En bref. Un contrat d’infogérance se juge sur trois clauses : ce qui est dans le périmètre, ce que garantissent les délais d’intervention et de rétablissement, et ce qui se passe le jour où l’on change de prestataire. Le prix vient après.
Confier son informatique à un prestataire est devenu la norme dans les PME : les compétences sont rares, les menaces permanentes et le parc de plus en plus hétérogène. Encore faut-il que le contrat décrive la réalité du service attendu. Voici les points sur lesquels se joue la qualité d’une infogérance.
Définir le périmètre avant de discuter le prix
La première cause de litige n’est pas la panne : c’est le désaccord sur ce qui était couvert. Un périmètre se décrit par énumération, pas par intention. Il doit préciser les équipements, les logiciels, les sites géographiques et les utilisateurs concernés — et, symétriquement, ce qui reste à la charge du client.
Cette description suppose un état des lieux préalable. Sans inventaire du parc à jour, le prestataire chiffre à l’aveugle et le client découvre des exclusions au premier incident. L’inventaire annexé au contrat, daté et mis à jour périodiquement, est la meilleure protection des deux parties.
Les exclusions à examiner ligne par ligne
- Les logiciels métier édités par des tiers, souvent renvoyés vers l’éditeur.
- Le matériel obsolète ou sorti du support constructeur.
- Les déplacements sur site, parfois facturés hors forfait au-delà d’un quota.
- Les projets — migration, déploiement, refonte — distincts du maintien en condition opérationnelle.
- Les incidents causés par l’utilisateur, notion à définir précisément sous peine d’être invoquée trop largement.
Lire un SLA : deux garanties à ne pas confondre
| Indicateur | Ce qu’il mesure | Ce qu’il ne dit pas |
|---|---|---|
| GTI — garantie de temps d’intervention | Délai avant la prise en charge | Rien sur la date de résolution |
| GTR — garantie de temps de rétablissement | Délai avant retour au service | La qualification de la sévérité conditionne tout |
| Plage de service | Heures pendant lesquelles les délais courent | Un incident du vendredi soir peut être traité lundi |
| Disponibilité | Taux de service sur la période | Se mesure hors maintenances planifiées |
Un engagement d’intervention rapide sans engagement de rétablissement n’a qu’une valeur limitée : il garantit qu’on vous répondra, pas que le service reviendra. Inversement, une GTR ambitieuse assortie d’une grille de sévérité que le prestataire qualifie seul se vide de son contenu. La grille doit être contractuelle, avec des exemples.
Les pénalités, et ce qu’elles valent réellement
La plupart des contrats prévoient des pénalités en cas de dépassement des engagements. Elles sont souvent plafonnées à une fraction de la redevance mensuelle — un montant sans commune mesure avec le coût d’une journée d’arrêt. Leur intérêt est donc moins financier que comportemental : elles obligent à mesurer, donc à produire un reporting. Exigez ce reporting mensuel, avec le nombre d’incidents, leur qualification et les délais constatés.
Sécurité : ce que le contrat doit imposer
- La gestion des comptes à privilèges : qui détient les accès administrateur, sous quelle forme, et comment ils sont révoqués au départ d’un intervenant.
- L’authentification renforcée sur les accès distants du prestataire, au même niveau que celle imposée aux salariés.
- La politique de sauvegarde, avec des tests de restauration périodiques et documentés — une sauvegarde immuable restant la seule réponse sérieuse au rançongiciel.
- La procédure d’incident de sécurité : qui alerte qui, dans quel délai, et qui décide de l’isolement des systèmes.
- La journalisation des actions réalisées par le prestataire sur le système d’information.
Ces exigences rejoignent les recommandations publiées par l’ANSSI pour l’externalisation. Elles se déclinent utilement dans la charte informatique et dans la politique de gestion des mots de passe de l’entreprise.
Sous-traitance et données personnelles
Un infogérant accède aux données de l’entreprise, dont des données personnelles : il agit comme sous-traitant au sens de la réglementation. Le contrat doit comporter les clauses correspondantes — objet et durée du traitement, obligation de confidentialité, mesures de sécurité, encadrement de la sous-traitance en cascade, sort des données en fin de contrat. Ces obligations complètent les obligations informatiques de la PME et ne se présument pas : elles s’écrivent.
La réversibilité, clause que l’on rédige au début
C’est la clause la plus négligée et la plus coûteuse à négliger. Elle doit prévoir la restitution des données dans un format exploitable, la remise des documentations et des configurations, la transmission des identifiants et des comptes — y compris les noms de domaine et les abonnements souscrits au nom du prestataire — ainsi qu’une période d’assistance au successeur, dont la durée et le tarif sont fixés à l’avance.
Point de vigilance : vérifiez au moment de la signature qui est titulaire des licences, des abonnements cloud et des enregistrements de domaine. Un abonnement souscrit au nom de l’infogérant transforme une sortie ordinaire en négociation subie. La supervision mise en place doit elle aussi être transférable, faute de quoi le nouvel arrivant repart d’une page blanche.
Questions fréquentes
Forfait ou régie : que choisir ?
Le forfait convient au maintien en condition opérationnelle, dont le volume est prévisible. La régie reste adaptée aux projets. Beaucoup de contrats combinent les deux, à condition que la frontière soit écrite.
Quelle durée d’engagement accepter ?
Une durée pluriannuelle se défend si elle finance un investissement initial. Elle doit alors s’accompagner d’une clause de sortie motivée, notamment en cas de manquement répété aux engagements de service.
Faut-il conserver une compétence informatique en interne ?
Oui, au moins un référent capable de qualifier une demande, de contrôler le reporting et de porter les arbitrages. L’externalisation ne dispense pas du pilotage.
Que faire si le prestataire refuse de communiquer les accès administrateur ?
C’est un signal d’alerte. Le client reste propriétaire de son système d’information : la détention exclusive des accès par le prestataire est un risque opérationnel majeur, à traiter avant la signature.
Conclusion
Un bon contrat d’infogérance ne promet pas l’absence de panne : il décrit précisément ce qui est couvert, ce qui est garanti et comment on s’en sépare. Ces trois points se rédigent au moment où la relation est bonne — jamais au moment où elle se dégrade.
