Comment rédiger un cahier des charges d’infogérance pour un PSF ?

Lorsqu’une entreprise confie la gestion de son informatique à un prestataire externe, elle ne se décharge pas pour autant de l’ensemble de ses responsabilités.

Cette règle vaut d’autant plus pour les professionnels du secteur financier (PSF), qui restent tenus de protéger leurs données, d’assurer la continuité de leurs activités et de maîtriser les risques informatiques liés à l’externalisation.

Sociétés de conseil et d’investissement, Family Offices et domiciliataires doivent donc porter une attention particulière au choix de leur prestataire informatique, ainsi qu’au périmètre qui lui sera confié.

Quels outils pourront être administrés par un intervenant externe ? Quels droits aura-t-il sur les données de l’entreprise ? Quels seront les moyens de contrôle, les indicateurs de suivi et les garanties liées à cette prestation ? Que se passera-t-il à la fin du contrat ?

L’enjeu du cahier des charges est de répondre à ces questions. Plus qu’une liste de besoins techniques, ce document doit traduire les contraintes opérationnelles et réglementaires du PSF en exigences concrètes.

Serge Sauvage, directeur des services dédiés aux PSF au sein de Rcube Professional Services, notre filiale dédiée aux professions réglementées, partage avec vous ses conseils et éclairages dans ce nouvel article.

Qu’est-ce qu’un PSF et pourquoi son infogérance est-elle encadrée au Luxembourg ?

Défini par la loi du 5 avril 1993 relative au secteur financier, le statut de professionnel du secteur financier (PSF) est supervisé par le régulateur luxembourgeois.

Au quotidien, ces entreprises traitent des données personnelles et sensibles concernant des transactions financières, des investissements et l’identité de leurs clients.

Dans ce contexte, une fuite, une compromission des données hébergées par un PSF ou une indisponibilité du système d’information peut avoir des conséquences importantes sur leurs activités personnelles et professionnelles.

Face à ces risques, le législateur luxembourgeois a imposé aux PSF des exigences strictes en matière de sécurité, de gestion des risques informatiques et de continuité d’activité. Depuis janvier 2025, le règlement européen DORA a encore renforcé ce cadre, notamment concernant la prévention, la déclaration des incidents et le contrôle des prestataires technologiques dans ce secteur d’activité.

Au Luxembourg, le statut de PSF de support désigne les prestataires agréés et contrôlés par le régulateur luxembourgeois, notamment pour la gestion des infrastructures et des réseaux.

Un gage de qualité, comme nous l’explique Serge Sauvage : « Si l’agrément PSF de support n’est pas obligatoire pour tous les professionnels du secteur financier, il apporte des garanties supplémentaires lorsqu’ils externalisent leur gestion informatique. C’est le cas de Rcube Professional Services. Notre organisation, nos procédures et notre gestion des risques sont contrôlées afin de répondre aux exigences propres du secteur financier ».

La rigueur du cadre réglementaire et l’enjeu de la confidentialité des données rendent l’exercice du cahier des charges particulièrement délicat pour les PSF.

C’est pour cela que Rcube accompagne les professions réglementées dans la traduction de ces exigences en critères opérationnels et dans la construction de leur projet d’infogérance.

Comment préparer la rédaction d’un cahier des charges pour un PSF ?

Plutôt que de lister les prestations attendues, le cahier des charges doit présenter au futur prestataire le fonctionnement et les usages de l’entreprise.

La méthode proposée par notre expert Serge Sauvage consiste donc en trois étapes : identifier les besoins métier et les usages, analyser les risques auxquels l’activité est exposée et, enfin, définir les besoins techniques et les niveaux de service attendus.

Décrire le métier et l’organisation de la société PSF

Pour proposer un service réellement adapté aux besoins du PSF, le prestataire doit comprendre sa structure et ses besoins.

Ce n’est pas un détail organisationnel, comme nous l’explique Serge Sauvage : « Un cahier des charges sert à exprimer le fonctionnement de l’entreprise et son domaine d’activité. Cela a une grande influence sur les choix informatiques et l’organisation interne ».

On peut citer l’exemple des sociétés actives dans plusieurs pays ou organisées en filiales. La direction et les équipes techniques internes peuvent être réparties entre différentes entités. Une partie du système d’information global de l’entreprise peut avoir été confiée à d’autres prestataires.

Ce type d’information permet à un PSF de support comme Rcube de comprendre sa place dans l’organisation du PSF et de proposer un accompagnement adapté et conforme à ses contraintes.

Analyser les risques et les besoins métiers

En cas d’incident informatique majeur, les interruptions de services n’auront pas toutes le même impact pour l’activité de l’entreprise. L’impossibilité d’accéder aux contrats, à l’historique des échanges avec vos clients ou aux outils de suivi des opérations peut rapidement perturber, voire interrompre, les services d’un PSF.

Il faudra donc examiner chaque activité et se poser une question simple : « De quoi puis-je me passer et pendant combien de temps ? »

Cette logique de gestion des risques permet ensuite de prioriser les actions à mener et de préciser le contour du périmètre confié au prestataire informatique.

Une fois cette hiérarchie des risques et des besoins établie, le PSF peut plus facilement identifier les données, applications et infrastructures à externaliser, ainsi que les niveaux de service attendus. « Nommer un besoin est une chose. Il faut aussi nommer le résultat attendu et la manière de mesurer ce résultat », explique Serge Sauvage.

Ces engagements sont formalisés dans des accords de niveau de service, ou SLA. Ils précisent les résultats attendus du prestataire, les indicateurs utilisés pour les mesurer et les modalités de suivi.

