Dans une PME qui grandit ou qui se transforme, il arrive un moment où l'équipe IT interne ( souvent réduite à 1 ou 2 personnes) ne peut plus tout gérer seule. Les projets s'accumulent, l'infrastructure se complexifie, les compétences spécialisées manquent, la pression cyber augmente. L'externalisation devient inévitable, au moins partiellement.
Deux grandes familles de prestataires peuvent intervenir : les intégrateurs, qui accompagnent sur des projets ponctuels (déploiement d'un ERP, migration cloud, refonte réseau), et les MSP (Managed Service Providers), qui prennent en charge l'exploitation et la maintenance de tout ou partie de l'infrastructure sur la durée (infogérance, cybersécurité managée, support utilisateurs).
Mais choisir le bon partenaire n'est pas simple. Les discours commerciaux se ressemblent, les plaquettes promettent toutes excellence et expertise, les tarifs sont opaques. Beaucoup de PME signent avec le premier prestataire recommandé par leur réseau, ou avec celui qui a présenté la démo la plus impressionnante, sans vraiment structurer leur évaluation.
Résultat : des projets qui dérivent (budget doublé, délais non tenus, périmètre réduit), une qualité de service décevante (tickets non traités, interventions bâclées, turnover des intervenants), et une dépendance qui s'installe sans que la PME ne s'en rende compte (documentation absente, mots de passe détenus uniquement par le prestataire, compétences internes perdues).
Le manager IT doit donc aborder ce choix avec méthode : définir précisément son besoin, structurer un appel d'offres rigoureux, évaluer objectivement les candidats, négocier fermement les conditions contractuelles, et organiser la relation dès le départ pour rester maître de son SI.
Avant l'appel d'offres : clarifier son besoin et son niveau d'exigence
Trop de PME lancent un appel d'offres flou : "On cherche un prestataire pour nous aider sur l'IT". Cette imprécision produit des réponses incomparables et rend le choix arbitraire. Il faut d'abord structurer la demande.
Définir précisément le périmètre d'intervention
La première question à trancher : que veut-on externaliser exactement ? Plusieurs scénarios sont possibles :
1. Infogérance complète : Le MSP prend en charge l'intégralité de l'infrastructure IT (serveurs, réseau, postes de travail, applications, support utilisateurs). L'équipe IT interne devient minimale ou disparaît, le manager IT devient un pilote de prestataire. C'est le scénario le plus courant dans les PME de 20 à 100 personnes sans DSI dédié.
2. Infogérance partielle : Le MSP gère certaines briques (par exemple l'infrastructure réseau et serveurs) pendant que l'équipe interne conserve le support utilisateurs et les projets. C'est un modèle hybride fréquent dans les PME de 100 à 300 personnes avec une petite équipe IT interne.
3. Support utilisateurs externalisé (helpdesk managé) : Le MSP traite les tickets de support niveau 1 et 2, l'équipe interne se concentre sur les projets et les sujets stratégiques.
4. Cybersécurité managée : Le MSP assure la surveillance de sécurité 24/7, la gestion des incidents cyber, les tests d'intrusion, pendant que l'équipe interne gère le reste.
5. Projet d'intégration ponctuel : Un intégrateur intervient sur un projet spécifique et limité dans le temps (déploiement ERP, migration Office 365, refonte infrastructure), puis part. Pas de relation continue.
Ces scénarios ne sont pas exclusifs : on peut cumuler une infogérance partielle avec un projet d'intégration ponctuel réalisé par un autre acteur. Mais il faut être clair sur le périmètre de chaque prestataire pour éviter les zones grises de responsabilité.
Identifier les compétences critiques à rechercher
En fonction du périmètre, certaines compétences sont indispensables. Une PME industrielle qui externalise l'infogérance de son réseau OT (Operational Technology, le réseau des machines de production) doit s'assurer que le MSP a de vraies compétences industrielles, pas seulement bureautiques.
Une PME du retail avec un parc de terminaux de caisse doit vérifier que le prestataire maîtrise ces environnements spécifiques.
