En bref : Un audit avant de renouveler son contrat TI vérifie, par des preuves documentaires, que les sauvegardes tournent, que les correctifs de sécurité sont appliqués et que les licences facturées correspondent à un usage réel. La démarche se lance 90 jours avant l’échéance, confiée à une firme indépendante qui ne vend pas d’infogérance.
Dans cet article
Pourquoi auditer un fournisseur de services gérés qu’on connaît depuis des années ?
Vous payez le même fournisseur de services gérés, un MSP (managed service provider, l’entreprise à qui vous sous-traitez la gestion de vos systèmes TI), depuis cinq ans, huit ans, parfois plus. La facture mensuelle tombe, personne ne s’y attarde, le contrat se renouvelle presque par habitude. Le problème n’est pas la relation, c’est l’absence de vérification.
Demander à votre fournisseur de faire le point sur son propre travail avant de renouveler revient à demander à un élève de corriger son propre examen. Il n’a aucune raison de signaler ce qui cloche, et la plupart du temps il ne ment pas : il présente simplement les choses sous leur meilleur jour, ce que ferait n’importe qui à sa place.
La majorité des fournisseurs de services gérés font correctement leur travail. Ce n’est pas un procès d’intention. Mais « correctement » se vérifie avec des preuves, pas avec la confiance accumulée au fil des années. C’est un principe de base que rappellent les autorités canadiennes en cybersécurité, dont le Centre canadien pour la cybersécurité : documenter, preuves à l’appui, la posture de sécurité d’un fournisseur externe avant de lui confier ses systèmes, parce que la confiance ne remplace pas la vérification.
Cette démarche ressemble à ce que nous appelons ailleurs un deuxième avis informatique : un regard neuf, sans lien avec le fournisseur en place, sur une situation que tout le monde tient pour acquise depuis trop longtemps.
Qu’est-ce que je paye exactement chaque mois, et comment le savoir ?
La plupart des dirigeants savent combien coûte leur forfait TI. Peu savent exactement ce qu’il couvre.
Le contrat original, signé des années plus tôt, a probablement été modifié depuis : ajout de postes, changement de fournisseur infonuagique, nouveaux usagers, retrait d’un service qui ne servait plus. Si personne n’a mis à jour le document, ce que vous croyez payer et ce que le contrat décrit ont divergé sans que personne ne s’en rende compte.
Trois documents devraient répondre à la question, et la plupart des dirigeants ne les ont jamais demandés :
- L’annexe de services actuelle, pas celle de la signature initiale
- L’inventaire des actifs couverts : postes, serveurs, licences
- Le registre des interventions des douze derniers mois
Si votre fournisseur ne peut pas produire ces trois documents en quelques jours, c’est déjà une réponse.
Pour situer votre démarche dans le cadre plus large d’un audit TI, notre guide couvre les bases : L’audit informatique : le guide complet du dirigeant québécois.
Quelles sont les 10 vérifications avant de renouveler son contrat TI ?
Une vérification avant renouvellement ne demande pas d’accès intrusif aux systèmes du fournisseur. Elle se fait à partir de documents que vous êtes en droit d’exiger, comme client payant. Dix points couvrent l’essentiel.
- Journaux de sauvegarde : les sauvegardes tournent-elles à la fréquence promise au contrat, et une restauration réelle a-t-elle été testée dans la dernière année ?
- Registre des correctifs de sécurité : les mises à jour critiques sont-elles appliquées dans un délai défini, ou seulement quand quelqu’un y pense ?
- Inventaire des licences facturées : chaque licence payée chaque mois correspond-elle à un poste ou un usager actif, aujourd’hui ?
- Tickets comparés au SLA (entente de niveau de service) : les délais de résolution promis au contrat sont-ils respectés dans les faits, pas seulement dans le discours commercial ?
- Registre des accès : qui, chez le fournisseur, a accès à vos systèmes, et cette liste correspond-elle à l’équipe qui vous sert réellement ?
- Plan de continuité : existe-t-il un plan de reprise documenté et testé, ou repose-t-il sur la mémoire d’une seule personne chez le fournisseur ?
