Externalisation informatique : quoi déléguer, quoi garder en interne et à quel coût

L'externalisation informatique n'est plus une décision marginale : en 2023, 71,92 % des entreprises européennes de 10 salariés ou plus déclaraient que des fournisseurs externes réalisaient des fonctions informatiques, selon Eurostat. Pourtant, déléguer sans définir ce qui doit rester sous votre contrôle peut transformer une économie immédiate en mois de reprise, en dépendance au prestataire et en dette technique, le coût caché d'un logiciel qui devient plus lent à faire évoluer.

L'externalisation informatique sert d'abord à acheter de la capacité

Externaliser consiste à confier durablement une activité à un prestataire spécialisé. Ce n'est pas exactement la même chose que commander un livrable ponctuel. Service Public Entreprendre présente d'ailleurs l'externalisation comme une relation généralement longue, destinée à accéder à des compétences, gagner du temps et concentrer l'équipe sur les activités à forte valeur ajoutée.

Le besoin est réel. Eurostat indique que 57,5 % des entreprises européennes ayant recruté ou tenté de recruter des spécialistes informatiques en 2023 ont rencontré des difficultés. L'externalisation peut donc réduire le délai avant de disposer d'une compétence. Elle ne supprime pas le besoin de pilotage.

Le bon objectif : raccourcir le délai jusqu'au résultat

Une entreprise ne gagne rien parce qu'elle achète un TJM inférieur. Elle gagne si une fonctionnalité utile arrive en production plus tôt, si un incident est résolu plus vite ou si son équipe interne récupère du temps pour le produit.

Je recommande de formuler l'objectif en résultat mesurable : « mettre en production le parcours d'inscription en six semaines avec moins de 1 % d'erreurs bloquantes », plutôt que « fournir un développeur React ». La première formulation permet de juger la mission. La seconde mesure seulement une présence.

Les trois situations où déléguer est rationnel

L'externalisation informatique est pertinente quand une compétence manque pour une durée limitée, quand le recrutement arriverait après la fenêtre commerciale, ou quand une activité stable peut être décrite et contrôlée. C'est souvent le cas pour accélérer un produit existant, moderniser un module isolé, automatiser un processus interne ou absorber une hausse temporaire de charge.

Si votre besoin concerne du développement, le vrai arbitrage reste celui entre délai, niveau de séniorité et coût total. Le comparatif CDI, freelance et offshore permet de poser ces trois options avant de choisir un montage.

Quoi déléguer et quoi garder sous votre contrôle

La règle la plus robuste est simple : déléguez l'exécution spécialisée et conservez les décisions difficiles à inverser. Plus une décision touche votre avantage concurrentiel, vos données ou votre capacité à changer de prestataire, plus elle mérite un propriétaire interne identifié.

Gardez la propriété des comptes et des actifs

Le dépôt de code, le nom de domaine, les comptes cloud, la base de données et l'outil de suivi doivent appartenir à votre entreprise. Le prestataire reçoit des accès nominatifs, limités à ce dont il a besoin, puis révocables. Si l'agence contrôle seule ces actifs, vous n'avez pas externalisé une capacité : vous avez externalisé votre capacité de sortie.

La propriété intellectuelle mérite la même précision. Service Public cite explicitement cette clause parmi les éléments à prévoir dans un contrat d'externalisation lorsqu'un logiciel est produit. Le contrat doit donc indiquer ce qui vous est cédé, quand la cession intervient et quels composants tiers restent soumis à leur propre licence.

Conservez une personne capable de dire non

Même avec un excellent prestataire, une personne interne doit pouvoir refuser une fonctionnalité, arbitrer une priorité et vérifier que le résultat répond au métier. Ce rôle ne demande pas nécessairement une équipe technique complète. Il demande un responsable disponible, des critères écrits et un rythme de validation.

Pour une mission de développement à distance, un rituel court et régulier suffit souvent mieux qu'une réunion de comité mensuelle. Voici le cadre de pilotage de 30 minutes que nous recommandons pour détecter les écarts avant qu'ils ne consomment un sprint entier.

Le coût réel dépasse toujours le devis

Le devis couvre généralement la production. Votre budget doit aussi intégrer le cadrage, les validations internes, les outils, la sécurité, la reprise d'un existant et la réversibilité, c'est-à-dire la capacité à récupérer le service, le code et les données sans rester bloqué chez le fournisseur.

Le calcul utile est le suivant :

Coût complet = production facturée + temps interne de pilotage + accès et outils + sécurisation + reprise initiale + coût de sortie probable.