Il faut lister les compétences techniques critiques :
Environnements (Windows, Linux, cloud Azure/AWS/GCP, VMware, Hyper-V)
Applications (ERP Sage/SAP/Odoo, CRM, logiciels métiers sectoriels)
Sécurité (firewalls Fortinet/Palo Alto/Sophos, EDR, SOC)
Réseau (Cisco, HP, Ubiquiti, SD-WAN)
Certifications (Microsoft Partner, AWS Partner, certifications sécurité ANSSI/ISO 27001)Un MSP généraliste qui fait "un peu de tout" sera moins performant qu'un MSP spécialisé sur les technologies que vous utilisez vraiment.
Définir les SLA attendus et les pénalités
Avant même de consulter, il faut définir les niveaux de service qu'on attend. Ces SLA (Service Level Agreements) doivent être adaptés à la criticité de chaque service, pas uniformes.
Exemple de SLA différenciés :
Service
Disponibilité cible
Temps de prise en charge
Temps de résolution cible
Pénalité si non-respect
Infrastructure de production (ERP, serveurs métiers)
99,5% (hors maintenance)
30 minutes max
4h max (P1 bloquant)
10% de crédit mensuel
Messagerie
99%
1h max
8h max (P1 bloquant)
5% de crédit mensuel
Postes de travail
98%
4h max
24h max (P2 important)
2% de crédit mensuel
Support utilisateurs niveau 1
N/A
15 min max (téléphone)
80% résolus en J+1
5% de crédit si <70%
Note : Ces SLA doivent être mesurables, audités, et sanctionnables. Un SLA sans pénalité financière automatique en cas de manquement n'a aucune valeur car le prestataire n'a aucune incitation à le respecter.
Évaluer le budget disponible et le TCO attendu
Un MSP coûte entre 80 et 200 € par utilisateur et par mois selon le niveau de service et le périmètre. Pour une PME de 50 utilisateurs, cela représente 4 000 à 10 000 € par mois, soit 48 000 à 120 000 € par an.
Ce coût doit être comparé au TCO (Total Cost of Ownership) interne : salaires de l'équipe IT actuelle, licences, matériel, coûts cachés (turnover, recrutement, formation). Souvent, l'externalisation n'est pas une économie pure, mais un arbitrage entre coût et qualité de service : on paie plus cher, mais on a une meilleure disponibilité, plus de compétences, moins de risque de départ brutal.
Il faut donc budgéter de manière réaliste. Un MSP qui propose 100 € par utilisateur et par mois alors que le marché est à 150 € pour un périmètre équivalent est soit en train de sous-estimer (et rattrapera en avenants), soit en train de rogner sur la qualité.
Structurer l'appel d'offres : les éléments indispensables du cahier des charges
Un bon cahier des charges pour choisir un intégrateur ou un MSP doit être structuré, précis, et permettre de comparer objectivement les réponses.
Présentation du contexte entreprise
Le prestataire doit comprendre votre activité, votre organisation, votre culture. Cette section du cahier des charges présente :
L'entreprise : secteur d'activité, effectif, implantations géographiques, CA, croissance prévue.
L'organisation IT actuelle : équipe interne (taille, compétences), infrastructure existante (serveurs, réseau, applications), niveau de virtualisation/cloudification, budget IT annuel.
Les projets en cours ou prévus : migration cloud, déploiement ERP, ouverture de nouveaux sites. Un MSP qui arrive en plein projet de transformation doit le savoir dès le départ.
Les contraintes spécifiques : secteur régulé (santé, finance, défense), certification nécessaire (ISO 27001, HDS), implantations à l'étranger, environnements industriels ou logistiques particuliers.Cette contextualisation permet au prestataire d'adapter sa réponse. Elle permet aussi de détecter ceux qui envoient une réponse générique copiée-collée de leur catalogue.
Périmètre détaillé des services attendus
Cette section est le cœur du cahier des charges. Elle doit lister précisément ce qui est attendu, en distinguant ce qui est obligatoire (sans quoi la réponse sera éliminée) et ce qui est souhaitable (un plus, mais pas rédhibitoire).
