Infogérance en PME : 16 risques et pièges à éviter (contrat, sécurité, réversibilité)

L’infogérance échoue rarement pour une raison technique. Le vrai risque, c’est un contrat mal cadré : périmètre flou, gouvernance inexistante, sécurité “déclarative”, réversibilité oubliée.

Externaliser l’informatique ne transfère pas la responsabilité légale du dirigeant — cela la rend en revanche plus difficile à piloter si le cadre n’est pas rigoureusement défini.

Cet article détaille les pièges concrets, phase par phase, et les garde-fous vérifiables pour les neutraliser.

🔗 Pour tout savoir sur l’infogérance, voir: présentation de l’infogérance.

Les 4 piliers d’une infogérance saine

Une infogérance robuste repose sur quatre piliers. Si un seul est défaillant, l’ensemble de la structure devient instable.

Pilier	Description	Risque si négligé
Périmètre	Qui gère quoi, sur quels actifs (postes, serveurs, cloud, etc.), et avec quels outils.	Facturation hors-forfait, zones grises de responsabilité.
Niveau de service (SLA)	Délais d’intervention et de résolution garantis, horaires, criticités, processus d’escalade.	Lenteur du support, indisponibilité critique non traitée en priorité.
Sécurité réelle	Mesures techniques et organisationnelles concrètes et auditables, pas de simples intitulés.	Faux sentiment de sécurité, exposition réelle aux cyberattaques.
Réversibilité	Capacité à récupérer l’ensemble des accès, données et documentations pour changer de prestataire.	Dépendance excessive (vendor lock-in), coûts de sortie prohibitifs.

Le piège classique est de confondre « support illimité » avec une infogérance complète.

Le support réactif n’est qu’une composante. La véritable infogérance inclut un pilotage stratégique, une gestion proactive de la sécurité et des garanties contractuelles solides.

Avant de signer : 10 pièges à déceler dans le contrat

1. Le « tout illimité » sans périmètre écrit

1. Symptôme : ce contrat mentionne « support illimité » mais ne liste pas précisément les actifs couverts (utilisateurs, postes, serveurs, licences M365, réseau, etc.).
2. Conséquence : le jour d’un incident sur un élément non listé, celui-ci est considéré « hors périmètre » et fait l’objet d’une facturation supplémentaire.
3. Garde-fou : exiger une annexe contractuelle « Périmètre de service » qui liste exhaustivement tous les actifs, utilisateurs et services inclus, ainsi que les exclusions explicites.

2. Le SLA « best effort » déguisé

1. Symptôme : absence de classification des incidents (bloquant, majeur, mineur) et de délais de réponse et de résolution garantis pour chaque niveau.
2. Conséquence : vous payez un forfait mais vos demandes sont traitées sans priorité définie, au bon vouloir du prestataire.
3. Garde-fou : le contrat doit inclure un tableau de SLA (<< voir article dédié) précisant les GTI (Garantie de Temps d’Intervention) et GTR (Garantie de Temps de Rétablissement) pour chaque criticité, ainsi que les horaires de couverture et le processus d’escalade.

3. L’absence d’outil de ticketing

1. Symptôme : le support est contacté par email direct ou téléphone, sans système centralisé de suivi des demandes.
2. Conséquence : aucune traçabilité des incidents, impossibilité de mesurer la performance réelle du prestataire et de faire appliquer les SLA.
3. Garde-fou : imposer l’utilisation d’un outil de ticketing professionnel pour toute demande, avec suivi de l’état, de la priorité et de l’historique de chaque ticket.

4. La « sécurité managée » vide de sens

1. Symptôme : le contrat parle de « sécurité » ou de « protection » sans détailler les mesures concrètes : déploiement de MFA (Multi-Factor Authentication), durcissement des systèmes, solution EDR (Endpoint Detection and Response), politique de filtrage des emails, etc.
2. Conséquence : vous payez pour un sentiment de sécurité, mais votre exposition au risque reste inchangée. Selon l’ANSSI, parmi les compromissions par rançongiciel portées à sa connaissance en 2024, les PME/TPE/ETI constituent la catégorie la plus affectée, représentant 37 % des cas .
3. Garde-fou : exiger une liste précise des mesures de sécurité incluses, un audit de l’état initial et un plan d’action pour les 30/60/90 premiers jours.

5. La sauvegarde non testée (donc inexistante)

1. Symptôme : le prestataire affirme faire des sauvegardes mais aucun test de restauration n’est planifié ou documenté. Les objectifs de RPO (Recovery Point Objective) et RTO (Recovery Time Objective) ne sont pas définis.
2. Conséquence : le jour d’un incident majeur (rançongiciel, panne matérielle), vous découvrez que les sauvegardes sont inutilisables, incomplètes ou corrompues.
3. Garde-fou : le contrat doit spécifier la fréquence des sauvegardes, la politique de rétention, les RPO/RTO cibles, et l’obligation de réaliser des tests de restauration périodiques (a minima trimestriels) avec un compte-rendu formel.

