SLA, réversibilité et exclusions, les clauses à verrouiller dans un contrat d’infogérance

Un contrat d’infogérance organise l’externalisation de tout ou partie du système d’information d’une entreprise auprès d’un prestataire informatique. Il ne sert pas seulement à faire gérer l’informatique, il fixe qui fait quoi, dans quels délais, avec quels niveaux de service, quelles limites et quelles garanties en cas d’incident, de changement de prestataire ou de retour en interne.

Pour une entreprise, ce document est à la fois opérationnel, financier, technique et juridique. Un périmètre flou crée vite des tensions dès le premier incident, alors qu’un contrat bien cadré transforme l’infogérance en délégation maîtrisée.

Ce que couvre réellement un contrat d’infogérance

L’infogérance consiste à confier à un prestataire la gestion, l’exploitation, la maintenance ou la sécurisation d’un système d’information. Ce système peut inclure les postes de travail, serveurs, logiciels, réseaux, sauvegardes, outils cloud, messageries, accès utilisateurs et dispositifs de cybersécurité.

Infogérance globale ou partielle : une différence décisive

Dans une infogérance globale, le prestataire prend en charge l’ensemble de l’environnement informatique : supervision, maintenance, support, sécurité, sauvegardes, mises à jour et parfois hébergement. Cette formule convient aux entreprises qui ne disposent pas d’équipe IT interne ou qui veulent externaliser largement leur exploitation informatique.

L’infogérance partielle est plus ciblée. Elle peut porter uniquement sur le cloud, la maintenance applicative, le support utilisateur, la sécurité, les serveurs ou les sauvegardes. Elle est fréquente dans les PME qui conservent un responsable informatique interne mais souhaitent s’appuyer sur une expertise spécialisée pour certains sujets.

Le contrat doit décrire le périmètre, pas seulement l’intention

Un bon contrat ne se contente pas d’indiquer que le prestataire assure la maintenance informatique. Il précise les équipements concernés, les logiciels couverts, les sites inclus, les plages horaires, les outils utilisés, les modalités d’intervention à distance ou sur site, ainsi que les prestations hors contrat. Cette précision réduit les zones grises : une imprimante réseau, une licence métier ou un accès VPN doivent être explicitement inclus ou exclus.

Le socle d’un contrat d’infogérance n’est pas la liste des technologies, mais la cartographie des dépendances. Un serveur de fichiers, une messagerie, un outil de facturation et une sauvegarde peuvent sembler être quatre objets séparés, mais ils forment souvent une chaîne. Si l’un tombe, les autres peuvent perdre leur utilité. Identifier ces points d’appui dès l’audit initial permet de hiérarchiser les priorités, de fixer des délais réalistes et d’éviter de traiter un incident critique comme une simple demande de confort.

Les prestations à cadrer avant de signer

Les prestations d’infogérance varient selon la taille de l’entreprise, son niveau de maturité informatique et le modèle choisi. Certaines sont récurrentes, d’autres ponctuelles, mais toutes doivent être rattachées à des obligations concrètes.

Audit, supervision et maintenance

L’audit du parc informatique intervient souvent au démarrage. Il permet d’identifier les équipements, logiciels, failles, obsolescences, dépendances et risques de continuité. Il peut aussi servir de base à un état des lieux contradictoire, utile pour éviter qu’un prestataire soit tenu responsable d’un problème antérieur à sa mission.

La maintenance préventive vise à éviter les pannes : mises à jour, contrôles, vérification des sauvegardes, surveillance des capacités, correctifs de sécurité. La maintenance corrective intervient après incident pour rétablir le service. La supervision, elle, consiste à surveiller les infrastructures, serveurs, réseaux ou applications afin de détecter les anomalies avant qu’elles ne bloquent l’activité.

Support utilisateur, sécurité et cloud

Le support utilisateur doit préciser les canaux de contact, les horaires, les niveaux d’assistance et les priorités. Certains contrats distinguent des niveaux N1 à N3 : demandes simples, incidents techniques plus complexes, puis expertise avancée. Cette gradation évite de mobiliser le mauvais interlocuteur pour le mauvais problème. Elle donne aussi un cadre plus clair aux délais de traitement.

La sécurité doit être traitée comme une prestation à part entière : gestion des accès, authentification forte, journalisation des connexions, sauvegarde des données, antivirus, pare-feu, surveillance, durcissement des configurations. Si le contrat inclut de l’hébergement ou du cloud, il doit également préciser la localisation, les responsabilités respectives, la scalabilité, la virtualisation, la restauration et les mesures prévues en cas d’indisponibilité.

Zone à cadrer	Ce qu’il faut préciser	Risque si c’est flou
Support	Niveaux N1 à N3, horaires, canal de ticketing	Demandes mal orientées, délais contestés
Sécurité	Accès, sauvegardes, supervision, correctifs	Responsabilités difficiles à établir
Cloud	Hébergement, disponibilité, restauration, limites	Dépendance technique non maîtrisée
Exclusions	Matériels, logiciels ou interventions hors périmètre	Surcoûts et litiges récurrents

Les clauses indispensables pour sécuriser la relation

Le contrat d’infogérance est un contrat de prestation de services, mais son impact dépasse souvent la simple fourniture technique. Il touche à la continuité d’activité, à la confidentialité, aux données, aux licences logicielles et parfois à l’organisation interne de l’entreprise.

