Infogérance PME : choisir un prestataire et cadrer le contrat

Vous cherchez un appui informatique, mais les offres d’infogérance ne couvrent pas toutes les mêmes besoins. L’une peut inclure l’assistance aux salariés et la gestion des postes, une autre l’hébergement, les sauvegardes ou la surveillance de sécurité. Comparer les montants sans comparer ces tâches expose à des frais imprévus et à des zones grises lorsque le service tombe en panne.

Avant de signer, partez des outils dont dépend votre activité et des conséquences concrètes d’une interruption. Il devient alors plus simple de choisir entre une intervention ponctuelle, une assistance récurrente ou une prise en charge plus large, puis de vérifier que le contrat prévoit les accès, les sauvegardes, les incidents et la sortie.

Quel périmètre votre PME veut-elle réellement confier ?

Le terme « infogérance » désigne la prise en charge contractuelle, par un prestataire extérieur, d’une partie ou de la totalité des ressources informatiques d’une entreprise, selon le CyberDico de l’ANSSI. En pratique, cette définition large ne dit pas ce qui sera fait au quotidien. Le contrat et ses annexes doivent donc traduire le besoin en tâches identifiables.

Commencez par dresser la liste des services et équipements utilisés : postes de travail, messagerie, réseau, logiciels métiers, téléphonie, serveurs ou services hébergés. Pour chaque élément, indiquez qui l’administre, qui traite les demandes, qui installe les mises à jour et qui intervient en cas de panne. Vous pouvez aussi inscrire ce qui reste explicitement hors périmètre, comme le support d’un logiciel métier fourni par un éditeur.

L’ANSSI souligne que l’externalisation peut entraîner une perte de maîtrise du système d’information, des risques liés aux interventions à distance ou à l’hébergement mutualisé. Son guide sur l’externalisation et la sécurité des systèmes d’information invite à évaluer les risques et à fixer des exigences adaptées au contexte. Pour vous, cela signifie notamment demander qui détient les comptes d’administration, comment les accès sont protégés et quelles opérations le prestataire peut réaliser sans votre accord.

Quels critères permettent de comparer les options ?

Comparez les prestations selon leur périmètre et leur mode d’intervention plutôt que sur un intitulé commercial. Une assistance ponctuelle convient à une demande définie, mais ne garantit pas une surveillance régulière. Une prestation récurrente peut inclure le suivi des équipements ou la gestion des incidents, tandis qu’une prise en charge étendue peut englober des services hébergés ou des mesures de sécurité. Dans chaque cas, vérifiez les tâches réellement incluses, les limites et les éventuels frais distincts.

Pour comparer des propositions, construisez une grille simple :

• Équipements et services couverts : nommez les matériels, applications et sites concernés.
• Horaires et canal de contact : précisez quand et comment déclarer une demande urgente ou ordinaire.
• Niveaux de priorité : définissez les critères qui distinguent une interruption critique d’une demande de confort.
• Interventions : indiquez celles qui sont incluses, celles qui exigent votre accord et celles facturées séparément.
• Sécurité : demandez comment sont gérés les comptes individuels, l’authentification, les journaux d’accès et les mises à jour.
• Dépendances : identifiez les autres prestataires, éditeurs et services d’hébergement nécessaires au fonctionnement.

Le prix ne se compare qu’à périmètre, horaires et responsabilités suffisamment proches. Demandez aussi quelles hypothèses sont retenues : nombre de postes couverts, sites, utilisateurs, modalités d’intervention sur place et niveau de service. Ce sont des paramètres à faire chiffrer dans chaque offre, pas des standards universels.

Quels engagements inscrire pour les délais et les sauvegardes ?

Une formule comme « assistance rapide » ne permet pas de vérifier le service rendu. Faites distinguer le délai de prise en compte d’une demande du délai de rétablissement. Le premier correspond au temps avant qu’un interlocuteur traite le signalement ; le second concerne la reprise du service. Ils peuvent varier selon la gravité, les horaires contractuels et la dépendance à un éditeur ou à un opérateur.

Les valeurs ci-dessous sont des exemples illustratifs de clauses à négocier, pas des références de marché ni des recommandations universelles : prise en compte d’une panne bloquante en 2 heures ouvrées ; rétablissement visé en 8 heures ouvrées ; sauvegarde quotidienne des données prioritaires ; conservation des copies pendant 30 jours ; perte maximale de données visée de 24 heures ; exercice de restauration deux fois par an. Remplacez ces repères par des objectifs cohérents avec votre activité, puis faites préciser les conditions de mesure, les exclusions et les comptes rendus attendus.

Pour les sauvegardes, demandez ce qui est copié, où se trouvent les copies, qui peut les effacer et comment la restauration est testée. Distinguez le délai de reprise du délai de restauration des données : remettre une application en service ne garantit pas que les données récentes soient récupérées. Le contrat peut prévoir un procès-verbal de test précisant les éléments restaurés, les écarts constatés et les corrections à mener.

La sécurité suppose aussi une procédure d’incident praticable. Qui reçoit l’alerte en dehors des horaires habituels ? Qui décide de couper un accès compromis ? Qui informe la direction et, si nécessaire, le responsable de traitement ? Pour installer de bons réflexes côté salariés, reliez les procédures techniques à la sensibilisation aux réflexes de cybersécurité. La prévention ne remplace pas la réponse contractuelle, mais réduit les zones d’incertitude au moment d’agir.

Comment encadrer les données et les responsabilités ?

