Comment définir une stratégie informatique pour une TPE ?

Partir de l’activité, pas des produits

Décrivez cinq à dix opérations essentielles : recevoir une demande, établir un devis, planifier une intervention, produire, facturer, encaisser, commander, communiquer avec le comptable ou répondre à un client.

Pour chacune, notez :

• les personnes impliquées ;
• les logiciels et appareils utilisés ;
• les données créées ou consultées ;
• les fournisseurs dont l’activité dépend ;
• le fonctionnement possible en cas de panne ;
• la durée maximale d’interruption acceptable ;
• les obligations contractuelles, légales ou sectorielles.

Cette cartographie révèle les dépendances invisibles. Une entreprise peut croire que son logiciel métier est prioritaire alors que l’accès à la messagerie, au compte administrateur ou à la connexion Internet conditionne sa remise en service.

Ne commencez pas par « faut-il passer dans le cloud ? » ou « quelle intelligence artificielle acheter ? ». Commencez par le problème à résoudre et la conséquence d’un arrêt.

Fixer quelques objectifs mesurables

Un objectif utile décrit un résultat et un délai. Par exemple :

• restaurer un dossier client supprimé en moins de deux heures ;
• remplacer les postes qui sortiront du support avant une date définie ;
• supprimer les comptes d’un ancien intervenant le jour de son départ ;
• équiper tous les comptes critiques d’une authentification multifacteur ;
• réduire les doubles saisies entre devis et facturation ;
• documenter le redémarrage après une panne Internet ;
• tester chaque trimestre une restauration de sauvegarde.

Évitez les formules comme « moderniser l’informatique » ou « améliorer la cybersécurité » sans indicateur. Elles ne permettent ni de choisir un investissement ni de vérifier le résultat.

Limitez la première feuille de route à trois ou cinq objectifs. Les autres besoins restent dans un registre à réexaminer.

Faire un inventaire réellement exploitable

Recensez au minimum :

Sur un petit écran, faites défiler le tableau horizontalement.

Un inventaire doit permettre d’agir, pas seulement de compter. « Trois PC et Microsoft 365 » ne dit pas qui possède le compte principal, quand les postes ne seront plus maintenus, ni où se trouvent les sauvegardes.

Mettez à jour l’inventaire lors de chaque arrivée, départ, achat, remplacement ou changement de prestataire. Une revue courte tous les trimestres est plus fiable qu’un grand recensement oublié pendant trois ans.

Classer les données et les services

Toutes les données ne demandent pas la même protection. Classez-les selon leur utilité et leur sensibilité :

• données indispensables à la reprise de l’activité ;
• données personnelles de clients, salariés ou contacts ;
• documents contractuels, comptables ou fiscaux ;
• secrets commerciaux, plans, créations ou méthodes ;
• fichiers temporaires ou facilement reconstituables.

Pour chaque catégorie, décidez qui peut lire, modifier, partager, supprimer et restaurer. Appliquez le besoin d’en connaître plutôt qu’un accès général « parce que nous sommes une petite équipe ».

Le RGPD ne se résume pas à une bannière de cookies. L’entreprise doit protéger les données personnelles qu’elle traite, limiter leur collecte, encadrer les sous-traitants et conserver les informations pendant une durée justifiée.

La classification doit rester simple. Trois ou quatre niveaux compris par tous valent mieux qu’une nomenclature complexe que personne n’utilise.

Traiter d’abord les risques qui arrêtent l’entreprise

Imaginez des scénarios concrets :

1. le poste principal ne démarre plus ;
2. un compte de messagerie est piraté ;
3. les fichiers partagés sont chiffrés par un rançongiciel ;
4. la box ou la fibre tombe en panne ;
5. le téléphone contenant le MFA est perdu ;
6. un prestataire ou salarié quitte l’entreprise ;
7. un service cloud ferme le compte ou devient indisponible ;
8. un dégât des eaux rend le local inaccessible.

Évaluez pour chacun la probabilité, l’impact, les protections existantes et la prochaine action. Une échelle simple — faible, moyen, fort — suffit pour ordonner les travaux si les critères sont définis.

Les actions qui empêchent un arrêt grave ou réduisent fortement sa durée passent avant le confort. Sauvegarder et tester la restauration est généralement plus prioritaire que remplacer un écran fonctionnel.

Construire un socle de sécurité proportionné

Le guide public « La cybersécurité pour les TPE/PME en treize questions » rappelle que quelques pratiques essentielles réduisent déjà sensiblement le risque. Le socle d’une petite structure comprend notamment :

• des appareils et logiciels encore maintenus et mis à jour ;
• un compte nominatif par personne ;
• l’authentification multifacteur sur la messagerie, le cloud et les comptes d’administration ;
• un gestionnaire de mots de passe adapté ;
• des droits administrateur limités ;
• une protection antimalware et un pare-feu actifs ;
• un Wi-Fi configuré et séparé des invités ;
• des sauvegardes indépendantes et restaurables ;
• une procédure d’arrivée et de départ ;
• une sensibilisation régulière aux fraudes et à l’hameçonnage ;
• un contact et une procédure en cas d’incident.

