l’objet d’un test de restauration apporte une garantie limitée.
Selon la criticité de l’activité, il peut également être nécessaire de définir un plan de reprise ou de continuité permettant de redémarrer les services prioritaires après un incident.
L’ANSSI recommande notamment de prendre en compte la localisation, le chiffrement et les délais de restauration lorsque les sauvegardes sont externalisées. Ces éléments doivent être directement liés aux besoins métier. Une interruption acceptable pendant plusieurs heures dans une entreprise peut être critique dans une autre.
Quelles garanties contractuelles demander à un prestataire informatique ?
Un contrat d’externalisation SI doit permettre de savoir clairement qui fait quoi. Les engagements de service peuvent notamment préciser les horaires de support, les niveaux de priorité, les délais de prise en charge et les objectifs de rétablissement.
Mais le contrat doit également traiter des situations moins visibles lorsqu’un projet démarre : responsabilité en cas d’incident, recours à des sous-traitants, restitution des données, fin du contrat ou changement de prestataire.
L’ANSSI recommande justement de définir dans le contrat les responsabilités respectives du client et du prestataire, ainsi que les obligations de conseil, de sécurité et d’information du prestataire.
Une externalisation réussie repose donc moins sur une promesse commerciale que sur des responsabilités et des engagements clairement définis.
Comment vérifier la conformité RGPD de son prestataire informatique ?
Lorsqu’un prestataire traite des données personnelles pour le compte de l’entreprise, il peut avoir la qualité de sous-traitant au sens du RGPD. L’entreprise ne peut alors pas simplement considérer que la conformité devient la responsabilité du prestataire.
La CNIL rappelle qu’avant de confier un traitement de données personnelles à un sous-traitant, le responsable de traitement doit s’assurer que celui-ci présente des garanties suffisantes en matière de compétences, de fiabilité et de moyens techniques et humains. Un contrat écrit doit également encadrer la relation.
Le contrat doit notamment définir le traitement concerné, les obligations des parties, les mesures de sécurité et les conditions d’intervention d’éventuels sous-traitants supplémentaires. Il faut aussi vérifier où les données sont stockées et dans quelles conditions elles pourraient être transférées.
La conformité doit donc faire partie du processus de sélection du prestataire et pas être traitée uniquement après la signature.
Pourquoi la réversibilité est-elle essentielle lors d’une externalisation SI ?
La réversibilité désigne la capacité de l’entreprise à récupérer son système, ses données et les informations nécessaires à son exploitation lorsqu’elle change de prestataire ou décide de réinternaliser une partie de l’activité.
C’est un critère souvent sous-estimé lors de la signature.
Tant que la relation fonctionne, le sujet paraît secondaire. Il devient en revanche central lorsqu’une entreprise souhaite changer de fournisseur et découvre que la documentation est incomplète, que certains accès sont détenus uniquement par le prestataire ou que l’export des données est complexe.
La réversibilité doit donc être prévue dès le départ.
L’entreprise doit savoir quelles données, documentations, configurations, mots de passe administrateurs et éléments techniques devront lui être restitués, sous quel format et dans quels délais.
Un prestataire de confiance doit pouvoir expliquer clairement comment se déroulerait la fin de la relation.
Comment comparer plusieurs offres d’externalisation informatique ?
Comparer uniquement le montant mensuel est rarement pertinent. Deux contrats peuvent présenter des prix proches tout en couvrant des prestations très différentes. Il faut comparer les périmètres, les niveaux de service, les horaires de support, les moyens humains mobilisés, la sécurité, les sauvegardes, le pilotage et les conditions de sortie. Les exclusions sont également importantes.
Un contrat attractif peut par exemple couvrir la maintenance courante mais facturer séparément chaque projet, intervention hors horaires ou évolution du système.
À l’inverse, une proposition plus chère peut comprendre davantage de supervision, de conseil ou d’accompagnement. Il faut donc ramener chaque offre à un périmètre comparable avant de prendre une décision.
Exemple de grille de comparaison
Une grille simple peut comporter quelques critères structurants : adéquation au besoin, expertise, sécurité, disponibilité, gouvernance, transparence tarifaire, qualité du reporting et réversibilité.
Attribuer une importance différente à chaque critère permet ensuite d’éviter que le prix devienne automatiquement le facteur déterminant.
Quelle différence entre un prestataire informatique et un DSI externalisé ?
Un prestataire informatique et un DSI externalisé n’ont pas le même rôle. Le premier intervient principalement dans l’exploitation et la réalisation technique, tandis que le second accompagne l’entreprise dans le pilotage et les décisions stratégiques liées au système d’information.
| Critère | Prestataire informatique | DSI externalisé |
| Mission principale | Exploiter, maintenir et sécuriser les solutions informatiques | Piloter la stratégie et l’évolution du SI |
| Positionnement | Opérationnel et technique | Stratégique et organisationnel |
| Infrastructure et maintenance | Réalise les interventions | Définit les besoins et contrôle leur bonne réalisation |
| Cybersécurité | Déploie et administre les solutions de sécurité | Évalue les risques et définit les priorités de sécurité |
| Choix des solutions | Propose et met en œuvre des solutions | Analyse les besoins et aide à arbitrer entre les solutions |
| Gestion des prestataires | Intervient sur son propre périmètre | Coordonne et pilote les différents prestataires |
| Budget informatique | Chiffre les prestations réalisées | Aide à définir, prioriser et suivre le budget SI |
| Projets numériques | Assure la réalisation technique | Définit les priorités et pilote les projets |
| Relation avec la direction | Rend compte de la prestation | Conseille la direction dans ses décisions |
| Objectif | Faire fonctionner le système d’information | Faire en sorte que le SI serve la stratégie de l’entreprise |
Les deux fonctions sont donc complémentaires. Une PME peut parfaitement confier la maintenance de son infrastructure à un prestataire informatique tout en faisant appel à un DSI externalisé pour définir sa feuille de route, arbitrer les investissements et piloter les différents intervenants.
