Deux questions reviennent sans cesse dans les mails que je reçois : « c'est quoi, un audit informatique ? » et « comment faire un audit de sécurité pour ma boîte ? ». Je réponds aux deux ici, parce que c'est la même démarche vue sous deux angles. Un audit sérieux n'est ni une présentation commerciale déguisée en diagnostic, ni un rapport de vingt pages truffé de jargon. C'est un inventaire précis de ce qui tourne chez vous, une évaluation des risques réels — pas hypothétiques — et un rapport avec des priorités classées, du plus urgent au plus accessoire. Rien de plus, rien de moins. Si l'audit se termine surtout par un contrat à signer plutôt qu'un constat clair, méfiez-vous : audit et vente doivent rester deux étapes séparées.
Audit léger et audit de sécurité : la vraie différence
Un audit « léger », c'est un état des lieux général : combien de postes, quel âge, quel système d'exploitation, l'état des sauvegardes, la connexion internet, les imprimantes, les licences — je le fais souvent en amont d'un contrat de maintenance. Il répond à « où en est mon parc informatique ? ».
Un audit de sécurité va plus loin et se concentre sur ce qui peut être exploité contre vous : comptes administrateur trop nombreux, absence de double authentification, mots de passe sur un post-it collé à l'écran, routeur jamais reconfiguré, appareils personnels connectés au réseau sans validation — le fameux shadow IT. Pour une PME de 5 à 20 personnes à Paris, je recommande presque toujours les deux ensemble : l'un sans l'autre laisse un angle mort, soit sur le matériel, soit sur les portes ouvertes.
Ce que je vérifie concrètement
Sur place ou à distance, je passe par la même liste, ajustée à la taille de l'entreprise. L'inventaire d'abord : combien de postes, quel âge a chacun. Un ordinateur de plus de six ans coûte souvent plus cher en pannes qu'un remplacement — un calcul détaillé dans mon article sur remplacer ou réparer un vieil ordinateur. Je note aussi les imprimantes, le NAS s'il existe, et les téléphones pros connectés à la messagerie.
Ensuite, les versions de Windows ou macOS et le niveau de correctifs installés : un poste sans mise à jour depuis huit mois n'a plus les correctifs des failles découvertes depuis, même si l'antivirus tourne normalement — un point que je creuse dans mon guide pour bien mettre à jour son ordinateur.
Les comptes administrateur ensuite : combien de personnes ont un accès admin au quotidien, et est-ce vraiment nécessaire ? Un compte admin utilisé pour lire ses mails est une porte ouverte dès qu'un lien malveillant est cliqué par erreur. Vient ensuite la double authentification (MFA) — la messagerie professionnelle en priorité, parce qu'elle protège tout le reste une fois qu'un pirate y accède, comme je l'explique dans mon article sur un compte piraté et les réflexes de la première heure.
Les sauvegardes ensuite, pas seulement leur existence mais leur capacité réelle à être restaurées : je fais un test de restauration pendant l'audit, parce qu'une sauvegarde jamais restaurée n'est qu'une hypothèse — le sujet de mon guide pour sauvegarder ses données importantes. Le wifi et le routeur ensuite : mot de passe d'usine jamais changé, réseau invité absent ou mélangé au réseau pro, firmware jamais mis à jour — je détaille les réglages dans mon article sur sécuriser le wifi d'une entreprise.
Enfin trois points rapides : l'antivirus, installé partout et à jour, pas simplement « installé un jour puis oublié » — j'ai déjà trouvé des licences expirées depuis deux ans sur des postes que tout le monde croyait protégés ; le shadow IT, ces comptes cloud ouverts par un salarié sans validation — un Dropbox personnel, un Trello gratuit avec des données clients dedans — invisible pour la direction mais bien réel comme point de fuite ; et les licences Windows, Office ou logiciels métier, pour vérifier qu'on ne paie pas pour des postes disparus.
Le rapport, pas une brochure commerciale
Le rapport que je remets tient sur quelques pages, pas cinquante. Il liste ce que j'ai trouvé poste par poste, classe chaque point en trois niveaux — urgent, à corriger dans la semaine ; important, dans le mois ; confort, plus tard — et explique en une ou deux phrases pourquoi, sans jargon inutile. Pas de note globale façon « score sur 100 » : ce qui compte, c'est la liste concrète et l'ordre pour s'en occuper. Je remets aussi un tableau simple de l'inventaire, utile même si quelqu'un d'autre corrige ensuite.