- Conformité à la Loi 25 : le fournisseur peut-il démontrer, documents à l’appui, comment il protège les renseignements personnels qu’il traite pour vous ?
- Portée exacte du contrat : ce qu’il couvre correspond-il à ce que vous croyez qu’il couvre, postes de travail, serveurs, infonuagique et téléphonie compris ?
- Coûts hors forfait : combien avez-vous payé l’an dernier en frais additionnels, pour des interventions présentées comme « non couvertes » ?
- Portabilité : si vous changiez de fournisseur demain, combien de temps faudrait-il pour récupérer vos données et vos accès administrateurs complets ?
Chaque point se documente. Aucun ne dépend de la bonne foi de qui que ce soit, et aucun n’exige que le fournisseur ouvre ses systèmes internes : tout part de ce qu’il doit déjà pouvoir vous montrer comme client.
Comment vérifier que les sauvegardes et les mises à jour sont vraiment faites ?
Deux points de la liste précédente méritent un développement, parce qu’ils causent le plus de mauvaises surprises quand un incident survient.
Une sauvegarde qui tourne n’est pas une sauvegarde qui fonctionne. Le seul test qui compte est une restauration réelle, même partielle, sur un environnement de test. Un journal de sauvegarde qui affiche « succès » chaque nuit depuis trois ans, sans qu’aucune restauration n’ait jamais été tentée, ne prouve rien de plus qu’un fichier de journal bien tenu.
Pour les correctifs, la question n’est pas « les mises à jour sont-elles faites ? » mais « dans quel délai, pour quelle criticité ? ». Un correctif de sécurité critique appliqué trois semaines après sa publication laisse une fenêtre ouverte pendant trois semaines. Le contrat devrait préciser un délai selon la gravité de la faille. S’il ne le précise pas, c’est la première chose à négocier au renouvellement, peu importe le résultat de l’audit.
Quand lancer l’audit avant de renouveler son contrat TI ?
Quatre-vingt-dix jours avant l’échéance, pas trente.
Un audit qui demande des documents au fournisseur, compare les preuves au contrat et produit un rapport prend habituellement plusieurs semaines, selon la taille du parc informatique et la collaboration du fournisseur en place. Il faut ensuite du temps pour agir sur les résultats : renégocier des clauses précises, ou entamer une transition si le rapport le justifie.
Trente jours avant l’échéance, vous n’avez plus de levier. Le fournisseur le sait, et une négociation menée sous la pression d’un contrat qui expire dans trois semaines se termine rarement à l’avantage du client. Le calendrier, pas la bonne volonté de part et d’autre, détermine votre position de négociation.
Avant de mandater qui que ce soit pour cette vérification, y compris nous, les bonnes questions à poser sont réunies dans Les questions à poser avant de confier votre audit TI.
Et si l’audit révèle des manquements, je change ou je renégocie ?
Ça dépend de ce que l’audit trouve, et la réponse n’est presque jamais un procès d’intention envers le fournisseur.
Un écart isolé, comme un registre de correctifs mal tenu mais des correctifs réellement appliqués, se corrige par une clause plus précise et un suivi trimestriel. C’est le scénario le plus fréquent : le travail se fait, la preuve n’a simplement jamais été structurée parce que personne ne l’a jamais demandée.
Des manquements répétés sur plusieurs points, en particulier sur les sauvegardes ou la sécurité des accès, changent la conversation. Ce n’est plus une clause à ajuster, c’est une question de confiance dans la capacité du fournisseur à protéger votre entreprise. Dans ce cas, le rapport d’audit devient la base d’une décision de changer de fournisseur, documentée et défendable devant un conseil d’administration ou des actionnaires, plutôt qu’une décision prise sur une impression.
Entre les deux, la majorité des dossiers se règlent par une renégociation ciblée :
- Clauses de sauvegarde et de correctifs plus précises
- Délais de résolution chiffrés
- Droit d’audit inscrit au contrat pour le prochain renouvellement
Combien coûte cette vérification par rapport à un contrat de trois ans ?
Un contrat de services gérés pour une PME de taille moyenne se chiffre en dizaines de milliers de dollars canadiens par année, engagés pour trois ans dès la signature. Une vérification indépendante avant renouvellement se situe, selon l’ampleur du parc informatique et la profondeur demandée, dans l’ordre de quelques milliers de dollars, réalisée en quelques semaines.