Ne créez pas de dépendance à une seule personne qui connaît tous les mots de passe. Les accès de secours doivent être protégés, inventoriés et testés, sans devenir un compte partagé utilisé au quotidien.

Une TPE n’a pas besoin de copier l’architecture d’un grand groupe. Elle doit en revanche maîtriser ses comptes critiques, ses sauvegardes et ses dépendances.

Définir une vraie stratégie de sauvegarde

Une synchronisation cloud n’est pas automatiquement une sauvegarde. Une suppression, une corruption ou un chiffrement peut se synchroniser.

La CNIL conseille la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors ligne. Adaptez-la à l’activité et ajoutez des contrôles :

• définir exactement ce qui est sauvegardé ;
• chiffrer les supports qui sortent des locaux ;
• séparer les comptes d’administration des sauvegardes ;
• conserver un historique suffisant ;
• surveiller les échecs ;
• tester la restauration de fichiers et, si nécessaire, d’un système complet ;
• documenter le délai et l’ordre de reprise.

Deux indicateurs structurent la décision : la quantité de travail que l’entreprise peut accepter de perdre, et le délai maximal pour remettre le service en route. Il n’est pas nécessaire d’employer un vocabulaire complexe, mais ces deux réponses doivent être chiffrées.

Une sauvegarde qui affiche « succès » sans test de restauration reste une promesse. Programmez les essais et consignez le résultat.

Prévoir la continuité en mode dégradé

Pour chaque service essentiel, définissez une solution temporaire :

• liste de contacts disponible hors de la messagerie principale ;
• procédure de partage de connexion ou routeur de secours ;
• modèle de devis et de facture accessible selon les règles applicables ;
• copie des coordonnées des fournisseurs ;
• accès aux sauvegardes sans dépendre du poste en panne ;
• chargeurs, câbles et matériel de remplacement minimal ;
• consignes pour informer clients et partenaires.

Le mode dégradé ne doit pas contourner la sécurité. Envoyer des données clients sur une messagerie personnelle ou partager un mot de passe dans un groupe de discussion peut créer un second incident.

Testez une fois par an au minimum un scénario réaliste : qui appelle qui, où se trouve la procédure, quel appareil est utilisé et combien de temps prend la reprise. Pour une activité très dépendante du numérique, augmentez la fréquence.

Choisir entre cloud, local et solutions hybrides

Le cloud peut simplifier l’accès, les mises à jour et la collaboration. Il transfère aussi une partie de la dépendance vers le fournisseur, le compte, le contrat et la connexion Internet.

Une solution locale peut fonctionner sans Internet et offrir davantage de contrôle. Elle exige du matériel, des mises à jour, des sauvegardes, une protection physique et des compétences de maintenance.

Comparez pour chaque usage :

• disponibilité nécessaire ;
• travail hors connexion ;
• nombre d’utilisateurs et de sites ;
• sécurité des comptes et journaux ;
• localisation et sous-traitance des données ;
• sauvegarde et restauration ;
• export complet et réversibilité ;
• coût sur plusieurs années ;
• assistance et délai de rétablissement ;
• procédure en fin de contrat.

Une architecture hybride peut être pertinente, mais elle ne doit pas devenir un empilement incompréhensible. Désignez pour chaque donnée une source de référence et évitez les copies concurrentes.

Gérer le cycle de vie du matériel et des logiciels

Pour chaque poste et application, notez une date de revue et une condition de remplacement : fin de support, panne répétée, performances insuffisantes, incompatibilité ou coût d’entretien excessif.

Planifiez les renouvellements au lieu d’attendre plusieurs pannes simultanées. Étalez les achats lorsque cela facilite le budget, tout en conservant un parc suffisamment homogène pour être maintenu.

Avant un changement :

1. vérifier la compatibilité des logiciels et périphériques ;
2. sauvegarder et tester les données ;
3. préparer les comptes, licences et MFA ;
4. réaliser un pilote sur un poste ;
5. définir le retour arrière ;
6. documenter la configuration retenue ;
7. effacer ou recycler l’ancien matériel de manière contrôlée.

Depuis le 14 octobre 2025, Windows 10 ne reçoit plus gratuitement les correctifs de sécurité ordinaires de Microsoft. Les postes encore concernés doivent avoir une trajectoire documentée : migration vers un système maintenu, programme de mises à jour de sécurité étendues lorsqu’il est applicable, remplacement ou isolement temporaire. Continuer sans décision n’est pas une stratégie.

Encadrer les prestataires et les accès

Un contrat ou une lettre de mission doit préciser le périmètre, les contacts, les responsabilités, les délais attendus, les sauvegardes, la confidentialité et les conditions de sortie.

Conservez la maîtrise des actifs essentiels : nom de domaine, messagerie, comptes cloud, licences, sauvegardes et moyens de paiement. Un compte principal ne doit pas appartenir uniquement au prestataire ou à l’adresse personnelle d’un ancien salarié.

Tenez un registre des accès accordés :

• personne ou société ;
• système concerné ;
• niveau de droit ;
• motif ;
• date d’ouverture ;
• date de revue ou de retrait.

