La sous-traitance : outils et
organisation
illustrés par l'expérience sur RAP
Laurent Gydé
Réseau Académique Parisien
Résumé
La
sous-traitance, et l'éventuelle externalisation qui
l'accompagne, sont des sujets prégnants pour la fourniture
des prestations aux utilisateurs de l'informatique dans la
communauté Enseignement/Recherche. Chaque cas étant
particulier, il convient d'adopter sur ce sujet une vision
structurée afin d'évaluer de façon rationnelle
les avantages et les inconvénients des différentes
options d'organisation, principalement lors des phases de réflexions
stratégiques pour les services existants ou nouveaux. En
proposant un modèle de décomposition du service d'une
part, et en examinant ce qui caractérise la situation de
sous-traitance d'autre part, il est possible de dégager une
répartition claire des rôles et des responsabilités
entre le donneur d'ordres et son sous-traitant, ainsi que les
relations qui en découlent.
Le Réseau
Académique Parisien (RAP) raccorde entre eux et vers
l'extérieur près de 140 sites appartenant à
plus de 65 établissements. La sous-traitance est utilisée
pour assurer le fonctionnement et l'évolution du réseau,
en répartissant les tâches entre une équipe
issue des établissements utilisateurs et plusieurs
sous-traitants. L'objectif de cette organisation est de garantir la
maîtrise totale du réseau grâce à son
pilotage par la communauté elle-même tout en respectant
un contrat de service exigeant par la mise à l'œuvre
des ressources et de l'organisation de prestataires spécialisés.
L'expérience de RAP peut donc utilement contribuer à
une réflexion plus globale sur la sous-traitance, en
présentant cette méthode et en en faisant un premier
retour d'expérience
Mots clefs
sous-traitance, externalisation, organisation, pilotage, fourniture de services
Le Réseau Académique Parisien, RAP, est le réseau métropolitain pour la communauté Enseignement Supérieur/Recherche de Paris. Il raccorde entre eux et vers RENATER les sites de plus de 65 établissements. Dès sa création, l'organisation de RAP a prévu une répartition des tâches entre des ressources issues de la communauté et une prestation externe de la façon suivante.
Ressources issues de la communauté :
pilotage de l'infrastructure et de ses évolutions
ingénierie du réseau et des services
relations avec les utilisateurs
relations avec les opérateurs, fournisseurs et les sous-traitants
Prestation externe :
guichet unique de signalisation d'incidents
supervision du réseau
configuration des services
maintenance matérielle et logicielle
Grâce au pilotage et à l'ingénierie de l'infrastructure par la communauté, RAP peut répondre aux attentes des utilisateurs, soit parce qu'elles correspondent à des services déjà en production, soit pour des demandes inédites, en montant spécifiquement une maquette ou un pilote sur le réseau, condition préalable à la validation et à la mise au catalogue de la nouvelle fonctionnalité attendue.
La délégation des tâches opérationnelles a pour sa part permis d'instaurer un contrat de service précis avec les utilisateurs. Outre la nature des services fournis, ce contrat spécifie les plages de couvertures horaires de supervision et de maintenance ainsi que des garanties de délai d'intervention et de temps de rétablissement des services. Ainsi, le guichet unique de RAP était ouvert de 8h à 22h du lundi au vendredi dès 2001 et fonctionne 24h sur 24 et 7 jours sur 7 depuis 2006.
L'activité centrale d'un centre de ressources informatique est la fourniture de services. Avant toute réflexion portant sur la sous-traitance d'une partie de l'activité, il convient de la décrire, non pas en s'attachant à chaque particularité de chaque service, mais en proposant un modèle commun à l'ensemble de la production de services.
Si la phase de production est la plus évidente, elle est accompagnée de manière plus ou moins formelle de deux autres phases que l'on peut placer schématiquement en amont et en aval. Le modèle proposé ci-dessous étend la vision strictement opérationnelle de la fourniture de services informatiques.
