Points clés de cet article :
- 67 % des PME françaises choisissent leur prestataire IT sur simple recommandation, sans audit technique ni contractuel préalable.
- Une rupture non anticipée peut paralyser une entreprise pendant 15 à 30 jours, avec un coût pouvant atteindre 5 fois le montant annuel du contrat IT.
- La méthode se déroule en 7 étapes, de l’audit des accès jusqu’au test de reconstruction du SI en 48 heures.
- Le contrat d’Escrow et le tiers de confiance transforment la sortie d’un rapport de force en simple formalité administrative.
- Un diagnostic de maturité numérique, finançable à 50 % par l’État, permet de poser ce diagnostic avant qu’il ne soit trop tard.
Soixante-sept pour cent. C’est la part des PME françaises qui choisissent leur prestataire informatique sur une simple recommandation d’un confrère, sans jamais vérifier qui détient réellement les clés de leur système. Pas d’audit, pas de clause de sortie examinée, pas de question sur le format des sauvegardes. Juste une poignée de main et une facture mensuelle qui tombe depuis cinq, huit, parfois douze ans.
Pour sécuriser l’exportation de vos données avant un changement de prestataire IT, il faut suivre une méthode en 7 étapes : audit des accès, demande écrite du protocole de récupération, vérification du format d’export, anticipation du rapport de force, mise en place d’un tiers de confiance, test réel de reconstruction, puis documentation continue. Chacune de ces étapes vous enlève une carte des mains de votre prestataire actuel.
Voici les 7 étapes, dans l’ordre, sans en sauter une seule – parce que c’est précisément l’étape qu’on saute qui finit par coûter trois mois de négociation et une ardoise salée.
Étape 1 : comment réaliser l’audit immédiat des accès détenus par votre prestataire IT ?
La première étape consiste à lister exhaustivement tous les comptes administrateurs, identifiants et mots de passe actuellement en possession de votre prestataire. Pas une estimation approximative – un inventaire ligne par ligne, poste par poste, serveur par serveur.
Dans la grande majorité des PME que j’ai pu observer, le dirigeant est incapable de répondre à une question pourtant basique : qui détient les accès administrateur de votre messagerie, de votre hébergement, de votre nom de domaine ? Si la réponse est « je ne sais pas, c’est eux qui gèrent », vous venez de trouver votre premier problème.
Concrètement, demandez à votre prestataire la liste complète des comptes avec droits d’administration : nom de domaine, zone DNS, hébergement web, messagerie professionnelle, sauvegardes, logiciels métiers, pare-feu, Wi-Fi professionnel. Chaque accès non identifié est une porte que vous ne pourrez pas ouvrir le jour où vous en aurez besoin. Et croyez-moi, ce jour arrive toujours plus vite qu’on ne le pense.
Étape 2 : comment exiger par écrit le protocole de récupération de vos données ?
La deuxième étape consiste à envoyer une demande écrite formelle à votre prestataire actuel, lui demandant de confirmer par écrit le protocole, le coût et le délai de récupération complète de vos données en cas de changement de prestataire. Un e-mail suffit, mais il doit être traçable.
Pourquoi par écrit ? Parce qu’un appel téléphonique rassurant (« ne vous inquiétez pas, on fait toujours ça proprement ») n’a aucune valeur contractuelle. La réponse écrite – ou son absence – vous donne une information précieuse sur la nature réelle de la relation.
« Pouvez-vous confirmer, par écrit, le protocole, le coût et le délai de récupération complète de nos données en cas de changement de prestataire ? » Une réponse évasive est votre meilleure opportunité de comprendre où vous en êtes réellement.
Trois réponses sont possibles. La première : un document clair, chiffré, daté – signe d’un prestataire sérieux. La deuxième : un silence ou un report (« on en reparle à la fin du contrat ») – signe d’alerte. La troisième : une réponse évasive mêlant jargon technique et vague promesse – signe que vous êtes probablement en train de financer votre propre dépendance depuis des années.
Étape 3 : comment vérifier que le format d’export de vos données est réellement exploitable ?
La troisième étape consiste à s’assurer que vos données sont transmissibles dans un format standard, lisible et exploitable par un tiers – et non dans un format propriétaire verrouillé qui nécessite précisément le logiciel de votre ancien prestataire pour être rouvert. C’est le piège le plus répandu et, paradoxalement, le moins compris par les dirigeants.
