GUIDE · GRANDE ENTREPRISE
Prestataire informatique pour grande entreprise : bien le choisir
Multi-sites, DSI sous tension, exigences de sécurité élevées : une grande organisation ne cherche pas un prestataire pour tout faire, mais pour couvrir un périmètre précis avec des engagements vérifiables. Ce guide explique comment cadrer et comparer les offres.
Dans ce guide
- Les modèles d'externalisation possibles
- Cadrer l'appel d'offres et le contrat
- NIS 2, DORA, RGPD : les points réglementaires
- Les questions à poser et les signaux d'alerte
Compléter la DSI, pas la remplacer
Une grande entreprise dispose déjà d'une direction informatique, de processus et d'outils. Le besoin diffère donc de celui d'une PME : absorber des pics de charge, couvrir des périmètres que les équipes internes n'ont pas le temps de traiter, ou apporter une expertise pointue le temps d'un projet. Un bon prestataire s'insère dans l'organisation existante — outil ITSM, référentiels, comitologie — plutôt que d'imposer la sienne.
Les principaux modèles d'externalisation
Infogérance d'un périmètre multi-sites
Sièges, agences, entrepôts, filiales : l'infogérance porte souvent sur un périmètre défini, par exemple les sites secondaires ou une population d'utilisateurs, avec des engagements de service différenciés selon la criticité. La supervision centralisée couvre serveurs, réseau et liens inter-sites ; les interventions sur site doivent être coordonnées à l'échelle du territoire. Vérifiez comment le prestataire assure la présence physique là où vous en avez besoin : équipes propres ou sous-traitants locaux.
Renfort de la DSI et support utilisateurs
Le prestataire peut reprendre le support de niveau 1 et 2 via un helpdesk externalisé, industrialiser la gestion de parc (masterisation, déploiements, cycle de vie) ou fournir des compétences en régie sur des sujets précis. Le guide infogérance ou régie compare ces deux modes : engagement de résultat sous SLA d'un côté, mise à disposition de moyens pilotés par vos équipes de l'autre.
Cybersécurité avancée et projets
Durcissement des configurations, segmentation, EDR managé, gestion des vulnérabilités, plan de reprise et plan de continuité testés par des exercices réels ; migrations de messagerie, déménagements de salles, virtualisation ou déploiements multi-sites. Sur ces sujets, l'ANSSI délivre des qualifications de prestataires de sécurité — notamment PASSI pour l'audit, PRIS pour la réponse aux incidents et PDIS pour la détection — ainsi que SecNumCloud pour le cloud : demandez si le prestataire, ou son partenaire, en dispose pour les prestations concernées.
Cadrer l'appel d'offres et le contrat
À cette échelle, la qualité du cahier des charges conditionne la comparabilité des réponses. Les éléments à prévoir :
- Un inventaire et des volumes : sites, utilisateurs, postes, serveurs, volumétrie de tickets historique.
- Des unités d'œuvre clairement définies (ticket, poste géré, serveur, intervention sur site) pour comparer les prix et piloter les évolutions de périmètre.
- Une matrice de responsabilités (RACI) entre la DSI et le prestataire.
- Un plan d'assurance qualité (PAQ) et un plan d'assurance sécurité (PAS), qui décrivent l'organisation, les processus et les mesures de sécurité du prestataire.
- Une gouvernance : comités opérationnels et de pilotage, indicateurs, revue des SLA, processus de changement.
- Une phase de transition et une réversibilité décrites dès la signature, avec livrables, durée et coût. Le guide du contrat d'infogérance détaille ces clauses.
Réglementation
Trois cadres qui pèsent sur le choix du prestataire
NIS 2
La directive européenne NIS 2 élargit fortement le nombre d'entités soumises à des obligations de cybersécurité, dont la maîtrise de la chaîne d'approvisionnement : vos prestataires informatiques en font partie. L'ANSSI met à disposition des outils pour vérifier si votre organisation est concernée.
DORA
Pour les entités du secteur financier, le règlement européen DORA, applicable depuis janvier 2025, encadre la gestion du risque lié aux prestataires de services informatiques : registre des contrats, clauses minimales, stratégie de sortie.
RGPD
Dès qu'il accède à des données personnelles, le prestataire est sous-traitant au sens de l'article 28 du RGPD : un contrat doit préciser l'objet du traitement, les mesures de sécurité, la sous-traitance ultérieure et le sort des données en fin de contrat.
Les questions à poser lors de la consultation
- Comment le prestataire travaille-t-il avec nos outils ? Peut-il opérer dans notre ITSM et selon nos processus (ITIL, changements, habilitations) ?
- Quelle couverture géographique réelle ? Équipes propres ou sous-traitants, délais d'intervention sur site par zone.
- Quels SLA par niveau de criticité et par site ? Comment sont-ils mesurés, qui produit les rapports, quelles pénalités ?
- Quelle sous-traitance en cascade ? Liste des sous-traitants, localisation des données et des équipes, conditions d'agrément.
- Quelles qualifications ou certifications ? ISO 27001, qualifications ANSSI pour les prestations de sécurité, références comparables vérifiables.
- Comment se déroulent la transition et la réversibilité ? Plan, durée, livrables, coût, transfert de connaissances.
- Comment le prix évolue-t-il ? Révision annuelle, indexation, variation des volumes par unité d'œuvre.
Les signaux d'alerte
- Des SLA identiques pour tous les sites, sans lien avec leur criticité.
- Une réversibilité renvoyée à « des modalités à définir ».
- Un recours à la sous-traitance non déclaré ou non encadré.
- Des indicateurs de service produits uniquement par le prestataire, sans accès aux données brutes.
- Une équipe présentée en soutenance qui n'est pas celle qui exécutera le contrat.
Questions fréquentes
FAQ
Comment articuler l'intervention d'un prestataire avec la DSI ?
Par une matrice de responsabilités contractuelle (qui fait quoi, sur quel périmètre, avec quels engagements) et par une gouvernance régulière : comité opérationnel pour le suivi des indicateurs, comité de pilotage pour arbitrer les évolutions.
Un prestataire peut-il utiliser nos outils ITSM et nos processus ?
C'est une exigence courante et légitime. Précisez-la dans le cahier des charges : travailler dans votre outil de ticketing garantit que les données de service restent chez vous et facilite la réversibilité.
Comment couvrir plusieurs sites en France ?
Demandez une supervision et un pilotage centralisés, des SLA différenciés par site selon leur criticité, et la liste des intervenants locaux, y compris sous-traitants, avec leurs délais d'intervention réels.
Que doit prévoir la clause de réversibilité ?
La documentation maintenue à jour pendant tout le contrat, la restitution des configurations, des données et des accès, une assistance à la transition vers le nouveau prestataire, avec une durée et un coût fixés dès la signature plutôt que négociés au moment du départ.
Infogérance ou régie : que choisir ?
L'infogérance engage le prestataire sur un résultat mesuré par des SLA ; la régie fournit des moyens pilotés par vos équipes. Beaucoup de grandes organisations combinent les deux selon les périmètres ; le guide dédié détaille les critères.
Préparer la consultation
La checklist sert de base pour structurer un cahier des charges et une grille de notation. prestataire.org ne vend aucun service et ne transmet aucune demande : les décisions restent les vôtres.