Guide pratique : comment choisir un prestataire informatique ?
Maintenance du parc, support aux utilisateurs, cybersécurité, sauvegardes, réseau ou
services cloud : un prestataire informatique peut prendre en charge tout ou partie du
système d’information d’une entreprise.
Son rôle est de maintenir les outils disponibles et sécurisés, mais aussi d’accompagner leur évolution au fil des besoins.
Ce choix mérite donc d’aller au-delà d’une simple comparaison de tarifs. Une offre mal dimensionnée peut entraîner des interruptions récurrentes, un support insuffisant, des coûts imprévus ou une dépendance excessive envers un fournisseur.
À l’inverse, un périmètre clair, des responsabilités bien définies et des engagements adaptés permettent d’inscrire la relation dans la durée.
Ce guide présente les étapes à suivre pour définir vos besoins, identifier le type de prestataire adapté, comparer les offres et examiner les points essentiels du contrat.
Il aborde également la cybersécurité, les sauvegardes, la réversibilité et la transition vers un nouveau partenaire.
1. Définir ses besoins avant de choisir un prestataire informatique
Comparer plusieurs offres suppose d’abord de savoir ce que l’entreprise souhaite confier à un tiers. Cette étape évite de demander des devis fondés sur des périmètres différents.
Réaliser un état des lieux de son système d'information (SI)
L’état des lieux doit fournir une vision précise de l’environnement existant. Il recense notamment les utilisateurs, les postes de travail, les serveurs, les imprimantes, les équipements réseau, les différents sites et les volumes de données à gérer.
Il doit aussi identifier les logiciels métiers, les services cloud, les abonnements Microsoft 365, les applications utilisées par les équipes, les équipements vieillissants et les ressources indispensables à l’activité.
Les incidents passés permettent de repérer les premières priorités. Des coupures réseau répétées, des postes trop lents, des problèmes de messagerie ou des restaurations difficiles doivent être pris en compte dans le futur contrat.
Il faut enfin intégrer les éventuelles contraintes réglementaires, contractuelles ou sectorielles concernant la conservation et la protection des données.
Identifier les prestations nécessaires
Toutes les prestations informatiques ne couvrent pas le même périmètre.
La maintenance informatique vise à maintenir les équipements en état de fonctionnement et à traiter les pannes. L’assistance concerne davantage les demandes des utilisateurs, comme un problème de messagerie ou d’accès à une application.
L’infogérance va plus loin. L’entreprise délègue tout ou partie de la gestion régulière de son SI pour se recentrer sur son cœur de métier. Le prestataire peut alors assurer le support, la maintenance, la supervision, les mises à jour, la documentation, le suivi du parc et la gestion continue des services IT, afin de libérer les équipes internes pour leur métier au cœur de l’activité.
La supervision consiste à surveiller l’état des équipements et des services afin de détecter certaines anomalies avant qu’elles ne provoquent une interruption.
D’autres prestations peuvent compléter ce socle, notamment la cybersécurité, la sauvegarde, l’administration des réseaux et du Wi-Fi, les services cloud, Microsoft 365, la gestion du matériel, le développement logiciel ou la téléphonie professionnelle, avec la mise en place de solutions de sécurité informatique.
Altinea présente par exemple séparément ses prestations d’infogérance et maintenance informatique et ses différentes expertises techniques.
Déterminer ses priorités
Une entreprise confrontée à des interruptions régulières n’a pas les mêmes priorités qu’une organisation qui ouvre plusieurs sites ou souhaite renforcer sa cybersécurité.
Avant de consulter des prestataires, classez les objectifs recherchés : réduire les incidents, améliorer le support, sécuriser les comptes, fiabiliser les sauvegardes, maîtriser les dépenses ou accompagner un projet de transformation numérique.
L’externalisation peut aussi aider à réduire les coûts.
Cette hiérarchisation permet de distinguer les critères indispensables des services simplement souhaitables et facilite ensuite la comparaison des offres.
2. Identifier le type de prestataire adapté à son entreprise
Le choix dépend avant tout du niveau d’accompagnement recherché, de la taille du parc informatique et des compétences déjà présentes en interne. Il faut également tenir compte de la disponibilité attendue, de la diversité des besoins techniques et du niveau de continuité nécessaire.