Le tableau suivant situe les deux dépenses l’une par rapport à l’autre.
| Poste | Ordre de grandeur | Durée |
|---|---|---|
| Contrat de services gérés (engagement de 3 ans) | Dizaines de milliers de dollars canadiens par année | Engagement fixe de 3 ans |
| Vérification indépendante avant renouvellement | Quelques milliers de dollars canadiens | Quelques semaines |
Rapporté à trois ans d’engagement, l’écart entre les deux montants est important. Rapporté au coût d’un incident de sécurité découvert après coup, ou à trois années supplémentaires payées pour des services qui ne sont pas rendus au niveau promis, l’écart s’inverse.
Les fournisseurs de services gérés évoquent souvent une durée moyenne de rétention de leurs clients qui dépasse largement celle d’autres services par abonnement. Le chiffre exact varie d’une source à l’autre et n’est pas mesuré de façon indépendante au Canada, mais l’intuition qu’il traduit est juste : une fois signé, un client de MSP change rarement de fournisseur, que le service suive ou non. C’est un argument de plus pour vérifier avant de reconduire l’habitude pour trois années de plus.
Un audit avant de renouveler son contrat TI coûte une fraction de l’engagement qu’il permet d’évaluer.
Votre contrat vient à échéance ? Accordez-vous 90 jours et un audit informatique indépendant avant de re-signer. Factero ne fait pas d’infogérance : notre rapport n’a rien à vous vendre, ni un renouvellement, ni un changement de fournisseur. Nous documentons ce qui est, vous décidez ce qui vient ensuite.
Pour aller plus loin avec Factero :
- changer de fournisseur TI ou renégocier
- audit TI indépendant avant de re-signer
- audit de votre budget TI
Foire aux questions
Un audit de mon fournisseur TI est-il vraiment nécessaire si tout semble bien fonctionner ?
Oui. « Tout semble fonctionner » reste une impression, pas une preuve documentée. L’audit ne présume pas d’un problème : il transforme une observation en constat vérifié, journaux de sauvegarde et registre de correctifs à l’appui. Même quand le résultat confirme que tout va bien, ce constat reste utile pour renégocier ou pour justifier une décision devant un conseil d’administration.
L’audit doit-il être fait par une firme indépendante, qui ne vend pas d’infogérance ?
Oui, c’est la pratique à privilégier. Une firme qui vend aussi des services gérés a un intérêt commercial à ce que l’audit débouche sur un changement de fournisseur, vers elle : c’est un conflit d’intérêts structurel, pas une question de compétence. Une firme indépendante n’a que son rapport à défendre, aucun contrat d’infogérance à vendre derrière.
Comment savoir si je paie mon fournisseur TI au-dessus du prix du marché ?
Il n’existe pas de baromètre public fiable et indépendant des prix de services gérés au Canada, méfiez-vous de qui prétend le contraire. La comparaison utile ne se fait pas contre un chiffre externe, mais contre l’annexe de services actuelle : chaque poste facturé correspond-il à un livrable précis, documenté et encore pertinent aujourd’hui ? C’est ce que vérifie l’audit, pas un tarif moyen.
Combien de temps avant l’échéance du contrat faut-il commencer l’audit ?
Un audit avant de renouveler son contrat TI se lance quatre-vingt-dix jours avant l’échéance, pas trente. Ce délai laisse le temps de réunir les documents, de comparer les preuves au contrat, de produire un rapport et d’agir sur les résultats : renégocier des clauses précises ou entamer une transition. Trente jours avant l’échéance, le fournisseur sait que vous n’avez plus de levier de négociation.
Changer de fournisseur TI après un audit décevant, à quel point est-ce compliqué ?
Ça dépend presque entièrement de ce qui a été documenté d’avance, pas de la complexité technique elle-même. Un fournisseur qui a toujours gardé vos accès administrateurs et vos sauvegardes dans un format portable rend la transition rapide. Un fournisseur qui garde ces éléments captifs la rend longue et coûteuse, ce qui est en soi un signal à noter avant même de lancer l’audit.
