Combien d’heures d’infogérance une PME doit-elle acheter ? La question revient souvent, mais elle commence mal lorsqu’on part du tarif horaire. Pour cadrer une infogérance PME, il faut d’abord mesurer ce que vous confiez : utilisateurs, postes et identités, serveurs, machines virtuelles et environnements cloud, sites avec leurs contraintes de proximité, applications critiques et dépendances. C’est ce volume réel qui permet de projeter des blocs d’effort mensuels comparables d’une offre à l’autre. Une offre très en dessous de cette base est suspecte : elle peut être mutualisée ou non staffée. Dans ce guide, nous verrons pourquoi le tarif horaire est un mauvais point de départ, puis nous déroulerons les étapes d’inventaire et de conversion. Nous apprendrons aussi à lire une offre d’infogérance informatique sans se faire piéger, à ancrer le dimensionnement dans le contrat plutôt que dans la promesse, et à reconnaître les limites de la méthode. Attention toutefois : cette projection en blocs d’effort est une hypothèse de travail, pas un barème officiel.
Infogérance PME : pourquoi le tarif horaire est le mauvais point de départ
Le tarif horaire se discute en fin de parcours. Un prix unitaire attractif ne dit rien du nombre d’heures nécessaires pour tenir un parc en condition sur douze mois. Avant de comparer, reformulez donc la question : combien d’heures d’ingénierie par mois mon périmètre justifie-t-il ?
Définition de travail : l’ANSSI décrit l’infogérance comme l’externalisation d’activités liées au système d’information, activités qui peuvent aussi être assurées en interne (guide Externalisation et sécurité des systèmes d’information, page publiée le 3 décembre 2010, validité à revérifier). Externalisation et sécurité ne s’opposent donc pas. Le dimensionnement doit couvrir la supervision, les correctifs, les sauvegardes et les tests de restauration, pas seulement le traitement des incidents. C’est ce même mécanisme qui explique pourquoi la facture mensuelle cache souvent le coût réel de l’infogérance informatique.
Dernier prérequis : une liste à jour des utilisateurs, machines, serveurs et applications, et un interlocuteur interne capable de la valider et de l’actualiser. C’est le socle de l’inventaire.
Étape 1 : inventorier utilisateurs, postes et identités
Premier passage obligé pour dimensionner une infogérance informatique : la population. Segmentez-la en trois familles : utilisateurs bureautiques standards, utilisateurs mobiles, et utilisateurs à contraintes particulières (postes partagés, environnements métier, plages horaires élargies).
Comptez ensuite les objets, pas les personnes. Un collaborateur avec un portable et un poste fixe pèse deux équipements à superviser, à patcher et à protéger.
En parallèle, comptez les identités. Un locataire Microsoft 365 (Exchange Online, Teams, SharePoint, Entra ID) se dimensionne, selon la méthode proposée ici, par nombre de comptes actifs et non par nombre de PC. N’omettez pas les comptes de service, techniques et partagés, souvent absents des inventaires alors qu’ils portent automatisations et accès critiques.
Notez enfin les contraintes qui font varier l’effort à volume égal : horaires d’exploitation, multi-sites, langues, utilisateurs peu à l’aise avec l’informatique.
Résultat attendu : un couple de chiffres, postes supervisés et comptes gérés, qui servira d’unité de projection au calcul final.
Étape 2 : recenser serveurs, machines virtuelles et environnements cloud
Après les postes et les comptes, appliquez la même logique aux objets serveur. Inventoriez par type : serveurs physiques, machines virtuelles (par exemple sur un hyperviseur Proxmox VE ; la plateforme ne change rien à la logique de comptage), appliances réseau et services hébergés.
Comptez séparément le système et les charges de travail : un hyperviseur portant plusieurs machines virtuelles n’appelle pas le même effort de supervision que des serveurs indépendants en nombre équivalent, mais le volume se situe entre les deux. Ajoutez les environnements cloud et hybrides (locataires Microsoft 365, serveurs loués, sauvegarde externalisée) : chacun ajoute des points de contrôle sans supprimer le socle local. Le choix entre virtualisation privée et cloud public relève toutefois d’un calcul de TCO distinct.