Le technicien indépendant
Un technicien indépendant peut offrir une relation directe et une bonne connaissance de l’environnement de ses clients. Ce modèle convient notamment aux structures dont le parc reste limité et dont les attentes portent sur un périmètre maîtrisé.
Sa capacité de remplacement en cas d’absence doit toutefois être étudiée. Il faut également vérifier quelles compétences il peut mobiliser lorsqu’un incident dépasse son domaine d’intervention habituel.
La société de maintenance informatique
Une société de maintenance intervient principalement sur le dépannage, l’entretien des équipements et l’assistance aux utilisateurs.
Selon les offres, elle peut également proposer de la supervision, de support technique, du conseil, de la documentation ou des services de cybersécurité. Le contrat doit préciser clairement les prestations incluses afin d’éviter de réduire la maintenance à une succession d’interventions ponctuelles.
Le MSP
Un MSP (Managed Services Provider) fournit des services managés récurrents et prend en charge tout ou partie de la gestion quotidienne du système d’information. Son intervention peut couvrir les postes de travail, les utilisateurs, les serveurs, les réseaux, les sauvegardes, les mises à jour et la cybersécurité.
Ce modèle convient aux entreprises qui recherchent un suivi régulier plutôt que des interventions ponctuelles. L’essentiel est de vérifier le périmètre couvert, les moyens mobilisés, les engagements de service et la répartition des responsabilités.
3. Étudier les principaux critères de sélection
Vérifier les compétences techniques
Le prestataire doit disposer de l’expertise attendue pour reprendre et administrer les technologies utilisées par l’entreprise.
Demandez quelles expertises sont disponibles au sein de son équipe, quelles certifications possèdent les techniciens et avec quels éditeurs ou constructeurs ils travaillent régulièrement.
Les certifications et les partenariats constituent des repères utiles, mais ne garantissent pas à eux seuls la qualité du service. Vérifiez surtout que l’équipe a déjà travaillé sur des environnements et des projets proches des vôtres, et faites aussi le point sur son expérience sur des projets comparables.
Rechercher une expérience auprès d’entreprises comparables
Un prestataire habitué à travailler avec des entreprises de taille ou de secteur similaires comprendra généralement mieux leurs contraintes techniques, budgétaires et organisationnelles.
Demandez des exemples de missions portant sur un parc ou un projet proche du vôtre.
Avec l’accord des clients concernés, un échange direct peut aussi vous aider à évaluer la qualité du support et le déroulement de la relation dans la durée.
Évaluer la proximité géographique selon les interventions nécessaires
De nombreuses opérations peuvent aujourd’hui être réalisées à distance.
La proximité géographique devient surtout importante lorsque l’entreprise dispose de serveurs ou d’équipements réseau dans ses locaux, ou lorsqu’un incident nécessite la présence d’un technicien.
Plutôt que de regarder uniquement l’adresse du prestataire, vérifiez dans quelles zones et dans quels délais il peut intervenir sur site, surtout si des passages réguliers sont nécessaires et qu’un partenariat de proximité est recherché.
Comparer disponibilité et réactivité
Les horaires du support doivent correspondre aux périodes pendant lesquelles l’entreprise travaille.
Le contrat doit aussi distinguer le délai de prise en charge d’une demande, le début d’une intervention et, lorsque cela peut être contractualisé, l’objectif de résolution.
Il faut enfin comprendre la procédure prévue pour un incident critique. Qui peut être contacté ? Comment l’incident est-il qualifié ? À quel moment une demande est-elle transmise à un niveau d’expertise supérieur ?
Examiner la qualité de l’accompagnement
Le rôle du prestataire ne doit pas se limiter au traitement des demandes. Il doit aussi aider l’entreprise à comprendre l’état de son système d’information et à anticiper les décisions importantes.
Un interlocuteur identifié et des bilans réguliers permettent de suivre les incidents, les risques, la performance des services, ainsi que les équipements à renouveler. Ces échanges peuvent ensuite alimenter une feuille de route pour organiser les projets à venir.
