Comment piloter plusieurs prestataires IT en PME

Pour piloter plusieurs prestataires IT dans une PME, il faut trois choses : une cartographie écrite de qui est responsable de quoi, un prestataire principal qui porte la responsabilité globale de l'infrastructure, et une revue régulière des accès et des contrats. Sans ces trois éléments, chaque incident devient un jeu de renvoi de responsabilité, et personne n'a la vue d'ensemble de votre système d'information. Voici comment structurer ce pilotage, même sans informaticien interne.

Pourquoi les PME se retrouvent avec plusieurs prestataires

Rares sont les PME qui ont choisi délibérément d'avoir cinq intervenants IT. La situation se construit par accumulation : le fournisseur du logiciel métier date de la création de l'entreprise, l'installateur téléphonique est arrivé avec le déménagement, l'agence web gère le site, un indépendant s'occupe des postes « depuis toujours », et un revendeur a vendu le serveur avec son contrat de maintenance.

Chacun est peut-être compétent dans son domaine. Le problème n'est pas la compétence, c'est l'absence de vue d'ensemble : personne ne connaît l'infrastructure complète, personne ne vérifie que les sauvegardes couvrent tout, et personne ne se sent responsable quand un problème touche la frontière entre deux périmètres.

Les trois risques d'un IT multi-prestataires non piloté

Le ping-pong des responsabilités

Le logiciel métier est lent. Le fournisseur du logiciel accuse le réseau, l'informaticien accuse le serveur, le revendeur du serveur accuse le logiciel. Pendant ce temps, vos équipes attendent. Sans périmètres écrits et sans arbitre désigné, ce scénario se répète à chaque incident transverse — et ce sont précisément les incidents transverses qui durent le plus longtemps.

Les trous de couverture

Chaque prestataire suppose qu'un autre s'occupe de ce qui ne figure pas dans son contrat. Résultat typique : personne ne sauvegarde le poste de la comptabilité, personne ne met à jour le firewall installé il y a cinq ans, personne ne désactive les comptes des collaborateurs partis. Ces trous ne se voient pas au quotidien ; ils se découvrent le jour de l'incident.

La prolifération des accès

Chaque intervenant accumule des accès : VPN, comptes administrateur, mots de passe partagés par e-mail. Au fil des années, plus personne ne sait qui peut entrer dans quoi. C'est un risque de sécurité majeur — notre guide cybersécurité PME classe les accès non maîtrisés parmi les premiers vecteurs d'intrusion — et un problème de conformité LPD, puisque ces prestataires sont vos sous-traitants au sens de la loi.

La méthode de pilotage en quatre pratiques

1. Cartographier : qui est responsable de quoi

Établissez un document simple qui liste chaque domaine (postes de travail, serveur, réseau, messagerie, logiciel métier, téléphonie, site web, sauvegardes) avec, pour chacun : le prestataire responsable, le contrat qui le couvre, le contact, et le temps de réponse convenu. Une page suffit. Ce document est la base de tout le reste — et sa simple rédaction révèle généralement deux ou trois trous de couverture.

2. Désigner un prestataire principal

Un intervenant doit porter la responsabilité de l'infrastructure globale : c'est lui qui supervise, qui détecte les problèmes, qui coordonne les autres prestataires en cas d'incident transverse et qui vous conseille sur les arbitrages. C'est exactement le rôle d'un contrat d'infogérance comme AlpenCare : vos autres prestataires spécialisés restent en place, mais un seul interlocuteur répond de l'ensemble. Notre article sur les services informatiques gérés détaille ce que couvre ce rôle.

3. Encadrer les accès

Comptes nominatifs pour chaque intervenant, moindre privilège, MFA obligatoire, coffre-fort de mots de passe plutôt qu'e-mails, et revue annuelle de tous les accès externes. À la fin d'un contrat, la révocation des accès fait partie de la procédure de sortie, au même titre que la restitution de la documentation.

4. Institutionnaliser la revue annuelle

Une fois par an, passez en revue chaque contrat : le périmètre correspond-il encore à la réalité ? Les temps de réponse sont-ils tenus ? Le prix est-il aligné sur le marché ? Cette revue est le bon moment pour renégocier ou consolider. Pour évaluer un contrat d'infogérance en particulier, notre guide de comparaison des contrats fournit la check-list complète.

Consolider ou coordonner ?

Faut-il réduire le nombre de prestataires ? Pas nécessairement. Le fournisseur du logiciel métier et l'agence web sont souvent irremplaçables dans leur spécialité. En revanche, les domaines d'exploitation courante — postes, serveur, réseau, messagerie, sauvegardes, sécurité — gagnent presque toujours à être consolidés chez un seul prestataire : moins d'interfaces, moins de zones grises, un seul SLA.

Le bon modèle pour la plupart des PME : un prestataire principal responsable de l'exploitation et de la coordination, plus les spécialistes métier qui restent dans leur périmètre. Si vous partez de zéro dans le choix de ce prestataire principal, notre guide comment choisir son prestataire informatique liste les critères qui comptent.

Questions fréquentes

Combien de prestataires IT une PME devrait-elle avoir ?

Le moins possible, et idéalement un seul responsable de l'exploitation courante. Une PME de 10 à 50 personnes travaille souvent avec 3 à 5 intervenants (infogérance, téléphonie, logiciel métier, site web, imprimantes) : c'est gérable à condition qu'un seul d'entre eux porte la responsabilité globale de l'infrastructure et coordonne les autres.

Qui doit coordonner les prestataires IT quand il n'y a pas de responsable informatique interne ?

Soit un membre de la direction assume ce rôle avec un temps dédié, soit vous le déléguez contractuellement à votre prestataire principal d'infogérance. La deuxième option est généralement plus efficace : le prestataire principal parle le même langage technique que les autres intervenants et peut arbitrer les questions de responsabilité.

Comment éviter que les prestataires se renvoient la responsabilité d'un incident ?

En documentant par écrit qui est responsable de quoi : un schéma d'infrastructure à jour, une matrice des responsabilités par domaine (réseau, postes, serveur, logiciel métier, téléphonie) et un point de contact unique pour vos collaborateurs. Sans cette documentation, chaque incident à la frontière de deux périmètres devient un ping-pong.

Faut-il donner des accès administrateur à tous ses prestataires ?

Non. Chaque prestataire ne doit recevoir que les accès nécessaires à son périmètre (principe du moindre privilège), avec des comptes nominatifs et non partagés. Les accès doivent être inventoriés, revus au moins une fois par an et révoqués immédiatement à la fin d'un contrat. Les comptes d'anciens prestataires restés actifs sont une porte d'entrée classique pour les attaquants.

Que faire si deux prestataires donnent des recommandations contradictoires ?

C'est fréquent, et c'est le symptôme d'une absence d'arbitre technique. Désignez un référent (prestataire principal ou conseiller indépendant) qui tranche sur la base de votre intérêt, pas de celui du vendeur. Un audit indépendant de l'infrastructure permet aussi d'objectiver le débat avec un état des lieux factuel.