Choisir un partenaire de conseil en data, cloud ou cybersécurité
Faire appel à une aide extérieure pour une plateforme data, une migration cloud ou un programme de sécurité est une décision importante. Un mauvais partenaire coûte plus que ses factures : des mois perdus, un système que votre équipe ne sait pas maintenir, et parfois une dépendance coûteuse à défaire. Le bon partenaire vous laisse des systèmes qui fonctionnent et une équipe plus forte. Ce guide se veut utile quel que soit votre choix, y compris un cabinet comme le nôtre : ce qu'il faut clarifier avant de consulter, comment comparer les propositions, à quoi ressemblent de bons livrables et un vrai transfert de compétences, comment éviter la dépendance, et les signaux d'alerte.
Avant de parler à quiconque : clarifier le besoin
La qualité des propositions dépend de la qualité de votre expression de besoin. Une note d'une page devrait couvrir :
| Élément | Question |
|---|---|
| Résultat | Qu'est-ce qui doit être vrai à la fin et ne l'est pas aujourd'hui ? (par exemple : « reporting mensuel produit automatiquement depuis l'entrepôt ») |
| Contraintes | Échéance, fourchette budgétaire, contexte réglementaire, technologies en place |
| Votre équipe | Qui travaillera avec le partenaire, qui sera responsable du résultat ensuite, combien de temps est disponible |
| Décision | Qui décide, sur quels critères, pour quand |
| Type d'aide | Conseil, réalisation, ou les deux ; un projet défini ou une capacité dans la durée |
Préciser qui exploitera le résultat après la mission change tout : le transfert de compétences devient une exigence et non une réflexion de dernière minute.
Les modes d'intervention
| Mode | Fonctionnement | Adapté à | Points de vigilance |
|---|---|---|---|
| Forfait | Périmètre et livrables définis pour un prix convenu | Travaux bien compris : audits, migrations avec un inventaire clair, une première plateforme | Litiges de périmètre ; le prestataire peut protéger sa marge par une lecture restrictive |
| Régie (temps passé) | Facturation aux jours travaillés, périmètre évolutif | Travaux exploratoires ou évolutifs | Exige un pilotage actif ; les coûts dérivent sans jalons |
| Régie plafonnée | Régie avec plafond et jalons | Un compromis fréquent | Le plafond doit correspondre à un livrable significatif |
| Accompagnement récurrent | Un volume fixe de jours ou de services par mois | Exploitation, conseil à la demande, amélioration continue | Jours non consommés, résultats flous |
En France, les dispositifs durables où des consultants externes travaillent sous votre autorité directe soulèvent aussi des questions de droit du travail ; associez votre service juridique ou vos achats quand la frontière entre prestation et mise à disposition de personnel devient floue.
Que demander pendant la sélection
Sur les personnes
- Qui fera exactement le travail, et pouvons-nous les rencontrer avant de signer ? Ceux qui présentent ne sont pas toujours ceux qui réalisent.
- Quelle est leur expérience directe de notre type de problème et de technologie ?
- Que se passe-t-il si une personne clé part en cours de mission ?
Sur la méthode
- Que livrerez-vous à la fin de la semaine 2, de la semaine 4, et à la fin ? Demandez des livrables intermédiaires, pas seulement un livrable final.
- Comment traitez-vous un constat ou un risque qui modifie le plan ?
- Pouvez-vous montrer un exemple anonymisé de livrable comparable (rapport, document d'architecture, procédure d'exploitation) ?
Sur les références
- Pouvons-nous parler à un client pour une mission similaire ? Un appel de référence en dit plus qu'une page de logos. Demandez à la référence ce qui s'est mal passé et comment cela a été géré.
Sur les qualifications, quand c'est pertinent
Certifications et qualifications prouvent un minimum, pas l'excellence, mais certains contextes les exigent :
| Domaine | Qualifications à vérifier |
|---|---|
| Audits de sécurité | Qualifications ANSSI comme PASSI pour l'audit de systèmes sensibles ; certifications individuelles des auditeurs |
| Projets ISO 27001 | Certification lead implementer ou lead auditor des consultants ; indépendance vis-à-vis de l'organisme certificateur |
| Cloud | Certifications fournisseur des personnes qui interviendront sur votre compte |
| Données personnelles | Un contrat de sous-traitance conforme à l'article 28 du RGPD si le partenaire accède à des données personnelles |
Livrables et transfert de compétences
Une bonne mission vous laisse des éléments utilisables sans le partenaire.
| Domaine | À quoi ressemble le bon état |
|---|---|
| Code et configuration | Dans vos dépôts, sous vos comptes, dès le premier jour |
| Infrastructure | Décrite en code, déployée dans vos comptes cloud, avec votre fournisseur d'identité |
| Documentation | Décisions d'architecture, procédures, guides pratiques, écrits pour votre équipe et rangés à côté du code |
| Données et rapports | Dans des formats modifiables, y compris les résultats bruts (sorties de scans, grilles de notation) |
| Compétences | Binômage pendant les travaux, sessions de passation, une période où votre équipe opère avec le soutien du partenaire |
| Accès | Comptes du partenaire nominatifs, journalisés et supprimés à la fin |
Demandez comment le transfert de compétences est planifié et budgété. S'il n'est pas dans la proposition, il n'aura pas lieu.
