En bref : Combien coûte un audit informatique au Québec ? De 800 $ à 1500 $ pour un diagnostic sommaire, et de 5000 $ à 10 000 $ et plus pour un audit structuré (cybersécurité complète, gouvernance ou pré-certification), toujours en dollars canadiens. L’écart tient à la portée retenue, au référentiel visé et au nombre de postes couverts, pas à un tarif uniforme par employé.
Cherchez « combien coûte un audit informatique » et vous tombez presque toujours sur des chiffres en euros, publiés par des cabinets français ou belges. Aucun repère en dollars canadiens, aucun contexte québécois. Ce texte comble ce trou : des fourchettes réelles, la méthode pour les lire, et ce qu’il faut vérifier avant de signer une soumission.
Dans cet article
Combien coûte un audit informatique pour une PME québécoise ?
Une PME québécoise paie généralement entre 800 $ et 10 000 $, selon la portée retenue. La transparence tarifaire reste quasi absente au Québec : peu de cabinets publient leurs prix, la plupart préfèrent une conversation avant de chiffrer. Les rares fourchettes qui circulent publiquement dessinent tout de même un portrait : de l’ordre de 800 $ à 1500 $ pour les offres d’entrée de gamme, jusqu’à 5000 $ à 10 000 $ pour les audits structurés.
Entre ces deux bornes, le type de mandat fait toute la différence.
| Type de mandat | Ce qu’il couvre | Ordre de grandeur observé |
|---|---|---|
| Diagnostic sommaire | Scan technique automatisé, peu ou pas d’entretiens, rapport court | Bas de la fourchette, de l’ordre de 800 $ à 1500 $ |
| Audit de cybersécurité PME | Contrôles techniques et une partie de la gouvernance : accès, sauvegardes, politiques | Milieu de la fourchette |
| Audit de gouvernance complet | Gouvernance, conformité (dont la Loi 25) et processus, en plus du technique | Vers le haut de la fourchette |
| Audit pré-certification (TGV, CPCSC) | Cartographie contre une grille officielle, souvent avec tests d’intrusion obligatoires | Haut de la fourchette, 5000 $ à 10 000 $ et parfois plus |
Ces chiffres sont des repères de marché, pas une soumission. Le nôtre ni celui de personne d’autre. La bonne façon de les utiliser : vérifier qu’une soumission reçue tombe dans un ordre de grandeur raisonnable pour ce qu’elle promet de couvrir, pas la confondre avec un tarif fixe.
Un dirigeant qui compare un diagnostic sommaire à 900 $ et un audit pré-certification à 9000 $ ne compare pas deux versions du même produit à des prix différents. Il compare un instantané technique, produit en quelques jours, à une démonstration complète de conformité, produite sur plusieurs semaines, avec entretiens, preuves documentées et souvent des tests d’intrusion réalisés par une équipe distincte. Le prix suit ce que le mandat produit à la fin, pas seulement le nombre d’heures qu’il consomme.
Qu’est-ce qui fait varier le coût d’un audit informatique ?
Cinq facteurs expliquent l’essentiel de l’écart entre deux mandats qui portent, sur papier, le même nom.
- Le nombre d’employés et de postes à couvrir détermine l’ampleur du travail sur le terrain : entretiens, échantillonnage, vérifications techniques. Une entreprise de 15 postes et une de 150 ne demandent pas le même effort, même avec le même référentiel.
- La portée du mandat pèse tout autant. Un audit purement technique (réseau, postes, sauvegardes) coûte moins qu’un audit qui ajoute la gouvernance : politiques écrites, gestion des accès, formation, conformité à la Loi 25 (la loi québécoise sur la protection des renseignements personnels). Le deuxième prend plus de temps parce qu’il regarde des processus, pas seulement des configurations.
- Le référentiel visé compte aussi. Un audit sans cadre précis coûte généralement moins qu’un audit mené contre un cadre reconnu : le NIST CSF (le cadre de cybersécurité de l’organisme fédéral américain de normalisation), la norme internationale ISO 27001, ou le programme fédéral CyberSécuritaire Canada. Chaque cadre a ses propres contrôles à démontrer, et démontrer prend du temps facturable. Le Centre canadien pour la cybersécurité publie des guides de référence gratuits pour les petites organisations. Ils aident à comprendre un cadre, ils ne remplacent pas la démonstration de conformité qu’un audit exige.
