Audit IT pour PME : la checklist a faire avant de changer de prestataire

Changer de prestataire IT est une decision qui ne se prend pas a chaud. Dans 7 cas sur 10, les PME qui nous contactent pour reprendre leur parc ne savent pas ce que le prestataire precedent gerait vraiment, ou ce qui est documente, ou ce qu'elles payent reellement. Resultat : une transition qui se passe mal, des semaines de flottement, des incidents evitables.

Cet article propose une methode pragmatique pour faire un etat des lieux complet avant de prendre la decision. Les 12 points sont volontairement accessibles sans competence technique poussee. Un tableau imprimable en fin d'article permet de cocher point par point.

1. Pourquoi auditer avant de changer

Trois raisons pratiques :

• Negocier avec le nouveau prestataire sur base factuelle. Vous passez d'un devis generique a un devis calibre sur votre realite : nombre de postes, nombre de serveurs, applications specifiques, SLA utiles.
• Identifier les risques caches. Un backup qui n'a jamais ete teste, un certificat SSL qui expire dans 3 semaines, un domaine internet enregistre au nom personnel du prestataire sortant : ce sont les surprises classiques qui plombent une transition.
• Documenter pour la conformite. Le RGPD impose d'etre capable de documenter votre chaine de traitement des donnees. Un audit IT sert de base a cette documentation.

2. Methodologie en 3 temps

Temps 1 : recueil documentaire (1-2 jours)

Vous collectez les documents existants : factures des 12 derniers mois, contrats de maintenance, documentations techniques, rapports d'incident, noms des comptes admin. Si votre prestataire actuel ne veut rien communiquer, c'est deja une reponse.

Temps 2 : verification technique (2-3 jours)

Un technicien externe (ou un consultant comme KA IT) passe en revue les 12 points ci-dessous en conditions reelles : scan du parc, tentative de restauration d'un fichier depuis un backup, controle des droits sur les partages, etat du firewall.

Temps 3 : rapport et decision (1 jour)

Un rapport ecrit de 10-15 pages qui documente chaque point, note de 1 a 5, identifie les actions correctrices prioritaires, chiffre la reprise du parc par un nouveau prestataire. Ce rapport sert de reference pour negocier.

3. Les 12 points de la checklist

Point 1 : inventaire du parc materiel

Liste exhaustive des postes, serveurs, imprimantes reseau, NAS, firewalls, switches, bornes wifi, telephones IP. Avec numero de serie, age, proprietaire (entreprise ou utilisateur) et localisation. Un parc non inventorie est un parc non securisable.

Point 2 : inventaire logiciel et licences

Systemes d'exploitation (versions, edition), suites bureautiques, ERP, CRM, antivirus, outils metier. Avec cles de licence, nombre de seats, date de renouvellement. Attention aux licences "entreprise" payees pour des postes qui n'existent plus, et aux licences "perpetuelles" qui ne sont plus supportees.

Point 3 : cycle de mises a jour

Quel est le processus de patching ? Quelle est la frequence ? Est-ce que Windows Update est configure, ou laisse en auto sur chaque poste ? Est-ce que les serveurs sont patches ? L'article PC compatible Windows 11 PME detaille la verification cote poste. Voir aussi la fin d'Exchange 2019 pour les serveurs mail on-premise.

Point 4 : etat du backup

Il ne suffit pas qu'un backup "tourne". Il faut que le dernier test de restauration date de moins de 3 mois, que la retention couvre au moins 30 jours avec une copie hors-site, et que les donnees critiques (ERP, compta, fichiers partages) soient explicitement incluses. Voir notre article Backup 3-2-1 pour PME.

Point 5 : securite perimetrique

Firewall : modele, firmware a jour, regles documentees, logs conserves. Wifi : separation entre reseau invite et reseau metier. VPN : chiffrement, MFA, journalisation. Filtrage email : SPF, DKIM, DMARC configures et actifs.

