Choisir un prestataire d’infogérance : questions à poser, red flags, comparer 2 devis
Par Léo Dugué
Le 26-02-26
Table des matières
Objectif de cette page : vous aider à comparer puis choisir des prestataires d’infogérance de façon pragmatique.
La comparaison et le choix se feront à l’aide d’une grille de scoring pondérée, une liste de questions qui exigent des preuves, et des red flags qui doivent vous faire ralentir (ou dire non).
Contexte visé : TPE/PME en France, souvent full cloud Microsoft 365 (identités, MFA, droits, gouvernance), parfois un petit serveur local hérité (ex. Sage/compta).
MSP : prestataire d’infogérance “managée”, avec outils (tickets, supervision) et forfait récurrent.
SLA : engagements de service mesurables (priorités, délais, horaires, reporting, pénalités).
GTI : délai maximum avant prise en charge d’un incident (début de traitement).
GTR : délai maximum pour rétablir le service après incident (retour à la normale).
Ticketing : outil qui enregistre et suit les demandes (statut, échanges, délais, traçabilité).
Supervision : surveillance continue des systèmes pour détecter pannes et dégradations.
MFA : connexion avec un second facteur en plus du mot de passe (appli, SMS, clé).
DPA (RGPD) : annexe contractuelle encadrant le traitement des données personnelles par le prestataire.
Réversibilité : modalités de sortie (restitution données/accès/docs, délais, assistance, coûts) pour changer de prestataire.
COPIL : réunion de suivi périodique (KPI, priorités, plan d’actions).
Ce que vous achetez vraiment avec une infogérance
Une infogérance, ce n’est pas “du support quand ça casse”. Vous achetez :
un périmètre (ce qui est inclus / hors périmètre / options),
un mode de fonctionnement (process, escalade, supervision, outillage),
des engagements mesurables (SLA, délais, priorités),
et… des accès à vos systèmes (donc un sujet sécurité/traçabilité majeur).
La bonne question n’est pas “qui est le moins cher ?” mais : qui est capable de piloter votre RUN avec des preuves (KPI, reporting, COPIL) et des garde-fous contractuels (SLA, RGPD art. 28, réversibilité) ?
Pas de portail tickets / pas d’historique / pas de KPI.
Priorités P1/P2 floues, pas d’exemples.
Accès admin “partagé” (non nominatif).
MFA non obligatoire pour les accès prestataire.
Pas de traçabilité exploitable des accès/actions admin.
Sauvegarde “incluse” mais pas de tests documentés.
Réversibilité réduite à “on vous rend vos données” (sans délai / format / assistance).
“Tout inclus” mais aucune liste d’exclusions.
Sous-traitants non explicités / responsabilités floues.
Pas de runbooks / pas de documentation “exploitation”.
Support dépend d’une seule personne clé (risque de continuité).
Devis pas comparable : unités de facturation ambiguës, options non listées.
Refus de montrer un exemple (anonymisé) de reporting / COPIL.
“On est ISO” sans attestation, sans scope, ou scope trop “marketing” (ex : uniquement le siège / uniquement une filiale).
Confusion entre ISO 27001 (organisation/process du prestataire, plus de détails en FAQ) et “on utilise des outils sécurisés ISO 27001” (ça ne garanti rien de la qualité des process).
Ne vous fiez pas au label. Regardez : catalogue RUN, preuves, pilotage, garde-fous contractuels. Un bon prestataire rend son service mesurable et auditabile (KPI, reporting, COPIL, annexes).
Quels sont les documents à demander avant de signer ?
Procédure sauvegarde + preuve de test de restauration
Les 4 plus importants :
Annexe de périmètre (inclus/hors périmètre/options)
Annexe SLA (priorités, délais, mesure, reporting)
Plan de réversibilité
Plan RGPD
Comment comparer deux offres qui “semblent identiques” ?
En ramenant tout à des éléments vérifiables : périmètre, SLA pilotable, sécurité des accès, preuves de reporting, et conditions de sortie (réversibilité).
Qu’est-ce qu’un bon SLA pour une PME ?
Un SLA utile définit des délais par priorité (P1/P2/…), précise les horaires (ouvrés/astreinte), explique comment c’est mesuré, et comment c’est reporté. Un « bon » délais de réponse/résolution dans le cadre d’un SLA dépend entièrement de vos contraintes réelles.
Que faire si le prestataire refuse de montrer des preuves (reporting, process, annexes) ?
Considérez ça comme un signal d’alerte : sans preuve, vous ne pourrez pas piloter. Demandez au minimum un exemple anonymisé (reporting, modèle COPIL, extrait de process).
Dois-je prévoir la réversibilité dès le départ ?
Oui. La réversibilité n’est pas “pour quitter”, c’est pour éviter d’être bloqué. Elle doit être cadrée (délai, format, assistance, coût, documentation, runbooks).
Qu’est-ce que l’ISO 27001 et est-ce important ?
ISO/IEC 27001 est une norme qui encadre un système de management de la sécurité (ISMS) : gestion des risques, politiques, audits, amélioration continue.
C’est important comme signal de maturité, mais pas suffisant : vérifiez surtout les preuves opérationnelles (MFA, traçabilité, runbooks, tests) et le périmètre (scope) de la certification.