Si le prestataire traite des données personnelles pour votre compte, il peut être sous-traitant au sens du RGPD. L’article 28 prévoit un contrat qui définit notamment l’objet et la durée du traitement, sa nature et sa finalité, les types de données et les obligations des parties. Consultez le texte de l’article 28 du RGPD publié par la CNIL et vérifiez que les clauses sont adaptées à vos traitements réels.

Précisez les instructions que le prestataire peut suivre, les mesures de sécurité attendues, les conditions d’un recours à d’autres sous-traitants et l’assistance prévue en cas de demande d’une personne ou d’incident. La CNIL recommande également de prévoir les modalités de restitution ou de destruction des données à la fin de la prestation et des moyens de vérifier les garanties de sécurité. Son guide pratique sur la gestion de la sous-traitance fournit des points à examiner, dont la gestion des habilitations, la traçabilité des accès et les règles de notification des incidents.

Faites ensuite distinguer les responsabilités opérationnelles. Le prestataire peut administrer des systèmes, mais votre entreprise garde des décisions à prendre, notamment sur les priorités métier, les autorisations d’accès et les suites à donner à un incident concernant des données personnelles. Le contrat doit nommer les interlocuteurs et fixer les informations à transmettre, sans laisser entendre qu’une prestation d’infogérance transfère automatiquement toutes les obligations de l’entreprise.

Comment préparer la mise en service et la sortie ?

Avant le démarrage, établissez un état des lieux partagé : inventaire des équipements, services utilisés, comptes administrateurs, sauvegardes existantes, dépendances et incidents connus. Faites valider les accès accordés au prestataire et prévoyez leur révocation quand ils ne sont plus nécessaires. Un compte nominatif par intervenant et une journalisation des opérations facilitent le suivi des actions et la recherche des causes en cas de problème.

Demandez un plan de transition avec les tâches, les responsables et les éléments à remettre. La documentation devrait permettre à une autre personne compétente de retrouver les configurations importantes, les procédures de restauration et les contacts utiles. Si le service dépend d’un hébergeur ou d’un éditeur, identifiez qui détient les contrats et les accès associés, et comment ils seront transférés.

La réversibilité désigne l’organisation du retour à une gestion interne ou du passage à un autre prestataire. Faites écrire les formats de restitution, les délais, l’assistance de transition, les coûts éventuellement applicables et la procédure de suppression des données après transfert. Prévoyez aussi comment vérifier que les sauvegardes, les comptes et les informations nécessaires sont effectivement accessibles. Une clause qui promet seulement une restitution sans préciser les formats, les modalités et les responsabilités reste difficile à mettre en œuvre.

Comment vérifier le service après signature ?

Fixez un point de suivi à une fréquence adaptée à votre activité et demandez un relevé des incidents, délais de prise en charge, opérations de maintenance, tests de restauration et actions en attente. Ces indicateurs servent à vérifier les engagements convenus ; ils ne prouvent pas, à eux seuls, qu’un système est sécurisé ou disponible en toutes circonstances.

Comparez les résultats aux définitions contractuelles : une demande déclarée hors horaires ne se mesure pas forcément comme une panne bloquante reçue pendant la plage de service. Lorsqu’un indicateur est contesté, demandez les éléments de traçabilité et la méthode de calcul utilisée. Si les incidents se répètent, convenez d’un plan correctif avec un responsable et une échéance.

Enfin, vérifiez périodiquement que le périmètre correspond toujours à la réalité : nouveaux salariés, sites supplémentaires, logiciel remplacé ou données plus sensibles. Faites modifier les annexes si les responsabilités ou les accès ont changé. Une infogérance utile repose sur des tâches vérifiables, des limites comprises par chacun et une sortie préparée avant qu’elle devienne urgente. Vous pouvez retrouver d’autres sujets de gestion dans la rubrique Business.

Questions fréquentes

Une petite entreprise peut-elle garder une partie de l’informatique en interne ?

Oui. L’infogérance peut ne couvrir qu’un périmètre limité : par exemple, la maintenance des postes ou l’administration d’un service précis. Vous pouvez conserver en interne la validation des accès, le choix des outils ou la relation avec les éditeurs. Le contrat doit alors désigner clairement qui fait quoi, à qui remonter un incident et qui peut autoriser une opération sensible.

Comment vérifier que les sauvegardes permettront vraiment de reprendre l’activité ?

Demandez quelles données sont copiées, à quelle fréquence, où les copies sont conservées et qui peut les modifier ou les supprimer. Faites préciser la durée de conservation et le délai visé pour restaurer les données. Une sauvegarde n’est probante que si une restauration est testée et documentée. Convenez de la fréquence de ces essais et de la personne qui reçoit leur compte rendu.

Qui doit notifier une violation de données personnelles ?

Le prestataire doit vous avertir rapidement s’il découvre une violation touchant les données traitées pour votre compte, selon les modalités prévues au contrat. La responsabilité du traitement ne disparaît pas pour autant : l’entreprise doit évaluer la situation et décider des démarches qui lui incombent. Prévoyez un contact joignable, les informations à transmettre et une procédure d’escalade.

Que faut-il récupérer à la fin d’un contrat d’infogérance ?

Prévoyez la restitution des données dans un format exploitable, les configurations, la documentation, les comptes administrateurs et les journaux nécessaires à la continuité. Le contrat doit aussi définir l’assistance à la transition, les délais, les coûts éventuels et la suppression des copies résiduelles. Organisez une vérification des accès et des preuves de restitution avant de clôturer la prestation.