Vérifier la capacité à suivre la croissance de l'entreprise
Les besoins informatiques évoluent avec l’organisation. L’arrivée de collaborateurs, un déménagement, l’ouverture d’un établissement ou le déploiement de nouveaux outils peuvent modifier les besoins en équipements, en support, en réseau et en sécurité.
Vérifiez que le prestataire peut adapter son accompagnement à ces changements et précisez les modalités prévues pour faire évoluer le périmètre du contrat.
4. Examiner la méthode de travail du prestataire
Vérifier qu’un audit est réalisé avant le devis
Avant de proposer une offre, le prestataire doit comprendre l’environnement qu’il devra prendre en charge. L’analyse initiale doit couvrir le parc informatique, le réseau, les services cloud, les sauvegardes, les comptes utilisateurs, les logiciels et les pratiques de support existantes.
Un devis établi sans cet état des lieux risque de reposer sur un périmètre incomplet.
Des exclusions, des incompatibilités ou des coûts supplémentaires peuvent alors apparaître après la signature.
S’assurer que la documentation reste accessible
Une documentation à jour facilite le support quotidien, les évolutions du système d’information et un éventuel changement de prestataire.
Elle doit notamment regrouper l’inventaire du parc, la cartographie du réseau, les principales configurations, les procédures techniques, les contrats et les licences.
L’entreprise doit également savoir qui détient les comptes d’administration et pouvoir récupérer les accès et les informations nécessaires à l’exploitation de son environnement.
Distinguer maintenance préventive et dépannage
Le dépannage intervient lorsqu’un incident s’est déjà produit. La maintenance préventive vise à repérer les anomalies et les risques avant qu’ils ne perturbent l’activité.
Elle peut comprendre la supervision des équipements, l’installation des mises à jour, le contrôle de l’espace disponible et le suivi du matériel vieillissant. Le contrat doit préciser les actions préventives réellement réalisées afin de ne pas limiter la prestation à des interventions ponctuelles.
Vérifier la qualité du suivi
Le prestataire doit fournir une vision claire des services assurés et des difficultés rencontrées. Quelques indicateurs peuvent suffire, comme le nombre de demandes, les délais de prise en charge, les incidents récurrents, l’état des sauvegardes ou les équipements à renouveler.
Des bilans réguliers permettent ensuite d’examiner ces résultats, de définir les priorités et d’anticiper les prochaines actions.
5. Évaluer la prise en charge de la cybersécurité
La cybersécurité doit être intégrée à la stratégie de protection du système d’information. Elle concerne les postes de travail, les comptes utilisateurs, les accès à distance, le réseau, les sauvegardes et les services de cloud computing.
Cette vigilance concerne les PME comme les ETI. Pour évaluer un prestataire, il faut
comprendre comment les protections sont configurées, surveillées et maintenues, mais aussi comment son équipe réagit lorsqu’un incident menace le bon fonctionnement de l’infrastructure.
Les TPE, PME et ETI représentaient 48 % des victimes de rançongiciels recensées par l’ANSSI en 2025, contre 37 % en 2024. Elles constituent la catégorie la plus touchée parmi les incidents connus de l’Agence.
Examiner les protections incluses
Le prestataire doit pouvoir expliquer les mesures prévues pour protéger les postes, les serveurs, les comptes et le réseau. Celles-ci peuvent comprendre un antivirus ou un EDR, un pare-feu, l’installation des mises à jour, la sécurisation des accès à distance et l’authentification multifacteur.
Un EDR, ou Endpoint Detection and Response, permet de détecter et d’analyser les comportements suspects sur les terminaux. Son efficacité dépend toutefois de la manière dont les alertes sont surveillées et traitées.
La gestion des droits doit respecter le principe du moindre privilège. Chaque utilisateur ou application ne doit disposer que des autorisations nécessaires à sa fonction. Les comptes d’administration doivent faire l’objet de mesures de protection renforcées.
Le prestataire doit également tenir compte des obligations applicables à l’entreprise, notamment celles liées au RGPD. Sa politique de confidentialité peut apporter des informations sur la manière dont il traite les données personnelles, mais elle ne remplace pas les engagements prévus au contrat.