Exemple de structuration :
Périmètre obligatoire :
Infogérance de l'infrastructure serveurs (X serveurs physiques, Y VM)
Supervision 24/7 avec astreinte
Support utilisateurs niveau 1 et 2 (helpdesk en français, 8h-19h)
Gestion des sauvegardes avec test de restauration trimestriel
Application des patchs de sécurité sous 7 jours
Fourniture d'un tableau de bord mensuel (disponibilité, tickets, incidents)Périmètre souhaitable :
Support utilisateurs étendu 7h-21h
Supervision proactive avec recommandations d'optimisation
Gestion du parc matériel (inventaire, renouvellement)Pour chaque service, préciser les attentes qualitatives : délais de réponse, disponibilité, reporting, fréquence d'intervention.
SLA et pénalités (repris du cadrage initial)
Les SLA doivent être détaillés dans le cahier des charges, avec les pénalités associées. Cela permet de comparer les engagements de chaque candidat. Certains prestataires proposeront des SLA plus ambitieux que d'autres, ce qui doit être valorisé dans la grille d'évaluation.
Modèle de pricing souhaité
Pour comparer objectivement, il faut imposer un modèle de pricing commun dans le cahier des charges. Sinon, chaque prestataire répondra avec son propre modèle (forfait mensuel, tarification par utilisateur, tarification par service, régie à l'heure), rendant la comparaison impossible.
Modèle de pricing type pour un MSP :
Forfait mensuel par utilisateur : X € par utilisateur et par mois, incluant le périmètre obligatoire défini.
Services additionnels optionnels : Tarifs à l'unité pour les services hors forfait (projets, interventions spécifiques, formations).
Conditions de révision tarifaire : Indexation annuelle (si oui, sur quel indice ? plafonné à combien ?), conditions de renégociation.Ce modèle permet de comparer les réponses sur une base commune.
Livrables et jalons attendus (pour un projet d'intégration)
Si l'appel d'offres concerne un projet d'intégration ponctuel (déploiement ERP, migration cloud), il faut définir les jalons et livrables attendus :
Planning global : Durée totale du projet, grandes phases.
Livrables documentaires : Dossier de conception, cahier de recette, documentation technique, procédures d'exploitation.
Jalons de validation : Recette fonctionnelle, recette de performance, mise en production, période de garantie.
Accompagnement : Formation des utilisateurs, assistance au démarrage (nombre de jours sur site).Ces éléments permettent de comparer la méthode et la rigueur de chaque intégrateur.
Critères de sélection et pondération
Il est utile d'annoncer dès le cahier des charges les critères de sélection et leur poids. Cela guide les prestataires et objectivise la décision.
Exemple de critères pondérés :
Critère
Poids
Prix (TCO sur 3 ans)
30%
Qualité des SLA proposés
20%
Compétences techniques et références
20%
Proximité géographique et réactivité
15%
Méthodologie et outils de pilotage
10%
Solidité financière et pérennité
5%
Note : Cette grille doit être adaptée aux priorités de l'entreprise. Une PME très sensible au coût donnera plus de poids au prix. Une PME dans un secteur critique donnera plus de poids aux SLA et aux compétences.
Annexes : éléments de contexte technique
En annexe du cahier des charges, fournir des éléments techniques concrets :
Inventaire du parc : Nombre de serveurs (modèles, OS), nombre de postes de travail (âge, configuration), équipements réseau (switches, firewalls, AP WiFi), applications critiques (nom, éditeur, version).
Schéma d'architecture réseau : Même simplifié, il aide le prestataire à comprendre l'environnement.
Volumétrie support actuelle : Nombre de tickets par mois, répartition par type, temps de résolution actuel. Cela permet au prestataire de dimensionner son équipe.Ces annexes permettent aux candidats de répondre de manière réaliste, et évitent les mauvaises surprises lors de la reprise (le fameux "on ne savait pas que vous aviez aussi ça").
Évaluer les candidats : questions clés et signaux d'alerte
Une fois les réponses reçues, commence la phase d'évaluation. Il ne faut pas se contenter de lire les réponses écrites, il faut creuser par des entretiens, des visites, et des vérifications.
Grille d'évaluation multicritères
Reprendre la grille de pondération annoncée dans le cahier des charges, et noter chaque candidat sur chaque critère. Cette notation doit être collégiale (manager IT, direction, éventuellement un référent métier), pas uniquement IT.
