Prestataires et outils

Deux responsabilités distinctes, un même pilote

Piloter un projet digital, c’est aussi piloter ce qui ne se fait pas en interne : les prestataires qui apportent une compétence que l’équipe n’a pas, et les outils sur lesquels tout le monde travaille. Ce chapitre couvre les deux volets : sélectionner et contractualiser un prestataire, puis administrer outils et accès dans la durée.

Cartographier les prestataires du digital

Le paysage des prestataires du digital se répartit en quatre familles. Les agences apportent une équipe pluridisciplinaire rodée à travailler ensemble, à un coût plus élevé mais avec moins de risque de dépendance à une seule personne. Les freelances apportent une compétence pointue à un coût plus maîtrisé, au risque de disponibilité si la personne devient indisponible. Les éditeurs SaaS fournissent un logiciel prêt à l’emploi, avec un coût récurrent lié à leur feuille de route produit. Les intégrateurs assemblent des briques existantes, souvent pour connecter plusieurs outils entre eux.

Connaître cette cartographie aide à poser la bonne question : compétence ponctuelle, capacité de production continue, logiciel, ou intégration entre systèmes. Ces besoins appellent rarement le même type de partenaire.

Cahier des charges et grille de sélection pondérée

Un cahier des charges formalise ce qu’on attend d’un prestataire : contexte, objectifs, périmètre, contraintes techniques et budgétaires, calendrier attendu. Sa qualité conditionne celle des réponses reçues : un cahier des charges flou attire des propositions difficiles à comparer, chaque prestataire ayant interprété la demande à sa façon.

La sélection gagne à s’appuyer sur une grille pondérée plutôt que sur une impression globale. On y liste les critères qui comptent, compétences démontrées, coût, réversibilité, conformité réglementaire, accessibilité si le livrable s’adresse au public, puis on leur attribue un poids avant même d’avoir reçu les offres. Cette discipline évite qu’un critère secondaire, comme la sympathie ressentie lors d’un échange, prenne le pas sur des critères structurants comme la réversibilité, qui ne se rattrapent pas une fois le contrat signé.

Un appel d’offres formalisé n’est pas réservé aux grands projets : même une consultation légère de deux ou trois prestataires gagne à suivre ce même principe de critères fixés à l’avance.

Les clauses contractuelles qui protègent le projet

Certaines clauses méritent une attention avant signature, car elles sont difficiles à négocier une fois le contrat en cours d’exécution.

La propriété des livrables doit être explicite : à qui appartient le code, les designs et les contenus produits, à l’issue du projet ou en cas de rupture anticipée. Sans clause claire, le client peut se retrouver sans droit d’usage complet sur ce qu’il a financé.

La sous-traitance de données mérite une vigilance particulière dès qu’un prestataire traite des données personnelles pour le compte du projet. L’article 28 du RGPD encadre cette relation : il impose un contrat qui précise l’objet, la durée, la nature et la finalité du traitement, les catégories de données concernées, et les obligations du sous-traitant en matière de sécurité et de confidentialité. La CNIL rappelle que cette qualification emporte des obligations propres, distinctes de celles du responsable de traitement qui reste le client du projet.

La réversibilité prévoit les conditions de récupération des données en cas de changement de prestataire : format d’export, délai, éventuel coût. Sans elle, un client peut se retrouver captif par la seule difficulté technique de partir. Les niveaux de service fixent enfin des engagements mesurables : délai de réponse, disponibilité garantie, pénalités en cas de non-respect.

Administrer les outils et les accès

Une fois les prestataires sélectionnés, l’administration au quotidien des outils partagés devient un enjeu de pilotage, souvent négligé jusqu’à ce qu’un incident le rende visible.

La gestion des comptes doit suivre le principe du moindre privilège : chaque personne, interne ou prestataire, reçoit uniquement les droits nécessaires à sa mission, ni plus ni moins. Un accès administrateur accordé par facilité, « pour ne pas avoir à y revenir », est un risque qui dort jusqu’au jour où il se matérialise.

Le cycle de vie des utilisateurs mérite une attention symétrique à celle portée à l’arrivée : un accès qui n’est pas révoqué au départ d’une personne, salarié ou prestataire dont la mission s’achève, reste actif indéfiniment si personne n’y pense. Cette logique de rôles attribués prolonge la matrice RACI vue au premier chapitre : savoir qui est responsable prépare à savoir qui doit avoir accès, et pour combien de temps.

L’administration courante d’un site, enfin, ne s’arrête pas à la mise en production : sauvegardes testées, mises à jour de sécurité sans attendre, maintenance planifiée plutôt que subie, continuité de service en cas d’incident. Ce sont des tâches peu visibles tant qu’elles sont bien faites, et coûteuses le jour où elles ne l’ont pas été.

Ce qu’il faut retenir

Choisir un prestataire se prépare avec un cahier des charges clair et une grille pondérée fixée avant réception des offres. Quatre clauses ne se négocient pas a posteriori : propriété des livrables, sous-traitance de données conforme à l’article 28 du RGPD, réversibilité, niveaux de service. Administrer les outils suppose des accès limités au strict nécessaire et un cycle de vie des comptes suivi aussi rigoureusement à la sortie qu’à l’entrée. Ce chapitre clôt le parcours du cadrage à l’administration courante : pour un accompagnement sur un projet réel, contactez-nous.