S’il met en avant une certification ISO 27001, vérifiez précisément son périmètre.
Celle-ci peut concerner l’ensemble de l’organisation ou seulement certains services et sites.
Pour protéger votre système d’information, nous proposons notamment des solutions de pare-feu, d’EDR et de supervision dans notre offre de cybersécurité pour les PME.
Vérifier le dispositif de sauvegarde
Une sauvegarde ne s’évalue pas uniquement selon sa fréquence. Il faut savoir quelles données sont copiées, où elles sont conservées, à quel rythme les sauvegardes sont réalisées et pendant combien de temps les différentes versions restent disponibles.
La conservation de copies sur un autre site réduit la dépendance envers l’infrastructure principale. L’immuabilité permet quant à elle d’empêcher leur modification ou leur suppression pendant une durée définie.
Des tests de restauration doivent être réalisés régulièrement pour vérifier que les données peuvent effectivement être récupérées. L’entreprise doit également définir le délai de reprise attendu et la quantité maximale de données qu’elle accepte de perdre entre deux sauvegardes.
L’ANSSI recommande notamment de protéger les flux et les accès utilisés lors des opérations de sauvegarde. Une présentation détaillée de nos services de sauvegarde des données est également disponible sur notre site.
Prévoir la réponse aux incidents critiques
Le prestataire doit pouvoir expliquer la procédure appliquée après la détection d’une cyberattaque ou d’un incident majeur.
Cette procédure doit aider l’entreprise à faire face à un incident majeur avec des responsabilités et des moyens clairement définis. Elle doit préciser comment les
équipements concernés sont identifiés et isolés, comment les traces utiles à l’analyse sont conservées et à quel moment des spécialistes sont mobilisés. Elle doit également prévoir les étapes nécessaires au rétablissement des services.
L’entreprise doit savoir qui prend les décisions pendant l’incident, comment les responsabilités sont réparties et quels moyens de communication restent disponibles si les outils habituels ne fonctionnent plus.
6. Analyser le contrat et les engagements de service
Vérifier précisément le périmètre couvert
Un forfait n’a de valeur que si son contenu est compréhensible.
Le contrat doit préciser les services inclus, les éventuelles exclusions, le nombre d’utilisateurs et d’équipements concernés ainsi que les modalités des interventions à distance et sur site.
Il faut également identifier ce qui déclenche une facturation supplémentaire.
Comprendre les engagements de service
Les SLA (Service Level Agreements), ou engagements de niveau de service, définissent les objectifs associés à la prestation.
Trois notions doivent être distinguées.
- Le délai de réponse correspond au temps nécessaire pour accuser réception et prendre en compte la demande.
- Le délai d’intervention correspond au moment où le traitement opérationnel commence.
- Le délai de résolution correspond au temps nécessaire pour rétablir le service ou apporter une solution lorsque cet engagement peut être défini.
Le contrat doit préciser les niveaux de priorité et les horaires utilisés pour calculer ces délais.
Comparer la tarification sur un périmètre identique
Plusieurs modèles existent. Le prestataire peut proposer un forfait mensuel, une tarification par utilisateur, une tarification par équipement ou une facturation à l’intervention.
Aucun modèle n’est automatiquement préférable. Le choix dépend du périmètre et de la prévisibilité recherchée.
Comparer uniquement deux prix mensuels peut être trompeur si l’une des offres inclut les interventions sur site, la supervision ou les sauvegardes et que l’autre les facture séparément.
Prévoir la réversibilité dès la signature
La réversibilité organise la sortie du contrat.
Les conditions doivent préciser le préavis, la restitution des données, des accès, des configurations et de la documentation. Elles doivent également encadrer la coopération avec un éventuel nouveau prestataire.
Cette clause réduit le risque de dépendance et simplifie une future transition.
7. Comparer plusieurs prestataires informatiques
La comparaison devient plus fiable lorsque tous les candidats travaillent à partir du même document.
