Externaliser n'est pas abdiquer : de la dépendance subie au capital de maîtrise

Dans le débat récurrent sur la souveraineté numérique, l'externalisation informatique est trop souvent érigée en coupable idéal. Recourir au privé, sous-traiter le développement applicatif ou faire appel à des prestataires de conseil est fréquemment assimilé à une perte progressive de contrôle sur nos infrastructures et nos données. Je pense que c'est poser le problème à l'envers ! L'externalisation n'est pas, en soi, une renonciation à la souveraineté. En revanche, externaliser sans organiser les conditions de sa propre maîtrise opérationnelle constitue le véritable point de bascule vers la dépendance subie.

Le mirage du « tout en interne »

Vouloir tout exécuter en propre au sein de nos administrations ou de nos grands groupes relève d'une illusion technologique et budgétaire. Face à l'accélération des cycles d'innovation, à la rareté de certaines compétences spécialisées et, dans le secteur public, aux contraintes de recrutement, le recours au marché est souvent une nécessité pragmatique. Le sujet n'est donc pas d'interdire la prestation extérieure, mais de déterminer ce qu'une organisation doit impérativement conserver pour rester maître de ce qu'elle délègue. En la matière, pas de frontière entre public et privé...

D'ailleurs, selon moi, la question essentielle ne se situe pas entre ce qui est développé en interne et ce qui est acheté à l'extérieur. Elle concerne plutôt la maîtrise juridique, la garantie par des contrats, des dispositifs de conformité ou des clauses de réversibilité, et la maîtrise opérationnelle. En d'autres termes, le juge de paix, c'est bien la capacité réelle d'une organisation à comprendre, arbitrer, contrôler, faire évoluer et, si besoin, reprendre la main sur ses systèmes critiques. Le reste, ce sont des moyens.

SIRHEN : quand l'externalisation atteint la maîtrise elle-même

Dans mon expérience, le programme SIRHEN de l'Éducation nationale fournit une illustration particulièrement éclairante de cette problématique. Entre 2007 et 2018, 263 millions d'euros ont été consacrés à des prestations externalisées, soit 71 % des dépenses totales du programme, visant à moderniser la gestion des ressources humaines et de la paie. Mais au-delà des chiffres, que peut-on dire de cette démarche ?

Dans son rapport public annuel de 2020, la Cour des comptes constate que l'ampleur de ces prestations avait privé le ministère d'une maîtrise suffisante de l'outil qu'il construisait. Certaines fonctions classiques de maîtrise d'ouvrage, notamment l'architecture du système, son pilotage ou son suivi financier, avaient elles-mêmes dû être confiées à des tiers. C'est-à-dire qu'une partie des capacités permettant de gouverner la bonne réalisation de l'externalisation avait elle-même été externalisée. L'exemple de SIRHEN nous renvoie donc tous à une question : que doit absolument savoir et pouvoir faire une organisation pour rester maître d'un système qu'elle ne construit pas elle-même ?

L'illusion des garanties contractuelles

La question est toujours actuelle. Le rapport de la Cour des comptes de 2023 sur le recours par l'État aux prestations intellectuelles de cabinets de conseil souligne notamment les difficultés rencontrées par certaines administrations pour définir précisément leurs besoins et assurer un suivi suffisamment structuré des prestations externes.

À force de confier la définition du besoin, le choix des architectures et le suivi des livrables à des tiers, une organisation risque une forme d'amnésie décisionnelle. Elle peut alors disposer d'une clause de réversibilité parfaitement rédigée sans posséder les équipes capables de l'exercer rapidement. Alors oui, dans ce cas, la réversibilité juridique existe. Mais la capacité de réversibilité, elle, peut avoir considérablement diminué.

Du Cloud à l'intelligence artificielle

Ce phénomène prend une dimension nouvelle avec la généralisation du Cloud et le déploiement des outils d'intelligence artificielle. Les plateformes managées permettent de déléguer des couches techniques toujours plus nombreuses. Le gain d'agilité peut être considérable. Mais cette abstraction augmente également la distance entre l'organisation et le fonctionnement réel de son système. Et dans la foulée, l'IA ajoute une nouvelle couche de dépendance.

Lorsque le traitement des données métiers, la génération de code ou certaines étapes d'un processus décisionnel reposent sur des modèles et services externes, la dépendance ne concerne plus seulement l'infrastructure. Elle touche progressivement les mécanismes par lesquels l'organisation produit, transforme et exploite l'information. On peut se dire qu'il est bien ou non de posséder une technologie, certes. Mais en définitive, il paraît plus important de réfléchir à la question de savoir si, en tant qu'organisation, nous saurions continuer, substituer ou reprendre la main si elle venait à nous manquer.

Le transfert de compétences doit devenir mesurable

Dans la plupart des marchés de prestations informatiques, le « transfert de compétences » figure d'ailleurs parmi les exigences affichées. Sauf que, dans les faits, il peut se réduire à une formation en fin de projet ou à la livraison d'une documentation technique. Or, un document livré n'est pas une compétence acquise. De même qu'une formation réalisée n'est pas une capacité opérationnelle ou une réversibilité vraiment mobilisable.

En ce sens, je pense que le transfert de compétences n'est pas encore assez considéré comme un actif à mesurer. Tout projet externalisé devrait permettre de répondre à quelques questions simples : qu'avons-nous appris ? Quelles compétences sommes-nous désormais capables d'exercer sans assistance ? Quelle part de la capacité de décision et d'arbitrage avons-nous consolidée en interne ?

Sans ce réflexe de suivi et de mise en perspective, la prestation peut résoudre un besoin immédiat tout en augmentant silencieusement une dette de dépendance.

Reconstruire un capital de maîtrise

Face aux enjeux actuels, il paraît urgent de changer de grille de lecture. Garantir la souveraineté numérique d'une organisation ne consiste pas à tout produire soi-même, mais à construire et entretenir ce que j'appelle un capital de maîtrise : sa capacité mobilisable à comprendre ses dépendances, décider en connaissance de cause, contrôler ce qu'elle délègue et reprendre la main lorsque cela devient nécessaire.

Cela suppose notamment de préserver en interne les compétences nécessaires au commanditaire pour challenger les choix structurants, d'évaluer la dépendance réelle plutôt que la seule conformité contractuelle et de mesurer la transmission effective de savoir-faire lors des prestations externes. De cette façon, une organisation fortement externalisée peut conserver une maîtrise élevée. Et ne nous voilons pas la face : à l'inverse, une organisation peut posséder ses infrastructures, ses contrats et ses données tout en ayant progressivement perdu la capacité de les gouverner.

C'est l'une des principales leçons que je retiens du programme SIRHEN : le véritable patrimoine numérique d'une organisation ne se limite pas aux technologies qu'elle possède ou aux contrats qu'elle signe. Il comprend également ce qu'elle reste capable de comprendre, de décider, de contrôler et, lorsque les circonstances l'exigent, de reprendre en main.