Exemple de notation :
Critère
Candidat A
Candidat B
Candidat C
Prix (30%)
8/10
6/10
9/10
Qualité SLA (20%)
9/10
7/10
6/10
Compétences (20%)
7/10
9/10
6/10
Proximité (15%)
6/10
9/10
5/10
Méthodologie (10%)
8/10
8/10
5/10
Solidité (5%)
7/10
8/10
6/10
Total pondéré
7,7
7,7
7,0
Note : Dans cet exemple, les candidats A et B sont à égalité. Il faudra départager sur des critères qualitatifs ou négocier pour améliorer l'offre de l'un ou l'autre.
Les questions à poser en entretien
Au-delà des réponses écrites, les entretiens avec les candidats présélectionnés (2 à 4 maximum) permettent de creuser et de détecter les zones de flou.
Questions sur l'organisation opérationnelle :
Qui sera notre interlocuteur principal ? Nom, fonction, ancienneté dans l'entreprise. Vérifier que ce n'est pas le commercial qui disparaîtra après la signature.
Quelle équipe interviendra sur notre dossier ? Taille de l'équipe, répartition des rôles (responsable de compte, techniciens niveau 1/2/3, superviseurs), localisation (France, offshore), langue de travail.
Quel est votre taux de turnover sur les équipes techniques ? Un turnover élevé (>30% par an) est un signal d'alerte : vous subirez des changements d'interlocuteurs fréquents, perte de connaissance de votre environnement.
Comment gérez-vous les montées en compétences de vos équipes ? Formations, certifications, veille technologique. Un MSP qui ne forme pas ses équipes sera rapidement dépassé.Questions sur la méthodologie et les outils :
Quel outil de ticketing utilisez-vous ? Est-il accessible au client en temps réel ? Peut-on exporter les données ? Un MSP sérieux donne un accès client transparent à son outil de ticketing.
Comment assurez-vous la supervision 24/7 ? Outils utilisés (Nagios, Zabbix, PRTG, SolarWinds), processus d'escalade, astreinte (interne ou externalisée).
Comment gérez-vous la documentation de notre infrastructure ? À quelle fréquence est-elle mise à jour ? Dans quel format ? Où est-elle stockée ? Une documentation absente ou obsolète est un énorme signal d'alerte.
Quel est votre processus de gestion des incidents majeurs ? Qui décide de déclencher une cellule de crise ? Comment est-on informé ? Quelle est la fréquence de communication pendant l'incident ?Questions sur les références et l'expérience :
Pouvez-vous nous fournir 3 références clients de taille et de secteur comparables au nôtre ? Avec contacts directs (nom, fonction, téléphone, email). Vérifier que ce ne sont pas des références de complaisance (amis du commercial).
Avez-vous déjà géré une reprise d'infrastructure dans des conditions similaires (même taille, même secteur, même stack technique) ? Demander des exemples concrets, avec les difficultés rencontrées et comment elles ont été résolues.
Combien de clients avez-vous perdus ces 24 derniers mois, et pourquoi ? Question inconfortable, mais révélatrice. Un MSP qui refuse de répondre ou qui prétend n'avoir jamais perdu de client ment. Les raisons de départ sont instructives (prix, qualité, changement de stratégie client).Questions sur la contractualisation et la réversibilité :
Quelle est la durée d'engagement minimale ? Un contrat MSP typique engage pour 12 à 36 mois. Méfiez-vous des engagements trop longs (>36 mois) sans clause de sortie.
Quelle est la procédure et le coût de réversibilité ? Délai de préavis (généralement 3 à 6 mois), accompagnement de la transition, restitution de la documentation, coûts de sortie (doivent être plafonnés).
Comment gérez-vous les évolutions de périmètre en cours de contrat ? Ajout d'utilisateurs, ajout de services, retrait de services. Les conditions doivent être claires (tarifs, délais).Les signaux d'alerte (red flags)
Certains signaux doivent déclencher une alerte immédiate :
Le commercial promet tout sans réserve : "Oui, on fait tout ça, aucun problème." Un prestataire sérieux pose des questions, émet des réserves, explique les limites.