Éviter la dépendance
Dépendre d'un partenaire n'est pas toujours un mal, mais cela doit être un choix. Les mécanismes habituels et leurs parades :
| Mécanisme | Parade |
|---|---|
| Accélérateurs ou frameworks propriétaires inutilisables sans licence | Préférer des outils standards et répandus ; si un accélérateur est utilisé, obtenir le droit de l'utiliser et de le modifier |
| Systèmes hébergés dans les comptes du partenaire | Tout dans vos comptes, sous vos contrats |
| Savoir détenu par un seul consultant | Documentation et binômage comme livrables |
| Propriété intellectuelle floue | Le contrat stipule que les livrables vous appartiennent, ou que vous disposez d'un droit perpétuel d'utilisation et de modification |
| Pas de plan de sortie | Une clause de réversibilité décrivant la remise du code, des données, de la documentation et des accès |
- Activation at any time, with the contractual notice, without justification; explicit triggers: change of shareholders, relocation of hosting sites, PAS not followed
- Provider assists the migration and guarantees data and application security during transfer; SLA unchanged during reversibility
- All hardware, software and documentation returned; removal from the provider's premises at its cost within one month; non-return treated as a loss
- Knowledge transfer to the next provider: kick-off of at most two days, every document and build chain on a medium chosen by the client in an installable format, answers to questions within 48 hours
- Two to three people of the next provider hosted for two weeks to observe operations; functional and admin training with hands-on sessions
Extrait de la fiche « IT Usage Charter and Outsourcing Security (part 2) » · Demander la fiche complète
Signaux d'alerte
- La réponse est prête avant la question. Un partenaire qui recommande un produit précis avant de comprendre votre contexte le vend peut-être.
- Pas de livrables intermédiaires. Tout arrive à la fin, quand il est trop tard pour piloter.
- Un senior en avant-vente, des juniors en réalisation, sans encadrement clairement décrit.
- Des résultats garantis qui dépendent de facteurs hors du contrôle du partenaire (certification garantie, pourcentage d'économies promis sans avoir vu votre facture).
- Un chiffrage flou avec de gros postes « à définir ».
- Une réticence à travailler dans vos outils et vos comptes.
- Des conflits d'intérêts : le même cabinet qui audite ce qu'il a construit, ou certifie ce qu'il a conseillé.
Comparer les propositions
Utilisez une grille de notation fixée avant de lire les propositions, pour que le document le plus soigné ne gagne pas par défaut :
| Critère | Poids (exemple) |
|---|---|
| Compréhension du besoin et du contexte | 25 % |
| Méthode, livrables intermédiaires, gouvernance de la mission | 20 % |
| Équipe : personnes nommées, expérience pertinente | 25 % |
| Transfert de compétences et réversibilité | 15 % |
| Prix et conditions commerciales | 15 % |
Ajustez les poids à votre situation, mais gardez le prix sous la moitié : la proposition la moins chère est souvent celle qui a sous-estimé le travail.
Piloter la mission une fois lancée
- Un lancement qui confirme périmètre, livrables, jalons et décideurs
- Un point court hebdomadaire ou bimensuel avec un état écrit
- Des critères d'acceptation pour chaque livrable, convenus à l'avance
- Un bilan de fin de mission : ce qui a été livré, ce qui reste, ce que votre équipe sait désormais faire seule
Spécialiste, cabinet de taille moyenne ou grand groupe ?
| Profil | Atouts | Limites |
|---|---|---|
| Indépendant spécialisé | Expertise pointue, contact direct avec la personne qui fait le travail | Capacité limitée, risque de continuité |
| Petit ou moyen cabinet | Seniors proches de la réalisation, souplesse | Effectif plus restreint, moins de projets en parallèle |
| Grand cabinet ou intégrateur | Capacité, couverture multi-pays, accords-cadres | Tarifs plus élevés, plus de juniors, plus d'intermédiaires entre vous et le travail |
Aucun n'est meilleur dans l'absolu. Choisissez le profil selon la taille et le risque de la mission, et selon votre propre capacité de pilotage.
À propos de nous
Tadata intervient en data engineering, intelligence artificielle, cybersécurité (audit et conformité, sécurité cloud et DevSecOps), cloud et DevOps et stratégie data. Quel que soit votre choix, les questions ci-dessus sont celles que nous aimerions que vous nous posiez. Notre tech finder, gratuit, peut vous aider à cartographier les outils en jeu avant de rédiger votre expression de besoin.