Cahier des charges pour externaliser son informatique : le guide avant devis

Un cahier des charges pour externaliser son informatique permet de comparer des prestations réellement adaptées à votre PME. Il décrit l’existant, les services attendus, les contraintes de support, les responsabilités et les projets à venir. Plus le périmètre est clair, plus le prestataire peut construire une réponse cohérente avec votre organisation. Voici les questions à traiter avant de demander un devis d’infogérance, d’audit ou de délégation informatique dans les Hauts-de-France.

Pourquoi cadrer le besoin avant de consulter un prestataire ?

Une demande limitée au nombre d’ordinateurs ne suffit pas pour évaluer la charge de support ni les risques associés au système d’information. Deux entreprises disposant d’un parc comparable peuvent avoir des contraintes très différentes selon leurs logiciels, leur nombre de sites, leur organisation ou leur dépendance à l’informatique. Le cahier des charges donne au prestataire une vision exploitable de votre environnement et facilite la comparaison des réponses.

• Délimiter précisément les équipements, utilisateurs et services concernés.
• Identifier ce qui doit être maintenu, supervisé, sécurisé ou transformé.
• Préciser les horaires pendant lesquels l’assistance doit être accessible.
• Répartir les responsabilités entre votre entreprise, le prestataire et les autres fournisseurs.
• Faire apparaître les contraintes métier susceptibles d’influencer la prestation.
• Obtenir un devis fondé sur un périmètre explicite plutôt que sur des hypothèses.

1. Présenter l’entreprise et ses enjeux informatiques

Commencez par expliquer le contexte dans lequel intervient le projet. Le prestataire doit comprendre la place de l’informatique dans votre activité, les difficultés rencontrées et le résultat recherché. Cette présentation peut rester concise, mais elle doit permettre de distinguer un besoin de maintenance courante d’un projet plus large de sécurisation ou de modernisation.

• Quelle est l’activité de l’entreprise et quelles fonctions dépendent directement du système d’information ?
• Qui pilote actuellement l’informatique en interne ?
• Pourquoi envisagez-vous une externalisation maintenant ?
• Quels incidents ou blocages souhaitez-vous réduire ?
• Cherchez-vous à remplacer un prestataire, à accompagner une équipe interne ou à structurer une informatique jusque-là gérée ponctuellement ?
• Quels résultats attendez-vous de la future organisation ?

2. Décrire le parc informatique

Un inventaire récent constitue la base du cadrage. Si les informations sont incomplètes ou dispersées, indiquez-le dès la consultation. Un audit de parc pourra alors précéder la définition définitive de la prestation.

• Nombre de postes fixes, ordinateurs portables et terminaux mobiles.
• Nombre de serveurs physiques ou virtuels.
• Systèmes d’exploitation utilisés sur les postes et les serveurs.
• Âge, état général et statut de support des principaux équipements.
• Imprimantes, équipements de visioconférence et autres périphériques à prendre en charge.
• Logiciels bureautiques, applications métier et outils nécessitant une maintenance particulière.
• Équipements détenus par l’entreprise, loués ou administrés par un autre fournisseur.
• Inventaire disponible, partiel ou à réaliser dans le cadre d’un audit initial.

3. Recenser les utilisateurs et leurs profils

Le nombre de collaborateurs ne décrit pas à lui seul l’effort de support. Il faut aussi préciser leurs usages, leur mobilité et leur niveau de dépendance aux outils numériques. Cette partie aide à organiser la hotline, la téléassistance, les interventions sur site et la gestion des accès.

• Combien d’utilisateurs réguliers et occasionnels doivent être accompagnés ?
• Combien travaillent sur site, à distance ou en mobilité ?
• Existe-t-il des profils nécessitant une disponibilité renforcée de leurs outils ?
• Les utilisateurs disposent-ils d’un poste individuel ou partagé ?
• Quels sont les principaux motifs de demande d’assistance ?
• Qui autorise la création, la modification et la suppression des comptes ?
• Comment les arrivées, départs et changements de fonction sont-ils actuellement gérés ?

4. Cartographier les sites et les connexions

Une entreprise répartie sur plusieurs établissements n’a pas les mêmes contraintes qu’une structure installée sur un seul site. La qualité des accès internet, les interconnexions et les possibilités d’intervention influencent directement l’organisation du service.