Pas de références vérifiables : "On ne peut pas vous donner de contacts clients pour des raisons de confidentialité." C'est faux. Un client satisfait accepte généralement de témoigner.
Offre low-cost très en-dessous du marché : Si tous les candidats sont à 150 € par utilisateur et par mois, et qu'un candidat propose 80 €, soit il a mal compris le périmètre, soit il sous-traite offshore sans le dire, soit il prévoit de rattraper en avenants.
Turnover très élevé des équipes : Si l'équipe change tous les 6 mois, vous passerez votre temps à réexpliquer votre environnement.
Aucune méthodologie formalisée : Pas d'outil de ticketing structuré, pas de processus documenté, tout repose sur "l'expérience de nos techniciens". Cela ne scale pas et ne garantit rien.
Réponse générique, non adaptée à votre contexte : La réponse au cahier des charges est un copié-collé de leur catalogue, sans aucune personnalisation. Ils n'ont pas pris le temps de comprendre votre besoin.Vérifier les références clients
Ne jamais se contenter des références fournies par le prestataire dans son dossier. Il faut les appeler, et poser des questions directes :
Depuis combien de temps travaillez-vous avec ce prestataire ?
Quel est votre niveau de satisfaction général (note sur 10) ?
Quels ont été les principaux problèmes rencontrés ?
Comment réagit le prestataire en cas d'incident majeur ?
Les SLA sont-ils respectés ? Y a-t-il eu des pénalités appliquées ?
Le turnover des intervenants est-il acceptable ?
Referiez-vous le même choix aujourd'hui ?Ces appels prennent 20 à 30 minutes par référence, mais ils valent de l'or. C'est là qu'on détecte les vrais points forts et les vraies faiblesses du prestataire, au-delà du discours commercial.
Négocier le contrat : points de vigilance juridiques et opérationnels
Une fois le prestataire sélectionné, il faut négocier et signer le contrat. C'est une étape critique, souvent bâclée par manque de temps ou d'expertise juridique.
Les clauses essentielles à négocier
1. SLA avec pénalités automatiques
Les SLA doivent être inscrits dans le contrat, avec des pénalités financières automatiques et plafonnées. Par exemple : "En cas de disponibilité inférieure à 99 % sur un mois, le prestataire applique un crédit de 10 % sur la facture mensuelle, plafonné à 30 % de la facture."
Le mécanisme doit être automatique (pas besoin de réclamer) et objectivement mesurable (via un outil de supervision partagé).
2. Réversibilité détaillée
La clause de réversibilité doit préciser :
Durée de préavis : 3 à 6 mois selon la criticité.
Obligations du prestataire sortant : Restitution complète de la documentation (architecture, procédures, mots de passe), formation du prestataire entrant ou de l'équipe interne (nombre de jours, contenu), accompagnement pendant la période de transition.
Coûts de réversibilité : Plafonnés à 1 ou 2 mois de forfait, pas de facturation libre.
Format de restitution des données : Formats standards, exploitables, pas de formats propriétaires.Sans cette clause, le prestataire peut vous bloquer indéfiniment ou facturer des sommes astronomiques pour "accompagner la sortie".
3. Propriété intellectuelle et des données
Le contrat doit clarifier que :
Les données restent votre propriété : Le prestataire est hébergeur ou sous-traitant au sens RGPD, pas propriétaire.
Les configurations et scripts développés pour vous vous appartiennent : Si le prestataire développe des scripts spécifiques, des configurations sur-mesure, ils doivent vous être remis en fin de contrat.
Les mots de passe root/admin vous sont communiqués : Vous devez avoir accès à vos propres systèmes, même si c'est le prestataire qui les gère au quotidien.Cette clause protège contre l'enfermement propriétaire.
4. Confidentialité et sécurité
Le prestataire doit signer un accord de confidentialité (NDA) couvrant toutes les données et informations auxquelles il a accès. Il doit aussi s'engager sur des pratiques de sécurité minimales :
Accès sécurisés : VPN, MFA, pas de mots de passe partagés.
Ségrégation des environnements clients : Vos données ne doivent pas être accessibles par les autres clients du MSP.