Commencez par transmettre un inventaire et une description identiques à chaque prestataire de services informatiques. Précisez les objectifs, le nombre d’utilisateurs, les sites, les horaires de support attendus et les principales contraintes.
Comparez ensuite les offres poste par poste. Pour chaque proposition, identifiez ce qui est inclus, exclu ou facturé en supplément.
Demandez également à rencontrer les personnes susceptibles d’assurer le support quotidien. Un discours commercial ne permet pas toujours d’évaluer l’organisation opérationnelle qui suivra la signature.
Enfin, demandez des références comparables et vérifiez, lorsque cela est possible, la qualité du support, la continuité de la relation et la façon dont les incidents sont traités.
Une grille simple peut reprendre huit critères : périmètre contractuel, compétences, support, cybersécurité, sauvegarde, documentation, accompagnement et réversibilité.
Chaque critère peut ensuite recevoir la même pondération pour tous les candidats et aider à repérer le bon prestataire informatique selon le périmètre attendu.
8. Les questions à poser avant de signer
Les réponses doivent être suffisamment précises pour pouvoir être rapprochées du
contrat.
- Qui sera notre interlocuteur principal après la signature ?
- Où se trouve l’équipe qui traite les demandes de support ?
- Quels sont vos horaires de support et vos délais de prise en charge selon le niveau de priorité ?
- Quelle procédure appliquez-vous lorsqu’un incident bloque une partie importante de l’activité ?
- Quelles prestations sont exclues du forfait et comment sont-elles facturées ?
- Comment surveillez-vous les sauvegardes et à quelle fréquence réalisez-vous des tests de restauration ?
- Quelles mesures de cybersécurité sont incluses dans le contrat ?
- Comment protégez-vous les comptes d’administration et les accès à distance ?
- Quelle documentation produisez-vous et comment pouvons-nous la récupérer ?
- Comment gérez-vous la création des comptes et des accès lorsqu’un collaborateur arrive ?
- Quelle procédure appliquez-vous lors du départ d’un collaborateur ?
- Comment suivez-vous les mises à jour des postes, serveurs et équipements réseau ?
- Quels indicateurs figurent dans vos rapports de suivi ?
- Que se passe-t-il si nous ouvrons un nouveau site ou augmentons fortement le nombre d’utilisateurs ?
- Comment restituez-vous nos données, nos accès et notre documentation en fin de contrat ?
9. Les signaux qui doivent alerter
Certains signaux doivent conduire à demander des précisions avant de s’engager :
● un devis établi sans analyse préalable ;
● des prestations incluses et exclues mal définies ;
● aucun engagement clair sur les délais ;
● une dépendance envers une seule personne sans solution de remplacement ;
● des sauvegardes qui ne font jamais l’objet de tests de restauration ;
● une documentation inexistante ou difficile à récupérer ;
● des droits administrateurs distribués sans règles précises ;
● une clause de réversibilité insuffisante.
Un prix très inférieur aux autres offres mérite également une analyse attentive. La différence peut être justifiée, mais elle peut aussi s’expliquer par des prestations exclues, un niveau de support plus limité ou une organisation moins étendue.
Comment choisir son prestataire informatique ?
Le choix d’un prestataire informatique repose d’abord sur la clarté du périmètre proposé. Les compétences doivent correspondre à l’environnement de l’entreprise et le support doit être organisé selon ses contraintes opérationnelles.
La méthode de travail compte également. Audit initial, documentation, supervision,
cybersécurité, sauvegardes et suivi régulier permettent de distinguer une gestion organisée d’une succession d’interventions ponctuelles.
Le prix reste un critère de décision, mais il doit être comparé à services équivalents. Une offre moins chère peut convenir si son périmètre répond réellement aux attentes de l’entreprise. À l’inverse, un forfait plus large n’a d’intérêt que si les prestations incluses sont utiles et effectivement suivies.
Pour réaliser un premier état des lieux de votre environnement ou examiner les prestations à confier à un partenaire, vous pouvez échanger avec nos experts sur vos besoins informatiques. Les activités présentées par l’entreprise couvrent notamment l’infogérance, le support, la cybersécurité, la sauvegarde, les réseaux et Microsoft 365.
