Make or buy : jusqu'où va votre responsabilité dans le choix du prestataire ?

Au cœur du métier de conseil en externalisation se cache un malentendu redoutable. Le client, lui, l'entend ainsi : « mon conseil m'a recommandé ce prestataire, donc il en répond. » Le droit, lui, raisonne autrement : vous répondez de la qualité de votre travail de sélection, pas de la performance future d'un tiers que vous ne contrôlez pas.

Cette nuance est tout sauf théorique. Lorsqu'un prestataire recommandé se révèle défaillant — qualité de service en chute, manquements aux SLA, voire dépôt de bilan — le client cherche un responsable solvable et présent. Le prestataire est parfois insolvable ou disparu ; vous, vous êtes là. D'où l'importance vitale de tracer la frontière entre ce qui relève de votre faute de conseil et ce qui relève de la défaillance propre du prestataire.

Cette zone de responsabilité, celle de l'erreur ou de l'omission dans votre mission de sélection, est précisément le terrain de l'assurance RC Pro.

Avant même de sélectionner un prestataire, votre mission commence souvent par l'analyse make or buy : faut-il externaliser, ou conserver la fonction en interne ? C'est un arbitrage lourd de conséquences, et donc une première source de responsabilité.

Recommander d'externaliser une fonction stratégique sans avoir évalué la perte de maîtrise, la dépendance créée ou le coût complet de sortie peut constituer un manquement à votre devoir de conseil. À l'inverse, déconseiller à tort une externalisation rentable engage aussi votre crédibilité, même si le risque contentieux est moindre.

Sur cet arbitrage, votre protection tient en trois mots : analyser, chiffrer, documenter. Une étude make or buy qui présente honnêtement les coûts, les risques et les alternatives — et qui laisse au client la décision finale éclairée — est très difficile à attaquer. C'est le socle de votre dossier de défense.

Le cœur de votre exposition se situe dans la sélection du prestataire. La question que posera un juge ou un expert n'est pas « le prestataire a-t-il échoué ? » mais « le conseiller a-t-il mené une due diligence à la hauteur de ce qu'on pouvait attendre d'un professionnel ? »

Une due diligence sérieuse couvre au minimum :

• La solidité financière. Analyse des comptes, ancienneté, dépendance à un client unique, signaux de fragilité. Recommander un prestataire dont les comptes trahissaient déjà la fragilité est une faute classique.
• Les références et la capacité. Vérification de réalisations comparables, contrôle des références, adéquation de la taille du prestataire au volume du client.
• Les certifications et la conformité. Normes pertinentes selon la fonction (sécurité, qualité, protection des données), localisation des traitements.
• La continuité d'activité. Plan de reprise, redondance, dépendances critiques du prestataire lui-même.

La faute ne se mesure pas à l'échec survenu, mais à ce que vous pouviez et deviez vérifier au moment de la recommandation. Un risque invérifiable n'engage pas ; un signal ignoré, si.

Les enjeux propres à votre activité sont détaillés sur la page conseil en externalisation.

La meilleure défense contre une mise en cause n'est pas l'absence d'erreur — nul n'est infaillible — mais la traçabilité de votre méthode. Un conseiller qui peut produire sa grille d'évaluation, ses vérifications et ses réserves écrites change radicalement de position dans un litige.

Trois documents font la différence :

1. La grille d'évaluation comparative. Critères pondérés, notation des prestataires en lice, justification du classement. Elle prouve que votre recommandation reposait sur une méthode, pas sur une intuition ou un conflit d'intérêts.
2. Le rapport de due diligence. Synthèse des vérifications menées et de leurs limites. Préciser ce que vous n'avez pas pu vérifier est aussi protecteur que ce que vous avez vérifié.
3. Les réserves et alertes écrites. Si un risque subsiste et que le client choisit d'avancer, votre réserve écrite transfère la décision vers lui.

Ces pièces constituent votre dossier de défense le jour d'une action. Couplées à la RC Pro, qui finance vos frais d'avocat et d'expertise, elles transforment un contentieux potentiellement ruineux en risque maîtrisé.

Toutes les défaillances de prestataire ne se valent pas. Quand un prestataire externalisé subit une cyberattaque, perd des données du client ou expose des informations sensibles, le sinistre change de nature. Si votre mission incluait l'évaluation de la sécurité et de la conformité RGPD du prestataire, votre due diligence peut être interrogée sur ce terrain précis.

Dans ce cas, deux garanties peuvent jouer en complément : la RC Pro pour le volet faute de conseil, et une assurance cyber pour les conséquences d'un incident de sécurité touchant des données dont la chaîne d'externalisation vous rendait partie prenante. Identifier en amont quelles fonctions externalisées manipulent des données sensibles vous permet de calibrer correctement votre couverture — et d'éviter la zone grise où aucune garantie ne répond.

Le conflit d'intérêts, l'angle qui fragilise tout le dossier

Il existe une situation qui, à elle seule, peut faire basculer un litige en votre défaveur, quelle qu'ait été la qualité technique de votre due diligence : le conflit d'intérêts non déclaré. Si vous percevez une commission d'apport du prestataire que vous recommandez, si vous entretenez avec lui un partenariat commercial, ou si vous appartenez au même groupe, votre indépendance de conseil est en cause. Un client qui découvre après coup que son conseiller était rémunéré par le prestataire recommandé dispose d'un argument puissant : la recommandation n'était pas désintéressée. La transparence est ici une obligation déontologique autant qu'une protection : déclarez par écrit tout lien d'intérêt avant la recommandation, et conservez la preuve de cette information. Une grille d'évaluation impeccable ne pèsera pas lourd face à un conflit d'intérêts dissimulé. À l'inverse, un conseil dont l'indépendance est documentée renforce considérablement votre position, et celle de votre assureur, le jour d'une mise en cause.