Maintenance applicative offshore ou nearshore : comment choisir

Confier sa maintenance applicative à un prestataire offshore, c’est d’abord chercher un coût plus bas. Mais une maintenance dure des années et vit au rythme des incidents : l’écart horaire, la langue, l’accès aux données et la stabilité de l’équipe y pèsent autant que le tarif. Ce guide compare l’offshore et le nearshore sur ces points et donne les questions à poser avant de choisir.

Il s’adresse aux dirigeants, aux DSI et aux responsables d’application qui envisagent de confier leur maintenance applicative (TMA) à une équipe située hors de France, et qui veulent savoir ce que la distance change au quotidien.

Offshore, nearshore, onshore : de quoi parle-t-on

Les trois mots décrivent l’endroit où travaille l’équipe par rapport à son client. Aucun texte ne les définit ; pour une entreprise française, l’usage est à peu près le suivant.

• Onshore. Le prestataire travaille en France, ou dans le pays du client.
• Nearshore. Le prestataire travaille dans un pays proche, avec un écart horaire faible : Afrique du Nord, Europe du Sud ou de l’Est. Pour un client français, l’Afrique du Nord ajoute souvent la langue.
• Offshore. Le prestataire travaille loin, avec plusieurs heures d’écart : en Inde ou en Asie du Sud-Est, par exemple.

La frontière n’est pas nette, et la distance en kilomètres compte moins que ce qu’elle change : l’heure à laquelle l’équipe travaille, la langue dans laquelle elle écrit, le droit qui s’applique aux données. Ce sont ces points qu’il faut comparer.

Pourquoi la maintenance n’est pas un projet comme les autres

Un projet de développement a un début et une fin : le travail se découpe en lots livrés à date, et un écart horaire se gère avec des points planifiés. La maintenance fonctionne autrement.

• Elle dure. Des années, avec une équipe qui doit connaître l’application en profondeur.
• Elle est réactive. Une anomalie bloquante signalée le matin doit être prise en charge dans le délai prévu au contrat.
• Elle vit d’échanges courts. Une question, une précision, une recette : les allers-retours avec les utilisateurs sont quotidiens.
• Elle dépend de la mémoire de l’équipe. Chaque départ fait perdre une part de la connaissance de l’application.

Le CCAG-TIC 2021 définit la tierce maintenance applicative comme les prestations qui consistent à conserver un système d’information dans un état lui permettant de remplir sa fonction (article 38), qu’il s’agisse de corriger, de prévenir ou de faire évoluer l’application (voir notre guide de la maintenance évolutive). Cet objectif se tient au jour le jour : c’est pourquoi le lieu du prestataire pèse davantage en maintenance qu’en projet.

Cinq critères pour comparer offshore et nearshore

1. Le fuseau horaire et les heures de service. La Tunisie est à UTC+1 toute l’année : même heure que Paris en hiver, une heure de moins en été. Le Maroc est aussi à UTC+1, sauf pendant le ramadan. L’Inde est à UTC+5:30 toute l’année : quand il est 9 h à Paris, il y est 13 h 30 en hiver et 12 h 30 en été. En offshore, la journée commune est donc plus courte, et une demande envoyée en fin d’après-midi arrive quand l’équipe a fini la sienne. Certains prestataires décalent une équipe sur les horaires du client : vérifiez-le au contrat, avec les heures de service et l’astreinte.

2. La langue, à l’oral et à l’écrit. En maintenance, l’écrit est permanent : tickets, comptes rendus, notes de livraison, documentation. Une équipe qui travaille dans la langue des utilisateurs comprend les demandes sans intermédiaire et documente dans une langue que l’entreprise pourra relire après elle. Avec une équipe qui travaille en anglais, quelqu’un doit traduire les demandes métier, chez le client ou chez le prestataire.

3. Les données personnelles. Dès que l’équipe accède, depuis un pays hors de l’Espace économique européen, à des données personnelles de production, le RGPD encadre ce transfert. Le sujet est détaillé plus bas : il concerne aussi le nearshore hors de l’Union.

