Externaliser son informatique : à partir de quand une PME y gagne vraiment

Sous-traiter son informatique est déjà la norme

Le chiffrage public le plus net sur le sujet vient de l'INSEE. Parmi les sociétés de dix personnes ou plus, 62 % faisaient principalement appel à des prestataires pour la maintenance de leur infrastructure, contre 23 % qui s'appuyaient d'abord sur leurs propres effectifs ; 15 % n'étaient tout simplement pas concernées. La maintenance y apparaît comme la tâche informatique la plus fréquente, et la plus sous-traitée de toutes.

Une précaution s'impose sur ce chiffre : il provient de l'enquête TIC-entreprises 2018 de l'INSEE. C'est le dernier découpage de ce type publié sur la répartition interne/externe, et nous préférons le dater franchement plutôt que de le présenter comme une photographie d'aujourd'hui. L'ordre de grandeur, lui, reste parlant : rien depuis n'indique un mouvement inverse, entre le logiciel qui a basculé vers l'abonnement, la sécurité qui s'est complexifiée et les compétences qui se sont raréfiées.

Ce que ce chiffre dit surtout, c'est qu'externaliser n'est pas une décision exotique. La question n'est donc pas de savoir si vous devez « franchir le pas » — statistiquement, vous l'avez sans doute déjà à moitié franchi, ne serait-ce qu'avec l'installateur qui a posé votre réseau ou l'éditeur qui héberge votre logiciel de gestion. La question est de savoir ce qui reste flou dans ce partage.

La vraie question : qu'est-ce qu'on externalise ?

L'informatique d'une PME n'est pas un bloc. Elle se décompose en quatre familles de tâches qui ne se délèguent pas du tout de la même façon.

• L'exploitation courante. Postes qui ne démarrent pas, mots de passe perdus, imprimante récalcitrante, mises à jour à appliquer. C'est répétitif, chronophage et peu stratégique : c'est ce qui se délègue le mieux, et le plus tôt.
• L'infrastructure. Serveur ou NAS, réseau, sauvegardes, accès distants. Cela demande une compétence que peu de PME peuvent entretenir en interne pour une poignée d'équipements. C'est le cœur historique de l'infogérance.
• La sécurité. Gestion des accès, supervision, réaction en cas d'incident. Elle se délègue partiellement, jamais totalement : décider qui a accès à quoi reste une décision d'entreprise, pas une prestation technique.
• Les choix structurants. Quel logiciel métier, quelle trajectoire, quel budget. Cela ne s'externalise pas. Cela se conseille — la nuance est essentielle, et c'est précisément là que beaucoup de relations dérapent.

Le découpage compte davantage que le choix du prestataire. Une PME qui confie les deux premières familles et garde la main sur les deux dernières est dans une position saine. Celle qui délègue tout, arbitrages compris, finit par ne plus savoir ce qu'elle paie ni pourquoi — exactement le point de départ que nous décrivons dans notre article sur le budget informatique d'une PME.

Les trois signaux qui indiquent que le moment est venu

Aucun de ces signaux n'a l'allure d'une urgence. C'est justement ce qui les rend fiables : ils apparaissent avant l'incident grave, pas pendant.

• Quelqu'un fait de l'informatique « en plus ». Dans presque toutes les PME, une personne dépanne les autres — souvent parce qu'elle s'en sort mieux, rarement parce que c'est son métier. Ce temps existe, il n'apparaît sur aucune facture, et il est prélevé sur son vrai travail. Le seuil est franchi le jour où cette personne devient un point de passage obligé : quand elle est en congés, plus rien n'avance.
• Un incident vous a montré la limite. Pas nécessairement une attaque : un disque qui lâche, une boîte mail saturée, un fichier de travail introuvable. Ce qui compte n'est pas l'incident, c'est le temps qu'il a fallu pour revenir à la normale — et le fait de ne pas savoir s'il se reproduira.
• Une échéance extérieure s'impose. Une obligation réglementaire, un client qui envoie un questionnaire de sécurité, un assureur qui pose des questions précises sur les sauvegardes. Ces demandes se traitent mal dans l'improvisation.

L'écart entre « avoir une mesure » et « avoir une pratique »

Sur ce point, les données récentes de l'INSEE sont éclairantes. En 2024, 93 % des entreprises implantées en France et employant dix salariés ou plus déclaraient avoir mis en place au moins une mesure pour sécuriser leur système d'information. Le chiffre paraît rassurant. Il l'est nettement moins quand on regarde lesquelles.