- Les obligations sectorielles ajoutent une couche. Un fournisseur qui vise la certification TGV (la Trousse globale de vérification, exigée pour vendre au réseau de la santé québécois) ou le CPCSC (le Programme canadien de certification en cybersécurité, l’équivalent canadien du CMMC américain pour les sous-traitants de la défense) doit démontrer sa conformité à une grille de critères précise, souvent avec des tests d’intrusion obligatoires en sus. Ce n’est plus un audit générique, c’est un audit contre une cible fixée par un tiers.
- Le délai, enfin, joue un rôle direct. Un mandat qui doit être bouclé en trois semaines pour respecter la date de clôture d’un appel d’offres coûte plus cher que le même mandat étalé sur deux mois. Notre article sur le déroulement d’un audit informatique semaine par semaine détaille ce que chaque semaine occupe réellement, et pourquoi comprimer le calendrier a un prix.
Pourquoi deux soumissions d’audit peuvent-elles aller du simple au triple ?
Parce qu’elles ne décrivent souvent pas la même chose, même quand les deux documents utilisent le mot « audit ».
Une soumission à 1500 $ peut couvrir un scan automatisé de vulnérabilités, généré par un logiciel, relu rapidement par un technicien. Une soumission à 8000 $ peut couvrir des entretiens avec votre équipe, une revue documentaire, des tests manuels et un rapport qui distingue les constats critiques des recommandations secondaires. Le mot est le même, le produit ne l’est pas.
L’écart de prix suit rarement l’écart de compétence. Il suit l’écart de portée. Avant de comparer deux chiffres, il faut comparer deux listes : ce que chaque cabinet promet de vérifier, avec quelle méthode, et ce que vous recevez à la fin.
Le nombre de pages du rapport n’est pas non plus un bon indicateur. Un rapport court qui priorise trois constats critiques peut valoir plus, pour votre direction, qu’un rapport de soixante pages qui liste tout sans hiérarchie. Demandez à voir un exemple de rapport, expurgé des renseignements confidentiels d’un autre client, avant de signer. Un cabinet sérieux en a un à montrer.
Combien coûte un audit informatique, dans ce cas précis ? La seule façon de le savoir est de comparer deux listes de portée, pas deux chiffres isolés.
Un audit gratuit ou à 799 $, qu’est-ce que ça achète vraiment ?
Un audit à bas prix, parfois gratuit, n’est pas un cadeau. C’est souvent une porte d’entrée.
Un fournisseur qui gère déjà votre infogérance peut proposer un audit de vos systèmes à un prix qui ne couvre pas son coût réel, parce que le vrai revenu vient après : le contrat de services, le renouvellement de matériel, les heures facturées pour corriger ce que l’audit a trouvé. Le rapport devient un argumentaire de vente, pas un constat neutre. Ce n’est l’intention de personne en particulier, c’est la mécanique du modèle d’affaires : qui écrit le rapport et qui vend la solution ne devraient pas être la même partie.
Un audit indépendant fonctionne à l’inverse. Le rapport est le produit, pas un préambule à autre chose. Le cabinet n’a rien à vendre après, donc rien à gonfler ni à minimiser dans ce qu’il écrit. Nous en parlons plus longuement dans Pourquoi votre fournisseur TI ne devrait pas s’auditer lui-même.
Ce n’est pas dire qu’un audit à 799 $ n’a aucune valeur. Un scan automatisé peut détecter des failles techniques réelles. C’est dire qu’il faut savoir ce que vous achetez : un instantané technique n’est pas une évaluation de gouvernance, et un rapport de vente déguisé en audit n’est pas un audit indépendant.
Comment comparer le prix de soumissions d’audit informatique ?
Comparer deux prix sans comparer deux portées, c’est comparer un billet d’avion sans savoir si les bagages sont inclus. Voici cinq points à vérifier avant de choisir.
- La portée exacte : technique seulement, ou gouvernance et conformité aussi ? Demandez la liste des domaines couverts, pas un titre générique.
