Externaliser l’exploitation informatique ne signifie pas abandonner les décisions. L’ANSSI le rappelle : un prestataire peut être souhaitable lorsque les compétences internes manquent, mais l’infogérance reste une zone de risque à part entière. Perte de contrôle, interventions à distance, hébergement partagé : sans cadre, le prestataire arbitre à votre place. C’est particulièrement vrai pour un service informatique pour PME, où chaque choix engage la sécurité, la continuité et le budget.
Cet article propose un format simple : une revue trimestrielle à date fixe, avec un ordre du jour figé. Nous verrons pourquoi la gouvernance de votre informatique ne se délègue pas, puis comment structurer ce rendez-vous. Ensuite, cinq décisions à ne jamais laisser au prestataire : les risques que vous acceptez ; les droits d’accès et les comptes privilégiés ; le budget et les arbitrages d’investissement ; le périmètre externalisé et les niveaux de service ; la durée d’interruption et la reprise après incident. Enfin, nous repérerons les signaux d’une revue qui ne décide plus, pour installer votre ordre du jour et tenir la cadence.
Pourquoi la gouvernance de votre informatique ne se délègue pas
Deux niveaux se confondent en permanence. L’exécution (correctifs, supervision, sauvegardes, support aux utilisateurs) s’externalise sans dommage. La décision (risques acceptés, droits d’accès, budget) reste à la direction.
Externaliser l’exploitation n’est pas contradictoire avec la maîtrise : un guide dédié à l’externalisation et à la sécurité des systèmes d’information rappelle qu’un prestataire est « même souhaitable » lorsque les compétences internes sont absentes ou insuffisantes. C’est la gouvernance qui rend l’externalisation tenable.
Dans le contexte suisse, les petites et moyennes structures font face à des risques informatiques croissants. Parmi les pratiques permettant de les réduire, la plus structurante reste de définir qui décide quoi dans la relation avec le prestataire, et de le mettre par écrit.
Le danger réel de l’infogérance pour une PME n’est pas technique. La perte de contrôle survient quand plus personne, côté client, ne tranche les arbitrages qui relèvent de l’entreprise. Les mécanismes de coût associés sont détaillés dans notre analyse du coût réel de l’infogérance informatique pour une PME.
La cadence trimestrielle et les cinq décisions qui suivent constituent une pratique recommandée, à adapter à la taille et au secteur de chaque entreprise, et non une exigence d’un référentiel ou d’une autorité.
Le format fixe : un rendez-vous à date connue et un ordre du jour figé
Ce principe posé, il reste à l’appliquer : même rendez-vous, même cadence, même trame.
Fixez la récurrence à l’avance, par exemple le premier mardi du trimestre, pour une durée bornée de 60 à 90 minutes, avec un ordre du jour identique d’une édition à l’autre. C’est la répétition qui produit la gouvernance, pas la longueur de la séance.
Définissez les participants : une personne habilitée à engager l’entreprise (direction ou délégation écrite), le responsable interne du service informatique pour pme s’il existe, et l’interlocuteur du prestataire.
Exigez un support écrit transmis avant la réunion : incidents, changements réalisés, écarts par rapport au plan et surtout la liste des points en attente de décision.
Chaque séance produit trois colonnes de sortie : décisions prises, décisions reportées avec une date, risques acceptés avec le nom de la personne qui les assume.
Conservez une trace validée, compte rendu signé ou courriel de confirmation. Elle fait foi en cas de litige, d’audit ou de changement de prestataire, et évite les discussions de mémoire trois ans plus tard. Cette discipline compte parmi les critères concrets pour choisir un prestataire informatique pour votre PME.
Décision 1 : les risques que vous acceptez
Le compte rendu distingue une ligne « risques acceptés ». Reste à vérifier qu’elle traduit une décision, non une case cochée.
Un risque accepté est identifié, chiffré autant que possible et explicitement assumé par la direction. Ni le prestataire ni l’équipe technique ne peut l’assumer à votre place : l’entreprise en porte les conséquences.
Ce qui se délègue : repérer les vulnérabilités, appliquer les correctifs, surveiller les systèmes et proposer des scénarios chiffrés (mesures, coûts, effets attendus). Un audit cybersécurité PME mené par un prestataire externe fournit cette base factuelle avant tout investissement.
