Contrat d’infogérance PME : les 8 clauses oubliées qui créent des zones grises, des surcoûts et des attentes irréalistes

Sur le papier, un contrat d’infogérance semble rassurant : support utilisateur, supervision, maintenance, sauvegardes, sécurité. Puis un matin, un serveur tombe, le réseau ralentit fortement ou un site distant n’est plus joignable. C’est souvent à ce moment-là que la PME découvre que le “oui, c’est pris en charge” n’était pas aussi clair qu’elle le pensait.

Dans la réalité, les problèmes viennent rarement d’une absence totale de contrat. Ils viennent plutôt des zones grises : une intervention sur site facturée en plus, une restauration de sauvegarde non incluse, un incident critique traité seulement aux heures ouvrées, ou un équipement réseau considéré comme “hors périmètre”. Résultat : perte de temps, tensions internes, coûts imprévus et parfois arrêt d’activité ⚠️

Pour une PME, un contrat d’infogérance n’a de valeur que s’il décrit correctement le terrain : les usages réels, les contraintes de production, les sites isolés, les logiciels métiers, les dépendances réseau et les priorités en cas d’incident. C’est à cet endroit que se jouent la fiabilité et le coût réel du service.

Le premier angle mort : un périmètre de support trop flou

Beaucoup de contrats parlent de “support utilisateurs” sans préciser ce que cela recouvre réellement. Est-ce uniquement la messagerie, les postes de travail et Microsoft 365 ? Ou aussi les imprimantes réseau, les accès VPN, les smartphones professionnels, les logiciels métiers, les scanners d’atelier ou les connexions vers un site industriel ?

Quand le périmètre n’est pas détaillé, chaque incident devient un cas particulier. L’utilisateur appelle pour un problème d’accès à son ERP, mais le prestataire répond que l’application est gérée par l’éditeur. Le responsable IT pense que le réseau local est inclus, mais le switch principal n’apparaît nulle part dans l’inventaire contractuel. Ce flottement fait perdre un temps précieux au moment où il faudrait agir vite.

Ce point est encore plus sensible dans les environnements techniques. Un routeur industriel, une SIM M2M ou un lien de secours peuvent être indispensables à l’exploitation, tout en étant absents du contrat principal. Sur le terrain, personne ne fait la différence entre “critique pour l’activité” et “hors périmètre” 🚧

Un contrat d’infogérance efficace ne décrit pas seulement des moyens : il précise ce qui est réellement couvert quand l’activité est bloquée.

Dans bien des cas, un audit IT préalable permet justement de cartographier les équipements, les dépendances et les usages métiers avant la signature ou le renouvellement du contrat.

Interventions sur site, délais réels et heures couvertes : la source classique de surcoûts

Un contrat peut prévoir une assistance illimitée à distance, tout en facturant séparément chaque déplacement. Tant que les incidents se règlent en télémaintenance, tout va bien. Mais dès qu’il faut remplacer un équipement, vérifier un brassage réseau, redémarrer un pare-feu sur un site isolé ou intervenir sur une baie, la facture change de dimension.

Le sujet ne concerne pas seulement le prix du déplacement. Il concerne aussi les délais et les plages de couverture. Un incident déclaré à 17h30 un vendredi n’a pas le même impact selon que le contrat prévoit une prise en charge en heures ouvrées ou une astreinte réelle. Beaucoup de PME pensent avoir un support “réactif”, alors qu’elles disposent en fait d’un engagement de rappel, pas d’un engagement de résolution ⏱️

Il faut distinguer clairement trois choses : le délai de prise en compte, le délai d’intervention et le délai de résolution. Sans cette distinction, les attentes deviennent irréalistes. Et quand une panne bloque la production ou la logistique, cette ambiguïté coûte cher.

• Le déplacement sur site est-il inclus, limité ou facturé au cas par cas ?
• Les incidents critiques sont-ils couverts hors horaires standard ?
• Le SLA porte-t-il sur un accusé de réception ou sur une action concrète ?

Supervision, sauvegardes et restauration : ce qui est surveillé n’est pas toujours ce qui est récupérable

“Les sauvegardes sont en place” est probablement l’une des phrases les plus trompeuses en informatique. Sauvegarder ne veut pas dire tester. Superviser ne veut pas dire corriger. Et recevoir une alerte ne veut pas dire restaurer rapidement un service métier.

Dans certains contrats, la supervision couvre l’état général des serveurs, mais pas la qualité métier du service. Un disque saturé remonte, mais pas une lenteur applicative sur un logiciel de production. Une sauvegarde peut s’exécuter sans erreur apparente, tout en étant inutilisable au moment de restaurer une base de données ou un fichier critique.

La clause vraiment importante n’est donc pas seulement “sauvegarde incluse”. C’est : qui contrôle les sauvegardes, à quelle fréquence, sur quel périmètre, avec quels tests, et surtout dans quel délai une restauration peut être réalisée. Quand ce point n’est pas écrit noir sur blanc, la PME découvre parfois trop tard que la remise en service prendra des heures, voire des jours 💾

Pour aller plus loin sur ce sujet, il est utile de comparer le contrat d’infogérance avec un vrai dispositif de sauvegarde informatique professionnelle et, si besoin, avec une stratégie de PRA / PCA informatique.