4. La stabilité de l’équipe. La connaissance d’une application tient aux personnes. Demandez qui travaillera sur la vôtre, combien de temps les mêmes personnes resteront, et comment un départ se prépare : documentation, binôme, période de recouvrement. La question vaut partout ; elle pèse plus lourd quand l’équipe est loin et que vous la voyez peu.

5. La réversibilité. Le code dans un dépôt au nom de l’entreprise, une documentation à jour, un plan de sortie écrit : le jour où l’on change de prestataire, la distance ne doit rien compliquer. Notre guide du contrat de maintenance applicative détaille les clauses correspondantes.

Comparaison générale : chaque prestataire se juge sur pièces. Fuseaux horaires d’après les pages UTC+01:00 et UTC+05:30 de Wikipédia.

Et le coût ? Le tarif journalier ne dit pas ce que coûte une maintenance. Il faut y ajouter le temps de pilotage passé par vos équipes, les allers-retours sur les demandes mal comprises, les reprises, et la part de la journée où personne n’est joignable. Comparez des coûts complets sur une période, pas des tarifs.

Les données : le nearshore n’échappe pas au RGPD

C’est le point qui ne dépend pas de la distance. Le Comité européen de la protection des données (CEPD), qui réunit la CNIL et ses homologues européens, le précise dans ses recommandations 01/2020 : l’accès à distance, par une entité située dans un pays tiers, à des données situées dans l’Espace économique européen est aussi un transfert. Un prestataire est une entité distincte de son client : un développeur qui consulte une base de production depuis l’étranger peut suffire.

Un transfert n’est pas interdit : il doit être encadré par l’un des outils du chapitre V du RGPD, rappelle la CNIL. Le premier est la décision d’adéquation, par laquelle la Commission européenne reconnaît à un pays un niveau de protection suffisant. Sa liste compte notamment la Suisse, le Royaume-Uni, le Canada (organisations commerciales), le Japon et la Corée du Sud ; ni la Tunisie, ni le Maroc, ni l’Inde n’y figurent à ce jour. Sans adéquation, il faut des garanties appropriées, par exemple les clauses contractuelles types de la Commission, et une analyse d’impact des transferts (AITD), réalisée par l’exportateur des données avec l’assistance du prestataire. La CNIL en a publié un guide pratique.

La règle vaut pour un prestataire offshore comme pour un prestataire nearshore situé hors de l’Union. Ce qui change, c’est la façon de travailler : moins l’équipe a accès aux données réelles, moins le sujet pèse.

• Pas d’accès direct des développeurs aux données de production.
• Des environnements de test alimentés par des données anonymisées ou fictives.
• Un hébergement dans l’Union européenne.
• Des accès nominatifs, tracés, retirés au départ de chaque intervenant.

Les questions à poser avant de choisir

• Où travaillera l’équipe, et à quelles heures pour nous ?
• Dans quelle langue seront écrits les tickets, les comptes rendus et la documentation ?
• Qui travaillera sur notre application, et comment un départ est-il préparé ?
• L’équipe aura-t-elle accès aux données de production ? Depuis quel pays, et avec quelles garanties ?
• Où est hébergé le code, et à quel nom ?
• Quels délais de prise en charge pendant nos heures ouvrées ?
• Comment se passe la sortie du contrat : documentation, transfert, durée ?

Ces questions complètent les critères de choix d’un prestataire détaillés dans notre guide pour externaliser sa maintenance applicative.

Questions fréquentes

Offshore ou nearshore : choisissez sur pièces

Pour une maintenance applicative, le bon prestataire est celui avec qui une demande se comprend du premier coup, à une heure où vos équipes travaillent, sans que vos données sortent de leur cadre. La distance est l’un des moyens d’y arriver, ou de s’en éloigner.

L’équipe nearshore et francophone d’iones, basée à Tunis, assure la maintenance applicative d’applications existantes et peut commencer par un audit de l’existant. Vous pouvez aussi nous écrire pour un premier échange.