• Combien de sites doivent être couverts et où se trouvent-ils ?
• Combien d’utilisateurs et d’équipements sont présents sur chaque site ?
• Quels opérateurs et types de connexion internet sont utilisés ?
• Existe-t-il un accès de secours en cas de panne de la liaison principale ?
• Les sites sont-ils reliés entre eux ?
• Quels équipements réseau sont actuellement déployés ?
• Quelles sont les règles d’accès physique aux locaux techniques ?
• Quels besoins doivent être traités à distance et lesquels nécessitent une intervention sur site ?

5. Définir le support attendu

Le cahier des charges doit décrire le niveau de service utile à l’activité sans imposer des exigences déconnectées des usages. Distinguez les demandes courantes des incidents bloquants et indiquez les périodes pendant lesquelles une assistance doit pouvoir être sollicitée.

• Quels jours et horaires de support sont nécessaires ?
• Quels canaux doivent être proposés pour ouvrir une demande ?
• Qui peut contacter le support au sein de l’entreprise ?
• Comment distinguer un incident critique, majeur ou mineur ?
• Quels délais de prise en compte ou d’intervention attendez-vous selon la criticité ?
• Quelles situations doivent déclencher une intervention sur site ?
• Comment souhaitez-vous suivre l’état et l’historique des demandes ?
• Quel niveau de reporting attendez-vous sur les incidents récurrents et les actions réalisées ?

6. Préciser l’administration et la supervision

Externaliser le support utilisateurs ne signifie pas automatiquement confier toute l’administration du système d’information. Le document doit préciser les composants que le prestataire devra exploiter, surveiller ou simplement documenter.

• Postes de travail et périphériques.
• Serveurs et environnements virtualisés.
• Comptes utilisateurs, droits d’accès et annuaires.
• Messagerie et outils collaboratifs.
• Pare-feu, commutateurs, bornes Wi-Fi et connexions distantes.
• Sauvegardes et opérations de restauration.
• Mises à jour des systèmes et logiciels concernés.
• Supervision des équipements et services essentiels.
• Gestion des fournisseurs, licences et contrats techniques.
• Documentation du parc, des accès et des procédures d’exploitation.

7. Intégrer la cybersécurité au périmètre

La sécurité ne doit pas être traitée comme une option ajoutée après le devis. Le prestataire a besoin de connaître les protections existantes, les données sensibles et les mesures attendues pour proposer une organisation cohérente. Les responsabilités de décision, de mise en œuvre et de contrôle doivent être explicites.

• Quels pare-feu, antivirus et mécanismes de filtrage sont actuellement utilisés ?
• L’authentification multifacteur est-elle déployée sur les accès concernés ?
• Comment les droits administrateurs sont-ils attribués et contrôlés ?
• Quelles données sont essentielles au fonctionnement de l’entreprise ?
• Où sont stockées les données et comment sont-elles sauvegardées ?
• Les restaurations sont-elles testées selon une procédure définie ?
• Un plan de reprise d’activité existe-t-il ?
• Comment les accès distants et les équipements mobiles sont-ils sécurisés ?
• Quelles procédures doivent être appliquées lors du départ d’un collaborateur ?
• Comment un incident de sécurité doit-il être signalé, qualifié et escaladé ?

8. Lister les projets prévus

Une prestation de maintenance doit tenir compte des changements déjà envisagés. Un renouvellement de serveurs, un déménagement ou une migration peut modifier le périmètre quelques mois après le début de la collaboration. Présenter ces projets permet au prestataire de distinguer les opérations récurrentes des missions ponctuelles.

• Renouvellement de postes, serveurs ou équipements réseau.
• Déménagement, ouverture ou regroupement de sites.
• Migration de messagerie ou d’applications.
• Évolution vers une infrastructure locale, cloud ou hybride.
• Déploiement de nouveaux outils collaboratifs.
• Renforcement de la sauvegarde ou préparation d’un plan de reprise d’activité.
• Mise en place ou évolution de la téléphonie sur IP.
• Projet de cybersécurité ou mise à niveau du réseau.
• Besoin temporaire de techniciens, d’administrateurs ou de responsables de projet.