- Le référentiel utilisé : NIST CSF, ISO 27001, CyberSécuritaire Canada, une grille sectorielle comme la TGV ou le CPCSC, ou aucun cadre précis ? L’absence de référentiel n’est pas nécessairement un défaut, mais elle doit être un choix conscient, pas une découverte après coup.
- Ce qui est inclus dans les tests : un scan automatisé et un test d’intrusion manuel ne coûtent pas le même prix parce qu’ils ne trouvent pas les mêmes choses.
- L’indépendance du cabinet : le cabinet vend-il aussi de l’infogérance, du matériel ou des licences ? Si oui, demandez comment il sépare le mandat d’audit de ses autres revenus.
- Ce qui arrive après le rapport : un rapport livré sans échange, ou un rapport accompagné d’une présentation à votre direction qui explique les priorités ? La différence se voit rarement dans le prix affiché, elle se découvre en posant la question.
Un bon point de départ pour structurer cette comparaison : rédiger un mandat clair avant de solliciter des soumissions. Notre guide Rédiger un mandat d’audit TI explique comment poser des exigences qui obtiennent des constats comparables, pas des brochures qui se ressemblent toutes.
Une soumission ne remplace pas une fourchette qui tient compte de votre contexte réel : nombre de postes, secteur, référentiel visé. C’est ce que nous offrons dans un premier échange sur notre page Audit TI indépendant : une fourchette construite sur ce qu’on voit chez vous, pas un chiffre générique importé d’ailleurs.
Pour une vue d’ensemble du processus, notre guide L’audit informatique : le guide complet du dirigeant québécois reste le point de départ recommandé avant de solliciter des soumissions.
Pour aller plus loin avec Factero :
- tarification de notre audit informatique
- second avis TI sur une soumission
- diagnostic TI PME en une ou deux questions
Foire aux questions
Combien coûte un test d’intrusion, en plus de l’audit ?
Pas nécessairement inclus dans le prix de l’audit. Le test d’intrusion, une simulation contrôlée d’attaque contre vos systèmes, est souvent réalisé par une équipe distincte de celle qui mène l’audit et facturé comme une ligne séparée. Pour un audit pré-certification (TGV, CPCSC), il est fréquemment obligatoire et pousse le mandat vers le haut de la fourchette, soit 5000 $ à 10 000 $ et plus. Vérifiez explicitement s’il est inclus avant de comparer deux soumissions.
Combien coûte un audit informatique indépendant, comparé à un audit offert par votre fournisseur TI actuel ?
Souvent similaire sur papier, rarement équivalent dans les faits. Un fournisseur qui vend déjà de l’infogérance peut proposer un prix bas parce que son vrai revenu arrive après, dans le contrat qui suit un audit favorable. Un cabinet indépendant facture le mandat pour ce qu’il est, sans rien à vendre ensuite : le prix reflète le travail, pas un calcul fait sur ce qui vient après. Voir Pourquoi votre fournisseur TI ne devrait pas s’auditer lui-même pour le détail de cette distinction.
Combien de temps dure un audit informatique, et est-ce que ça change le prix ?
De quelques jours pour un diagnostic sommaire à plusieurs semaines pour un mandat structuré, selon la portée retenue. Le délai pèse directement sur le prix : un mandat comprimé à trois semaines pour respecter la date de clôture d’un appel d’offres coûte plus cher que le même mandat étalé sur deux mois. Notre article sur le déroulement d’un audit informatique semaine par semaine détaille ce que chaque étape occupe.
La Loi 25 oblige-t-elle une PME québécoise à faire auditer son informatique ?
Pas explicitement. La Loi 25 n’impose pas un audit informatique nommément, elle impose des obligations de protection des renseignements personnels que l’absence d’audit ne suspend pas. Ne pas savoir où sont vos écarts ne les fait pas disparaître, ça retarde seulement le moment où vous les découvrez.
Le prix d’un audit dépend-il vraiment du nombre d’employés ?
En bonne partie, oui. Plus il y a de postes, de comptes et de systèmes à examiner, plus l’effort augmente sur le terrain, surtout pour les volets qui demandent des entretiens et des vérifications manuelles plutôt qu’un scan automatisé. Le nombre d’employés reste un facteur parmi d’autres : la portée du mandat et le référentiel visé comptent tout autant.
