Comment choisir le prestataire de votre application métier ?

Vous avez reçu plusieurs propositions sérieuses, mais chacune découpe le projet autrement. Le prix le plus bas peut couvrir moins de travail ; le plus élevé peut intégrer des options dont vous n’avez pas besoin. Avant de classer les candidats, remettez leurs réponses sur le même terrain.

Le point de départ est une même situation métier fictive, accompagnée des mêmes contraintes et questions. Pendant l’échange, écoutez comment chaque candidat reformule le problème, cherche les exceptions et signale ce qu’il ignore. Sa proposition doit ensuite couvrir huit points par écrit : compréhension, périmètre, validation, coûts, données, droits, maintenance et sortie.

Le statut de l’équipe ne tranche rien à lui seul. Agence, freelance ou équipe interne peuvent convenir. Une condition inacceptable ne se compense pas par un statut rassurant. Si le besoin reste trop flou, financez un cadrage court, réduisez le projet ou ne retenez personne pour le moment.

Écrivez le problème avant de décrire la technologie. Nommez les personnes concernées, l’action qu’elles essaient d’accomplir, la règle qui change le résultat, les systèmes déjà utilisés et la conséquence d’une erreur. Ajoutez les contraintes déjà certaines : échéance externe, appareils, pays, données sensibles, interface obligatoire ou continuité d’activité.

Vous n’avez pas besoin de tout résoudre pour commencer les échanges. En revanche, chaque candidat doit recevoir les mêmes inconnues. S’il remplace une hypothèse par une certitude, demandez d’où elle vient et comment elle modifie son prix ou son calendrier.

Vous venez de fixer le contexte. Regardez maintenant l’organisation réelle. Une agence peut réunir plusieurs compétences, mais la proposition doit dire qui interviendra. Un freelance peut raccourcir les échanges, mais sa relève et sa disponibilité doivent être préparées. Une équipe interne conserve davantage de maîtrise si elle dispose du temps, des compétences et d’une personne chargée de suivre les décisions. Une équipe mixte peut fonctionner si les responsabilités sont clairement réparties.

Demandez aussi ce qui se passe si la personne présentée à l’entretien n’est pas celle qui réalise le projet. Le dossier doit relier les compétences promises aux personnes mobilisées, sans inventer une garantie de disponibilité.

L’organisation annoncée ne montre pas encore comment le candidat raisonne. Donnez-lui seulement cette situation et le contexte commun. Ne demandez ni écran fini, ni architecture gratuite. Écoutez ses questions : que signifie « disponible » lorsqu’un stock est réservé ? Qui fixe la limite de crédit ? Que se passe-t-il si le service qui fournit cette limite ne répond pas ? Qui peut forcer la décision ? Quelle trace devra être conservée ?

Les questions posées pendant l’entretien donnent un aperçu de la méthode. Pour savoir ce qui sera livré, retrouvez chaque réponse dans une proposition datée et versionnée, une annexe, un exemple de livrable ou une procédure identifiée. La grille « achat de logiciels » de la Direction des achats de l’État couvre notamment accès, licences, support, maintien en conditions opérationnelles (le fonctionnement du service dans la durée), façon de calculer le prix, liste des composants, données, personnalisation et ce que l’acheteur conserve. Elle vise la commande publique ; ce guide en transpose seulement les questions utiles à une décision privée.

Une certification, une attestation d’assurance ou une référence peut compléter ce dossier. Vérifiez son titulaire, sa période, son périmètre et ses exclusions. Aucune de ces pièces ne remplace les preuves propres à votre projet.

L’aide officielle MonServiceSécurisé de l’ANSSI recommande de définir les mesures attendues et d’obtenir les garanties du fournisseur avant de le choisir. « C’est sécurisé » reste donc une déclaration ; le dossier doit montrer les mesures adaptées à votre contexte et la façon de les vérifier.

Passez aux montants une fois les huit points documentés. Choisissez une période commune et un même résultat. Additionnez le prix initial, les coûts récurrents sur cette période, les options réellement nécessaires et la préparation de la sortie. Gardez séparés le temps de votre équipe, les risques non chiffrés et les fonctions exclues.

TOTAL DES POSTES CONNUS SUR UNE PÉRIODE COMMUNE

Prix initial hors taxes
+ coûts récurrents hors taxes sur la période
+ options nécessaires retenues
+ préparation de la sortie
= total connu hors taxes

À conserver séparément : temps interne, fonction exclue, aléa,
dépassement non convenu et tout montant encore inconnu.
Une inconnue ne vaut jamais zéro.

Demandez le déclencheur de chaque prix : utilisateur, site, entité, volume, consommation, jour travaillé ou forfait. La grille DAE de décembre 2025 questionne précisément ces règles de calcul ainsi que la durée mensuelle, annuelle ou perpétuelle. Une hausse de volume peut alors être recalculée au lieu d’être découverte après signature.

