Le go-live ERP du vendredi soir : protocole de bascule et risques que personne ne couvre

Demandez à n'importe quel intégrateur ERP quand il programme ses bascules : la réponse, dans plus de quatre cas sur cinq, sera "vendredi soir, sortie de production minimum, redémarrage dimanche soir". La logique métier semble imparable : 48 heures de fenêtre d'arrêt avec un impact opérationnel minimal pour le client. C'est devenu une culture, transmise de chef de projet en chef de projet depuis les grands ERP des années 1990.

Cette culture cache pourtant trois fragilités structurelles qui pèsent directement sur la responsabilité de l'intégrateur :

• Le support éditeur est en astreinte. SAP, Oracle, Microsoft, Sage proposent tous des permanences week-end, mais à des SLA dégradés et avec des consultants juniors. Pour un incident vraiment critique, l'escalade vers les bons interlocuteurs peut prendre dix-huit heures.
• Les équipes sont fatiguées. Les semaines de fin de projet sont rarement reposantes. Une bascule menée le vendredi à 22h après une semaine à 60 heures multiplie par trois le risque d'erreur de manipulation, selon les études en ergonomie informatique du laboratoire de Berkeley.
• Les sponsors client sont injoignables. Quand une décision doit être prise sur un rollback partiel ou la poursuite forcée, le directeur des systèmes d'information du client est souvent en train de profiter de son week-end. Sans décideur, l'intégrateur prend des décisions à la place du client - et engage sa responsabilité bien au-delà du contrat.

Le protocole décrit ci-dessous est issu de la consolidation de plusieurs référentiels (SAP Activate, Oracle OUM, PRINCE2 IT) et adapté au format d'une PME. Il est conçu pour être signé par le client avant la bascule, ce qui change radicalement la lecture juridique d'un incident.

1. J-15 : gel des spécifications. Aucune demande de changement n'entre dans le périmètre. Toute évolution est repoussée en lot 2 par décision écrite du comité de pilotage.
2. J-7 : répétition générale en environnement préprod. La bascule est répétée dans les conditions réelles (créneau horaire, ordre des scripts, équipe complète) sur la dernière copie de production. Toute anomalie reportée bloque le go-live.
3. J-1 : check-list de pré-bascule signée. Sauvegarde des bases legacy validée, points de restauration créés, équipes d'astreinte nommées et joignables, coordonnées des sponsors client documentées.
4. J0 vendredi 18h : arrêt contrôlé du legacy. Le système ancien est mis en lecture seule. La bascule effective ne démarre qu'après confirmation écrite du sponsor client.
5. J0+2h à J+24h : exécution séquencée. Chaque étape du runbook est cochée par deux opérateurs distincts. Tout écart au plan est consigné, tout retard supérieur à 30 % du temps prévu déclenche un point décision.
6. J+1 dimanche 14h : décision "go/no-go" formelle. À heure fixe, le comité de pilotage (intégrateur + client) statue par écrit sur la poursuite ou le rollback. Cette décision est juridiquement structurante.
7. J+1 dimanche 22h : ouverture progressive. Bascule des utilisateurs par vagues (administration, puis commercial, puis logistique), avec validation à chaque vague.

Un protocole de cette nature, signé et exécuté à la lettre, déplace la charge de la preuve en cas de contentieux : c'est désormais au client de démontrer que la bascule a fauté, pas à l'intégrateur de démontrer qu'il a fait correctement.

Le protocole maîtrise les risques opérationnels. Il ne couvre rien sur le plan financier. Voici la cartographie des risques résiduels et leur traitement assurantiel.

Une erreur fréquente : croire que l'option "Matériel informatique" couvre la perte d'exploitation du client. Elle ne couvre que vos propres équipements (portable, station de travail, serveur de démo). Le préjudice subi par le client relève intégralement de la RC Pro.

Le procès-verbal de bascule est la pièce maîtresse, contractuelle et assurantielle, de tout go-live. Il doit comporter quatre éléments incompressibles :

• L'identification précise du périmètre basculé (modules, sites, utilisateurs).
• La liste des tests d'acceptation passés avec leurs résultats, et la liste des anomalies résiduelles connues.
• La décision explicite du sponsor client : "accepté avec réserves", "accepté sous condition de correction sous X jours", "refusé".
• La date de début de la garantie de bonne fin et son périmètre.

Sans PV signé, l'assureur RC Pro pourra contester le fait que la bascule était terminée au moment du sinistre, et donc refuser sa garantie sur le motif que la prestation était encore en cours d'exécution avec un statut indéterminé. Pas de PV, pas de protection.

Une situation classique : à dimanche 14h, le bilan du go-live est mitigé. Trois fonctionnalités ne marchent pas, une famille d'articles n'est pas migrée, mais le système est globalement opérationnel. La pression du calendrier (le lundi matin arrive) pousse à poursuivre en "mode dégradé". Cette décision est l'une des plus risquées de toute la vie d'un projet ERP.

Pour la sécuriser juridiquement, deux conditions impératives. D'abord, la décision doit être écrite, datée et signée par le sponsor client, avec mention explicite des fonctionnalités dégradées et des modes opératoires de contournement. Ensuite, un plan de correction doit être annexé, avec des dates fermes et un budget identifié.

Sans ces deux pièces, le go-live dégradé ouvre une zone grise dans laquelle le client peut, plus tard, soutenir qu'il a été contraint d'accepter une livraison non conforme. La jurisprudence reconnaît régulièrement cet argument et déplace la responsabilité vers l'intégrateur. Avec ces pièces, vous avez en revanche un dossier solide à présenter à votre assureur RC Pro le jour où un incident survient en mode dégradé.

Une règle simple, à porter en mémoire : votre assurance doit être calibrée non pas sur votre projet moyen, mais sur le plus gros go-live que vous ferez dans les douze prochains mois. C'est ce projet-là qui peut entraîner le sinistre majeur.

Pour un intégrateur indépendant ou une structure de moins de dix personnes, un calibrage de référence est le suivant : RC Pro à 1 million d'euros par sinistre minimum, avec extension dommages immatériels non consécutifs ; garantie Cyber à 250 000 EUR minimum, avec gestion de crise incluse ; Protection juridique avec un plafond honoraires d'au moins 30 000 EUR par procédure ; option Matériel informatique selon valeur des équipements emportés en intervention.

Le prix de ce socle, chez Insurio, démarre à 14,90 EUR par mois pour les structures débutantes. C'est sans commune mesure avec le risque réel d'un seul go-live raté.