Un prestataire peut vous remettre « toutes vos données » tout en respectant à la lettre son obligation contractuelle, et vous livrer malgré tout un fichier parfaitement inutilisable. Base de données dans un format propriétaire sans documentation, archive chiffrée sans la clé, export partiel sans la structure. Techniquement conforme, opérationnellement inutile.
Demandez systématiquement un format ouvert et standard : CSV, SQL standard, PDF/A pour les documents, formats bureautiques courants pour les fichiers. Faites tester cet export par un tiers technique indépendant de votre prestataire actuel – c’est le seul moyen de vérifier qu’il s’ouvre, se lit et se réutilise sans dépendre de qui que ce soit.
Étape 4 : pourquoi tant de dirigeants se retrouvent-ils pris en otage lors d’un changement de prestataire ?
Le scénario est toujours le même : le dirigeant annonce son intention de partir, et découvre soudain que ses données sont retenues, verrouillées dans un format inexploitable, ou conditionnées à des frais de sortie jamais mentionnés à la signature. Il se retrouve alors à renégocier sous pression, faute d’avoir anticipé cette sortie.
C’est le moment où la relation « partenaire de confiance depuis dix ans » révèle sa vraie nature : un rapport de force asymétrique, où celui qui détient les clés fixe les conditions. Le dirigeant n’a plus le choix – il doit payer, patienter, ou accepter des conditions dégradées, pendant que son activité tourne au ralenti.
« J’ai vu des CODIR paralysés pendant 15 jours suite à une rupture de contrat. Ne négociez pas la sortie le jour du départ, construisez votre autonomie dès aujourd’hui. »
« Si vous ne pouvez pas reconstruire votre SI en 48h, vous n’êtes pas un client, vous êtes un otage. »
Une rupture non préparée peut immobiliser une PME entre 15 et 30 jours, avec un impact financier pouvant atteindre 5 fois le coût annuel du contrat IT une fois comptées la perte d’exploitation, les heures de négociation et les frais de sortie imposés dans l’urgence. Et le pire, dans cette histoire, c’est que ce rapport de force était prévisible depuis le premier jour de contrat – simplement, personne n’avait pris le temps de le lire.
Étape 5 : comment un contrat d’Escrow ou un tiers de confiance protège-t-il vos actifs critiques ?
La cinquième étape consiste à mettre en place un dépôt de garantie technique (Escrow) ou un tiers de confiance, qui conserve en permanence une copie à jour de vos accès, codes sources et données critiques, indépendamment de la relation commerciale avec votre prestataire actuel.
Le principe est simple : un organisme neutre détient une copie de vos actifs numériques essentiels, et la restitue automatiquement si certaines conditions sont remplies (rupture de contrat, défaillance du prestataire, litige prolongé). Vous n’êtes plus suspendu à la bonne volonté d’un prestataire qui n’a, par ailleurs, aucun intérêt commercial à faciliter votre départ.
| Critère | Clause de fin de contrat classique | Réversibilité en continu (tiers de confiance) |
|---|---|---|
| Moment d’activation | Uniquement à la rupture, souvent dans l’urgence | Permanente, vérifiable à tout moment |
| Dépendance au prestataire | Totale – c’est lui qui exécute la sortie | Nulle – un tiers neutre détient la copie |
| Délai de récupération réel | Souvent plusieurs semaines, négocié sous pression | Quelques heures, protocole déjà défini |
| Coût en cas de litige | Frais de sortie imposés, rapport de force défavorable | Coût connu et contractualisé à l’avance |
| Conformité NIS2 / RGPD | Souvent fragile, traçabilité incertaine | Documentée et auditable |
Ce dispositif n’est pas réservé aux grands groupes avec un service juridique dédié. Pour une PME, un simple contrat d’Escrow avec un prestataire spécialisé ou un hébergeur tiers français coûte largement moins cher qu’une seule semaine de paralysie d’activité.
Étape 6 : comment tester concrètement votre réversibilité en simulant une reconstruction en 48 heures ?
La sixième étape consiste à organiser un exercice grandeur nature : simuler la reconstruction de votre système d’information en 48 heures, sans faire appel à votre prestataire actuel. C’est le seul moyen de vérifier si votre plan de sortie fonctionne vraiment, ou s’il n’existe que sur le papier.
Concrètement, demandez à une équipe technique indépendante (interne ou tierce) de reconstituer, à partir des seuls éléments que vous détenez – accès, sauvegardes, documentation – un environnement fonctionnel équivalent. Messagerie, partage de fichiers, logiciels métiers critiques. Si cette reconstruction échoue ou prend dix jours au lieu de deux, vous venez de découvrir votre vraie dépendance, avant qu’elle ne vous explose au visage.
