Pour une approche plus ambitieuse de la sous-traitance

Dans un contexte où la profitabilité des acteurs bancaires est sous pression, où l’atonie de l’environnement économique ralentit la croissance des revenus et où la superposition des plans de réduction de coûts semble vouée à ne plus générer que des gains marginaux ou difficiles à atteindre, se pose la question d’une approche plus ambitieuse des enjeux de sous-traitance et d’externalisation, notamment sur les activités opérationnelles et informatiques des banques, au-delà des vecteurs traditionnels d’ores et déjà largement mobilisés.

Si la plupart des projets d’externalisation se heurtaient jusqu’ici à des contraintes internes – business plans prévoyant une forte croissance des volumes d’opérations, complexité des SI, risque commercial supposé ou avéré en cas de recours à la sous-traitance –, les enjeux de performance opérationnelle, de variabilisation des coûts, les investissements nécessaires au maintien d’infrastructures compétitives, mais aussi les nouvelles réglementations (SEPA, EMIR, FATCA, etc.) et l’impossibilité d’atteindre une taille critique sur plusieurs activités sont autant d’arguments qui plaident aujourd’hui pour un recours plus prononcé à l’externalisation.

Cette approche ambitieuse appelle au préalable une réflexion d’ensemble sur le portefeuille et sur le cœur de métier de la banque, le périmètre et l’intensité de la sous-traitance étant intimement liés au caractère plus ou moins stratégique de ses activités. Pour produire des externalités positives, une approche d’externalisation doit en effet distinguer :

• les filières stratégiques, pour lesquelles la sous-traitance sera limitée et de préférence avec des partenaires de long-terme ;
• celles pour lesquelles les modalités de coentreprise, d’off-shoring et de sous-traitance sont plus variées et flexibles.

Enfin, si la décision de sous-traiter une activité est parfois vécue comme un appauvrissement, il convient de souligner qu’elle permet au contraire d’améliorer l’efficience intrinsèque du métier en permettant des économies de l’ordre de 15 à 25 %, et contribue à sa pérennité à long terme. Cela permet surtout de focaliser les efforts et les investissements de la banque sur les métiers stratégiques qui constituent son cœur de métier, dans un environnement de ressources rares et de plus en plus compétitif.

Les métiers stratégiques préservés

Même si chaque banque apprécie le caractère stratégique d’une activité à partir de critères qui lui sont propres, on pourrait définir qu’une filière (Front Middle Back IT) est stratégique si :

• son objet s’inscrit dans les objectifs stratégiques de la banque tels qu’exprimés par son Conseil d’administration ;
• sa valeur ajoutée par rapport à la concurrence impose de protéger l’expertise-métier ;
• son fonctionnement revêt un caractère vital pour l'organisation, soit en termes de contribution à la formation du P&L, soit en termes d’aversion pour le risque (la gestion de la liquidité, par exemple) ou de réputation pour la marque.

Ainsi, le caractère stratégique d’une filière emporterait une sous-traitance limitée. Les quelques possibilités d’externalisation, sans doute principalement localisées au sein de la fonction IT (infrastructure IT et cycle projet notamment) seraient à considérer de préférence au sein de l’entreprise, afin d’éliminer le risque posé par un tiers sur la pérennité de son exploitation ; ou, dans le cadre d’une sous-traitance partielle, sur la base d’un cahier des charges sur mesure avec un très haut niveau de service et sans partage des données (near shoring ou coentreprise limitée à l’exploitation d’un outil informatique commun). Dans ces deux cas, la banque retient alors la connaissance-métier avec une maîtrise d'ouvrage dédiée et un haut niveau de contrôle.

À titre d’exemple, on peut évoquer la sous-traitance de l’exploitation informatique par un intégrateur qui va mobiliser des effets d’échelle, en éliminant les contraintes que représente l’exploitation d’un centre de données en pleine propriété. Cette approche doit toutefois protéger l’intégrité des données sur une infrastructure dédiée. De même, le client peut-il sous-traiter des maintenances évolutives à des sociétés spécialisées en ne partageant que certains éléments d’une chaîne de production pour limiter le risque de contrefaçon.

Des possibilités élargies au sein des métiers non stratégiques

Dans le cas des filières non stratégiques, la sous-traitance pourrait être plus intensive. Les différentes options d’externalisation sont :

• l’utilisation des plates-formes d’autres entités de la banque (plates-formes de paiement, de conservation de titres, etc.) ;
• l’utilisation de solutions développées par des tiers (progiciels, coentreprise) ;
• ou la sous-traitance à un ou plusieurs intégrateurs (Accenture, IBM, Atos, TCS, etc.).

La banque accepterait alors d’abandonner un niveau très fin de connaissance opérationnelle de ces métiers en échange d’une variabilité des coûts et pour un service plus standardisé. La banque limiterait l’aléa stratégique posé par l’engagement de long terme du prestataire, en recherchant de préférence une solution interne ou un tiers de confiance avec un positionnement stratégique crédible. À titre d’exemple, on peut évoquer une externalisation des activités de  transaction processing (règlements-livraisons, conservation), pouvant inclure la gestion des bases de données, des performances et du reporting des portefeuilles. De même, on peut envisager la sous-traitance de tout ou partie du cycle-projet avec des prestataires dont les équipes pourront être localisées sur site pour une meilleure réactivité et une connaissance fine du client.

Enfin, concernant les opérations transversales, à fort volume et très standardisées (intégration de données de marché, confirmations, réconciliations, facturation, opérations de la paie, états réglementaires, paiements-fournisseurs, etc.), on recherchera des solutions intégrées de partenariat interne ou chez un tiers-expert (sous-traitance, progiciels), ainsi qu’une livraison rapide pour mobiliser sans attendre les économies de frais de fonctionnement (voir Encadré 1).

