Un mot qui recouvre des prestations très différentes
Demander le prix d’un audit informatique sans préciser son périmètre revient à demander le prix d’une expertise sans dire ce qu’il faut expertiser. Sous le même terme circulent des prestations qui n’ont ni la même durée, ni la même profondeur, ni la même utilité.
À un extrême, un scan automatisé lancé sur le réseau produit un rapport en une demi-journée. À l’autre, une revue complète de l’infrastructure, des sauvegardes, de l’annuaire, des accès et des contrats mobilise plusieurs jours d’analyse et d’entretiens. Entre les deux, on trouve des audits ciblés sur un domaine précis, qui répondent à une question identifiée plutôt qu’à un besoin général de visibilité.
Cette confusion explique la plupart des déceptions. Une entreprise qui commande un audit en pensant obtenir un plan d’action reçoit parfois une liste de vulnérabilités techniques sans priorisation, et à l’inverse, une entreprise qui voulait vérifier un point précis se voit proposer une revue complète surdimensionnée.
Les paramètres qui font le prix
Le coût d’un audit se calcule presque toujours à partir du temps nécessaire, lui-même déterminé par quelques facteurs concrets.
Le nombre de postes et de serveurs donne l’ordre de grandeur initial, mais il est moins déterminant qu’on ne le croit : passer de trente à cinquante postes homogènes change peu le travail d’analyse. Ce qui pèse davantage, c’est l’hétérogénéité du parc, la présence d’un annuaire Active Directory avec son historique d’exceptions accumulées, le nombre d’applications métier, et l’existence de sites distants ou de télétravail.
L’état de la documentation existante joue un rôle sous-estimé. Auditer une infrastructure documentée, dont on connaît les schémas, les contrats et les procédures, va nettement plus vite que reconstituer une réalité que personne n’a écrite depuis huit ans. C’est souvent ce point, plus que la taille, qui explique un écart de prix entre deux entreprises comparables.
La profondeur attendue, enfin, oriente tout le reste. Un état des lieux qui recense et hiérarchise ne demande pas le même travail qu’une vérification effective, où l’on teste réellement une restauration de sauvegarde ou où l’on examine les droits réels sur les partages plutôt que ceux déclarés.
Ce qui distingue un audit utile d’un rapport de plus
Le vrai critère de qualité n’est pas le volume du document remis. Un rapport de cent pages généré par un outil, listant des centaines de constats sans hiérarchie, occupe plus de place qu’il n’apporte de valeur.
Un audit exploitable présente quatre caractéristiques. Il part d’une question métier plutôt que d’un inventaire technique : que risque l’entreprise, où sont ses dépendances, que se passe-t-il si tel élément tombe. Il hiérarchise les constats selon l’impact réel sur l’activité, pas selon un score générique. Il propose des actions concrètes, chiffrées en charge et ordonnées dans le temps. Et il distingue clairement ce qui relève de l’urgence, ce qui peut attendre le prochain budget, et ce qui ne mérite aucune action.
Ce dernier point est révélateur. Un auditeur qui ne trouve rien à écarter, et qui recommande de tout traiter, produit une liste de courses plutôt qu’un diagnostic.
Le conflit d’intérêts, question à poser d’emblée
Il existe un biais structurel dans ce métier : un prestataire qui vend à la fois l’audit et la remédiation a un intérêt objectif à trouver beaucoup de choses à corriger. Ce n’est pas nécessairement malhonnête, mais cela mérite d’être posé sur la table avant de commander.
Plusieurs signaux permettent de s’en prémunir. Un audit dont les conclusions pointent systématiquement vers le catalogue du prestataire mérite un regard critique. Un rapport qui ne mentionne aucune solution alternative, y compris celles que le prestataire ne vend pas, est incomplet. Et une prestation facturée symboliquement, voire offerte, n’est généralement pas un audit mais une phase d’avant-vente.
