Carve-out IT : la checklist des 15 premiers jours

9h12, jour 1. J’arrive dans une entreprise fraîchement cédée par un grand groupe. L’ex-DG a laissé un mot sur un post-it. L’équipe IT interne ? Inexistante. Les prestataires sont encore ceux de la maison-mère. Il n’y a pas de contrat au nom de la nouvelle entité. Et dans 30 jours, tout doit être autonome : mails, ERP, sauvegardes, cybersécurité. Le carve-out a été signé… mais personne ne s’est demandé ce que ça signifiait concrètement pour le système d’information.

C’est le genre de situation dans laquelle j’interviens régulièrement comme DSI de transition. Car trop souvent, les carve-out IT sont les oubliés des deals financiers. On traite le juridique, le fiscal, l’immobilier. Mais l’IT ? On pense qu’un copier-coller suffit. Jusqu’au jour où le support s’arrête, les accès sont coupés, et la production est à l’arrêt.

Le carve-out IT, c’est l’un des exercices les plus complexes qu’un DSI puisse mener. Il faut à la fois couper et reconstruire. Séparer sans briser. Rendre autonome sans désorganiser. Et tout cela… vite.

Voici ce que je mets systématiquement en place dans les 15 premiers jours d’un carve-out.

La première étape : sécuriser la continuité.

Je commence toujours par identifier les dépendances vitales à la maison-mère :

– Les accès aux outils (ERP, mails, GED, fichiers partagés)

– Les flux de données (entre filiales, entre systèmes)

– Les équipes support (infra, sécurité, applicatif)

Je pose immédiatement un “plan de stabilisation” : comment maintenir ces accès pendant 30 à 60 jours ? Qui les contrôle ? Quelles sont les garanties contractuelles ? Cela permet de gagner du temps sans perdre le contrôle.

Deuxième action : cartographier l’existant.

Pas le temps de faire un schéma parfait. Je mène un audit flash du SI, orienté décision :

– Quels sont les composants critiques ?

– Qui les administre ?

– Où sont les contrats ?

– Quels sont les risques immédiats ?

Cette vision brute me permet de prioriser très vite. Par exemple, je sais si je dois lancer une nouvelle messagerie, recréer un annuaire, ou migrer un ERP.

Troisième action : reprendre la main sur les contrats.

Les licences, les prestataires, les services cloud… tout est encore au nom de l’ancien groupe. Je déclenche une opération de transfert ou de résiliation-négociation. En parallèle, je construis une base juridique propre, pour que la nouvelle entité soit souveraine. Cela passe aussi par des sujets techniques : réattribution de domaines, création d’un tenant M365 dédié, définition d’une politique de sécurité.

Quatrième action : poser une gouvernance de crise.

Je crée un comité carve-out hebdomadaire, avec 3 à 5 personnes clés (DAF, RH, production, support IT). Je mets en place un tableau de pilotage très simple :

– État des services

– Planning de bascule

– Risques critiques

Chaque semaine, on ajuste, on tranche, on arbitre. Il faut décider vite et ensemble.

Cinquième action : mettre les bases de la future autonomie.

Je définis une architecture cible minimaliste, mais viable. Objectif : une messagerie, une sauvegarde, un ERP, un réseau, un support. Je prévois aussi une équipe IT de transition, interne ou externe, pour tenir le système une fois coupé du groupe d’origine.

Dans le même temps, je prépare les migrations :

– Plan de bascule des données

– Reprise des utilisateurs

– Paramétrage des nouveaux outils

– Sécurisation des accès

Et je définis un plan de test simple pour chaque bascule.

Au bout de 15 jours, j’ai :

– Un périmètre clarifié

– Un planning validé

– Des accès critiques sécurisés

– Une gouvernance en place

– Un plan de transition outillé

Et surtout : la direction a une visibilité réaliste sur ce qui va se passer. Fini les fantasmes du “tout sera prêt dans un mois” ou du “les outils vont suivre naturellement”. On parle concret, charge, délai, coût. On fait des choix.

Dans un carve-out, la pire erreur est de croire qu’il faut tout reconstruire à l’identique. Je préfère une architecture simple, résiliente, évolutive, quitte à reconstruire plus tard. L’essentiel est de rendre l’entreprise autonome rapidement, puis de monter en qualité.

Une fois la phase de sécurisation passée, je prépare la sortie de mission : choix d’un futur DSI, formation des équipes internes, documentation de l’environnement, roadmap d’évolution.

Ce que j’ai appris en 12 ans de transition, c’est qu’un carve-out ne tolère ni imprécision, ni attente, ni illusion. Il faut voir clair, aller vite, décider bien.

Et surtout : il faut protéger l’entreprise. La protéger d’un blackout IT. La protéger des effets secondaires d’une séparation brutale. La protéger d’un redémarrage mal piloté.

Un DSI de transition n’est pas là pour faire du cosmétique.

Il est là pour garantir la survie numérique d’une entreprise en transformation.