L'outsourcing, ou externalisation, est la décision stratégique de confier à un prestataire externe l'exécution d'une fonction ou d'un processus que l'organisation pourrait réaliser en interne. Il ne s'agit pas simplement de « sous-traiter » : c'est un transfert géré d'activité, de risque et, souvent, d'actifs et de personnel, encadré par un contrat de services et gouverné par des niveaux de service mesurables. La question pertinente pour un comité de direction n'est pas de savoir si externaliser revient moins cher, mais quelle capacité il convient de posséder en propre et laquelle il vaut mieux acheter. Cet article aborde le cadre de décision, l'évaluation des prestataires, la mécanique contractuelle et les erreurs qui transforment un bon dossier économique en échec de gouvernance.
Quand externaliser : le cadre make-or-buy et la théorie des coûts de transaction
Le fondement conceptuel de l'outsourcing est l'économie des coûts de transaction formulée par Oliver Williamson, prix Nobel d'économie 2009. Williamson soutient que la frontière de l'entreprise se détermine en comparant le coût de production interne avec le coût de coordination d'un échange sur le marché, y compris les coûts de négociation, de supervision et d'exécution du contrat. Lorsqu'une activité requiert des actifs très spécifiques — savoir-faire propriétaire, intégration profonde avec d'autres processus — ou est difficile à mesurer, le marché échoue et il convient d'internaliser. Lorsque l'activité est standardisée, mesurable et qu'il existe un marché concurrentiel de prestataires, l'externalisation réduit le coût total.
Il en découle une règle pratique utile : externalisez ce qui est non stratégique et mesurable ; conservez ce qui est stratégique ou difficile à spécifier. Une fonction stratégique est celle qui soutient l'avantage concurrentiel : l'algorithme de tarification d'une compagnie aérienne, le design produit d'une marque, la relation directe avec le client clé. Les fonctions de support — paie, maintenance des installations, support technique de niveau 1, logistique ou développement logiciel non différenciant — sont des candidates naturelles à l'externalisation. L'analyse concurrentielle avec des matrices telles que l'analyse SWOT ou les cinq forces de Porter aide à classer les activités dans chaque quadrant avant de prendre la décision.
Il existe plusieurs modalités qu'il convient de distinguer. L'outsourcing traditionnel transfère une fonction complète. Le staff augmentation intègre des professionnels externes sous direction propre. Le BPO (Business Process Outsourcing) externalise des processus entiers — service client, gestion documentaire. L'ITO (IT Outsourcing) couvre l'infrastructure et le développement. Et selon la géographie, on parle d'onshore (même pays), de nearshore (pays voisin avec moindre décalage horaire et culturel) ou d'offshore (délocalisation lointaine). Le choix ne se réduit pas au prix : le fuseau horaire, la langue, le cadre juridique de protection des données et la stabilité du prestataire pèsent autant que le tarif.
Évaluation des prestataires : du RFI à la due diligence
Sélectionner un prestataire est un processus, non une négociation de prix. Le parcours recommandé part d'un RFI (Request for Information) pour cartographier le marché, se poursuit avec un RFP (Request for Proposal) détaillant les exigences fonctionnelles et de service, et aboutit à une shortlist soumise à due diligence. L'évaluation doit pondérer au moins cinq dimensions : la solvabilité financière (n'externalisez pas un processus critique à un prestataire susceptible de faire faillite), la capacité technique démontrable avec des références vérifiables, les certifications de gestion, la sécurité de l'information et l'adéquation culturelle.
Les certifications apportent une preuve objective. La norme ISO/IEC 27001 accrédite un système de management de la sécurité de l'information ; ISO 9001 certifie le management de la qualité ; et ISO/IEC 20000-1 couvre le management des services informatiques. Pour les prestataires qui traitent des données, un rapport SOC 2 Type II audité en externe vaut plus que n'importe quelle déclaration commerciale. Il convient d'exiger le certificat en vigueur et son annexe d'applicabilité (SoA), et non pas seulement le logo sur une diapositive.
| Critère | Poids indicatif | Preuve exigible |
|---|---|---|
| Capacité technique et méthodologie | 30 % | Références, équipe nommée, plan de transition |
| Niveau de service et SLA proposés | 20 % | Engagements de disponibilité, délais de réponse, pénalités |
| Sécurité et conformité | 20 % | ISO 27001, SOC 2, conformité RGPD, plan de continuité |
| Coût total de possession | 20 % | Coût unitaire, coûts de transition et de sortie |
| Solvabilité et adéquation culturelle | 10 % | Comptes audités, rotation du personnel, références |
Le contrat et les SLA : gouverner ce qui se mesure
Un contrat d'outsourcing sans accords de niveau de service quantifiés est une invitation au conflit. Le SLA (Service Level Agreement) traduit les attentes en métriques vérifiables : disponibilité du service (par exemple, 99,9 % mensuel), délai de réponse et de résolution par priorité d'incident, et seuils de qualité. Chaque métrique doit avoir sa méthode de calcul, sa période de mesure et sa conséquence. Les pénalités pour non-respect (crédits de service) alignent les incitations, mais un bon contrat inclut également des primes pour dépassement et des mécanismes d'amélioration continue.