L’inverse est tout aussi vrai : refuser par principe qu’un prestataire réalise ensuite la remédiation prive l’entreprise de la connaissance acquise pendant l’audit, ce qui coûte du temps au démarrage. La solution raisonnable consiste à séparer explicitement les deux engagements, à obtenir un livrable exploitable par n’importe quel intervenant, et à garder la liberté de faire réaliser les corrections ailleurs.
Ce que doit contenir le devis
Avant de comparer deux propositions, quelques éléments doivent y figurer noir sur blanc, faute de quoi les prix ne sont pas comparables.
- Le périmètre exact : quels systèmes, quels sites, quels domaines sont couverts, et surtout lesquels ne le sont pas.
- Le mode d’intervention : analyse en lecture seule, entretiens, tests actifs, et l’autorisation écrite correspondante.
- La liste des livrables : rapport, plan d’action priorisé, restitution orale, tableaux exploitables.
- La charge estimée en jours et le calendrier.
- Ce qui est explicitement exclu, notamment la mise en œuvre des correctifs.
- La propriété du rapport et sa réutilisabilité par un autre prestataire.
Un devis qui annonce un forfait sans détailler ces points laisse toute latitude sur la profondeur réelle du travail.
À quel moment le déclencher
Le calendrier compte autant que le budget. Un audit commandé au mauvais moment coûte le même prix mais rapporte beaucoup moins, parce que ses conclusions arrivent après que les décisions ont été prises.
Plusieurs situations justifient de le déclencher en amont plutôt qu’en réaction. Une échéance connue, comme une fin de support ou un renouvellement de matériel, gagne à être préparée sur un état des lieux plutôt que sur une intuition. Une croissance rapide des effectifs révèle presque toujours des choix d’infrastructure conçus pour une taille précédente. Un changement de prestataire est le moment idéal pour établir un point de départ documenté, avant que la connaissance ne parte avec l’ancien intervenant. Enfin, l’arrivée d’obligations réglementaires ou d’exigences clients en matière de sécurité impose de savoir où l’on en est avant de s’engager contractuellement.
À l’inverse, l’audit commandé après un incident sert surtout à comprendre ce qui s’est passé. C’est utile, mais c’est une analyse post-mortem, pas une démarche de prévention, et elle se déroule dans un contexte de tension qui nuit à la qualité des arbitrages.
Le coût de ne pas auditer
Le calcul se fait rarement dans ce sens, et c’est pourtant le plus parlant. Une entreprise qui ignore l’état de ses sauvegardes, la surface de son annuaire ou l’ancienneté de ses systèmes ne fait pas une économie : elle reporte une dépense en acceptant de ne pas savoir quand elle surviendra ni combien elle coûtera.
Les postes concernés sont connus. Une interruption d’activité, dont le coût journalier dépasse presque toujours celui d’un audit complet. Une remédiation d’urgence, systématiquement plus chère qu’une action planifiée. Des licences payées pour des services inutilisés, que l’inventaire révèle fréquemment. Et un matériel remplacé dans l’urgence plutôt que dans un cycle maîtrisé.
Dans beaucoup de PME, les économies identifiées sur les contrats et les licences suffisent à couvrir une partie du coût de l’audit lui-même, sans même compter le risque évité.
Commencer par le bon périmètre
Pour une entreprise qui n’a jamais fait auditer son informatique, viser d’emblée l’exhaustivité est rarement le bon choix. Un audit ciblé sur le point le plus critique, sauvegardes et restauration dans la majorité des cas, apporte davantage qu’une revue générale diluée.
L’exercice a aussi une vertu pratique : il permet de juger la façon de travailler du prestataire sur un engagement limité avant d’aller plus loin. C’est la logique de notre audit du système d’information et de l’audit Active Directory, tous deux limités à un périmètre défini avec un livrable exploitable. La méthode est détaillée dans notre article sur l’audit du système d’information en cinq étapes.