L'Apec a interrogé par téléphone 1 150 entreprises de dix salariés et plus, du 13 janvier au 12 février 2026, toutes ayant recruté au moins un cadre en 2025 : 50 % déclarent avoir rencontré des difficultés de recrutement, en recul de cinq points par rapport à 2024. Nous ouvrons sur ce chiffre parce qu'il joue contre nous. Recruter un cadre est moins difficile aujourd'hui qu'il y a trois ans (l'enquête porte sur tous les recrutements de cadres et non sur les seuls profils techniques, et elle ne dit pas que c'est devenu facile partout) et le premier argument de vente de la direction technique externe, « vous n'arriverez pas à recruter », s'affaiblit à mesure que le marché se détend.
Ce qui reste, c'est le délai de recrutement. Le même organisme mesurait douze semaines en moyenne pour trouver un candidat cadre, chiffre publié en mai 2024 que l'édition 2026 ne reconduit pas ; nous le citons comme un ordre de grandeur daté, pas comme une mesure actuelle. S'y ajoute un préavis. Entre la décision de recruter et le premier jour utile, plusieurs mois peuvent s'écouler ; c'est le seul délai que le modèle externe supprime vraiment.
Cet article dit à quelles conditions une direction technique externe produit des décisions, à partir de quel volume elle coûte plus cher qu'un salarié, et ce qu'elle ne peut pas porter à votre place. Nous vendons cette prestation, et nous la refusons parfois.
Le calcul, avec ses hypothèses
Nous partons d'une direction informatique en Île-de-France à 77 000 € de fixe et 7 000 € de variable. C'est notre hypothèse de travail et non une statistique publique : nous n'avons pas pu la rattacher à une famille de métiers et à un niveau d'expérience précis du baromètre de l'Apec, donc nous ne la lui attribuons pas. Sur 84 000 € brut, la reconstitution poste par poste des charges patronales à partir des taux 2026 de l'Urssaf aboutit à 41,4 % (un taux qui dépend du niveau de rémunération et de la situation de l'employeur, à refaire au simulateur de l'Urssaf pour votre cas), soit un coût employeur d'environ 119 000 € par an, et environ 188 000 € pour un profil très senior à 133 000 € brut. Rapporté à 217 jours travaillés pour une année comme 2026 (365 moins les week-ends, neuf fériés en semaine, vingt-cinq jours de congés et une dizaine de RTT, chiffre qui bouge avec le calendrier et les accords applicables), cela représente environ 550 € par jour, ou 870 € pour le profil senior. Le calcul laisse de côté le matériel, la formation, les avantages et les frais de recrutement : il sous-estime donc le coût du salarié.
| Taux journalier externe | Volume atteignant le coût d'un salarié médian | Par semaine |
|---|---|---|
| 800 € | 149 jours/an | ~3,4 jours |
| 1 000 € | 119 jours/an | ~2,7 jours |
| 1 200 € | 99 jours/an | ~2,3 jours |
| 1 400 € | 85 jours/an | ~2,0 jours |
Le taux journalier d'un directeur technique externe n'a, à notre connaissance, aucune mesure publique opposable : les fourchettes qui circulent viennent de places de marché ou de cabinets qui vendent la prestation. Nous retenons 1 000 à 1 200 € comme hypothèse assumée de positionnement. À ce tarif, le modèle externe cesse d'être moins cher au-delà d'environ deux jours et demi par semaine face à un profil médian (2,3 jours à 1 200 €, 2,7 à 1 000 €) et de trois jours et demi à quatre jours et demi face à un très senior. La conversion hebdomadaire suppose une année de 43,4 semaines travaillées ; elle compare des ordres de grandeur, elle ne fixe pas un seuil économique universel. Ce sont nos hypothèses ; refaites le calcul avec les vôtres.
Deux corrections que personne n'écrit. La TVA est neutre pour un client assujetti, mais c'est un coût réel pour qui ne la récupère pas : le seuil descend à environ deux jours par semaine. Et c'est un seuil de régime permanent : le salaire court douze mois quand la charge est nulle, la prestation s'arrête avec elle, si bien qu'une mission de six mois pleins à trois jours par semaine peut rester moins chère sur l'année qu'un recrutement.
Le modèle achète du délai, pas du prix
Sous le seuil, l'économie est réelle, mais elle n'est pas le meilleur argument. Ce que le modèle achète, c'est un démarrage en quelques semaines, l'absence d'honoraires de recrutement et l'absence d'erreur de casting à porter douze mois.