Comparez un scénario, pas deux tarifs journaliers

Prenons une mission de quatre mois. Un prestataire moins cher qui mobilise une journée interne par semaine, livre avec trois semaines de retard et impose ensuite deux semaines de reprise peut coûter davantage qu'un profil plus expérimenté et autonome. Le prix de la journée n'explique qu'une partie de l'écart. Le coût du retard se calcule avec votre manque à gagner, votre burn rate, soit les dépenses mensuelles nécessaires pour faire fonctionner l'entreprise, et le temps des personnes immobilisées.

Pour éviter ce biais, comparez trois scénarios sur la même durée : recrutement interne, freelance ou équipe externalisée. Affectez à chacun un délai de démarrage, un coût de pilotage, une probabilité de remplacement et un coût de sortie. Si le prestataire refuse de documenter son travail ou d'utiliser vos comptes, augmentez fortement le coût de sortie dans votre modèle.

Ajoutez aussi un test d'alignement économique. Dans la présentation EuroPython The Dangers of Outsourcing Software Development, Sebastian Roll décrit la relation client-prestataire comme un problème de principal-agent : le client cherche le chemin le plus court vers un résultat, tandis qu'un fournisseur payé au volume peut gagner davantage avec une équipe plus grande et une mission plus longue. La réponse opérationnelle consiste à rendre le résultat visible chaque semaine, limiter les intermédiaires et relier la facturation à une petite équipe stable plutôt qu'à une accumulation de profils.

Les retours de développeurs expérimentés sur Reddit convergent sur un point : une externalisation fonctionne mieux quand le client garde un leadership technique, une définition stricte du travail terminé et des personnes stables dans le temps. Ce n'est pas une statistique représentative, mais c'est un signal terrain utile à vérifier pendant la mission pilote.

Le choix entre forfait et régie modifie aussi le risque. Le forfait rassure lorsque le besoin est stable, mais il pousse chaque changement dans une négociation. La régie est plus lisible quand les priorités évoluent chaque semaine. Notre analyse forfait ou régie détaille le mécanisme.

Le contrat doit organiser la sécurité et la sortie

L'ANSSI identifie trois familles de risques liées à l'infogérance : perte de maîtrise du système d'information, interventions à distance et hébergement mutualisé. Sa recommandation n'est pas de refuser l'externalisation. Elle consiste à analyser le risque et à transformer les exigences de sécurité en engagements contractuels vérifiables.

Les clauses qui protègent vraiment l'entreprise

Le contrat doit préciser le périmètre, les délais, les modalités de réception, les responsabilités, la confidentialité et la propriété intellectuelle. Ajoutez des éléments opérationnels : délai de notification d'un incident, sauvegardes, personnes autorisées, localisation des données, sous-traitants ultérieurs, fréquence de revue des accès et procédure de réversibilité.

Pour les données personnelles, la CNIL demande des garanties suffisantes et un contrat conforme à l'article 28 du RGPD. Elle recommande notamment de prévoir l'authentification, la restitution ou la destruction des données en fin de contrat, la gestion des incidents et des moyens d'audit. Toute la chaîne de sous-traitance doit être examinée, pas seulement le fournisseur avec lequel vous signez.

La directive européenne NIS2 ajoute, pour les entités concernées, la sécurité de la chaîne d'approvisionnement aux mesures de gestion des risques. Cela inclut la relation avec les fournisseurs directs et la qualité de leurs pratiques de cybersécurité. Un logo de certification ne remplace donc pas la vérification du périmètre réellement couvert.

La réversibilité se teste avant le départ

Demandez dès le début un export du code, de la documentation et des données. Vérifiez qu'une personne qui n'a pas participé au projet peut lancer l'application et comprendre les décisions principales. Cette répétition révèle les dépendances cachées pendant qu'elles sont encore peu coûteuses à corriger.

Un plan de sortie sérieux fixe aussi le format des données, le délai de remise, l'assistance incluse, la révocation des accès et la preuve de destruction des copies. Sans cela, la clause de réversibilité reste une phrase juridique difficile à exécuter.

Verdict : commencez par un périmètre réversible

Externalisez si le recrutement vous ferait perdre une fenêtre commerciale, si la compétence manque réellement en interne et si le résultat peut être validé toutes les une à deux semaines. Gardez en interne la feuille de route, la propriété des comptes, la validation métier et au moins une personne capable d'évaluer la qualité de la livraison.

Mon verdict est de tester le prestataire pendant quatre à six semaines sur un module non critique mais représentatif. Exigez le code sur votre dépôt, des critères d'acceptation, une démonstration hebdomadaire et une documentation de reprise. Étendez la mission seulement si un autre profil peut reprendre le travail sans dépendre oralement de la première personne.

Pour un modèle offshore, le fuseau horaire, le niveau réel des profils et le rythme de communication pèsent plus lourd que le pays affiché sur le devis. Ce retour sur le renforcement d'une équipe tech depuis le Vietnam explique ce qui fonctionne quand la mission est pilotée comme une capacité intégrée, pas comme une boîte noire.