Ce test révèle souvent des surprises peu flatteuses : sauvegardes incomplètes, mots de passe jamais changés depuis l’arrivée du prestataire, documentation technique inexistante ou obsolète. Mieux vaut le découvrir un mardi matin tranquille qu’un vendredi soir de rupture de contrat.
Étape 7 : comment documenter et maintenir à jour votre plan d’autonomie numérique ?
La septième et dernière étape consiste à transformer cet audit ponctuel en un document vivant, mis à jour régulièrement – votre Plan d’Autonomie Numérique. Un audit réalisé une fois ne vaut plus grand-chose deux ans plus tard, quand les mots de passe ont changé et que trois nouveaux logiciels sont entrés dans le système.
Ce document doit lister : les accès actuels et leurs détenteurs, le format et la fréquence des sauvegardes, les coordonnées du tiers de confiance le cas échéant, le protocole de reconstruction testé à l’étape précédente, et la date de la dernière vérification. Un plan d’autonomie qui date de trois ans n’est pas un plan, c’est un vœu pieux.
Fixez-vous une révision annuelle, idéalement couplée à la renégociation ou au renouvellement de vos contrats IT. C’est le moment naturel pour reposer la question qui dérange : « si je partais demain, combien de temps me faudrait-il pour tout récupérer ? » Si la réponse vous met mal à l’aise, c’est que le travail n’est pas terminé.
Questions fréquentes
Qu’est-ce que la réversibilité en continu en informatique ?
La réversibilité en continu désigne la capacité, à tout moment et pas seulement à la fin d’un contrat, de récupérer l’ensemble de ses données, accès et configurations dans un format exploitable par un autre prestataire. Elle s’oppose à la simple « clause de fin de contrat », souvent théorique et activée trop tard, une fois le rapport de force déjà défavorable au client.
Combien coûte une mauvaise réversibilité lors d’un changement de prestataire IT ?
Une rupture non anticipée peut paralyser une PME entre 15 et 30 jours, avec un impact financier pouvant atteindre jusqu’à 5 fois le coût annuel du contrat IT une fois comptabilisées la perte d’exploitation, les frais de sortie imposés et le temps de négociation sous pression.
Qu’est-ce qu’un contrat d’Escrow informatique ?
Un contrat d’Escrow est un dépôt de garantie technique confié à un tiers neutre, qui conserve une copie à jour de vos accès, codes sources et données critiques. En cas de rupture, de défaillance ou de litige avec votre prestataire, ce tiers restitue automatiquement les éléments selon des conditions définies à l’avance, sans dépendre de la bonne volonté du prestataire concerné.
Comment savoir si mes données sont verrouillées par mon prestataire actuel ?
Demandez un export test de vos données critiques et vérifiez s’il s’ouvre dans un format standard (CSV, SQL, formats bureautiques courants) sans nécessiter le logiciel propriétaire de votre prestataire. Si l’export nécessite une clé, un logiciel spécifique ou reste incomplet, vos données sont probablement verrouillées dans un format propriétaire difficile à exploiter ailleurs.
Le diagnostic proposé par DSIA Conseil aide-t-il à sécuriser mes données avant un changement de prestataire ?
Le diagnostic de maturité numérique proposé par DSIA Conseil évalue notamment la structuration de vos données, vos accès et votre niveau réel d’autonomie vis-à-vis de vos prestataires actuels. Il s’inscrit dans une démarche plus large de transformation IA maîtrisée et souveraine, avec des données hébergées en France et un financement possible à 50 % via le plan Osez l’IA.
Soixante-sept pour cent des PME françaises choisissent encore leur prestataire IT à l’aveugle, sans jamais vérifier qui détient réellement les clés de leurs données. Vous venez de parcourir les 7 étapes qui permettent, justement, de ne plus faire partie de cette statistique – et de ne plus jamais renégocier une sortie sous la contrainte parce qu’un contrat a été lu trop tard.
Après 35 ans de terrain en PME, dont 15 ans à piloter des transformations numériques de l’intérieur en tant que DSI, j’ai vu trop de dirigeants découvrir leur dépendance le jour où elle leur coûtait le plus cher. Chez DSIA Conseil, le diagnostic de maturité démarre gratuitement en ligne, se poursuit en version approfondie finançable à 50 % par l’État, et pose exactement les questions que votre prestataire actuel préférerait ne jamais entendre. Données hébergées en France, méthode souveraine, résultats visibles dès les premières semaines – pas dans trois ans, au prochain renouvellement de contrat.