Les mesures les plus répandues sont celles qui ne demandent aucun entretien : l'authentification par mot de passe fort (82 %), la sauvegarde des données dans un endroit différent comme le cloud (79 %), le contrôle d'accès au réseau informatique (71 %). Celles qui supposent un travail régulier restent minoritaires : le chiffrement des données, documents ou courriels (22 %), et surtout la réalisation régulière de tests de sécurité (27 %).

C'est exactement la ligne de partage. Cocher une mesure est un acte ponctuel ; vérifier qu'elle fonctionne encore est une pratique. Une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde, c'est une hypothèse — c'est tout l'objet de la règle 3-2-1. Un mot de passe fort protège moins bien qu'un second facteur, et l'authentification à deux facteurs coûte surtout du temps d'explication. Un accès distant ouvert pour un dépannage et jamais refermé n'est plus un outil de maintenance, c'est une porte — nous en avons détaillé les règles dans l'accès distant d'un prestataire.

Cette différence est, très concrètement, ce qu'un prestataire apporte quand il apporte quelque chose : non pas des outils que vous pourriez acheter seul, mais la régularité de leur vérification.

Quand il vaut mieux s'abstenir

Nous sommes prestataire, et il serait malhonnête de conclure que la réponse est toujours oui. Trois situations où externaliser ne réglera rien.

• Quand l'inventaire n'existe pas. Un contrat signé sur un parc mal connu produit des avenants, pas des économies. Faites l'inventaire d'abord : machines, âges, logiciels, contrats, dates d'échéance. C'est le premier livrable de tout audit sérieux, et il vous appartient — les critères de choix des machines elles-mêmes sont détaillés dans notre guide du matériel informatique pour PME.
• Quand le besoin réel est un projet, pas de la maintenance. Si votre problème est un logiciel métier inadapté, un contrat d'infogérance mensuel ne le résoudra pas : il facturera l'entretien d'un outil qui n'aurait pas dû rester.
• Quand le seul objectif est de réduire la facture. L'externalisation lisse une dépense et achète une compétence ; elle ne fait pas disparaître un besoin. Les économies annoncées avant l'inventaire sont des arguments de vente, pas des projections.

Ce qu'il faut exiger, quelle que soit la formule

Quatre points méritent d'être écrits noir sur blanc, que vous confiiez une seule tâche ou l'ensemble.

• Le périmètre, tâche par tâche. Ce qui est inclus, ce qui est facturé en plus, ce qui reste chez vous. Le flou coûte toujours au client, jamais au prestataire.
• Les accès administrateurs. Ils vous appartiennent. Un prestataire doit travailler avec ses propres comptes nommés, sur un accès distant tracé et refermé entre deux interventions. Vous devez conserver un accès de secours que vous seul détenez.
• La réversibilité. Que se passe-t-il si vous changez de prestataire ? La réponse doit exister avant la signature : documentation à jour, restitution des accès, sauvegardes exploitables sans lui.
• Ce qui est vérifié, et à quelle fréquence. Restauration de sauvegarde, revue des comptes, mises à jour. C'est le seul moyen de ne pas se contenter des 93 % et d'entrer dans les 27 %.

Ce que nous en pensons

Externaliser n'est ni un renoncement ni une solution. C'est un arbitrage entre ce qu'une entreprise a intérêt à savoir faire et ce qu'elle a intérêt à acheter. Une PME de dix personnes n'a aucune raison d'entretenir en interne une compétence réseau qu'elle utilisera trois jours par an ; elle a en revanche tout intérêt à savoir où sont ses données, qui y accède, et à qui téléphoner quand plus rien ne fonctionne.

Le bon test n'est pas financier, il est documentaire : si votre entreprise devait changer de prestataire demain matin, sauriez-vous quoi transmettre ? Si la réponse est oui, le partage est sain, quel que soit son périmètre. Si elle est non, le problème n'est pas l'externalisation — c'est qu'elle s'est faite sans inventaire. Cela se rattrape, et l'ordre des opérations compte : tant que l'état des lieux de votre infrastructure IT n'existe pas, aucune offre ne peut être comparée à une autre, ni discutée à armes égales.