Mesurez ensuite la surface d’exploitation réellement couverte : agents de supervision type RMM, agents de sauvegarde, pare-feu administrés, systèmes de téléphonie si la téléphonie entre dans le périmètre. Ajoutez les dépendances transverses qui conditionnent la disponibilité : annuaire et authentification, DNS, certificats, règles de pare-feu, plan de sauvegarde et procédure de restauration testée.
Consignez ces éléments dans un tableau unique, une ligne par objet, avec propriétaire, criticité et date de dernière intervention. Cette forme d’inventaire patrimonial correspond à ce que décrit la cartographie du système d’information de l’ANSSI.
Étape 3 : compter les sites et leurs contraintes de proximité
Après les serveurs et les environnements cloud, l’inventaire descend au niveau physique.
Listez chaque site avec ses équipements propres : commutateurs, bornes Wi-Fi, pare-feu local, NAS, postes téléphoniques, onduleurs, câblage critique. Ces objets imposent des déplacements qu’aucun agent de supervision ne remplace, et une approche rigoureuse les recense parmi les premières vérifications.
Distinguez site principal, sites secondaires, entrepôts, agences et postes en télétravail : le même incident se traite à distance d’un côté, impose un déplacement de l’autre.
Qualifiez ensuite les délais : temps d’intervention attendu, plages d’indisponibilité tolérées, présence requise pour les opérations sensibles. Ce dernier point rejoint les risques liés aux interventions à distance (voir les risques identifiés en introduction).
Ajoutez l’effort récurrent par site : visites de maintenance réseau, remplacements de matériel, interventions sur postes partagés, réunions sur place.
Faites apparaître la géographie : un périmètre concentré en Suisse centrale et un périmètre dispersé sur plusieurs cantons ou pays n’engendrent pas le même coût de proximité.
Résultat : des sites qualifiés par distance et par niveau d’exigence de présence, à intégrer comme unité de projection distincte avant d’aborder les applications critiques.
Étape 4 : identifier les applications critiques et leurs dépendances
Le nombre de sites qualifiés en main, il reste à nommer ce qui s’y exécute. Classez d’abord les applications métier par criticité réelle : ERP, caisse et paiement, production, logistique, gestion documentaire, outils sectoriels, téléphonie et messagerie. Toutes ne pèsent pas le même poids.
Pour chacune, documentez quatre éléments : éditeur, mode d’hébergement (local, cloud ou hybride), rythme de mise à jour et dépendances techniques sous-jacentes (base de données, authentification, certificats, flux réseau).
Clarifiez ensuite les frontières de responsabilité : qui supporte l’application, qui supporte le serveur ou le locataire qui la porte, et où s’arrête le périmètre de l’infogérance. L’ANSSI recommande d’établir une liste priorisée des services numériques critiques, sur laquelle se concentrent supervision, sauvegarde et tests de restauration. Ce partage conditionne l’effort de surveillance : à titre de méthode, un simple volume de tickets ne suffit pas à mesurer la qualité du support.
Traitez la téléphonie et les plateformes de messagerie comme des applications à part entière dès qu’elles portent des flux clients ou internes.
Enfin, tenez une liste courte et datée : dix à quinze applications nommées valent mieux qu’un inventaire exhaustif jamais mis à jour. Cette liste alimente la conversion en blocs d’effort mensuels.
Étape 5 : convertir l’inventaire en blocs d’effort mensuels
Vos applications critiques sont listées. Il reste à transformer cet inventaire en volume horaire mensuel comparable.
La formule est explicite : effort mensuel = (somme des unités inventoriées × hypothèse d’effort par unité) + socle commun non proportionnel.
Ce socle existe quel que soit le nombre de postes : revue des sauvegardes, gestion des correctifs, revue de sécurité, documentation, veille, réunions de suivi, gestion des accès.
Attention aux chiffres tout faits : aucune source publique consultable ne fournit d’heures par utilisateur, serveur, site ou application critique. Tout ordre de grandeur doit être étiqueté comme exemple illustratif ou provenir de vos mesures.
Construisez donc votre référentiel : pour une PME, mesurez trois mois d’activité réelle, classez les tickets par catégorie et par objet, puis déduisez une moyenne par unité. Cette base vaut mieux qu’une estimation.
Découpez ensuite le résultat en blocs comparables : support, supervision et maintien en condition, sécurité, projets, astreinte.
Séparez enfin strictement le récurrent du projet : migrations, ouvertures de site et changements d’outil ne doivent pas être noyés dans le forfait mensuel, sous peine de fausser la comparaison.