Combien de temps pour une PME de 5 à 20 personnes
Pour 5 à 10 postes, je compte une demi-journée pour la collecte, plus deux à trois heures pour rédiger le rapport — comptez 48 heures pour le document. Entre 10 et 20 postes, ça monte à une journée complète, rapport livré sous 3 à 5 jours ouvrés. Ce qui rallonge le délai n'est pas le nombre de postes mais le nombre d'applications métier différentes à comprendre : un cabinet avec un seul logiciel prend moins de temps qu'un atelier avec cinq outils et personne pour expliquer comment ils communiquent. Si un poste tombe en panne entre-temps, un dépannage informatique reste possible le jour même.
Prix réaliste à Paris en 2026
Pour un audit léger sur 5 à 10 postes, comptez entre 250 et 450 €. Un audit de sécurité plus poussé se situe plutôt entre 450 et 750 €, parce qu'il demande des vérifications plus longues : restauration de sauvegarde, revue des comptes un par un, contrôle du wifi poste par poste. Au-delà de 15-20 postes, je fais un devis sur mesure. Ces tarifs couvrent la collecte et le rapport ; les corrections se facturent à part, souvent via une maintenance informatique PME pour un suivi régulier. Je travaille avec des PME établies comme avec des indépendants — voir mes prestations pour freelances pour un audit à l'échelle d'une seule personne.
Que faire des résultats
Une fois le rapport en main, l'ordre logique est de traiter l'urgent en premier — comptes admin superflus et MFA manquant, qui coûtent peu à corriger et referment les portes les plus exposées. Pour la mise en œuvre des protections elles-mêmes — pare-feu, sauvegardes automatisées, politique de mots de passe — je détaille la démarche dans mon article sur comment protéger son entreprise contre les cyberattaques, sans tout répéter ici. Un audit isolé a une date de péremption : dans six mois, un poste sera arrivé, une mise à jour aura été repoussée, un salarié aura quitté sans que son accès soit révoqué. Beaucoup de PME choisissent un contrat de maintenance juste après, pour que ces points urgents ne redeviennent pas invisibles.
Checklist gratuite d'auto-audit, avant d'appeler
Les dix points que je regarde en premier, dans l'ordre, si vous voulez vérifier vous-même avant de payer :
- Chaque poste a-t-il moins de six ans, et sinon, est-il toujours sous garantie ou éligible à une réparation ?
- Windows ou macOS est-il à la dernière version majeure supportée, avec les mises à jour automatiques activées ?
- Combien de comptes ont un accès administrateur permanent sur leur poste ?
- La messagerie professionnelle a-t-elle la double authentification activée ?
- Avez-vous déjà testé une restauration réelle de sauvegarde, ou seulement vérifié qu'elle « tourne » ?
- Le mot de passe du routeur wifi est-il encore celui d'usine, écrit sous l'appareil ?
- Existe-t-il un réseau wifi invité séparé du réseau professionnel ?
- L'antivirus est-il actif et à jour sur 100 % des postes, licences comprises ?
- Des comptes cloud personnels — Dropbox, Trello, Gmail — contiennent-ils des données de l'entreprise ?
- Toutes les licences logicielles payées correspondent-elles encore à des postes utilisés ?
Mes outils gratuits proposent aussi quelques utilitaires pour creuser certains de ces points vous-même, si vous préférez commencer seul avant de faire appel à quelqu'un.
Questions fréquentes
Un audit informatique est-il vraiment nécessaire si je n'ai jamais eu de problème ?
Beaucoup de PME m'appellent après un incident plutôt qu'avant, ce qui coûte presque toujours plus cher qu'un audit préventif. L'absence d'incident visible ne veut pas dire l'absence de risque : un compte sans double authentification ou une sauvegarde jamais testée peut tenir des années sans problème, jusqu'au jour où ça bascule.
Est-ce que l'audit remplace un contrat de maintenance ?
Non, ce sont deux choses différentes. L'audit est une photo à un instant donné ; la maintenance est le suivi continu qui évite que cette photo devienne obsolète en quelques mois. Beaucoup de PME font l'un après l'autre plutôt que de choisir entre les deux.
Combien de temps un audit de sécurité reste-t-il valable ?
Je conseille de le refaire ou de le mettre à jour tous les 12 à 18 mois, ou plus tôt si vous changez de local, embauchez plusieurs personnes d'un coup ou changez de fournisseur internet : ce sont les moments où la configuration bouge le plus.
Faut-il être présent pendant l'audit ?
Pas forcément pendant toute la durée, mais il faut quelqu'un capable de répondre aux questions sur les accès et les comptes existants. Sans ça, certains points comme les comptes administrateur réels ou les licences payées ne peuvent pas être vérifiés correctement.