Se doter d’une task force dédiée

Si la stratégie d’externalisation requiert d’être pilotée au plus haut niveau de la banque, elle nécessite également d’être préparée et mise en place par une équipe dédiée, véritable task force au sein de la banque, mobilisant les expertises et les compétences métiers disponibles en interne. Pluridisciplinaire, cette task force doit disposer de fortes capacités de gestion de projet afin d’instruire et d’implémenter des scénarios d’externalisation complexes par nature.

La rétention et la valorisation de ces compétences, rares au sein de l’entreprise, constitueront donc également un enjeu pour les banques dans le cadre de leur stratégie d’externalisation.

Une fois constituée, cette task force devra mener à bien les quatre principales phases du projet :

• la rédaction du business case ;
• la sélection et la contractualisation des relations de sous-traitance ;
• l’exécution ;
• puis le pilotage continu de la sous-traitance.

Des moyens contractuels pour maîtriser les risques liés à la sous-traitance

En amont du projet, la phase d’évaluation doit permettre de définir les objectifs et les bénéfices attendus de l’externalisation, d’en évaluer la faisabilité ainsi que les principaux risques associés et de réaliser le business case (principes clés, périmètre impacté, modèle opérationnel, nouvelle organisation à mettre en place et conséquences sociales) permettant d’exprimer la valeur du projet en présentant, d’une part les coûts d’exécution du projet et, d’autre part, les gains attendus en termes de réduction de la masse salariale, de frais d’infrastructure IT et d’évitement de coûts de maintenance évolutive ou de migration, transférés de facto chez le sous-traitant.

La contractualisation des relations avec les sous-traitants sélectionnés (après request for information, request for proposal et due-diligences approfondies) revêt une importance cruciale. Elle doit donc faire appel à l’expertise du management et des métiers pour la définition précise des besoins, ainsi qu’à un cabinet juridique spécialisé pour la négociation avec les prestataires externes. La définition de la relation-fournisseur requiert l’implication de toutes les équipes de la banque (IT, Ops, HR, finance, juridique, etc.) et nécessite un lourd travail de spécifications et de documentation (SLAs), pouvant paraître rébarbatif mais qui constitue un gage de sécurité pour le management et pour la banque.

À titre illustratif, dans le cadre d’une externalisation informatique, les principaux éléments de négociation sur lesquels la banque doit se montrer inflexible sont les suivants :

• les exigences en termes de niveaux de sécurité et de continuité d’activité ;
• la gestion des incidents et son protocole ;
• le niveau de réponse et de reprise de l’activité (recovery time objective) après un incident ou une interruption ;
• la gestion des licences : les corrections, améliorations, développements réalisés par le prestataire doivent figurer à l’actif du bilan de la banque (à l’inverse, le fournisseur doit gérer les licences utilisées par la banque) ;
• le niveau de qualité des livrables à la livraison d’un lot de projet.

L’externalisation doit être progressive

Si la sous-traitance permet de délivrer des économies, parfois avec une meilleure qualité de service, elle constitue une mutation profonde de la part de l’organisation qui l’entreprend sur le moyen-long terme.

La mise en place de la sous-traitance nécessite ainsi l’élaboration de plans de désimbrication informatique (développements, migrations, infrastructures, etc.), de transition RH, de communication et d’accompagnement du changement, de même que la bonne gestion d'autres contraintes potentielles (comptables, financières, juridiques, réglementaires, etc.). Dès la mise en place de l’externalisation, le pilotage de la sous-traitance nécessite la mobilisation de moyens de contrôle. Outre la task force dédiée, le management se doit en effet de disposer d’indicateurs de suivi très fins (key performance indicators) permettant de piloter et de gérer les relations de sous-traitance. Ces critères donnent par ailleurs lieu à des bonus/malus pour le prestataire en fonction des niveaux de service définis dans le contrat, constituant par là même un moyen de pression efficace sur le prestataire.

La gestion stratégique du risque fournisseur

Par ailleurs, la sous-traitance ne dispense pas d’une réflexion sur le plan opérations/IT/technologie (Ops&IT) à moyen terme et sur les niveaux de risques acceptables, car les responsables de la filière Ops&IT doivent faire rapport au comité d’audit de la qualité du pilotage des services rendus par le tiers. La banque reste en effet intégralement responsable vis-à-vis des autorités, selon le règlement ACP 97-02. Si les responsables Ops&IT sont les principaux donneurs d’ordre, cette approche, pour être pleinement opérationnelle, gagne à être appropriée et soutenue par l’ensemble du comité de direction.

Enfin, le management se doit aussi de gérer le risque fournisseur (par exemple, le profil de répartition de la facture de sous-traitance IT entre plusieurs fournisseurs et évolution dans le temps) : la décision de sous-traiter étant irréversible, il convient de sonder régulièrement le marché, afin d’éviter toute situation de dépendance vis-à-vis d’un fournisseur, et d’identifier une solution de repli le cas échéant. Au-delà de la répartition des commandes, le suivi du risque-crédit présenté par les fournisseurs doit également constituer un élément fondamental du dispositif.

Un nouveau chantier stratégique

Au-delà des cas pratiques et pour être pleinement profitable à un changement de modèle opérationnel, la réflexion sur la sous-traitance gagne à être engagée sous l’angle du positionnement stratégique de l’entreprise plutôt que d’être subordonnée à un nouvel exercice de réduction de coûts. Elle ouvre donc un nouveau chantier stratégique pour les banques. Sans présumer du dénouement de cette réflexion, on devine l’ampleur et la complexité de la tâche. Autant dire que cela commence maintenant et qu’il faudra du temps.