Révoquez les accès inutiles et changez les secrets partagés après un départ. La confiance dans un prestataire n’exclut ni les comptes nominatifs ni la traçabilité.

Calculer le coût total et réserver un budget

Le prix d’achat ne représente qu’une partie du coût informatique. Ajoutez :

• licences et abonnements ;
• installation, migration et paramétrage ;
• sauvegarde, sécurité et supervision ;
• formation et documentation ;
• assistance et maintenance ;
• consommables, énergie et connexion ;
• temps interne ;
• arrêt d’activité en cas de panne ;
• export ou remplacement en fin de contrat.

Séparez trois enveloppes : fonctionnement récurrent, renouvellement planifié et imprévu. Même modeste, une réserve évite qu’une panne urgente impose le premier produit disponible.

Pour arbitrer, estimez le risque évité, le temps réellement gagné et la durée d’usage. Un outil peu coûteux qui multiplie les ressaisies ou bloque les exports peut revenir plus cher qu’une solution mieux adaptée.

Intégrer l’intelligence artificielle avec méthode

L’IA peut aider à résumer, rechercher, classer, rédiger un premier jet ou automatiser une tâche. Elle ne doit pas être ajoutée sans objectif ni règle sur les données.

Avant un essai :

1. choisir une tâche précise et mesurable ;
2. utiliser des données fictives ou désensibilisées ;
3. vérifier les conditions du service et les accès ;
4. imposer une validation humaine ;
5. mesurer les erreurs, le temps gagné et le coût ;
6. définir les contenus interdits ;
7. prévoir la sortie et l’export.

Un résultat vraisemblable peut être faux. N’automatisez pas une décision comptable, juridique, médicale, RH ou de sécurité sans contrôle par la personne compétente.

L’IA est une brique possible de la stratégie, pas son point de départ. Les sauvegardes, comptes, mises à jour et responsabilités restent prioritaires.

Construire une feuille de route sur douze mois

Classez les actions selon quatre critères : impact, urgence, effort et dépendances. Un exemple de séquence :

Dans les 30 premiers jours

• nommer un responsable, même à temps partiel ;
• inventorier comptes, appareils, logiciels et données critiques ;
• sécuriser la messagerie et les comptes administrateur avec le MFA ;
• vérifier les sauvegardes et réaliser une restauration ;
• retirer les accès manifestement obsolètes ;
• identifier les systèmes hors support.

Dans les 90 jours

• documenter le réseau et les procédures de reprise ;
• séparer Wi-Fi interne, invités et objets connectés lorsque possible ;
• planifier les remplacements prioritaires ;
• formaliser les arrivées, départs et accès prestataires ;
• tester un scénario de panne ;
• choisir un premier projet d’amélioration métier.

Dans les douze mois

• réaliser les migrations validées ;
• former les utilisateurs ;
• tester régulièrement les sauvegardes et la continuité ;
• revoir les contrats, licences et coûts ;
• mesurer les gains des projets ;
• mettre à jour l’inventaire et le registre des risques ;
• préparer la feuille de route suivante.

Attribuez à chaque action un responsable, une échéance, un budget, un critère de réussite et un statut. Sans responsable ni date, une action reste une intention.

Tableau de pilotage simple

Sur un petit écran, faites défiler le tableau horizontalement.

Une réunion courte chaque trimestre suffit souvent pour une TPE : vérifier les incidents, les échéances, les sauvegardes, les arrivées et départs, puis décider des trois prochaines actions.

Indicateurs utiles

• part des appareils et logiciels encore maintenus ;
• part des comptes critiques protégés par MFA ;
• nombre de comptes sans propriétaire identifié ;
• date du dernier test de restauration réussi ;
• temps réel de reprise lors du dernier exercice ;
• incidents et tentatives de fraude signalés ;
• actions en retard ;
• dépenses récurrentes par service ;
• temps ou ressaisies évités par les projets terminés.

Évitez les dizaines d’indicateurs techniques sans décision associée. Un indicateur doit conduire à maintenir, corriger, remplacer ou accepter un risque explicitement.

Questions à poser avant chaque investissement

1. quel problème concret résout-il ?
2. qui l’utilisera et qui l’administrera ?
3. quelles données lui seront confiées ?
4. fonctionne-t-il avec l’existant ?
5. comment est-il sauvegardé et restauré ?
6. que se passe-t-il sans Internet ou si le fournisseur est indisponible ?
7. comment récupérer les données et quitter le service ?
8. quel est le coût total sur trois ans ?
9. quelle formation et quel support sont nécessaires ?
10. comment mesurera-t-on le résultat ?

Si les réponses restent vagues, organisez un pilote limité plutôt qu’une migration générale.

Besoin d’une feuille de route adaptée à votre activité ?

AIService peut inventorier l’existant, identifier les dépendances, hiérarchiser les risques et construire un plan réaliste de renouvellement, de sauvegarde, de sécurité et d’amélioration des usages. L’accompagnement reste proportionné à la taille de la structure, avec des décisions expliquées et documentées.

Demander un diagnostic informatique TPE

Découvrir l'accompagnement des professionnels

Pour continuer