9. Établir une matrice claire des responsabilités

Les zones grises provoquent des retards et des incompréhensions. Pour chaque domaine, indiquez qui décide, qui intervient, qui valide et qui conserve les accès. Cette répartition doit également couvrir les relations avec les éditeurs, opérateurs et prestataires métier.

• Qui valide les achats de matériels et de licences ?
• Qui gère les comptes disposant de droits élevés ?
• Qui contacte les opérateurs et les éditeurs en cas d’incident ?
• Qui autorise une intervention susceptible d’interrompre un service ?
• Qui décide des priorités entre plusieurs demandes ?
• Qui tient à jour la documentation technique ?
• Qui valide les restaurations de données et les changements majeurs ?
• Quels accès et documents doivent être restitués à la fin de la prestation ?

10. Choisir le modèle d’externalisation adapté

Le bon modèle dépend de votre organisation interne et de votre objectif. Une PME peut confier l’exploitation courante de son système d’information, renforcer ponctuellement son équipe ou commencer par un état des lieux. Ces approches peuvent aussi être combinées lorsque les responsabilités sont clairement définies.

• Infogérance : confier un périmètre récurrent comprenant notamment le support, la maintenance, l’administration ou la supervision.
• Audit de parc : établir un inventaire, repérer les points de vigilance et définir les priorités avant un engagement plus large.
• Délégation de personnel : intégrer une ressource informatique à une mission définie tout en conservant le pilotage interne.
• Accompagnement de projet : mobiliser des compétences pour une migration, une évolution d’infrastructure ou un chantier de sécurité.
• Organisation mixte : conserver certaines responsabilités en interne et externaliser les domaines nécessitant une disponibilité ou des compétences complémentaires.

Les documents utiles à joindre à la demande

Vous pouvez transmettre les éléments disponibles sans attendre que toute la documentation soit parfaite. Le prestataire pourra ainsi identifier les informations manquantes et proposer, si nécessaire, une phase d’audit avant le chiffrage définitif.

• Inventaire du matériel et des logiciels.
• Schéma réseau ou description simplifiée de l’architecture.
• Liste des sites et effectifs associés.
• Historique des incidents récurrents.
• Contrats liés aux accès internet, logiciels et équipements concernés.
• Description des sauvegardes et procédures de restauration.
• Liste des projets planifiés.
• Coordonnées des interlocuteurs internes et fournisseurs concernés.
• Règles de sécurité ou procédures informatiques déjà en vigueur.

Comment comparer les réponses des prestataires ?

Le montant du devis ne peut être interprété correctement que si les prestations couvrent le même périmètre. Vérifiez ce qui est inclus dans le fonctionnement courant, ce qui relève d’une mission complémentaire et la manière dont les changements seront traités pendant le contrat.

• Le périmètre technique repris dans la proposition correspond-il à votre demande ?
• Les exclusions sont-elles clairement indiquées ?
• Les horaires et canaux de support sont-ils adaptés à l’activité ?
• Les conditions d’intervention à distance et sur site sont-elles explicites ?
• Les responsabilités respectives sont-elles compréhensibles ?
• La supervision, la sauvegarde et la sécurité sont-elles décrites séparément ?
• Les projets ponctuels sont-ils distingués des services récurrents ?
• Les modalités de suivi et de reporting sont-elles précisées ?
• La restitution des accès et de la documentation est-elle prévue ?

Un cahier des charges simple peut suffire pour démarrer

L’objectif n’est pas de rédiger un document excessivement technique. Une présentation structurée de l’entreprise, du parc, des utilisateurs, des sites, du support attendu, de la sécurité et des projets fournit déjà une base solide. Expertis IT peut accompagner les PME des Hauts-de-France dans le cadrage d’une externalisation, d’un audit, d’une prestation d’infogérance ou d’un besoin de ressources IT.

• Décrivez d’abord votre situation actuelle.
• Indiquez ensuite les difficultés prioritaires.
• Définissez le périmètre que vous envisagez de confier.
• Ajoutez les contraintes opérationnelles et les projets connus.
• Demandez au prestataire d’identifier les informations à compléter avant la proposition finale.

Questions fréquentes