Une sauvegarde n’a de valeur que si la restauration est testée, documentée et compatible avec les délais d’activité de l’entreprise.

Le guide de l’ANSSI rappelle d’ailleurs l’importance de la sauvegarde, de la restauration testée et de la préparation opérationnelle face aux incidents.

Cybersécurité, réseau et logiciels tiers : les responsabilités sont souvent mal réparties

Un autre malentendu fréquent concerne la sécurité. Beaucoup d’entreprises pensent qu’un contrat d’infogérance couvre automatiquement la cybersécurité dans son ensemble. En pratique, il peut inclure l’antivirus, quelques mises à jour et un pare-feu, sans inclure l’analyse de vulnérabilité, la revue des droits, la sécurisation des accès distants, le durcissement des équipements réseau ou la gestion d’un incident de sécurité.

Le même problème existe avec les logiciels tiers. Lorsqu’un ERP, un outil de GPAO, une solution de supervision industrielle ou un applicatif métier tombe, qui pilote l’incident ? Le prestataire d’infogérance ? L’éditeur ? L’intégrateur ? Si le contrat ne définit pas la frontière et la coordination entre intervenants, la PME se retrouve au milieu, à relancer tout le monde pendant que l’activité attend.

Sur des sites techniques ou distants, cette question prend encore plus d’importance. Une coupure VPN, un routeur 4G industriel instable ou une SIM M2M mal provisionnée peuvent avoir des impacts très concrets sur la supervision, la maintenance distante ou la remontée d’alarmes. Si ces maillons ne sont pas explicitement couverts, le contrat ne protège qu’une partie du problème 🔐

Sur les volets réseau et accès distants, il est utile de vérifier si le contrat couvre aussi les éléments de firewall et VPN de sécurité réseau. Pour les bonnes pratiques générales, le CISA publie également des ressources utiles sur la gestion des incidents et la sécurisation des accès.

Astreinte, incidents critiques et gouvernance : le contrat doit décrire les situations de crise

Lorsqu’un incident majeur survient, ce n’est pas seulement la technique qui compte. Il faut savoir qui décide, qui escalade, qui informe les utilisateurs, qui coordonne les tiers et à partir de quel niveau un incident devient prioritaire. C’est précisément ce que beaucoup de contrats laissent dans le flou.

Une astreinte réelle ne se résume pas à un numéro de téléphone. Il faut des règles claires : déclenchement, niveau de priorité, engagements, majorations éventuelles, moyens d’intervention et responsabilités du client. Sinon, au moment critique, chacun pense que l’autre a la main. Et l’incident dure plus longtemps que nécessaire.

La gouvernance fait aussi partie du contrat. Sans comité de suivi, sans revue de parc, sans inventaire mis à jour et sans reporting exploitable, les écarts s’accumulent silencieusement : postes non suivis, équipements obsolètes, licences oubliées, sauvegardes partielles, alertes ignorées. Ce ne sont pas des détails administratifs ; ce sont souvent les causes des pannes récurrentes 📉

• Qu’est-ce qu’un incident critique dans votre contexte réel ?
• Qui pilote les échanges avec les éditeurs, opérateurs et constructeurs ?
• Comment le périmètre est-il révisé quand votre activité évolue ?

La clause souvent négligée jusqu’au dernier moment : la réversibilité

Tant que la relation fonctionne, la réversibilité semble secondaire. Pourtant, c’est une clause essentielle. Si vous changez de prestataire, si vous internalisez une partie du support ou si vous devez reprendre la main en urgence, pouvez-vous récupérer rapidement les accès, les configurations, la documentation, les sauvegardes, les licences, les schémas réseau et l’historique d’exploitation ?

Sans clause précise, la transition devient longue, coûteuse et risquée. On découvre des mots de passe manquants, une cartographie incomplète, des comptes d’administration partagés, des équipements non documentés ou des outils de supervision impossibles à reprendre. La dépendance au prestataire apparaît alors au pire moment.

Un bon contrat d’infogérance ne sert pas seulement à cadrer le quotidien. Il doit aussi sécuriser les situations exceptionnelles : crise majeure, extension de périmètre, ouverture d’un site, intégration d’un environnement industriel, ou changement de partenaire. C’est souvent là que se révèle la qualité réelle du dispositif ✅

Avant de signer ou de renouveler, relire un contrat d’infogérance sous un angle opérationnel change complètement la perspective. La bonne question n’est pas “avons-nous un contrat ?”, mais “que se passe-t-il concrètement quand un poste bloque, qu’un lien tombe, qu’une sauvegarde doit être restaurée ou qu’un site distant devient inaccessible ?” Si la réponse n’est pas claire à la lecture, elle ne le sera pas davantage le jour de l’incident.

Pour une PME, la vraie valeur d’un contrat tient dans cette clarté : un périmètre net, des engagements réalistes, des responsabilités assumées et un cadre qui colle aux contraintes du terrain. C’est précisément ce qui permet d’éviter les surcoûts cachés, de réduire les interruptions et d’aligner le support informatique sur les enjeux réels de l’entreprise.