Sélection pour l'externalisation, échange de contrats

Le choix d’externaliser, l’échange de contrat

I. La démarche d’externalisation

Doc introductif

A. Terminologie

Définition : (doc 1)

Externalisation : (out sourcing) démarche constituant a confié à un tiers tous ou partie d’une activité qui jusqu’a alors était réalisée en interne.

L’infogérance : c’est l’externalisation appliquer au domaine des systèmes d’information

AFNOR (=association française de normalisation) : l’infogérance est un service défini comme le résultat d’une intégration d’un ensemble de service élémentaire, visant a confier a un prestataire informatique tout partie du système d’information d’un client dans le cadre d’un contrat pluriannuel a base forfaitaire avec un niveau de service et une durée défini.

B. Typologie de l’infogérance

Termes spécifiques :

- MCO = maintien en condition opérationnelle.

- TMA = tierce maintenance applicative.

- ASP = application service provider.

- SaaS = software as a service.

Les taches externaliser peuvent être réaliser dans les locaux du prestataire lorsque le système du client qui est héberger ou au moyen d’une liaison permettant d’intervenir à distance sur le système du client, elle peuvent être réaliser dans les locaux du client par des équipes du prestataire en charge de ses travaux.

3 catégories d’infogérance :

- Gestion des infrastructures

- Gestion des application : activité de support fonctionnelle, maintenance préventive/corrective, et de gestion d’évolution

- L’hébergement de service : le prestataire héberge pour le compte de son clients, une application utiliser comme un service, accessible le plus souvent par le biais d’un navigateur web ou d’une application spécifique.

II. Les risques inhérents a l’externalisation

Offshore, nearshore, oneshore Doc 2 et 3

A. Les risques lies à la perte de maîtrise de son système information

1) Les risques liée à la sous-traitance :

Pour répondre a un appel d’offre, un candidat peut se présenté seul, ou servi d’un groupement ou encore recourir à la sous-traitance. Le titulaire du marché avec l’accord du client peut sous-traité certaine partie de ce marché mais si il reste responsable de toute les obligation résultant du marché, il convient pour le client de vérifier que le ou les sous-traitant dispose des capacité techniques et financières nécessaire à la bonne exécution des prestations, le client doit se réserver le droit de récuser (refuser) tout sous-traitant qui ne présente pas les garantie suffisante.

2) Les risques liée à la localisation des données.

Il convient de s’assurer que l’ensemble des lieux d’ébergements (les sites principales, site de secours, site de sauvegarde) répondre aux exigences de sécurité et aux obligations légale et réglementaire notamment en ce qui concerne la protection des données à caractère personnelle. Il va d’en même pour les site de télémaintenance qui peuvent accéder aux données. Il existe également un problème d’atteinte à la confidentialité des données avec l’informatique en nuage. Une localisation non maîtrisée comporte également d’autres risques :

- Difficulté d’exercer un droit de regard et de contrôle sur les personnelle des prestataires.

- Difficulté d’effectuer un audit de sécurité de l’infrastructuredu prestataire.

- Difficulté à répondre a d’éventuelle injonctions de la justice (ex : raison fiscale).

3) Les risques liés a caractères personnels

Le transfère des données a caractère personnelle en dehors des frontière de l’Union européenne réglementé. A ce titre il convient de déterminer si le destinataire du transfère intervienne en qualité de responsable du traitement ou en qualité de sous-traitance. Pour la CNIL :

- le responsable du traitement ce caractérise par son autonomie dans la mise en place et la gestion du traitement

- Le sous-traitant exécute des taches sur les instructions et sous la responsabilité du responsable de traitement.

Il faut garder à l’esprit que le donneur d’ordre en tant que responsable du traitement encours des sanctions pénales en cas de non respect de la législation relative à l’informatique au fichier et aux libertés.

4) Les risques liés aux choix technique du prestataire.

Les choix du prestataire peuvent souffrir de limitation en terme de sécurité notamment pour des raisons économiques.

Il convient pas conséquent de prévoir que le contrat permet de valider les choix du prestataire après que ce dernier est apporter la preuve de leur conformité avec les exigence de sécurité. Il faut également être vigilant sur l’utilisation des applications propriétaire peu répandu ou de certaine fonctionnalité développer par le prestataire.

Les applications utiliser doivent être interopérables, il faut s’assurer également que les données peuvent être restituer a tout moment dans un format standard

...