Deux arguments de la profession méritent d'être démontés, et le second est le nôtre. « Expérience diversifiée » n'est pas falsifiable : personne ne peut vérifier que des schémas venus d'autres secteurs s'appliquent chez vous. Ce qui ne se transfère pas, en revanche, se nomme : l'historique des décisions de votre organisation, ses rapports de force, les spécificités d'un secteur régulé. « Objectivité, pas de politique interne » est plus grave, parce que c'est faux : l'externe échange un biais contre un autre. Il n'a pas d'attachement aux décisions passées, il a un intérêt économique à la prolongation de sa mission ; et quand le même cabinet vend la stratégie et la réalisation, ce qui est notre cas, il a un intérêt direct à recommander du travail qu'il facturera ensuite. Le seul garde-fou qui fonctionne est de faire arbitrer les décisions structurantes par quelqu'un qui ne les exécutera pas.
Ce qui ne se délègue pas
Un directeur technique externe peut trancher une architecture, arbitrer un build or buy et qualifier un risque. Mais à raison d'un jour par semaine, il ne peut pas assurer un management hiérarchique continu, transmettre une culture d'ingénierie au fil du travail quotidien ni partager la charge d'une astreinte. Sans autorité écrite (un rattachement, un périmètre d'arbitrage, une place au comité de direction), il n'est pas un dirigeant technique, mais un consultant qu'on écoute quand cela arrange.
La responsabilité ne s'externalise pas dans les textes en vigueur. Au 26 octobre 2026, NIS2 n'est pas applicable en droit français : le projet de loi dit « Résilience », qui la transpose avec DORA et REC, a été adopté par le Sénat le 12 mars 2025, puis déprogrammé de l'ordre du jour de l'Assemblée nationale, où il devait être examiné le 7 octobre 2026, sans nouvelle date à ce jour. La directive devait être transposée avant le 17 octobre 2024 ; la Commission européenne a renvoyé la France devant la Cour de justice de l'Union le 8 juillet 2026, avec l'Irlande, l'Espagne et les Pays-Bas, en demandant une somme forfaitaire et une astreinte journalière. C'est le seul paragraphe de cet article qui peut changer d'une semaine à l'autre : vérifiez-le à la date où vous le lisez. L'ANSSI, autorité compétente désignée, ne publie aucune date d'entrée en vigueur des obligations ; elle met en revanche à disposition depuis le 17 mars 2026 le Référentiel Cyber France, non obligatoire par défaut, qu'une entité peut opposer lors d'un contrôle. Une entreprise ne peut donc pas savoir aujourd'hui si elle sera entité essentielle ou importante, ni à quelle date, ni sur quel référentiel elle sera contrôlée. Décider d'agir quand même, et décider quoi faire, est exactement une décision de direction technique.
Les trois autres textes sont plus avancés, et deux désignent explicitement le sommet. DORA s'applique intégralement depuis le 17 janvier 2025 aux entités financières, et son article 5 place la responsabilité ultime du risque informatique sur l'organe de direction, sans délégation possible aux services techniques. Le Cyber Resilience Act impose depuis le 11 septembre 2026 une alerte sous 24 heures pour toute vulnérabilité activement exploitée, et le reste est fixé au 11 décembre 2027 ; le responsable y est le fabricant, c'est-à-dire celui qui met le produit sur le marché sous son nom : dans une relation de sous-traitance, c'est généralement le client et non le prestataire, mais la qualification (fabricant, importateur, distributeur) se vérifie au cas par cas avant d'en déduire qui porte l'obligation. Quant à l'IA Act, sa transparence s'applique depuis le 2 août 2026, mais les obligations sur les systèmes à haut risque de l'annexe III ont été reportées au 2 décembre 2027 par le règlement (UE) 2026/1744, et celles des systèmes embarqués dans les produits réglementés de l'annexe I au 2 août 2028 : écrire qu'elles s'appliquent aujourd'hui serait faux.
Les artefacts à exiger à 30, 90 et 180 jours
Une mission de direction technique se juge sur des artefacts, pas sur des ateliers. Voici ce qu'un dirigeant devrait pouvoir réclamer, et ce sur quoi une mission peut être déclarée ratée.