Durée, tarification et obligations réciproques

La durée du contrat doit être cohérente avec l’investissement initial du prestataire et la flexibilité souhaitée par le client. Il faut prévoir les conditions de renouvellement, de résiliation, de suspension et d’évolution du périmètre. Une clause de révision est utile si le nombre d’utilisateurs, de sites, de serveurs ou d’applications évolue.

La tarification peut être forfaitaire, au ticket, au temps passé ou mixte. Le contrat doit indiquer ce qui est inclus dans le forfait, ce qui déclenche une facturation complémentaire, et comment les interventions exceptionnelles sont validées. Sans cette transparence, la réduction des coûts promise par l’externalisation peut vite devenir difficile à mesurer.

SLA, délais d’intervention et continuité d’activité

Les SLA, ou engagements de niveau de service, traduisent les attentes en indicateurs mesurables. Ils peuvent porter sur le délai de prise en charge, le délai d’intervention, le délai de résolution, la disponibilité d’un service ou la fréquence des sauvegardes. Certaines grilles distinguent par exemple une prise en charge d’un incident critique en 2 heures, une intervention sur incident bloquant sous 4 à 8 heures, ou une résolution d’incident non bloquant sous 48 heures.

Ces délais doivent être adaptés à la criticité réelle de l’activité. Une panne de messagerie pour un cabinet de conseil, une indisponibilité de logiciel de caisse ou un serveur inaccessible pour un site e-commerce n’ont pas le même impact. Le contrat peut aussi prévoir un PCA, plan de continuité d’activité, et un PRA, plan de reprise d’activité, pour organiser la réaction en cas d’incident majeur.

Confidentialité, données et propriété intellectuelle

La clause de confidentialité protège les informations auxquelles le prestataire accède : données clients, mots de passe, architecture réseau, documents internes, secrets d’affaires. Elle doit s’appliquer aux salariés, sous-traitants et partenaires du prestataire, avec des obligations claires pendant et après le contrat.

Les droits d’auteur et licences logicielles doivent aussi être vérifiés. Qui possède les scripts développés ? Le prestataire peut-il réutiliser des outils créés pendant la mission ? Le client dispose-t-il des licences nécessaires ? Ces questions sont sensibles lorsque l’infogérance inclut de l’administration applicative, de l’automatisation ou des développements spécifiques.

Les risques à anticiper dès la négociation

Un contrat d’infogérance mal construit peut créer une dépendance excessive au prestataire, des coûts imprévus ou des difficultés lors de la fin de mission. Les principaux risques ne sont pas toujours techniques : ils peuvent être contractuels, sociaux, documentaires ou organisationnels.

La réversibilité ne se prépare pas le dernier mois

La clause de réversibilité organise la capacité du client à reprendre la gestion informatique en interne ou à la transférer vers un autre prestataire. Elle doit prévoir la restitution des données, mots de passe, procédures, documentations, configurations, sauvegardes, journaux utiles et accès d’administration.

Il est recommandé de définir la durée de l’assistance à la réversibilité, son coût, le format des livrables et les obligations de coopération. Sans cela, l’entreprise peut découvrir trop tard qu’elle ne maîtrise pas ses accès, que la documentation est incomplète ou que certaines briques techniques dépendent fortement d’outils propriétaires du prestataire.

Droit social, responsabilité et gouvernance

L’externalisation peut avoir des conséquences sur l’organisation interne, notamment lorsqu’un service informatique existant est réduit ou transformé. Deux arrêts de la Cour de Cassation en 2000 sont souvent cités en matière sociale à propos des difficultés liées à l’externalisation et aux salariés concernés. Ce point justifie une analyse spécifique lorsque l’infogérance remplace une équipe interne.

La gouvernance doit également être prévue : comités de suivi, rapports d’activité, indicateurs, escalade en cas de crise, interlocuteurs habilités à valider les changements. Un contrat vivant se pilote. Il ne suffit pas de le signer puis de l’ouvrir uniquement lorsqu’un incident survient.

Choisir et piloter son contrat d’infogérance avec méthode

Avant de signer, l’entreprise doit comparer les offres sur autre chose que le prix. Le bon prestataire est celui qui comprend la criticité métier, documente ses interventions, accepte de clarifier ses limites et s’engage sur des niveaux de service réalistes.

• Définir les actifs critiques : serveurs, applications, données, accès, sauvegardes.
• Vérifier les prestations incluses et les exclusions explicites.
• Exiger des SLA adaptés aux usages réels de l’entreprise.
• Prévoir la confidentialité, la sécurité et la gestion des accès.
• Encadrer la réversibilité dès la signature.
• Organiser des points de pilotage réguliers avec indicateurs.

Le contrat d’infogérance doit finalement produire deux effets : simplifier la gestion informatique quotidienne et sécuriser la relation entre le client et le prestataire. Plus il est précis sur le périmètre, les délais, les responsabilités et la sortie de contrat, moins l’entreprise subit son externalisation. Elle conserve alors le contrôle de son système d’information, tout en bénéficiant d’une expertise technique difficile à maintenir seule en interne.