Point 6 : securite des postes

Antivirus/EDR actif et a jour sur 100 % des postes (pas 90 %, 100 %). MFA activee sur les comptes Microsoft 365 ou Google Workspace. BitLocker active sur les PC portables. Politique de mot de passe conforme au CCB.

Point 7 : conformite RGPD

Registre des traitements a jour. DPO designe (si applicable). Contrats avec les sous-traitants (DPA signes). Politique de retention des donnees. Procedure en cas de violation. L'APD publie des recommandations sectorielles detaillees.

Point 8 : gestion des identites et des acces

Liste des comptes admin. Presence d'anciens employes encore actifs (cas tres frequent). Acces prestataire externe (quels comptes, quels droits, depuis quelle date, avec MFA ?). Reverifier systematiquement les permissions SharePoint et OneDrive. Voir Zero Trust PME 2026.

Point 9 : visibilite des couts

Compilation des factures sur 12 mois par categorie : licences SaaS, cloud, materiel, intervention prestataire, telecom. Identification des doublons (deux antivirus payes), des services non utilises (licences M365 de collaborateurs partis), des contrats avec tacite reconduction abusive.

Point 10 : SLA reel vs SLA contractuel

Le contrat dit peut-etre "Réponse selon pack, intervention selon votre pack". Les tickets des 12 derniers mois disent-ils la meme chose ? La difference entre le SLA vendu et le SLA delivre est le meilleur indicateur de la qualite du prestataire actuel.

Point 11 : satisfaction utilisateurs

Micro-enquete anonyme 5 questions aupres des utilisateurs : temps de reponse perçu, amabilite, resolution reussie du premier coup, formation disponible, confiance globale. 10 minutes a deployer, signal tres utile.

Point 12 : propriete et recuperabilite

Le point le plus critique et le plus souvent oublie. Qui est proprietaire des comptes cloud (tenant Microsoft 365, compte Google Workspace) ? Au nom de qui sont enregistres les noms de domaine ? Qui detient les mots de passe admin de l'infrastructure ? Si le prestataire actuel "perd" acces a vos comptes le jour de la transition, vous etes paralyse.

4. Tableau recapitulatif a imprimer

5. 5 signaux d'alerte qui justifient le changement

1. Le prestataire refuse de livrer l'inventaire ou les mots de passe admin. C'est de la retention client et c'est illegal dans bien des cas.
2. Le backup n'a jamais ete teste. Un backup non teste n'existe pas. Si vous demandez un rapport de restauration et qu'il n'y en a pas, c'est un risque vital.
3. Les delais d'intervention derivent sans explication. Le SLA contractuel est vendu 4h, les tickets montrent 48h en moyenne sur 6 mois.
4. Le prestataire n'active pas la MFA sur les comptes cloud. En 2026, c'est une faute professionnelle.
5. Les factures explosent sans nouvelle prestation claire. 40 % d'augmentation en 18 mois sans evolution de perimetre, c'est une renegociation ou une sortie.

6. La phase de transition : comment eviter les ruptures

Une fois la decision prise de changer, la transition demande entre 4 et 8 semaines pour une PME de 10-25 postes. Les etapes cles :

1. Semaine 1-2 : handover documentaire. Le nouveau prestataire recoit tous les documents de l'audit, les acces en lecture aux outils, une session de transfert de connaissance avec l'equipe sortante.
2. Semaine 3-4 : bascule progressive. Les acces administrateurs sont transferes. Les nouveaux outils de supervision sont deployes en parallele des anciens pour comparaison.
3. Semaine 5-6 : corrections prioritaires. Activation des MFA manquantes, test backup reel, mise a jour des postes retardataires, remplacement du materiel en fin de vie.
4. Semaine 7-8 : formation utilisateurs. Nouveau canal de support, nouvelles procedures, retour d'experience utilisateurs.

Notre experience avec les transitions : les PME qui ont fait l'audit des 12 points en amont connaissent 3 fois moins d'incidents pendant la bascule que celles qui decouvrent leur infra en meme temps que le nouveau prestataire.