6. La rétention des accès administrateur

1. Symptôme : le prestataire enregistre les noms de domaine, le tenant Microsoft 365 ou les comptes cloud en son nom propre.
2. Conséquence : prise d’otage numérique. Changer de prestataire devient complexe, coûteux et parfois impossible sans son accord. Vous n’êtes plus propriétaire de vos actifs numériques.
3. Garde-fou : tous les actifs stratégiques (domaines, DNS, tenants cloud) doivent être enregistrés au nom de votre entreprise. Le prestataire intervient via des accès délégués (type « Partenaire Délégué » chez Microsoft) révocables à tout moment.

7. L’absence de plan d’onboarding

• Symptôme : le prestataire propose de démarrer le service dès la signature, sans phase d’audit initial, de documentation et de standardisation.
• Conséquence : le prestataire passe les premiers mois à faire du réactif sur un système qu’il ne maîtrise pas, au lieu de construire des fondations saines.
• Garde-fou : exiger un plan de transition détaillé sur 30 à 60 jours incluant : inventaire complet, audit de sécurité, standardisation minimale des postes, déploiement des agents de supervision et documentation de l’infrastructure.

8. L’oubli de la gestion des changements

1. Symptôme : le contrat ne prévoit aucun processus pour valider les modifications importantes sur l’infrastructure (nouvelle règle de pare-feu, modification d’une politique M365, etc.).
2. Conséquence : le prestataire prend des décisions unilatérales qui peuvent impacter la production ou la sécurité, sans votre accord.
3. Garde-fou : définir un processus de gestion des changements simple : qui valide quel type de changement, et sous quel délai.

9. Le mélange entre projets et maintenance (RUN)

1. Symptôme : le forfait semble tout inclure, y compris des évolutions majeures comme une migration de serveur, une refonte réseau ou le déploiement d’un nouvel outil.
2. Conséquence : soit le prestataire bâcle ces projets pour préserver sa marge, soit il finit par vous les facturer en urgence, hors contrat.
3. Garde-fou : le contrat doit clairement distinguer le RUN (maintien en condition opérationnelle, inclus dans le forfait) du BUILD (projets d’évolution, qui font l’objet de devis séparés et cadrés).

10. L’absence de clause de réversibilité

1. Symptôme : le contrat mentionne les conditions de résiliation, mais pas les obligations du prestataire pour assurer une transition fluide vers un successeur.
2. Conséquence : la fin du contrat se transforme en chaos. Le prestataire sortant n’a aucune obligation de coopérer, de transférer la documentation ou de fournir les exports de données.
3. Garde-fou : intégrer une clause de réversibilité détaillée qui liste les livrables (documentation, schémas, listes d’accès), les délais, les modalités d’assistance au nouveau prestataire et le coût éventuel de cette prestation de sortie.

Pendant l’onboarding (J0–J60) : 3 pièges qui créent 12 mois de dette technique

11. Inventaire incomplet (actifs, accès, dépendances)

1. Symptôme : aucun inventaire initial des postes, comptes, licences, sites, équipements réseau et accès administrateur n’est réalisé.
2. Conséquence : zones aveugles, incidents récurrents, sécurité impossible à piloter et budget IT imprévisible.
3. Garde-fou : inventaire minimal formalisé dès J0 (utilisateurs, postes, mobiles, licences, équipements réseau, accès admin, sauvegardes, sites) avec mise à jour mensuelle.

12. Standardisation jamais faite

1. Symptôme : droits locaux attribués « au cas où », postes hétérogènes, procédures inexistantes — chacun fonctionne à sa façon.
2. Conséquence : volume de tickets récurrent sur des problèmes évitables, failles de sécurité systémiques, impossibilité d’industrialiser le support.
3. Garde-fou : définir et déployer un socle commun : comptes standardisés, MFA activé, profils de droits, politique de patching, chiffrement des disques (BitLocker), poste de référence.

13. « On verra la sécurité plus tard »

• Symptôme : le prestataire parle de sécurité dans le discours commercial mais ne déploie aucune mesure concrète dans les 30 premiers jours.
• Conséquence : vous payez un forfait d’infogérance tout en conservant l’intégralité du risque — et la responsabilité légale qui va avec.
• Garde-fou : plan 30/60/90 jours priorisé et contractualisé : (1) MFA cohérent + comptes admin protégés, (2) sauvegardes testées, (3) durcissement des postes, (4) sécurité mail (filtrage anti-phishing, SPF/DKIM/DMARC).

Pendant l’exploitation : les 3 dérives qui rendent la relation toxique

14. Reporting inexistant

1. Symptôme : vous n’avez aucune visibilité sur les actions menées. Le seul contact régulier est la facture mensuelle.
2. Conséquence : vous ne pilotez rien. Vous découvrez les problèmes (sauvegardes en échec, postes non à jour) le jour où ils deviennent critiques.
3. Garde-fou : exiger un reporting mensuel synthétique avec des indicateurs clés : volume de tickets et délais de résolution, incidents majeurs, état des sauvegardes et résultats des tests, taux de conformité des mises à jour, actions de sécurité menées.