Figure 1: Les phases de la fourniture de service
La réalité du service mis à disposition n'a de sens que si ce service a été préalablement décrit, c'est à dire si les utilisateurs et le fournisseur du service ont défini précisément en quoi il consistait (nature du service, capacité, horaires de fonctionnement prévus ou garantis, taux de disponibilité …). La définition fonctionnelle permet en particulier de déterminer si une nouvelle demande entre dans le cadre d'un service existant ou nécessite une adaptation ou une création de service. Par ailleurs, sans cette définition fonctionnelle il ne sera pas possible de déterminer si le service est fourni ou pas.
Pour implémenter ces spécifications fonctionnelles, le centre de ressources est amené à produire pour lui même les spécifications techniques, qui permettront en particulier de définir les ressources nécessaires pour la mise en place et la production de ce service, et donc d'en décliner les coûts en partie ou en totalité.
Les spécifications contractuelles du service interviennent dans certains cas de relation client/fournisseur interne à l'établissement et deviennent indispensables pour une relation inter-établissement, par exemple dans le cas d'une prestation de service mutualisée.
Dans un contexte où la concurrence est de plus en plus susceptible de s'exercer entre l'intérieur (ressources de l'établissement) et l'extérieur (service obtenu sur Internet ou externalisé de manière formelle), la définition des spécifications fonctionnelles et contractuelles à destination des utilisateurs peut constituer un élément de choix pour eux.
La production du service consiste en général en la mise en œuvre des spécifications techniques issues de la phase précédente. Cette phase doit en outre intégrer de manière permanente la vérification de l'état nominal du service qui réside dans sa supervision et le déclenchement des procédures appropriées en cas d'écart à la situation nominale de fourniture. Ces procédures constituent la maintenance du service.
Notons que l'écart à la situation nominale n'entraîne pas obligatoirement une dégradation du service pour les utilisateurs, par exemple dans le cas de dispositifs redondants, mais doit néanmoins toujours être détecté et résolu.
Afin d'améliorer la qualité globale de fourniture du service, les évènements et incidents d'exploitation les plus courants (ajout d'un utilisateur, modification de droits, retour du courant après une interruption, panne d'un équipement...) doivent faire l'objet de procédures écrites et validées susceptibles d'être exécutées par plusieurs intervenants. Il est important aussi de mettre en place une procédure dite d'escalade qui définit, sous certaines conditions de déclenchement, une adaptation de l'organisation pour faire face à une situation de crise. Par exemple, comment gère-t-on du point de vue de l'organisation technique et décisionnelle une panne de messagerie électronique de plus de 24 heures ?
Au delà des moyens techniques liés directement à la fourniture du service (serveurs, logiciels, opérateurs …), une production conforme aux spécifications suppose donc l'existence d'un système de supervision ainsi que la description des procédures courantes et d'escalades.
Si le suivi opérationnel fait partie de la production d'un service, il est aussi souvent utile et parfois nécessaire d'effectuer de manière permanente le suivi de sa disponibilité et de son utilisation. La disponibilité du service, ou mesure qualitative, permettra de vérifier que les spécifications fonctionnelles et éventuellement contractuelles ont été respectées. Son utilisation ou mesure quantitative du service, outre qu'elle constitue aussi une preuve de disponibilité, sera prise en compte lors des décisions d'évolution du service.
Sur RAP, un relevé permanent des interruptions de service permet de mesurer le service rendu aux utilisateurs indépendamment des dispositifs de supervision utilisés pour la production. Ainsi une coupure de liaison sera toujours relevée dans la supervision mais ne se traduira par une interruption de service que si elle a entrainé une perturbation effective sur un site. Jusqu'à présent, les interruptions de service sont saisies manuellement dans le système d'information à partir de l'interprétation des incidents d'exploitation du réseau.
La phase de production est en général visible par tous encore que, pour les services d'infrastructure, elle n'apparaît parfois aux utilisateurs que lors d'incidents marquants comme une panne de réseau ou de messagerie. En revanche, l'importance des deux autres phases (spécification et mesure) n'est pas toujours appréciée à sa juste valeur et il en découle un risque de les négliger lors des décisions de réorganisation.
SOUS-TRAITANCE n.f. (pl. sous-traitances)
Exécution, par un artisan ou un industriel, d'un travail pour le compte d'un autre industriel, le donneur d'ordres, conformément à des normes ou à des plans imposés par celui-ci.
