Évaluer un fournisseur IT consiste à croiser performance de service, coûts, risques, sécurité, conformité, dépendance et capacité de réversibilité. Une grille commune facilite les revues et les arbitrages, mais elle doit être adaptée à la criticité de la prestation et alimentée par des faits contractuels, opérationnels et métier.
Commencez par qualifier la criticité du service et l’impact d’une défaillance. Définissez ensuite des critères mesurables : SLA, incidents, support, sécurité, coûts, conformité, continuité, sous-traitance, innovation et satisfaction. Confrontez données contractuelles, mesures opérationnelles et retours des utilisateurs avant d’attribuer une appréciation.
Vérifiez que les indicateurs correspondent au service réellement attendu et que les exclusions sont comprises. Analysez tendances, incidents majeurs, délais, qualité des changements et causes récurrentes. Pour les coûts, rapprochez contrat, consommation, factures, indexations, options et coûts internes de pilotage.
Documentez données accessibles, localisation, accès administrateurs, incidents, vulnérabilités, preuves demandées et obligations de notification afin d’examiner les pratiques de sécurité des prestataires. Les exigences doivent être proportionnées au risque et intégrées aux contrats. Une attestation ou certification du fournisseur ne remplace pas l’analyse du service réellement utilisé.
Identifiez les données, formats, interfaces, compétences et actifs nécessaires pour changer de solution ou reprendre le service. Testez la disponibilité des exports, la documentation et les délais. Un plan de réversibilité crédible précise responsabilités, coûts, assistance, suppression des données et critères de réception.
Adaptez la fréquence à la criticité. Présentez écarts, tendances, risques et décisions, puis affectez chaque action à un responsable et une date. La note synthétique facilite la comparaison, mais les points critiques et les désaccords doivent rester visibles.
Évaluez la qualité de service, la sécurité, la continuité, la conformité, la solidité opérationnelle, les coûts, l’innovation et la relation. Adaptez la pondération à la criticité du service et utilisez des preuves : SLA, incidents, audits, tests, plans d’action et retours utilisateurs. Un questionnaire identique pour tous dilue l’effort ; les fournisseurs ayant accès aux données ou aux opérations critiques exigent une revue renforcée.
Partez des conséquences d’une défaillance et des objectifs du contrat. Un hébergeur critique donnera davantage de poids à disponibilité, sécurité et reprise ; un prestataire de conseil sera plus sensible aux compétences et aux livrables. Faites totaliser les poids à 100 %, définissez les règles de notation avant l’évaluation et testez quelques cas pour vérifier que le résultat reflète bien vos priorités.
Examinez disponibilité, sécurité, gestion des identités, localisation et export des données, sous-traitants, support, évolutions, réversibilité et conditions de sortie. Vérifiez aussi la configuration dont votre entreprise reste responsable. Demandez des preuves proportionnées à la criticité et testez l’export avant d’en avoir besoin. Le fonctionnement standard du service ne suffit pas à démontrer sa résilience dans votre contexte.
Demandez les SLA et rapports de service, politiques utiles, attestations ou audits, résumé des tests de continuité, procédure d’incident, liste pertinente des sous-traitants, localisation des données et plan de réversibilité. Pour un fournisseur critique, complétez par les preuves de correction des écarts. Respectez la confidentialité et n’accumulez pas de documents que personne ne sait interpréter ou actualiser.
Formulez chaque action avec un résultat attendu, un responsable chez chaque partie, une échéance, une preuve et un niveau de priorité. Revoyez les actions dans une instance prévue au contrat et escaladez les retards selon le risque. Fermez une action seulement après vérification de la preuve, pas sur une déclaration. Les écarts persistants doivent influencer la notation, le renouvellement ou le scénario de sortie.
Réévaluez au moins annuellement les fournisseurs critiques et après un incident majeur, un changement de contrôle, une évolution du service ou un renouvellement important. Les indicateurs de service et de sécurité se suivent plus fréquemment, souvent mensuellement ou trimestriellement. Les prestataires peu critiques peuvent suivre un cycle allégé. La fréquence doit être documentée dans la segmentation des tiers.
Mesurez les SLA sur une période représentative, vérifiez leur méthode de calcul et analysez les incidents masqués par une moyenne favorable. Complétez disponibilité et délais par la qualité des résolutions, la récurrence, la communication et l’impact métier. Un SLA respecté peut rester inadéquat si son seuil ne correspond plus au besoin. Reliez donc performance contractuelle et satisfaction du service rendu.
Utilisez le même périmètre, les mêmes scénarios, la même période et des critères définis avant de recevoir les réponses. Distinguez exigences éliminatoires, critères notés et coûts complets, y compris intégration et sortie. Normalisez les preuves et organisez des démonstrations sur des cas identiques. Documentez enfin les ajustements qualitatifs : une note facilite l’arbitrage, mais ne doit pas masquer les dépendances ou risques spécifiques.
Ce sujet fait partie des fiches pratiques du livre Pilotegest consacré au pilotage des systèmes d’information. L’article apporte une méthode originale en texte ; la planche complète reste réservée à l’ouvrage.
Découvrir les 40 fiches dans le livrePar Équipe Pilotegest · Dernière mise à jour : 25/08/2026