Gestion des incidents de sécurité : Procédure de notification immédiate en cas de faille ou d'incident cyber.Si le prestataire est certifié ISO 27001 ou SOC 2, c'est un bon signal. Sinon, ces engagements doivent être contractualisés.
5. Conditions de facturation et de révision tarifaire
Clarifier :
Modalités de facturation : Mensuelle, trimestrielle, annuelle. Délai de paiement.
Conditions de révision tarifaire : Indexation annuelle (sur quel indice ? avec quel plafond ?). Pas de révision unilatérale libre.
Facturation hors forfait : Conditions et tarifs des prestations hors périmètre (projets, interventions exceptionnelles). Obligation de devis préalable au-delà d'un montant plancher (par exemple 500 €).Cette transparence évite les dérives budgétaires.
6. Responsabilités et assurances
Le prestataire doit être assuré en responsabilité civile professionnelle, avec un montant de garantie adapté (généralement 1 à 5 millions d'euros selon la taille du contrat). Il doit fournir une attestation d'assurance annuelle.
Le contrat doit préciser les limites de responsabilité en cas de panne ou d'incident : perte de données, interruption d'activité, etc. Généralement, la responsabilité du prestataire est plafonnée au montant du contrat annuel, sauf faute lourde.
Organiser une période de transition / reprise
Le démarrage avec un nouveau MSP ne se fait pas du jour au lendemain. Il faut organiser une période de reprise de 1 à 3 mois selon la complexité, pendant laquelle le nouveau prestataire prend connaissance de l'environnement, documente, teste, et monte en compétence.
Pendant cette période :
Audits et inventaires : Le nouveau prestataire réalise un audit complet de l'existant (matériel, logiciels, configurations, procédures).
Documentation : Rédaction ou mise à jour de la documentation technique (architecture, procédures d'exploitation, contacts fournisseurs, contrats de licences).
Transfert de connaissances : Si le prestataire sortant existe, organisation de sessions de passation. Si c'était géré en interne, sessions avec l'équipe IT interne.
Tests : Validation que le nouveau prestataire sait gérer les incidents courants, restaurer une sauvegarde, redémarrer un service critique.Cette période doit être budgétée et contractualisée. Souvent, elle est facturée en régie (nombre de jours x taux journalier), ou incluse dans un forfait de démarrage.
Piloter la relation : rituel et transparence
Une fois le contrat signé et la reprise effectuée, le travail ne s'arrête pas. Il faut piloter activement la relation pour s'assurer que le prestataire tient ses engagements.
Instaurer un comité de pilotage mensuel
Un comité de pilotage (COPIL) mensuel, d'une heure, structure la relation. À l'ordre du jour :
Revue des SLA du mois écoulé : Disponibilité, tickets, délais de résolution, incidents majeurs. Application des pénalités si nécessaire.
Point sur les projets en cours : Si le prestataire accompagne des projets (migration, déploiement), suivi de l'avancement.
Remontée des irritants et des problèmes : Temps d'échange libre pour remonter ce qui ne va pas, ajuster, améliorer.
Anticipation des besoins à venir : Projets métiers prévus, évolution du parc, changements organisationnels. Permet au prestataire d'anticiper.
Plan d'amélioration continue : Identification de 1 ou 2 actions d'optimisation pour le mois suivant.Le compte-rendu de ce COPIL doit être rédigé par le prestataire et validé par le client sous 48h. Il constitue la traçabilité de la relation.
Suivre les indicateurs en continu
Entre deux COPIL, le manager IT doit avoir accès en temps réel aux indicateurs de performance :
Tableau de bord de supervision : Disponibilité des services, alertes en cours.
Outil de ticketing : Nombre de tickets ouverts, en cours, résolus, temps de résolution.
Reporting mensuel automatisé : Synthèse des indicateurs, comparaison avec les SLA, évolution sur 3-6-12 mois.Si le prestataire ne fournit pas ces accès ou ces rapports spontanément, il faut les exiger contractuellement.
Réaliser des audits ponctuels indépendants
Même avec un prestataire de confiance, il est sain de réaliser un audit indépendant tous les 18 à 24 mois. Un tiers expert vient vérifier :
La conformité avec le contrat : Les SLA sont-ils vraiment respectés ? La documentation est-elle à jour ? Les sauvegardes sont-elles testées ?