SOUS-TRAITANCE n.f. – 1959 ; de sous-traitant
Opération contractuelle par laquelle un entrepreneur (donneur d’ordres) confie à un autre entrepreneur (sous-traitant, sous-entrepreneur) le soin de réaliser, pour son compte et selon ses directives, tout ou partie d’un travail destiné à ses propres clients.
La sous-traitance est un contrat par lequel une entreprise dite «mutuelle» demande à une autre entreprise dite «assujettie» de réaliser une partie de sa production ou des composants nécessaires à sa production. Les entreprises sous-traitantes sont des entreprises auxquelles sont agréées certaines parties de travail.
Le sous-traitant est différent du simple fournisseur car il fabrique un produit conçu par le donneur d'ordres ou, souvent, en commun avec lui. Le produit est fabriqué par le sous-traitant pour le compte exclusif du donneur d'ordres et ne porte pas son nom. Le sous-traitant s'engage exclusivement sur la conformité de son exécution par rapport aux directives du donneur d'ordres.
La conception du produit (ou du service) est en principe du ressort du donneur d'ordres qui doit donc disposer des compétences nécessaires. Le sous-traitant exécute la production à destination des clients finaux pour le compte et selon les directives du donneur d'ordres.
Le sous-traitant n'est donc pas un fournisseur classique et c’est en réalité une véritable coopération entre le donneur d’ordres et le sous-traitant qui abouti à la fourniture du produit ou du service.
Le donneur d'ordres et le sous-traitant sont liés par une relation contractuelle qui définit en particulier les engagements de chacun. Le sous traitant est soumis à un engagement de conformité vis à vis du donneur d'ordres et ce dernier conserve sa responsabilité face à l'utilisateur final du service.
Dans le cas le plus simple, le donneur d'ordres dépend du sous-traitant et des fournisseurs de ce dernier pour le respect de ses propres engagements vis à vis de ses utilisateurs. Il arrive aussi que le sous-traitant ait besoin de ressources fournies par le donneur d'ordres pour exécuter son contrat, par exemple l'exploitation d'une base de données répartie qui s'appuie sur l'infrastructure réseau du donneur d'ordres. On aura alors des dépendances réciproques entre le donneur d'ordres et le sous-traitant. Enfin, on peut trouver des dépendances indirectes entre acteurs rendant le sous-traitant dépendant d'autres sous-traitants, de fournisseurs ou de prestataires du donneur d'ordres (par exemple pour effectuer une maintenance matérielle nécessitant l'accès aux locaux d'un hébergeur). D'une manière générale, il est important d'identifier clairement les dépendances entre acteurs afin de spécifier pour chacun son niveau de service car c'est cet ensemble de relations qui déterminera le niveau de service résultant pour l'utilisateur.
Figure 2: Les principales dépendances à envisager entre le donneur d'ordres, le sous-traitant et les tiers
Dès le début du projet en 1998, les établissements partenaires ont souhaité dédier une équipe permanente pour le pilotage du Réseau Académique Parisien et de ses services. L'organisation initiale prévoyait d'emblée que l'exploitation, la supervision et la maintenance du réseau seraient confiées à un prestataire alors que les relations avec les utilisateurs, l'ingénierie et le développement de nouveaux services seraient assurés par une équipe d'informaticiens issus de la communauté. L'ensemble ressources externes et internes, constituait le Centre Opérationnel du Réseau Académique Parisien ou CORAP.
Le volonté forte d'expérimenter un mode d'organisation innovant pour RAP s'est traduite dès le démarrage du réseau en 2001 par la constitution d'une équipe mixte, composée de personnels du prestataire dédiés à RAP et de personnels issus de la communauté.
Dans cette première version du CORAP, les personnels de la communauté et ceux du prestataire étaient colocalisés sur le campus Jussieu en heures ouvrées, du lundi au vendredi pour les uns et du lundi au samedi pour les autres. Ces derniers assuraient la supervision et la maintenance du réseau 6 jours sur 7 de 8h à 22h, grâce à un stock de pièces de rechange lui aussi situé à Jussieu. En dehors des plages horaires de bureau classiques 9h-18h, une permanence chez le prestataire assurait le relai.