Que doit contenir un cahier des charges d’infogérance pour un PSF ?

Une fois les besoins établis, le cahier des charges peut être rédigé afin d’organiser la future relation entre le PSF, son prestataire informatique et les éventuelles autres parties prenantes impliquées dans la gestion du système d’information.

1. Définir le périmètre et répartir les responsabilités

Le PSF peut confier l’ensemble de la gestion de son système d’information à un prestataire principal ou répartir la mission entre plusieurs spécialistes. Ce découpage répond à un choix d’organisation et de maîtrise des risques. Il permet notamment de mobiliser des expertises complémentaires ou de confier le contrôle de certains services à un autre acteur.

« On voit souvent des découpages en lots dans les cahiers des charges. Ils ne sont pas forcément destinés à tout ramener au même prestataire. C’est parfois une manière d’identifier différents niveaux d’expertise », explique Serge Sauvage.

En effet, chaque prestataire intervient dans son propre domaine d’expertise. « Chez Rcube, par exemple, nous ne nous occupons pas des applications métiers, mais de l’infrastructure. La distinction est importante », précise Serge Sauvage.

2. Définir les niveaux de service et les indicateurs de suivi

Chaque service confié au prestataire doit être associé à un résultat attendu et à un moyen de le contrôler. Le cahier des charges précise ainsi les niveaux de disponibilité, les délais de prise en charge, les conditions de restauration et les modalités de traitement des demandes.

« Nommer un besoin n’est qu’une partie du travail. Il faut aussi préciser le résultat attendu et la manière de le mesurer », souligne Serge Sauvage.

En matière de continuité, deux indicateurs permettent de fixer ces attentes : le RTO (Recovery Time Objective) et le RPO (Recovery Point Objective), dont Serge Sauvage résume le rôle : « Le RTO répond à la question : combien de temps puis-je rester sans service ? Le RPO revient à se demander : quelle quantité de données puis-je perdre sans mettre en péril le redémarrage de mon activité ? Il s’exprime en heures et représente la quantité de données irrécupérables. Ce sont deux critères essentiels pour choisir une prestation de maintenance informatique ».

Ces engagements sont formalisés dans des SLA (Service Level Agreements), ou accords de niveau de service.

3. Organiser la traçabilité et le suivi de la gouvernance

Soumis à des obligations réglementaires strictes, le PSF doit avoir une visibilité et une traçabilité sur les actions de son prestataire. « Il y a les deux facettes. La partie reporting porte sur le résultat attendu, tandis que la gouvernance assure un suivi de la qualité de service et des obligations au sens large », explique Serge Sauvage.

Le cahier des charges doit donc aborder les KPI, ou indicateurs clés de performance, qui permettront d’évaluer le service à partir de données objectives, d’identifier les écarts de conformité et de disposer d’une traçabilité suffisante en cas d’audit ou de contrôle du régulateur luxembourgeois.

Serge Sauvage considère que « spontanément, le prestataire doit fournir à son client le moyen de vérifier que le travail est réalisé conformément au cahier des charges ».

4. Encadrer les sous-traitants et la localisation des données

Le PSF reste responsable de ses données et de son système d’information, même lorsqu’il en confie la gestion à un prestataire. « Toute entité qui fait partie du secteur financier se porte garante du respect, en tout temps et en tout lieu, de l’ensemble des réglementations qui s’imposent à elle. La direction générale garde la responsabilité. On ne peut pas transmettre à un tiers la responsabilité finale », rappelle Serge Sauvage.

Cette obligation suppose de formaliser et de documenter toute la chaîne de sous-traitance. En tant que PSF de support expérimenté, Rcube accompagne ses clients dans cette démarche. « Nous gérons la sous-traitance, donc nous sommes les garants de toute cette chaîne. On leur prémâche le travail, en quelque sorte. Il leur reste quand même l’obligation de nous contrôler ».

Cette transparence s’étend aux données. Le cahier des charges doit préciser où elles sont hébergées, comment elles circulent et qui peut y accéder. « Où se trouve ma donnée ? La souveraineté et la capacité à prouver qu’elle ne quitte pas un certain territoire revêt une importance primordiale pour un PSF », rappelle Serge Sauvage.

5. Prévoir la fin du contrat et les conditions de réversibilité

La réversibilité est essentielle pour permettre au PSF de changer de prestataire sans impacter son activité. « La sortie du contrat est souvent un élément un peu oublié. Quel que soit le mandat donné au prestataire, le PSF doit avoir la garantie de pouvoir arrêter la prestation s’il le souhaite, sans risquer de blocage ou de perte de donnée.», observe Serge Sauvage.

Cela suppose de pouvoir transférer les données et déployer un nouveau service sans compromettre la continuité de l’activité ni perturber les opérations quotidiennes. Rcube recommande de considérer les conditions techniques, financières et calendaires de cette fin de contrat avec attention.

Rcube accompagne les professionnels du secteur financier dans la gestion de leurs infrastructures et réseaux

Les PSF évoluent dans un contexte réglementaire de plus en plus strict, influencé par la montée des cyberattaques. Dans ce contexte, le choix d’un prestataire informatique dépasse les aspects techniques. « Les clients ne cherchent pas qu’un service ou des espaces de stockage dans un datacenter. Ils recherchent des humains qui pourront les accompagner au quotidien », conclut Serge Sauvage.

Filiale du groupe Rcarré et PSF de support depuis 2014, Rcube associe expertise technique à une connaissance des exigences de sécurité, de reporting et de gouvernance du secteur financier.

Vous préparez un appel d’offres ou un projet d’infogérance pour un PSF ? Contactez-nous dès aujourd’hui.