Dans les contrats de Tierce Maintenance Applicative (TMA), d'infogérance cloud, d'intégration logicielle ou de projets au forfait, les clients exigent quasi-systématiquement la signature d'un SLA (Service Level Agreement) ou d'une Convention de Niveau de Service (CNS).
Le SLA traduit les attentes fonctionnelles du client en indicateurs de performance chiffrés et opposables : temps de réponse du support, délais de correction des anomalies bloquantes, taux de disponibilité des serveurs.
S'il est mal cadré ou trop ambitieux par rapport aux moyens alloués, le SLA se transforme en un piège financier redoutable où les pénalités de retard viennent anéantir la marge brute de l'ESN.
Voici le guide pour structurer vos SLA, calibrer les seuils d'intervention (GTI / GTR) et négocier des clauses de pénalités équilibrées.
1. Les indicateurs fondamentaux d'un SLA informatique
Un SLA professionnel articule trois métriques clés selon la criticité de l'incident :
┌────────────────────────────────────────────────────────────────────────────┐
│ LES 3 PILIERS D'UN SLA INFORMATIQUE │
├────────────────────────────────────────────────────────────────────────────┤
│ 1. GTI (Garantie de Temps d'Intervention) │
│ Délai écoulé entre la création du ticket par le client et la première │
│ action concrète d'un ingénieur de support qualifié. │
├────────────────────────────────────────────────────────────────────────────┤
│ 2. GTR (Garantie de Temps de Rétablissement) │
│ Délai maximal pour restaurer le service opérationnel (solution de │
│ contournement ou correctif définitif déployé en production). │
├────────────────────────────────────────────────────────────────────────────┤
│ 3. DISPONIBILITÉ GLOBALE DU SERVICE (SaaS / Cloud) │
│ Pourcentage de temps où la plateforme est opérationnelle sur le mois │
│ (ex : 99,5 % = tolérance de 3h39 d'arrêt non planifié par mois). │
└────────────────────────────────────────────────────────────────────────────┘
2. Grille standard de criticité et d'engagements (Benchmark ESN)
| Niveau d'incident | Définition fonctionnelle | GTI type (Heures ouvrées) | GTR type (Heures ouvrées) |
|---|---|---|---|
| Bloquant (P1 / Critique) | Arrêt total de production, impossibilité de facturer ou faille de sécurité majeure. | < 1 heure (24/7 pour astreintes) | < 4 heures (contournement) |
| Majeur (P2 / Important) | Fonctionnalité essentielle dégradée mais sans arrêt complet (alternative possible). | < 4 heures | < 24 heures (1 jour ouvré) |
| Mineur (P3 / Secondaire) | Bug cosmétique, anomalie d'affichage ou demande d'évolution mineure. | < 8 heures (1 jour) | Prochaine release / sprint |
3. Le calcul des pénalités contractuelles et plafonds indispensables
Lorsque l'ESN ne respecte pas les délais de GTI ou GTR convenus sans justification valable, le contrat prévoit l'application de pénalités financières :
Exemple de formule de pénalité :
$$\text{Pénalité par heure de retard} = \frac{\text{Redevance mensuelle de maintenance}}{100} \times \text{Taux de pénalité (ex : 2 %)}$$
Les 4 garde-fous indispensables à négocier dans le contrat :
- Le Plafond Global des Pénalités (Cap) : Fixer expressément que le cumul des pénalités ne pourra excéder 5 % à 10 % du montant de la facture mensuelle (ou 10 % à 15 % du montant global du projet).
- Le caractère libératoire des pénalités : Préciser que le paiement des pénalités constitue la réparation forfaitaire et exclusive du préjudice subi par le client (exclusion de dommages-intérêts complémentaires).
- La franchise trimestrielle : Exclure les pénalités sur les 2 premiers incidents mineurs constatés par trimestre.
- Les fenêtres de maintenance planifiée : Exclure du calcul du taux de disponibilité les plages d'intervention annoncées au moins 48 heures à l'avance (ex: le dimanche matin).
4. Les clauses d'exclusion de responsabilité (Cas d'exonération)
L'ESN doit lister expressément les cas où les SLA sont suspendus :
- Défaut de collaboration du client : Retard du client à fournir les logs d'erreur, les accès VPN ou la confirmation de reproduction du bug.
- Défaillance d'un tiers : Coupure réseau de l'opérateur télécoms, panne matérielle de l'hébergeur public (AWS/Azure/OVH) ou bug d'un logiciel tiers non édité par l'ESN.
- Modification non autorisée : Altération du code source ou de la base de données par les équipes du client sans accord écrit.
- Force majeure : Cyberattaque d'ampleur exceptionnelle (Zero-Day non patchable) ou sinistre physique.
