Un contrat d'infogérance ne consiste pas simplement à confier « l'informatique » à un prestataire. Il doit préciser les équipements, les logiciels et les tâches couverts, répartir les responsabilités et fixer les conditions d'intervention. Sans ce cadre, une entreprise peut découvrir au moment d'une panne que la restauration d'une sauvegarde, le déplacement sur site ou l'intervention hors horaires ouvrés n'est pas compris.
Le bon contrat dépend donc moins de la taille du prestataire que de sa capacité à traduire vos besoins en engagements vérifiables. Avant de signer, vous devez savoir qui intervient, sur quoi, dans quel délai, à quel coût et comment vous récupérerez vos données, vos accès et votre documentation à la fin de la prestation.
Avec qui signer un contrat d'infogérance ?
Le contrat est signé avec une entreprise capable de prendre en charge tout ou partie de votre système d'information. Il peut s'agir d'une société d'infogérance généraliste ou d'un prestataire spécialisé dans un domaine précis, comme l'administration des serveurs, la cybersécurité ou les sauvegardes. Le choix doit correspondre à votre environnement technique et au niveau de dépendance de votre activité.
Commencez par demander un état des lieux du parc, des applications, des accès administrateurs, des sauvegardes et des dépendances externes. Ce travail évite de bâtir un forfait sur un inventaire incomplet. Un prestataire qui chiffre une prestation globale sans connaître le nombre de postes, les versions utilisées, les sites à desservir et les applications critiques travaille nécessairement avec des hypothèses. Ces hypothèses risquent ensuite de devenir des exclusions ou des suppléments.
Vérifiez également les compétences réellement disponibles, les horaires du support, les modalités d'escalade, le recours éventuel à d'autres sous-traitants et la couverture géographique. Une certification peut être utile pour un environnement particulier, mais elle ne remplace ni une équipe disponible ni une procédure d'intervention adaptée à votre entreprise.
Le périmètre doit nommer les éléments couverts : postes, serveurs, réseau, équipements de sécurité, services hébergés, logiciels métier et sauvegardes. Il doit aussi distinguer les opérations récurrentes, les incidents compris et les projets facturés séparément. Une migration, le remplacement d'un serveur ou le déploiement d'un nouveau logiciel ne relève pas automatiquement de la maintenance courante.
Est-ce compliqué de rédiger un contrat d'infogérance ?
La difficulté ne vient pas du nombre de pages, mais du niveau de précision. Un document court peut être efficace si les prestations, les responsabilités, les exclusions et les niveaux de service sont clairement définis. À l'inverse, un contrat volumineux reste peu protecteur si des expressions comme « assistance rapide » ou « sauvegarde régulière » ne sont accompagnées d'aucune modalité mesurable.
Qu'est-ce qu'un SLA dans un contrat d'infogérance ?
Le SLA, pour Service Level Agreement ou accord de niveau de service, fixe les engagements mesurables du prestataire. Il doit notamment indiquer les plages de service, le délai de prise en charge d'un incident, l'objectif ou la garantie de rétablissement, le niveau de disponibilité attendu et la méthode utilisée pour calculer ces indicateurs.
Ne confondez pas l'accusé de réception d'un ticket avec le retour au fonctionnement. Un prestataire peut répondre en quinze minutes sans être tenu de rétablir le service dans un délai déterminé. Les engagements doivent aussi varier selon la gravité : un serveur de production indisponible ne peut pas être traité comme une demande de création de compte utilisateur.
Précisez enfin le point de départ du délai, les périodes exclues du calcul, les canaux autorisés pour déclarer l'incident et les conséquences d'un engagement non respecté. Des pénalités peuvent être prévues, mais elles ne compensent généralement pas l'arrêt d'activité. L'objectif principal reste d'obtenir un service compatible avec le temps d'interruption que l'entreprise peut réellement supporter.
Les clauses qui évitent les zones grises
Le contrat doit encadrer sa durée, son renouvellement, sa résiliation, la confidentialité, la sécurité, les responsabilités, les assurances, la propriété des équipements et des licences, ainsi que les conditions tarifaires. Les frais de déplacement, les interventions en dehors des plages prévues, les achats de matériel et les projets exceptionnels doivent apparaître clairement.
La réversibilité mérite une annexe opérationnelle. Elle doit préciser les données, configurations, mots de passe, journaux, licences et documents qui seront restitués, dans quel format, sous quel délai et pour quel prix. Elle doit aussi organiser l'assistance au nouveau prestataire. Une simple phrase indiquant que « les données seront rendues » ne suffit pas à préparer une transition exploitable.
Que doit prévoir le contrat pour les données personnelles ?
Lorsque le prestataire traite des données personnelles pour votre compte, la relation doit être encadrée conformément à l'article 28 du RGPD. La CNIL rappelle qu'un contrat doit reprendre les exigences applicables à la sous-traitance et définir concrètement les mesures prévues. Il faut notamment identifier le traitement confié, les instructions documentées, les mesures de sécurité, les sous-traitants ultérieurs, l'assistance en cas d'incident et le sort des données à la fin du contrat.
Signer cette annexe ne transfère pas toute la responsabilité au prestataire. L'entreprise cliente doit choisir un sous-traitant présentant des garanties suffisantes et conserver la maîtrise des finalités et des moyens essentiels du traitement. Si les données sont hébergées ou accessibles hors de l'Union européenne, les conditions de transfert doivent également être examinées avec attention.
Quel type de contrat d'infogérance établir avec un prestataire ?