La gouvernance de la relation s'articule en comités échelonnés : opérationnel (hebdomadaire ou bimensuel, pour réviser les incidents et le backlog), tactique (mensuel, pour réviser les SLA et le plan d'amélioration) et stratégique (trimestriel, pour réviser la relation, la feuille de route et la satisfaction). Trois clauses se révèlent critiques et sont souvent mal rédigées, voire omises : la clause de réversibilité ou de sortie, qui oblige le prestataire à coopérer pour une transition ordonnée à la fin du contrat ; la propriété des données et des livrables ; et, lorsqu'il y a transfert de personnel, le respect des obligations légales applicables en matière de succession d'entreprise.
Lorsque le prestataire traite des données personnelles pour le compte du client, il agit en tant que sous-traitant et le RGPD exige un contrat de sous-traitance conforme à l'article 28, avec les garanties que détaille la documentation de la CNIL. Si le prestataire est situé en dehors de l'Espace Économique Européen, il convient de documenter la base du transfert international. Omettre ce point transforme une décision opérationnelle en exposition à des sanctions.
Étapes de mise en œuvre et la phase de transition
La signature du contrat est le début, non la fin. La transition est la phase où le plus grand nombre de projets déraillent. Une séquence solide prévoit : (1) un transfert de connaissance documenté, avec des sessions enregistrées et des bases de connaissances transmises ; (2) une période d'exploitation en parallèle ou en mode ombre avant la bascule ; (3) un point de contrôle formel d'acceptation ; et (4) une phase de stabilisation avec les SLA en observation pendant les premiers mois, avant d'appliquer des pénalités. Désigner un responsable de la relation des deux côtés — un service manager avec une autorité réelle — est l'investissement de gouvernance au meilleur retour.
Il convient de budgéter la courbe d'apprentissage avec réalisme. Pendant la transition, le coût tend à augmenter avant de diminuer, car l'équipe sortante et l'équipe entrante coexistent, et la productivité du prestataire n'a pas encore atteint son régime de croisière. Les économies réelles n'apparaissent qu'une fois la stabilisation franchie, pas dès le premier mois. Anticiper ce profil auprès de la direction financière évite la frustration qui saborde de nombreux projets à leur démarrage, et permet de fixer des jalons de révision réalistes pour vérifier que la relation progresse vers les objectifs convenus avant de consolider la dépendance au prestataire.
Erreurs fréquentes qui détruisent le dossier économique
- Externaliser le problème, non la fonction. Sous-traiter un processus défaillant ne fait que délocaliser le chaos ; il faut d'abord stabiliser et documenter.
- Vider la capacité de supervision. Licencier les personnes qui savaient piloter la fonction prive l'organisation d'un interlocuteur compétent face au prestataire.
- SLA sans méthode de calcul. Un « 99,9 % » sans définir ce qui compte comme indisponibilité n'a aucune valeur contractuelle.
- Oublier la clause de sortie. Le verrouillage renchérit toute renégociation et bloque le changement de prestataire.
- Ignorer la courbe d'apprentissage. Les économies promises n'apparaissent pas avant la fin de la transition ; les budgéter dès le premier mois génère de la frustration.
Questions fréquentes
L'outsourcing est-il la même chose que la délocalisation ? Non. La délocalisation (offshoring) consiste à transférer une activité dans un autre pays, que ce soit en interne ou avec des tiers. L'outsourcing consiste à confier l'activité à un prestataire externe, quel que soit son pays. Les deux peuvent se combiner, mais ce sont des décisions distinctes.
Quand vaut-il mieux ne pas externaliser ? Lorsque l'activité est stratégique pour la différenciation concurrentielle, lorsqu'elle est très difficile à spécifier et à mesurer, ou lorsque la perte de connaissance interne créerait une dépendance irréversible envers le prestataire.
Qu'est-ce qu'un SLA et en quoi diffère-t-il d'un KPI ? Le SLA est un engagement contractuel assorti de conséquences en cas de non-respect ; le KPI est un indicateur de performance que l'on mesure mais qui n'entraîne pas nécessairement de pénalité. Tout SLA est un KPI, mais tout KPI n'est pas un SLA.
Qui répond devant l'autorité de contrôle en cas de violation de données chez le prestataire ? Le responsable du traitement (l'organisation cliente) reste responsable vis-à-vis de la personne concernée et de l'autorité, même si le sous-traitant (le prestataire) engage sa propre responsabilité. C'est pourquoi le contrat de sous-traitance au titre de l'article 28 du RGPD et la due diligence en matière de sécurité ne sont pas optionnels.
Conclusion : l'externalisation est une décision de capacité, non de coût
L'outsourcing bien conçu ne se justifie pas par une promesse d'économie en pourcentage, mais par une réponse honnête à deux questions : cette capacité nous différencie-t-elle ? et savons-nous en mesurer le résultat ? Si l'activité ne différencie pas et est mesurable, un prestataire spécialisé l'exécutera avec plus d'échelle, de meilleurs outils et une plus grande capacité à absorber les pics de demande qu'une équipe interne. La valeur réelle apparaît lorsque l'organisation conserve la gouvernance — le quoi et le combien — et délègue l'exécution — le comment —, tout en maintenant la capacité de superviser et, le cas échéant, de revenir en arrière. Un contrat avec des SLA quantifiés, une clause de sortie crédible et un comité de relation actif distinguent une externalisation qui libère le focus de la direction d'une simple intermédiation supplémentaire. Chez Summum Consultoría, nous accompagnons cette analyse make-or-buy, la rédaction du RFP et la conception du modèle de gouvernance pour que la décision d'externaliser soit prise avec des données et gérée avec rigueur.