Cette organisation, très orientée vers la synergie des équipes et des organisations, ne correspondait donc pas à la sous-traitance telle que nous l'avons vue plus haut. Cette équipe devait travailler en étroite collaboration avec une perspective de transfert de compétences réciproque, la communauté amenant ses compétences spécifiques sur des protocoles et des services avancés alors que le prestataire apporterait son organisation et ses méthodes dans une gestion de réseau analogue à celle des grands opérateurs du marché. Néanmoins, la présence des personnels du prestataire au sein du CORAP, si elle s'est très bien passée du point de vue humain, n'a pas apporté les transferts attendus au profit de la communauté. Enfin, la qualité des opérations de maintenance logicielle ou matérielle était très variable en raison des changements d'organisation selon les jours et horaires.
|
|
Ingénierie |
Exploitation |
Supervision |
Maintenance logicielle |
Maintenance matérielle |
Métrologies |
|
CORAP (ressources internes) |
X |
|
|
|
|
X |
|
CORAP (ressources externes |
|
X |
X |
X |
X |
X |
|
Prestataire |
|
|
X |
|
X |
|
Figure 3: De 2001 à 2006, certaines tâches étaient effectuées par plusieurs acteurs
L'expérience acquise de 2001 à 2006 a conduit aux constats suivants :
Le principe d'organisation était le bon. En séparant les fonction d'ingénierie et de pilotage des fonctions d'exploitation, le personnel de la communauté a pu se consacrer au développement des services pour les utilisateurs.
Le respect des engagements de temps de rétablissement sur le réseau ne pouvait se satisfaire de l'organisation variable dans le temps chez le prestataire.
L'intégration de personnels du prestataire dans le CORAP n'a pas amené le transfert attendu en termes d'outillage, de méthodes ou de compétences.
Le périmètre de l'exploitation était trop peu formalisé, il était possible de demander des opérations exceptionnelles ou complexes aux personnels du prestataire, mais sans pouvoir exiger de garantie sur la qualité de leur exécution.
La métrologie fournie par les outils du prestataire ne pouvait pas être publiée auprès des utilisateurs, ce qui amenait de toute façon à redévelopper un outil sur mesure.
Lors du renouvellement du marché d'exploitation/supervision/maintenance de RAP en 2006, la prestation a été redéfinie dans son organisation et dans son périmètre pour clarifier la relation de sous-traitance.
Concernant l'organisation, il a été demandé que le sous-traitant héberge l'ensemble des activités dans ses locaux, et de plus fournisse les prestations à RAP de manière mutualisée avec d'autres clients. Outre la baisse attendue des coûts grâce à la mutualisation, l'objectif était de bénéficier immédiatement d'une qualité de service éprouvée sans avoir à la construire avec le prestataire.
Concernant le périmètre, la décomposition des services proposée au chapitre 1 a été utilisée pour déterminer quelles tâches devaient rester sous le contrôle direct de la communauté et quelles tâches devaient être confiées au sous-traitant. Cette répartition a été obtenue en tenant compte de deux éléments :
La tâche fait elle partie des missions premières du CORAP : L'ingénierie et le pilotage du réseau ?
La tâche est elle stratégique à plus ou moins long terme pour le réseau et ses utilisateurs ?
Ainsi, les spécifications sont restées sous le contrôle direct du CORAP, alors que l'ensemble de la production a été intégralement transférée au sous-traitant au sein d'un centre d'exploitation de réseau situé dans ses locaux et mutualisé pour une trentaine de ses clients. En ce qui concerne la mesure du service, le choix a été de la maintenir au sein du CORAP. En effet, la métrologie de chaque service peut devenir un élément crucial pour RAP dans la résolution d'éventuels litiges que ce soit avec le prestataire ou avec un établissement utilisateur.