Comment lire une offre d’infogérance informatique sans se faire piéger
Comparez le volume proposé à votre base calculée. Une offre nettement inférieure au socle obtenu signale presque toujours un périmètre mutualisé ou un poste non staffé.
Mutualisé : supervision automatisée sans intervention humaine planifiée, services partagés entre clients, traitement à distance systématique, absence de présence sur site.
Non staffé : un engagement commercial supérieur à la capacité réelle de l’équipe, qui dégrade les délais dès la première vague d’incidents.
Exigez alors une décomposition écrite : heures d’ingénierie, heures de support, tâches incluses et exclues, délais de prise en charge et de résolution. Vérifiez le socle non négociable : correctifs, sauvegardes et tests de restauration, supervision réseau, gestion des accès et des départs.
Repérez les exclusions qui expliquent un prix bas : projets, migrations, interventions sur site, matériel, licences, heures hors horaires d’ouverture.
Méfiez-vous des formules tout illimité sans compteur : le sous-dimensionnement ne disparaît pas, il est déplacé au renouvellement. Une offre anormalement basse se paie plus tard, en délais ou en rattrapage.
Ces vérifications préparent l’annexe contractuelle du périmètre.
Ancrer le dimensionnement dans le contrat, pas dans la promesse
Après avoir écarté les offres anormalement basses, transformez l’inventaire en annexe contractuelle chiffrée : sites, serveurs et VM, postes supervisés, comptes gérés, applications critiques nommées. En infogérance PME, cette annexe devient le compteur partagé. Formalisez les unités facturables et les seuils : heure supplémentaire, ticket hors périmètre, visite sur site, intervention hors plage. Ainsi, le hors-forfait ne surgit pas en fin d’année.
Reprenez la logique du plan d’assurance sécurité de l’ANSSI : le périmètre inventorié devient la base d’engagements sous forme de clauses et d’indicateurs vérifiables. Attention, ce guide est français et daté de 2010 ; vérifiez sa validité, et une PME suisse doit intégrer ses propres obligations locales.
Prévoyez la mesure : reporting mensuel des heures par catégorie, revue à six et douze mois, recalibrage sur données réelles. Sécurisez la sortie : documentation à jour, exports exploitables, procédure de réversibilité, propriété des accès et des configurations. Dès le premier jour, un plan d’intégration formalisé rend ces engagements contrôlables.
Reste à savoir jusqu’où cette méthode peut vous porter.
Les limites de la méthode : ce que ce calcul ne peut pas faire
L’annexe contractuelle fixe le cadre, pas la vérité du volume. Le calcul produit un ordre de grandeur à challenger, jamais un barème : deux périmètres identiques sur le papier divergent selon l’état du parc, l’âge du matériel et la maturité des utilisateurs.
La solidité repose sur vos mesures internes et sur l’étiquetage explicite de tout exemple illustratif.
Le périmètre se périme vite. Un nouveau site, une application critique supplémentaire ou une migration invalident un dimensionnement figé à la signature.
Heures d’ingénierie et heures de support ne sont pas interchangeables. Un forfait composé uniquement de support comprime la conception, la sécurité et les évolutions.
Enfin, garder l’infogérance en interne ne supprime pas la charge : elle existe dans les deux cas, seule la ligne budgétaire change.
Ces réserves posées, trois actions concrètes restent à mener avant de signer.
Conclusion : trois actions avant de signer
Mesuré une fois, l’inventaire ne sert à rien : il doit devenir un réflexe de gestion.
1. Produire l’inventaire en quatre blocs. Utilisateurs et postes, serveurs et environnements cloud, sites, applications critiques. Faites-le valider par un responsable interne, sans quoi les chiffres resteront contestables.
2. Mesurer trois mois d’activité réelle. Classez les tickets par objet pour obtenir une moyenne par unité, puis convertissez en blocs d’effort mensuels comparables, récurrent d’un côté, projet de l’autre.
3. Exiger la décomposition en heures et l’annexe de périmètre. Comparez le volume proposé à votre base. Si l’offre est nettement inférieure, questionnez le modèle : mutualisé ou non staffé, le coût réapparaît en délais ou en rattrapage.
Gardez enfin la grille vivante : tout changement de périmètre impose de réviser le dimensionnement. Vous négociez alors avec un volume défendable, base saine d’un contrat d’infogérance pour PME.
