La gestion du risque

L’intérêt ou la nécessité de l’externalisation d’un certain nombre de traitements ne doivent pas faire oublier les risques associés à un tel choix, et impose au contraire la nécessité de mesurer et minimiser ces risques, et de faire en sorte que le déclenchement d’un incident donne lieu à la mise en oeuvre d’un plan de secours prévu et répété à l’avance.

L’exemple récent de la panne du service Gmail de Google montre bien la dépendance accrue des utilisateurs et des organisations vis à vis de prestataires de moins en moins nombreux, ou en situation de quasi monopole de fait.

Certes, il s’agit là d’un cas particulier, s’agissant d’un service gratuit sur lequel il serait pour le coup totalement inconscient de s’appuyer à titre professionnel. Voir à ce sujet un article sur 01net, au sujet d’un bug de Google Docs..

Voilà par exemple ce qu’ont découvert un beau jour les utilisateurs d’un service de stockage en ligne en se connectant pour aller récupérer leurs données :

Mais même lorsqu’un contrat existe, liant le prestataire à son client, le risque n’en est pas moins présent.

Il peut s’agir de risques liés à des aspects techniques, risques clairement identifiables, et contre lesquels il est plus facile de se prémunir. Le bon fonctionnement d’un serveur, la disponibilité d’un site internet ou d’une base de données, la sécurité d’accès à une salle, etc. peuvent être garantis par des clauses contractuelles classiques, permettant d’assurer un niveau acceptable de sécurité.

Le risque existe également d’une diminution de la qualité de la prestation. Ici encore, insistons sur l’importance du pilotage, d’une évaluation régulière de cette prestation au moyen d’indicateurs révisables prévus contractuellement, d’une remise en question régulière du prestataire (audit, remise en concurrence).

Il peut s’agir également d’un risque plus diffus et général, de perte de maîtrise de la part du client ; l’externalisation pouvant amener progressivement à la disparition ou à l’affaiblissement des compétences internes capables d’évaluer et piloter la prestation. Les enjeux et le périmètre de l’externalisation devront être clairement posés dès le départ, afin de définir les missions à remplir, les compétences, et la fiche de poste correspondante.

Il peut s’agir enfin du risque de défaillance du prestataire, risque majeur et à anticiper à froid. Ici encore, la capacité du client à évaluer le prestataire (aspect financier) et son offre  (aspect technologique et concurrentiel) permettra sinon de réduire le risque, en tout cas de l’évaluer assez précisément pour anticiper une crise.

Des clauses contractuelles générales permettant au client de sortir du contrat en cas de rachat du prestataire ou de changement de sa structure capitalistique sont à prévoir.

D’un point de vue plus technique, et par exemple, la fourniture régulière de sauvegardes (penser à vérifier que le contenu est exploitable .. ) est également un élément de sécurité.

En conclusion, il n’est pas question de situer à priori systématiquement dans une posture de défiance vis à vis du prestataire, mais bien plutôt d’assurer la transparence de la prestation et des acteurs en charge de sa réalisation.

C’est d’une combinaison appropriée de clauses contractuelles, de procédures de pilotage, et de compétence interne, que l’on arrivera à une collaboration efficace et sur le long terme assurant à chacun un profit mutuel.