Figure 4:
Représentation graphique des choix effectués sur RAP
pour la sous-traitance
Aujourd'hui, le CORAP ne comporte plus que des ressources internes à la communauté. Chaque tâche est affectée de manière intégrale soit au CORAP soit au prestataire.
|
|
Ingénierie |
Exploitation |
Supervision |
Maintenance logicielle |
Maintenance matérielle |
Métrologies |
|
CORAP (ressources internes) |
X |
|
|
|
|
X |
|
Prestataire |
|
X |
X |
X |
X |
|
Figure 5: Depuis 2006, les tâches sont mieux réparties entre le CORAP et le prestataire
En ce qui concerne l'exploitation du réseau, c'est à dire pour l'essentiel les modifications à apporter pour la configuration des services aux utilisateurs, seules celles concernant les services existants sont prises en charge dans le cadre normal du contrat (le CORAP demande environ une centaine de ces changements de configuration par an). En revanche, les modifications consistant à déployer une nouvelle architecture réseau ou un nouveau service font l'objet d'une étude chiffrée et d'un contrat spécifique avec le prestataire selon un mode projet. Cette séparation des contrats correspond aussi en général à une séparation des acteurs chez le prestataire (l'équipe d'exploitation n'est pas l'équipe projet) et permet de manière plus simple de maintenir l'exigence de niveau de service pendant les phases projet.
Nous avons vu que le prestataire est engagé à réaliser le service selon les spécifications du donneur d'ordres. Il en découle tout naturellement que la prestation attendue doit être décrite précisément lors de la consultation pour le choix du prestataire, puis être déclinée en engagements fermes dans le contrat qui sera conclu. Voici par exemple ce qui figurait en 2006 au cahier des charges de l'appel d'offre pour la signalisation des incidents sur RAP :
« Signalisation et résolution d'incidents
L'objet de cette prestation est de permettre aux correspondants techniques ainsi qu'au CORAP de signaler un problème concernant le réseau et de suivre la résolution de celui-ci. Cette prestation est fournie du lundi au samedi, de 8h00 à 22h00. En option, le soumissionnaire indiquera le surcoût lié pour que cette prestation soit assurée 7 jours sur 7 et 24 heures sur 24.
La signalisation doit se faire par télécopie, par courrier électronique, ou bien en appelant un numéro de téléphone réservé aux correspondants techniques de RAP, et doit directement aboutir au centre opérationnel, qui peut être hébergé dans les locaux du soumissionnaire.
En ce qui concerne la signalisation par téléphone, le soumissionnaire fait en sorte d'acheminer l'appel en 10 minutes maximum vers une personne disposant des compétences et des outils nécessaires pour diagnostiquer le problème. Tout courrier électronique ou fax arrivé au centre opérationnel doit faire l'objet d'une réponse (au moins un accusé de réception) en moins d'un jour ouvré.
Toute signalisation indique obligatoirement le site RAP désigné par son code (cf. Tableau 1 : Liste des PoPs, Tableau 2 : Liste des sites raccordés par fibre optique, Tableau 3 : Liste des sites bas débit et paragraphe 2.1.4 Cas particuliers) et émane d'un correspondant technique autorisé par le CORAP. Avant de prendre en compte la signalisation, le prestataire doit dans un premier temps déterminer si le problème se situe sur le périmètre de RAP en liaison avec le correspondant technique. Dans le cas contraire, le CORAP doit être informé du rejet de la signalisation. »
Pour pouvoir évaluer la qualité de la prestation sous-traitée (c'est à dire rappelons-le sa conformité aux spécifications), le donneur d'ordres doit être en situation permanente de contrôle de celle-ci. Dans le fonctionnement courant du réseau, le CORAP utilise les moyens suivants :
- Supervision séparée des principaux services de RAP
Le CORAP exploite son propre serveur de supervision (Nagios) configuré automatiquement par le système d'information de RAP. Ce serveur permet un suivi de l'état du réseau indépendamment du prestataire. La principale utilité du dispositif est de vérifier que la supervision de l'exploitant est fonctionnelle et non de superviser le réseau lui-même.
- Contrôle en temps réel de l'état des tickets
Le CORAP dispose d'un accès web permettant le suivi en temps réel des tickets d'incidents et de changements chez l'exploitant. La connaissance et la compréhension des actions entreprises permet un meilleur dialogue pour leur amélioration.
- Utilisation régulière du guichet unique
En temps normal, le CORAP utilise le même guichet unique que les utilisateurs pour la signalisation des incidents. Cela permet un contrôle de la qualité de fonctionnement en termes de délais de prise en charge et de conformité de l'accueil. En moyenne, le CORAP appelle le guichet unique une ou deux fois par semaine.