À trente jours, rien qui suppose d'avoir changé quoi que ce soit : la cartographie de ce qui tourne, où, sous quel compte et payé par qui ; un registre des risques où chacun porte un impact en euros ou en jours d'arrêt ; l'inventaire des dépendances fournisseurs avec un délai de sortie estimé ; la facture cloud décomposée par service ; la liste nominative des personnes dont le départ bloquerait un système.
À quatre-vingt-dix jours : un registre de décisions ouvert, où les options écartées sont écrites ; pour chaque système critique, une procédure de reprise par un tiers, testée au moins une fois, qui est le cœur d'un plan de réversibilité ; une restauration de sauvegarde effectuée et datée, pas « configurée » ; le plan de charge confronté au plan produit ; et le périmètre de conformité qualifié texte par texte, concerné ou non, sur quel critère.
À cent quatre-vingts jours : un budget technique défendable ligne par ligne, deux ou trois chantiers de dette nommés avec le coût de l'inaction, la fiche du poste que le client doit désormais tenir en interne, et un rapport de sortie disant ce qui reste dépendant du prestataire.
Sur la mesure, deux familles à ne pas confondre. Sont honnêtes le délai entre « c'est décidé » et « c'est en ligne », le taux d'échec des changements, le délai de rétablissement, le coût d'infrastructure par utilisateur et la rotation de l'équipe. Est du théâtre la fréquence de déploiement prise seule, dont le rapport DORA 2025 documente qu'elle monte avec l'instabilité sous assistance par IA ; comme le sont les points de story, la couverture de tests érigée en objectif, et un score de maturité calculé par le prestataire sur un référentiel qu'il a écrit lui-même.
Ce que nous refusons
Ce qui ne marche pas : une mission de direction technique sans mandat écrit, qui produit des recommandations que personne n'est tenu d'appliquer. Ce qui marche est ennuyeux : un périmètre d'arbitrage, un créneau au comité de direction, un registre de décisions tenu chez le client et non chez nous.
Un mot sur la cible, que la profession décrit mal : l'Insee dénombrait en 2023, sur données publiées le 10 décembre 2025, 7 031 ETI en France contre 163 992 PME hors microentreprises. Les chiffres sont de l'Insee, la conclusion est la nôtre : les ETI ont presque toutes une direction des systèmes d'information et achètent du management de transition, si bien que le marché réel de ce modèle, ce sont les PME.
Le périmètre technique compte aussi : décider s'il faut une plateforme, et ce qu'elle réclamera chaque semaine, relève de la même conversation que ce qu'un cluster demande la semaine d'après la mise en production. Nous disons non quand l'équipe compte moins de trois développeurs, parce qu'il n'y a pas encore de décisions à arbitrer ; quand un profil interne est en train de monter, parce que le mandat lui revient ; quand le besoin réel est un recrutement et pas un conseil ; quand le client cherche une signature pour couvrir une décision déjà prise. Nous ne prétendons pas que ce modèle remplace une direction technique interne : au-dessus du seuil calculé plus haut, le bon conseil est de recruter, et nous le donnons en sachant ce qu'il nous coûte.
Ce qu'il faut demander à un candidat, externe ou salarié, ne tient donc pas à son parcours. Plutôt : « montrez-moi, sur votre dernière mission, la liste des décisions que vous avez consignées, et celles que vous avez revisitées. » Une direction technique se juge aux décisions qui tiennent encore des années après avoir été prises, et cela ne se vérifie que par écrit.
Sources
- Apec, Pratiques de recrutement de cadres 2026 (1 150 entreprises, enquête du 13 janvier au 12 février 2026), Les rémunérations des cadres dans 111 familles de métiers — édition 2025 (consulté pour cadrer l'ordre de grandeur, sans que le profil retenu ici lui soit attribué), et le communiqué de mai 2024 sur les délais de recrutement
- Insee, Les entreprises en France, Insee Focus n° 372, 10 décembre 2025, données 2023
- Assemblée nationale, dossier législatif du projet de loi sur la résilience des infrastructures critiques et le renforcement de la cybersécurité, ANSSI, La directive NIS 2, et Commission européenne, Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity, 8 juillet 2026
- Règlements européens : DORA (UE) 2022/2554, Cyber Resilience Act (UE) 2024/2847 et IA Act (UE) 2024/1689
- Urssaf, taux de cotisations du secteur privé, taux applicables en 2026, et le simulateur de coût d'embauche
- DORA, State of AI-assisted Software Development, 2025 ; enquête déclarative publiée par Google Cloud, à lire avec cette réserve