Ce qui ne se délègue pas : laisser une vulnérabilité connue non corrigée un trimestre de plus, ou maintenir ouvert un service exposé sur Internet parce que sa mise à niveau gêne l’exploitation.
La démarche peut être progressive : revoir les règles les plus courantes, traiter celles qui ne sont pas au niveau attendu, puis renforcer les plus critiques. Si l’entreprise connaît mal son système, l’appui d’une expertise spécialisée constitue une première étape utile.
Cas concret : le prestataire signale que le serveur de fichiers n’est pas sauvegardé hors site. Financer ou non cette copie appartient à la direction, avec un responsable désigné et une date de réexamen au compte rendu.
Précision : « le prestataire arbitre à votre place » ne décrit pas une faute, mais le risque que ce cadre prévient. Un bon prestataire propose et documente ; la direction tranche.
Décision 2 : les droits d’accès et les comptes privilégiés
Après les risques acceptés vient la question des personnes qui agissent sur le système. Les guides d’hygiène informatique documentent depuis longtemps trois faiblesses : des comptes plus privilégiés que la tâche ne l’exige, des comptes personnels utilisés pour des services, et des mots de passe faibles sur les comptes à privilèges élevés.
Ce qui se délègue : la création, la modification et la suppression technique des comptes, la journalisation des actions sensibles, la supervision des connexions anormales et la préparation d’une revue d’habilitations.
Ce qui ne se délègue pas : décider qui, dans l’entreprise, a réellement besoin d’un accès administrateur, qui conserve un accès après une fin de collaboration, et qui peut consulter les données les plus sensibles.
La revue trimestrielle est le moment de valider trois listes : les comptes à privilèges élevés, les comptes de service et techniques, et le sort des accès appartenant à des personnes parties depuis le dernier trimestre.
Dans un environnement géré, messagerie cloud, plateforme collaborative ou infrastructure virtualisée, les rôles s’accumulent par commodité sans décision formelle. La revue remet cette accumulation sous arbitrage. Un sujet qui prend de l’ampleur lorsque vos clients européens imposent des exigences contractuelles, comme nous le détaillons dans notre guide sur NIS2 et les PME suisses.
Le principe : de notre point de vue, un droit d’accès engage la responsabilité de l’entreprise. C’est une décision de direction, pas une préférence technique de l’administrateur ni une facilité d’exploitation.
Décision 3 : le budget et les arbitrages d’investissement
Après les droits d’accès, le budget est le domaine où la délégation devient invisible, particulièrement dans une PME. On reconduit, on renouvelle, on étend, et aucune décision formelle n’a jamais été prise. Chaque trimestre doit rendre ces mouvements explicites.
Trois postes à séparer. La revue distingue l’exploitation récurrente couverte par le contrat, les projets (migration, nouvelle solution métier, changement d’hébergement) et les remises à niveau de sécurité. Une lecture attentive des clauses qui décident entre économie et coût caché dans un contrat d’infogérance aide à repérer ces mouvements.
Ce qui se délègue : fournir des scénarios chiffrés, des variantes comparables, des estimations de charge et des priorités techniques argumentées. Ce qui ne se délègue pas : accepter un surcoût, reporter un investissement de sécurité, arbitrer entre deux dépenses de priorité équivalente ou valider un engagement pluriannuel.
Rendre le report visible. Tout risque laissé non traité a un coût implicite, souvent supérieur à celui de la mesure qui l’aurait couvert. La revue doit l’inscrire noir sur blanc, avec le nom de la personne qui accepte le report et la date de réexamen.
Quatre repères figurent au compte rendu : coût de la mesure, coût d’une indisponibilité estimée, coût de reconstruction d’un système perdu, et position de l’assurance de l’entreprise sur ce type de sinistre. Ces éléments nourrissent la discussion ; ils ne constituent pas une méthode de calcul officielle.
Décision 4 : le périmètre externalisé et les niveaux de service
Le budget arbitré, il reste à écrire ce que l’entreprise confie réellement à son prestataire.
Ce périmètre doit tenir sur une page : ce qui est externalisé, ce qui reste interne. Sans cette carte, il dérive au fil des demandes et l’entreprise perd la vue de ce qu’elle confie.
Les engagements du prestataire se formalisent dans un document contractuel unique et daté. Les guides de l’ANSSI sur l’externalisation proposent des clauses types ; l’essentiel est que le document soit relu chaque année, et non oublié dans une armoire.
