Externaliser la DSI ou embaucher un responsable IT ? (PME)

En dessous d’une trentaine de postes avec des outils standards, externalisez le support et l’exploitation à un infogérant, sous contrat avec SLA, réversibilité et preuves de sauvegarde. Au-delà, ou si votre SI est spécifique, embauchez un responsable IT qui pilote un prestataire : c’est le modèle hybride. Le critère qui tranche n’est pas le budget, c’est le risque cyber que vous acceptez de porter seul.

Externaliser, embaucher ou hybride : quelles différences pour une PME ?

Dans les PME que j’accompagne, la question arrive souvent après un incident : un serveur en panne un vendredi soir, un prestataire injoignable, ou un salarié « qui s’occupait de l’informatique » qui vient de partir. Trois modèles existent, et chacun règle un problème différent.

Externaliser (infogérance) : un prestataire assure le support utilisateurs, la maintenance, les sauvegardes et la sécurité, contre un forfait mensuel par poste. Vous achetez de la disponibilité et des compétences que vous ne pourriez pas recruter.
Embaucher : un responsable IT interne connaît vos métiers, porte les projets (ERP, CRM, automatisations) et arbitre au quotidien. Vous achetez de la réactivité et une vision alignée sur votre stratégie.
Hybride : le responsable interne pilote, le prestataire exécute le support de niveau 1, la supervision et les astreintes. C’est le modèle qui tient le mieux quand l’entreprise grandit.

Comment décider selon la taille et la complexité de votre SI ?

Moins de 30 postes et des outils standards

Messagerie cloud, suite bureautique, un logiciel métier en SaaS : un responsable IT à temps plein s’ennuierait, et vous n’auriez pas de quoi le retenir. L’infogérance suffit, à condition que le contrat soit cadré (voir la liste ci-dessous) et qu’un dirigeant garde les accès administrateurs.

De 30 à 150 postes, ou un SI spécifique

Un ERP paramétré, des flux entre outils, plusieurs sites ou une production connectée : le prestataire ne peut plus porter vos choix à votre place. Recrutez un responsable IT (ou un DSI à temps partagé pour commencer) et gardez l’infogérant pour le support et la supervision.

Le risque cyber comme critère de bascule

Selon le baromètre 2025 de la maturité cyber des TPE-PME (Cybermalveillance.gouv.fr avec OpinionWay, 588 entreprises, octobre 2025), la gestion de la cybersécurité est internalisée dans 44 % des entreprises, externalisée dans 36 % et inexistante dans 25 %. Le prestataire informatique y reste la première source d’information (39 %). Si personne chez vous ne sait dire où sont les sauvegardes et qui a un compte administrateur, la question n’est plus « interne ou externe » : c’est « qui est responsable ». Nommez-le, même à temps partiel.

Quelles clauses exiger d’un infogérant avant de signer ?

Les clauses non négociables

Inventaire initial annexé au contrat : applications, licences, matériel, comptes administrateurs, mis à jour chaque trimestre.
SLA écrits : délai de prise en charge et de rétablissement par niveau de criticité, pénalités en cas de dépassement, reporting mensuel des incidents.
Réversibilité : documentation à jour, remise de tous les accès administrateurs et export des données sous 30 jours, sans frais non prévus au contrat.
Sauvegardes testées : un test de restauration par trimestre avec compte rendu, et une copie hors ligne ou immuable, hors de portée d’un rançongiciel.
MFA obligatoire sur la messagerie, le VPN et tous les comptes administrateurs, y compris ceux des techniciens du prestataire.
Escalade nommée : un interlocuteur identifié chez le prestataire, un chez vous, et une astreinte définie pour les incidents bloquants.

Si vous embauchez, appliquez la même exigence en interne : documentation partagée, accès administrateurs détenus par deux personnes, et un point mensuel de 30 minutes sur trois indicateurs (incidents ouverts, dernier test de restauration, comptes sans MFA).

Questions fréquentes sur l’externalisation de la DSI

Qu’est-ce que l’infogérance exactement ?

L’infogérance consiste à confier à un prestataire l’exploitation de tout ou partie de votre système d’information : support aux utilisateurs, maintenance des postes et serveurs, sauvegardes, mises à jour et sécurité. Le service est facturé au forfait, souvent par poste et par mois, avec des engagements de service (SLA) écrits dans le contrat.

Un responsable IT interne suffit-il pour la cybersécurité ?

Rarement seul. Une personne ne peut pas assurer la supervision 24 h/24, la veille sur les vulnérabilités et le support en même temps. Le responsable interne fixe les règles (MFA, sauvegardes, droits d’accès) et vérifie qu’elles sont appliquées ; la surveillance et les astreintes sont confiées à un prestataire spécialisé.

Que se passe-t-il si je veux changer de prestataire ?

Tout dépend de la clause de réversibilité signée. Sans elle, vous risquez de découvrir que la documentation n’existe pas, que les mots de passe administrateurs sont détenus par le prestataire, ou que l’export des données est facturé. Exigez dès la signature un délai, un périmètre et un coût de transfert écrits.

Faut-il un DSI à temps partagé plutôt qu’une embauche ?

C’est une bonne étape intermédiaire entre 30 et 80 postes : un profil expérimenté, un ou deux jours par semaine, qui cadre les prestataires, priorise les projets et prépare l’arrivée d’un responsable à temps plein. Le risque est la dépendance à une personne ; imposez une documentation qui reste chez vous.

Par où commencer ?

Aujourd’hui, posez deux questions à la personne qui gère votre informatique, interne ou prestataire : « quand a eu lieu le dernier test de restauration ? » et « quels comptes administrateurs n’ont pas de MFA ? ». Les réponses, ou leur absence, vous diront si le modèle actuel tient. En 30 minutes d’appel, je vous aide à choisir entre infogérance, embauche et hybride selon votre situation, sans engagement.

Pour aller plus loin : le plan de résilience cybersécurité en 30 jours pour une PME.