Cette organisation permet également d’éviter qu’un prestataire technique soit seul à définir les solutions qu’il aura ensuite lui-même à mettre en œuvre. Le dirigeant conserve ainsi une vision indépendante et globale de son système d’information.
GROUPEACTIVE présente cette fonction plus en détail dans son contenu consacré au DSI à temps partagé.
Pourquoi garder le pilotage de son SI même lorsqu’il est externalisé ?
Externaliser ne signifie pas abandonner la responsabilité du système d’information. Au contraire, plus l’entreprise fait intervenir de prestataires, plus elle doit conserver une vision claire de son architecture, de ses données, de ses coûts et de ses risques.
Le rôle du pilotage consiste notamment à déterminer les priorités et à contrôler que les solutions proposées correspondent réellement aux besoins métier.
Sans cette gouvernance, l’entreprise risque progressivement de subir son système d’information : multiplication des outils, coûts difficiles à expliquer, responsabilités mal réparties ou dépendance excessive à certains fournisseurs.
C’est précisément le rôle que peut jouer un DSI externalisé dans une démarche de transformation numérique.
Comment DSIACTIVE accompagne les PME dans le pilotage de leur SI ?
DSIACTIVE est le réseau de GROUPEACTIVE consacré à la direction des systèmes d’information et à la transformation numérique des TPE et PME. Le réseau a été créé en 2021 pour développer une offre de DSI externalisés adaptée à ces entreprises.
L’intervention d’un expert DSIACTIVE ne consiste donc pas nécessairement à remplacer le prestataire informatique existant.
Son rôle peut être de réaliser un état des lieux, identifier les risques, définir une feuille de route, coordonner les différents acteurs et s’assurer que le système d’information répond aux priorités de l’entreprise. Il peut également accompagner l’entreprise dans le choix ou le changement d’un prestataire.
Cette indépendance entre pilotage du SI et exécution technique permet au dirigeant de mieux comparer les propositions et de garder la maîtrise de ses décisions.
Quelles erreurs éviter lorsqu’on choisit un prestataire informatique ?
- La première erreur consiste à choisir uniquement sur le prix.
- La deuxième est de confier la définition du besoin au prestataire lui-même sans disposer d’un cadrage préalable.
- Une autre erreur fréquente consiste à négliger la sortie du contrat.
- Enfin, il faut éviter de considérer l’externalisation comme une opération purement technique. Elle touche aux données, aux utilisateurs, aux processus métier, à la continuité d’activité et parfois directement à la capacité de l’entreprise à fonctionner.
Le bon prestataire n’est donc pas uniquement celui qui sait « faire de l’informatique ».
C’est celui qui comprend ce que l’informatique doit permettre à l’entreprise de faire.
Comment choisir finalement son prestataire d’externalisation SI ?
Le choix doit commencer par un diagnostic précis du besoin avant toute comparaison commerciale.
Une fois le périmètre défini, l’entreprise peut évaluer les prestataires sur quelques critères réellement discriminants : expertise adaptée à son contexte, sécurité, engagements contractuels, capacité d’accompagnement, transparence et réversibilité.
Il faut également se demander qui, dans l’entreprise, sera capable de piloter la relation.
Car externaliser l’exploitation du système d’information ne signifie pas externaliser toutes les décisions.
Une bonne externalisation donne accès à des compétences supplémentaires tout en permettant à l’entreprise de conserver la maîtrise de son SI.
Besoin d’un regard indépendant sur votre système d’information ?
Choisir un prestataire informatique ne se résume pas à comparer des devis. Il faut aussi cadrer les besoins, évaluer les risques, sécuriser les contrats et conserver la maîtrise de son système d’information.
Les experts DSIACTIVE accompagnent les dirigeants de PME dans le pilotage de leur SI, le choix des prestataires, la cybersécurité et la définition de leur feuille de route numérique.
Échangez avec un expert DSIACTIVE pour faire le point sur votre organisation et vos priorités SI.
FAQ sur le choix d’un prestataire d’externalisation SI
Pas nécessairement. La proximité peut être importante si des interventions physiques régulières sont nécessaires, mais une grande partie des opérations peut aujourd’hui être réalisée à distance. Le plus important est de vérifier les délais d’intervention et les modalités prévues lorsqu’une présence sur site devient nécessaire.
Oui. Certaines entreprises choisissent de répartir les compétences entre plusieurs spécialistes. Cette organisation nécessite toutefois une gouvernance claire pour éviter les zones de responsabilité floues lorsqu’un incident concerne plusieurs systèmes.
Cela dépend de la complexité du SI, du niveau de documentation disponible et des conditions de réversibilité prévues dans le contrat existant. Un changement doit généralement être préparé afin de transférer progressivement les accès, documentations, données et responsabilités sans mettre en danger la continuité d’activité.
Non. Une certification peut constituer un élément rassurant et objectivable, mais elle ne suffit pas à elle seule à démontrer que la prestation proposée correspond aux besoins de sécurité de l’entreprise. Il faut également examiner le périmètre couvert par la certification et les mesures réellement appliquées à votre environnement.
L’entreprise doit éviter une situation dans laquelle un prestataire possède seul toutes les informations nécessaires pour administrer son système. La gouvernance des comptes sensibles doit être formalisée afin que l’organisation conserve la maîtrise de son environnement, y compris lorsqu’une partie de l’exploitation est déléguée.