Fixez et relisez chaque trimestre les niveaux de service : délais de prise en charge et de résolution, canaux de contact, horaires couverts, périmètre des interventions à distance et sur site.
Posez aussi la question de la sous-traitance en cascade : qui d’autre intervient sur vos systèmes, avec quels accès, sous quelle responsabilité, et comment ces accès sont retirés en fin de mission.
Ne se délègue pas : accepter un niveau de service dégradé, un changement de périmètre ou une modification tarifaire en cours d’année. C’est un arbitrage de direction, pas une conséquence mécanique du contrat.
La revue trimestrielle permet de corriger ces zones d’ombre à froid, avant tout incident.
Décision 5 : la durée d’interruption et la reprise après incident
Après le périmètre et les niveaux de service, reste la question que révèle tout incident : combien de temps l’activité peut-elle s’arrêter, et combien de données peut-elle perdre ? Ce sont deux choix économiques, pas des réglages techniques. Ils précèdent toute configuration et doivent être validés par la direction, puis traduits en exigences pour le prestataire.
Ce qui se délègue : concevoir et exploiter les sauvegardes, surveiller les échecs, préparer les scénarios de reprise et exécuter les tests de restauration. Ce qui ne se délègue pas : confirmer que le résultat obtenu correspond au besoin réel de l’activité, et assumer un niveau de perte de données supérieur à ce que l’entreprise peut supporter.
Exigez donc un test de restauration documenté, restitué à chaque revue : date, périmètre couvert, durée de reprise observée, écarts constatés, actions correctives et responsable désigné. Sans ce compte rendu, la revue ne mesure que des intentions.
Le cas est fréquent : une sauvegarde existe, elle est surveillée, mais elle n’a jamais été restaurée en conditions réelles. Financer un test complet et fixer une perte de données tolérable sont deux décisions de direction.
Enfin, rattachez cette décision au budget : un objectif de reprise ambitieux a un coût, un objectif modeste a un coût d’indisponibilité. En infogérance pour PME, c’est cet arbitrage qui doit être tranché, pas seulement estimé.
Les signaux d’une revue qui ne décide plus
Après avoir validé les objectifs de reprise et les tests de restauration, encore faut-il que la revue produise des décisions. Cinq signaux doivent vous alerter.
- Le reporting remplace la décision : graphiques de disponibilité et volumes de tickets défilent, mais aucune décision n’est consignée.
- Les décisions se prennent en dehors de la revue, sans trace ni responsable désigné.
- Aucun participant côté client n’a le mandat d’engager l’entreprise. La réunion devient une séance d’information, et les sujets sensibles sont systématiquement reportés.
- Le même risque est signalé plusieurs trimestres de suite sans arbitrage clair. L’absence de décision ne signifie pas absence de risque : il devient invisible, car tout le monde s’habitue à le voir passer.
- La liste des accès à privilèges n’a pas été revue depuis six mois ou plus, délai cité à titre de repère par les praticiens de l’ISO 27001, ou n’a pas été mise à jour après les départs. C’est un écart simple à corriger.
Un onboarding IT externalisé pose d’emblée ces règles. Si plusieurs signaux se cumulent, la revue ne gouverne plus : elle informe. Reprenez la main dès la prochaine séance.
Conclusion : installez votre ordre du jour et tenez la cadence
Ces signaux se corrigent rarement par la bonne volonté. Ils se corrigent par une cadence inscrite. Fixez dès maintenant, dans un agenda partagé, les quatre dates de l’année, avec les mêmes participants et une durée bornée. Une récurrence survit aux semaines chargées ; une bonne intention, non.
Reprenez ensuite les cinq décisions comme ordre du jour permanent : risques acceptés, droits d’accès, budget, périmètre et niveaux de service, durée d’interruption et reprise. Aucune ne peut être tranchée par le prestataire, quel que soit son niveau d’implication.
Cette discipline, support avant séance, compte rendu après, transforme une relation de fourniture en partenariat maîtrisé.
Vous cherchez un service informatique pour PME ou une infogérance pour PME ? Posez une question simple : comment sera organisée la revue de gouvernance, à quelle fréquence, et avec quel compte rendu. La réponse vous en dira plus que n’importe quelle liste de compétences techniques.
C’est ainsi que l’externalisation reste un choix maîtrisé plutôt qu’une prise en charge par défaut.