- Relevé permanent des interruptions de service
Sur la base des incidents d'exploitation, les éventuelles interruptions de service aux utilisateurs sont saisies dans le système d'information et permettent la production d'un tableau de bord de disponibilité du réseau. En cas de baisse significative du niveau de service relevé par ce moyen, l'implication de chaque élément de la fourniture de service est évalué, ce qui peut conduire à l'identification de problèmes de fonctionnement de la prestation sous-traitée.
Figure 6: L'indicateur de fiabilité du réseau participe au contrôle des prestations sous-traitées
Il n'est pas possible, ni raisonnable, de décrire tous les problèmes susceptibles de survenir sur le périmètre de la prestation. Il vaut mieux en général s'appuyer sur la compétence et la capacité d'initiative des intervenants, mais cela ne suffit pas toujours. Il est donc important de prévoir l'organisation à mettre en place en cas de crise majeure par son ampleur ou par sa durée. Les procédures d'escalade peuvent être décrites comme une adaptation rapide des organisations du sous-traitant et du donneur d'ordres pour répondre à des situations de crises non prévues en situation normale d'exploitation du contrat.
Dans le cadre de RAP, la procédure d'escalade concerne les incidents d'exploitation qui, s'ils ne sont pas résolus dans les temps prévus au contrat, déclenchent progressivement l'information des différents niveaux techniques puis hiérarchiques du côté du CORAP comme du côté du prestataire.
|
|
|
Niveaux hiérarchiques |
|||
|
|
|
Responsable de compte |
Responsable d'exploitation |
Direction des services |
Direction |
|
Gravité de l'incident |
Mineur |
Réunion hebdomadaire |
Compte rendu |
Compte rendu |
Sans objet |
|
Majeur |
4h |
8h |
J+1 |
Sans objet |
|
|
Critique |
2h |
4h |
6h |
J+1 |
|
Figure 7: Délais et niveaux d'escalade chez le prestataire selon la gravité de l'incident
La sous-traitance est une relation dans la durée, la cible commune que doivent avoir le donneur d'ordres et le sous traitant est l'amélioration permanente de la prestation résultante. Pour le sous-traitant c'est une perspective de maintien et de renouvellement de son contrat, et pour le donneur d'ordres c'est un des principaux éléments de satisfaction de ses utilisateurs. Le suivi conjoint de la prestation lors de comités de pilotage réguliers et planifiés met en place une collaboration entre les responsables de part et d'autre, dont le but est le contrôle du déroulement de la période passée et l'analyse des principaux évènements en se concentrant sur les éléments de la prestation sous-traitée non conformes aux spécifications contractuelles. Il ne s'agit pas de dresser un inventaire des dysfonctionnements pour lequel un simple reporting suffirait, mais de faire évoluer en permanence les procédures et les méthodes pour adapter la prestation aux difficultés rencontrées. Sur RAP, ce comité de pilotage est programmé tous les deux mois. Bien entendu, les interlocuteurs désignés au contrat sont disponibles en permanence de part et d'autre pour des questions qui ne pourraient attendre.
La sous-traitance est un modèle d'organisation qui comporte des avantages indéniables. Elle peut être une aide précieuse pour recentrer les ressources humaines de notre communauté sur le développement de nouveaux services plutôt que sur le maintien de services existants toujours plus nombreux qui, dans le temps, conduisent inexorablement les équipes à devoir maîtriser et maintenir un nombre de systèmes opérationnels sans cesse croissant. Pour autant, la réussite d'un passage par la sous-traitance dépend grandement des efforts qui auront été consentis et du soin qui sera porté lors de la mise en place et tout au long de la prestation.
Les principaux enseignements tirés sur RAP pour une sous-traitance réussie sont les suivants:
Délimitez clairement les parties de l'activité qui seront sous-traitées
De manière contractuelle, spécifiez le service attendu par vous « donneur d'ordres » et pas par vos utilisateurs
Donnez-vous les moyens humains et techniques suffisants pour contrôler la prestation avec votre sous-traitant
Ne sous-estimez pas votre rôle de donneur d'ordres, seul responsable de la satisfaction de vos utilisateurs
« On a la prestation qu'on mérite ! »