L’outil reprend les huit points du dossier et les quatre postes de coût. Utilisez-le sur un dossier, réinitialisez-le, puis recommencez avec le suivant. Il suit toujours le même ordre : STOP, inconnue, réponse seulement orale, cas commun non observé, coûts incomplets, puis dossier candidat à la décision. Un bon point ne rachète jamais un droit absent ou une sortie impossible.

« Candidat à la décision » ne signifie pas « gagnant ». Comparez les traces côte à côte. Si deux candidats proposent des choix différents, écrivez ce que chaque écart change pour le métier et demandez une précision avant de trancher.

Commencez par les faits : quelles catégories de données entrent dans l’application, qui en décide l’usage, qui y accède, où elles sont hébergées et quels tiers interviennent ? Un prestataire n’est pas automatiquement sous-traitant au sens du règlement général sur la protection des données (RGPD). La CNIL rappelle que la qualification dépend des faits : qui décide de quoi et qui exécute quoi. Le nom donné dans le contrat ne suffit pas à fixer les responsabilités.

La fiche sécurité de la CNIL sur la sous-traitance demande de connaître les mesures réellement mises en œuvre et cite notamment authentification, incidents, restitution, destruction, vérification des garanties et chaîne de sous-traitance. Une certification est un premier indice ; un mécanisme approuvé au sens du RGPD peut aussi servir d’élément pour démontrer des garanties suffisantes. Vérifiez son titulaire, sa validité et son périmètre : elle ne diminue pas les responsabilités et ne garantit pas l’absence de faille.

Après le choix du prestataire, transformez ces garanties en vérifications concrètes : établissez le socle de sécurité avant la mise en service, puis attribuez chaque preuve, alerte et exercice de restauration à une personne nommée.

Pour le code, ne déduisez pas les droits du paiement. L’article L131-3 du Code de la propriété intellectuelle exige que les droits cédés soient mentionnés distinctement et que leur domaine d’exploitation soit délimité.

Un autre texte vise un cas particulier : L’article L113-9 prévoit un régime particulier pour les logiciels créés par des employés dans leurs fonctions ; il ne règle pas à lui seul les freelances, sous-traitants, bibliothèques ou logiciels tiers. Faites relire les clauses sensibles.

La livraison ne supprime ni les incidents, ni les mises à jour, ni les changements de règles métier. Faites écrire ce qui relève de la correction, de l’assistance, de l’exploitation et d’une évolution facturée séparément. N’utilisez un mot comme « support » qu’avec un canal, des horaires, des priorités, des responsabilités et un prix.

L’ANSSI identifie depuis son guide sur l’externalisation des risques de perte de maîtrise, d’intervention à distance et d’hébergement mutualisé. Ce document date de 2010 : ne lui attribuez pas un état technique actuel. Servez-vous-en uniquement pour poser la question des risques propres à votre contexte et des engagements adaptés ; la technique doit être revalidée aujourd’hui.

Pour un produit déjà en service, le test de relève d’un logiciel métier vérifie concrètement code, accès, déploiement, sauvegarde et données. Si le choix prépare un remplacement, distinguez aussi la sélection du prestataire du plan de migration et de retour arrière.

La personne qui décide doit pouvoir expliquer le choix sans réciter une note sur 100. Écrivez le besoin compris, les hypothèses encore ouvertes, le résultat de la première version, la manière de le valider, le coût connu sur la période, les responsabilités après mise en service et ce qui sera récupéré en cas de changement d’équipe.

FICHE DE DÉCISION — SANS SCORE GLOBAL

Le candidat a compris que…
Il suppose encore que…
La première version permettrait de…
Nous vérifierions le résultat en…
Le total connu sur notre période est… ; restent inconnus…
Après la mise en service, il prend en charge…
Si nous changeons d’équipe, nous récupérons…
Conditions de choix, risque accepté, décideur et date :

Deux devis ne sont comparables que s’ils portent sur le même périmètre. Celui-ci se fige dans le cahier des charges et se borne avec ce qu’un premier lot doit contenir. Une date annoncée s’apprécie ensuite à l’aide du guide combien de temps faut-il pour développer un SaaS, et le prix se rapporte à un gain attendu grâce au calcul du retour sur investissement.

Trois preuves discriminent plus que le reste. Demandez au prestataire ce qu’il propose comme plan de recette — un candidat qui n’a rien à répondre sur l’acceptation vend une livraison, pas un résultat. La même logique de comparaison sur preuves s’applique hors logiciel : elle est déclinée pour la publicité dans le guide sur le prix d’une gestion Google Ads.

Si vous voulez faire relire les écarts entre votre besoin et les propositions, vous pouvez décrire votre projet et les décisions encore ouvertes. Le formulaire recueille un premier contexte ; il ne produit ni devis automatique, ni certification du prestataire, ni avis juridique.