Le choix dépend des compétences internes, de la fréquence des demandes et du coût d'une interruption. Le périmètre confié pour votre système d'information doit être défini avant de comparer les modes de facturation.
L'intervention à la demande
Le prestataire facture chaque intervention ou chaque commande. Cette formule convient lorsque l'entreprise garde les compétences nécessaires en interne et sollicite une expertise ponctuelle. Elle offre peu de visibilité en cas d'incident long et n'inclut pas, sauf mention contraire, la supervision continue du parc.
Le contrat avec un volume d'heures
L'entreprise achète un crédit d'heures ou un nombre d'interventions sur une période donnée. Cette formule peut convenir à des besoins réguliers mais limités. Il faut vérifier la durée de validité des heures, leur report éventuel, l'unité minimale facturée et le tarif appliqué au-delà du volume prévu. Un forfait d'heures n'implique pas automatiquement un engagement de rétablissement.
Le forfait récurrent avec périmètre défini
Le prestataire facture un montant périodique pour des services identifiés, par exemple la supervision, les mises à jour, l'assistance aux utilisateurs, la gestion de votre réseau et le suivi des sauvegardes. Ce modèle améliore la prévisibilité du budget, mais le terme « illimité » doit être lu avec prudence. Les projets, le matériel, les licences, les déplacements ou les interventions hors plages peuvent rester exclus.
| Formule | Situation adaptée | Point à contrôler | Risque principal |
|---|---|---|---|
| À la demande | Compétences internes et besoins ponctuels | Tarifs, disponibilité et priorité | Coût et délai imprévisibles en cas d'incident |
| Volume d'heures | Besoins réguliers mais limités | Décompte, report et dépassement | Volume épuisé au mauvais moment |
| Forfait récurrent | Forte dépendance informatique ou faible équipe interne | Périmètre, exclusions et SLA | Écart entre « forfait » et couverture réelle |
Plus une panne bloque de collaborateurs ou de chiffre d'affaires, plus le forfait assorti d'engagements précis devient pertinent. Une entreprise disposant d'une équipe interne peut, au contraire, réserver le prestataire à la supervision, à l'astreinte ou aux compétences qu'elle ne possède pas.
Pourquoi choisir une société externe pour votre infogérance ?
Une société externe apporte des compétences que la PME ne peut pas toujours maintenir en interne et une capacité d'intervention organisée. Elle peut surveiller les équipements, traiter les alertes, documenter les changements et mobiliser plusieurs spécialistes. Cet avantage n'existe toutefois que si les rôles sont clairs. Externaliser une tâche ne dispense pas l'entreprise de désigner un interlocuteur capable de valider les priorités, les accès et les changements importants.
Le bon prestataire informatique doit aussi produire une documentation exploitable : inventaire du parc, schéma du réseau, procédures de restauration, liste des comptes d'administration, historique des changements et comptes rendus d'incident. Sans cette documentation, la continuité dépend des personnes qui connaissent l'environnement, ce qui augmente la dépendance au fournisseur.
La sauvegarde mérite un contrôle distinct. Le contrat doit indiquer ce qui est sauvegardé, à quelle fréquence, pendant combien de temps, où les copies sont stockées et qui teste les restaurations. La CNIL recommande notamment d'isoler les sauvegardes et de vérifier qu'elles sont exploitables. Recevoir chaque jour un message « sauvegarde réussie » ne prouve pas qu'un serveur complet pourra être restauré dans le délai attendu.
Comparez enfin le coût total, pas seulement le forfait mensuel. Ajoutez les licences, le stockage, les outils de sécurité, les déplacements, les astreintes, les opérations hors périmètre, le renouvellement du matériel et la réversibilité. Demandez un exemple de facture correspondant à un mois normal et à un incident majeur. Vous verrez plus facilement quels postes peuvent varier.
Quels contrôles effectuer avant de signer ?
Faites relire le périmètre par les personnes qui utilisent les applications critiques. Elles repèrent souvent une dépendance oubliée, comme une imprimante d'étiquettes, une connexion entre deux logiciels ou un accès nécessaire à un cabinet externe. Demandez ensuite au prestataire de qualifier plusieurs scénarios concrets : panne d'un poste, indisponibilité du serveur, restauration d'un fichier, cyberattaque, départ d'un administrateur et changement de prestataire.
Pour chaque scénario, la réponse doit permettre d'identifier le canal de contact, le niveau de priorité, le délai applicable, les personnes mobilisées, les prestations incluses et les frais éventuels. Vérifiez aussi qui décide de couper un service, de restaurer une sauvegarde ou d'engager une dépense urgente.
Le contrat doit enfin être cohérent avec votre plan de continuité. Cybermalveillance.gouv.fr recommande de maintenir à jour les annuaires de crise, les moyens de communication de secours et les contrats de support informatique. Si le seul moyen de joindre l'infogérant dépend de la messagerie qui vient de tomber, la procédure n'est pas opérationnelle.
Avant la signature, demandez une version commentée du périmètre et des exclusions, un modèle de rapport mensuel, la procédure d'escalade et le plan de réversibilité chiffré. Si des données sensibles, une activité réglementée ou des responsabilités importantes sont en jeu, une relecture juridique spécialisée permet de vérifier l'équilibre des clauses. Le premier test d'un contrat d'infogérance reste simple : prenez votre incident le plus coûteux et vérifiez, ligne par ligne, ce que le document oblige réellement le prestataire à faire.
> Tout savoir sur l'infogérance informatique en entreprise > Quel est le rôle d'un système d'information ? > Pourquoi est-il important de signer un contrat d'infogérance ?