La qualité de l'infrastructure : Obsolescence, vulnérabilités, optimisations possibles.
La performance du prestataire : Benchmarking avec le marché (prix, SLA, méthodologie).Cet audit coûte entre 3 000 et 10 000 € selon le périmètre, mais il sécurise la relation et maintient l'exigence.
Éviter les pièges et la dépendance
Même avec un bon prestataire, la relation peut dériver vers une dépendance malsaine si elle n'est pas encadrée.
Maintenir une documentation interne à jour
Le prestataire doit fournir une documentation complète, mais le manager IT doit aussi maintenir sa propre documentation interne : schéma d'architecture simplifié, liste des actifs critiques, procédures de secours, inventaire des contrats et licences, contacts d'urgence.
Cette documentation interne permet de reprendre la main en cas de rupture brutale avec le prestataire (faillite, conflit majeur), ou de changer de prestataire plus facilement.
Conserver certaines compétences en interne
Même en infogérance complète, il faut conserver en interne une compréhension globale de l'architecture et des compétences sur les sujets critiques. Cela ne veut pas dire tout savoir faire, mais au minimum :
Comprendre le schéma d'architecture (réseau, serveurs, applications).
Connaître les mots de passe principaux (root, admin domaine, console de gestion).
Être capable de restaurer une sauvegarde en urgence.
Savoir contacter les fournisseurs critiques (hébergeur, éditeurs logiciels, opérateur télécoms).Si le manager IT part en vacances et que le prestataire est injoignable, quelqu'un en interne doit pouvoir gérer une situation d'urgence minimale.
Tester régulièrement la procédure de réversibilité
La réversibilité inscrite dans le contrat n'est réelle que si elle est testée. Une fois par an, demander au prestataire de simuler une procédure de transfert : extraction de la documentation, export des configurations, inventaire complet, restitution des mots de passe.
Cet exercice révèle immédiatement si la clause de réversibilité est opérationnelle ou si elle n'était qu'une promesse contractuelle. Si le prestataire tergiverse ou refuse, c'est un énorme signal d'alerte.
Ne pas hésiter à changer si la relation ne fonctionne pas
Beaucoup de PME restent avec un prestataire décevant par inertie, par peur du changement, ou parce qu'elles pensent être prisonnières. C'est une erreur. Si la qualité de service est durablement dégradée, si les SLA ne sont jamais respectés, si le prestataire n'écoute pas les remontées, il faut envisager un changement.
La clause de réversibilité est là pour ça. Certes, changer de prestataire est un projet lourd (3 à 6 mois de transition), mais rester avec un mauvais prestataire coûte encore plus cher en perte d'efficacité, en risques, et en frustration.
Le prestataire, partenaire ou sous-traitant ?
Le choix et le pilotage d'un intégrateur ou d'un MSP ne sont pas qu'une question technique. C'est un choix stratégique qui structure la performance IT d'une PME pour plusieurs années.
Un bon prestataire devient un véritable partenaire : il comprend le métier, anticipe les besoins, propose des améliorations, tient ses engagements, et accepte d'être challengé. Un mauvais prestataire reste un sous-traitant défensif : il fait le strict minimum contractuel, ne propose rien, tergiverse dès qu'on le sollicite hors périmètre, et cherche à facturer chaque intervention additionnelle.
Pour construire une relation de partenariat, le manager IT doit structurer la démarche dès le départ : cahier des charges précis, évaluation rigoureuse, négociation ferme, pilotage actif, et vigilance continue. Ce n'est qu'à ce prix que l'externalisation devient un levier de performance plutôt qu'un risque opérationnel.
Les PME qui maîtrisent cette gouvernance externalisée prennent un avantage compétitif. Elles accèdent à des compétences et à des niveaux de service qu'elles ne pourraient pas maintenir en interne, tout en conservant le contrôle de leur SI et la capacité de changer de prestataire si nécessaire. C'est cet équilibre — externalisation maîtrisée, pas abdication — qui distingue les PME IT matures.