15. Gouvernance absente

1. Symptôme : aucune instance de dialogue stratégique n’est mise en place entre l’entreprise et le prestataire.
2. Conséquence : le système d’information vieillit, la dette technique s’accumule, et vous payez pour un service qui n’évolue pas avec vos besoins.
3. Garde-fou : mettre en place un comité de pilotage (COPIL) trimestriel de 30 à 60 minutes pour analyser le reporting, discuter des risques, prioriser les actions et aligner la stratégie IT sur celle de l’entreprise.

16. Le prestataire devenu « DSI fantôme »

1. Symptôme : le prestataire prend des décisions structurantes (choix d’outils, engagements budgétaires) à la place du dirigeant, sans validation formelle.
2. Conséquence : perte de contrôle, dépendance accrue, solutions techniques pas toujours alignées avec les besoins métier.
3. Garde-fou : désigner un référent interne (même non-technique) et instaurer une règle simple : aucune décision à impact financier, organisationnel ou métier n’est prise sans la validation formelle de l’entreprise.

Le point légal : infogérance et RGPD

Un prestataire d’infogérance qui accède aux données personnelles de votre entreprise (fichiers clients, boîtes mail, données RH, logs) est un sous-traitant au sens du RGPD. Cela impose un cadre contractuel strict, souvent absent dans les contrats d’infogérance standard.

La CNIL est explicite sur ce point : il faut prévoir un contrat de sous-traitance définissant l’objet, la durée et la finalité du traitement, les obligations de sécurité des deux parties, les conditions de restitution et de destruction des données en fin de contrat, ainsi que les règles de notification des incidents. La CNIL précise également qu’il ne faut pas démarrer la prestation sans contrat conforme à l’article 28 du RGPD — ce qui constitue une non-conformité majeure exposant le responsable de traitement (vous) à des sanctions.

L’ANSSI documente le risque concret : en 2024, de nombreuses entités françaises ont été compromises via un prestataire informatique . L’ANSSI cite notamment le cas où, en octobre 2024, le rançongiciel Qilin a compromis une entreprise d’infogérance, entraînant le chiffrement ou l’exfiltration de données d’une trentaine de ses clients, via des accès à distance déployés chez eux par l’infogérant . Ce n’est pas un risque théorique.

Checklist : 15 questions à poser avant de signer

1. Le périmètre (postes, utilisateurs, serveurs, cloud) est-il listé exhaustivement en annexe ?
2. Quels sont les délais de réponse ET de résolution garantis par criticité (SLA) ?
3. Le support est-il assuré via un outil de ticketing professionnel ?
4. Quelles sont les exclusions précises du contrat (projets, logiciels métiers spécifiques) ?
5. La politique de sauvegarde (fréquence, rétention, RPO/RTO) est-elle écrite ?
6. Des tests de restauration sont-ils prévus contractuellement, avec un compte-rendu ?
7. Qui est le propriétaire légal du tenant Microsoft 365, des noms de domaine et des comptes cloud ?
8. Comment les accès administrateur sont-ils gérés (comptes délégués, révocables) ?
9. Quelles mesures de sécurité concrètes (MFA, EDR, filtrage mail) sont incluses ?
10. Le plan de mise à jour (patching) couvre-t-il l’OS et les applications tierces ?
11. Un plan de transition (onboarding) est-il formalisé avec un inventaire initial ?
12. Un processus de validation des changements est-il défini ?
13. Quel sera le format et la fréquence du reporting?
14. La clause de réversibilité détaille-t-elle les livrables, délais et coûts de sortie ?
15. Le contrat est-il conforme à l’article 28 du RGPD pour la sous-traitance de données personnelles ?

Réponses à vos questions

L’infogérance supprime-t-elle le risque cyber ?

Non. Elle le réduit si, et seulement si, des mesures concrètes sont déployées, suivies et testées. Une infogérance « déclarative » est un risque en soi.

Une PME « full cloud » a-t-elle besoin de sauvegardes ?

Oui. Le cloud protège de la panne matérielle, pas de l’erreur humaine, de la suppression malveillante ou d’un rançongiciel qui chiffre les données synchronisées. La sauvegarde externalisée (ex : M365) reste indispensable.

Comment éviter la dépendance au prestataire ?

En restant propriétaire de tous les comptes et services, en utilisant des accès délégués, en exigeant une documentation à jour et en inscrivant une clause de réversibilité solide dans le contrat.

Un prix bas est-il forcément un piège ?

Pas forcément, mais c’est un signal d’alerte. Un prix bas cache souvent un périmètre très restreint, des SLA inexistants ou une sécurité minimale. Si le périmètre, la sécurité et les SLA ne sont pas écrits, vous ne savez pas ce que vous achetez. Pour calculer la valeur pratique d’un contrat, consultez notre article sur le calcul de rentabilité de l’infogérance, ainsi que le comparatif des coûts de l’infogérance à Paris.

Conclusion

Pour une PME, l’infogérance devient un levier de performance et de résilience à condition d’être abordée comme un partenariat structuré, pas comme une commodité. La valeur ne réside pas dans le « tout illimité », mais dans la clarté du cadre : un périmètre défini, des SLA vérifiables, une sécurité prouvée et une réversibilité garantie.

Demander un devis d’infogérance