Un audit informatique complet désigne l’examen méthodique de l’ensemble des composants du système d’information d’une entreprise : serveurs, postes de travail, équipements réseau, logiciels, politiques de sécurité et procédures de sauvegarde. Pour une PME, la durée moyenne de cet exercice dépend directement du périmètre retenu et de la complexité de l’infrastructure en place.
Ce qui détermine la durée d’un audit informatique en PME
Deux PME de taille comparable peuvent nécessiter des délais très différents. La variable principale n’est pas le nombre de salariés, mais le nombre d’équipements actifs et de sites à couvrir.
Une entreprise mono-site avec une trentaine de postes, un serveur local et un accès cloud standard se prête à un audit en une à deux semaines. Dès qu’on ajoute un second site, des connexions VPN inter-sites, des applicatifs métier spécifiques ou un environnement hybride (serveurs physiques et cloud), le calendrier s’allonge sensiblement.
L’état de la documentation existante joue aussi un rôle direct. Quand l’entreprise dispose déjà d’un inventaire à jour de son parc et d’un schéma réseau, la phase de cartographie initiale se réduit à une vérification. En l’absence de ces documents, l’auditeur doit reconstituer l’architecture depuis zéro, ce qui peut représenter plusieurs jours de travail supplémentaires.
Durée moyenne par type d’audit informatique
La durée varie selon la profondeur de l’analyse demandée. Trois niveaux se distinguent dans la pratique.
| Type d’audit | Durée moyenne constatée |
|---|---|
| Audit basique (état des lieux du parc) | 1 à 2 semaines |
| Audit intermédiaire (parc, réseau, conformité) | 2 à 4 semaines |
| Audit approfondi (sécurité, tests d’intrusion, plan de remédiation) | 4 à 6 semaines |
Un audit basique se concentre sur l’inventaire matériel et logiciel, la vérification des mises à jour et l’état général du réseau. Il suffit pour les PME qui souhaitent un premier diagnostic rapide.
L’audit intermédiaire ajoute l’analyse des flux réseau, la vérification de la conformité réglementaire (notamment le RGPD pour le traitement des données personnelles) et l’évaluation des procédures de sauvegarde. C’est le format le plus courant quand une PME fait appel à un prestataire pour un audit de parc informatique pour pme.
L’audit approfondi intègre des tests de vulnérabilité actifs, parfois des simulations d’attaque (tests d’intrusion), et produit un plan de remédiation hiérarchisé par niveau de risque. Ce format mobilise des compétences spécialisées en cybersécurité et étend la durée au-delà du mois.
Phases d’un audit complet et temps associé à chaque étape
Un audit informatique complet suit un enchaînement logique en quatre phases. Chacune consomme une part identifiable du calendrier global.
- Cadrage et définition du périmètre : entretiens avec la direction et les responsables techniques pour fixer les objectifs, les systèmes à auditer et les exclusions éventuelles. Cette phase représente généralement quelques jours.
- Inventaire et cartographie : recensement de tous les équipements, relevé des versions logicielles, schéma du réseau, identification des flux de données. Sur un parc mal documenté, c’est souvent la phase la plus longue.
- Analyse des vulnérabilités et tests : scans automatisés, vérification des configurations de pare-feu, contrôle des droits d’accès, audit des sauvegardes. La durée dépend du nombre de points de contrôle retenus lors du cadrage.
- Rapport et recommandations : rédaction du livrable final, classement des failles par criticité, proposition d’un plan d’action chiffré. Cette phase prend typiquement plusieurs jours de rédaction et de relecture.
La phase de cartographie est celle qui subit le plus de variations d’une PME à l’autre. Une entreprise qui a déployé ses postes de façon homogène avec un outil de gestion centralisé facilite considérablement le travail. À l’inverse, un parc hétérogène (postes sous différentes versions de système d’exploitation, matériel réseau de plusieurs générations) rallonge cette étape de manière significative.
Coût d’un audit informatique en PME
Le budget suit la même logique de paliers que la durée. L’effort humain mobilisé (nombre de jours-consultants) constitue le principal poste de dépense.
| Type d’audit | Fourchette de coût |
|---|---|
| Audit basique | 1 500 € à 3 000 € |
| Audit intermédiaire | 3 000 € à 7 000 € |
| Audit approfondi | 7 000 € à 15 000 € |
| Module cybersécurité (supplément) | 2 000 € à 5 000 € |
Le module cybersécurité s’ajoute souvent en complément d’un audit intermédiaire ou approfondi. Il couvre les tests d’intrusion, l’analyse des politiques de mots de passe et la vérification des accès distants. Ce supplément augmente la durée totale d’environ une semaine dans la plupart des configurations PME.
Rapport entre coût et profondeur d’analyse
Choisir un audit basique quand l’infrastructure présente des risques connus (serveurs en fin de vie, absence de pare-feu, sauvegardes non testées) revient à payer un diagnostic partiel. Le rapport coût/utilité est meilleur avec un audit intermédiaire qui couvre les points de fragilité les plus fréquents.
Un audit approfondi se justifie quand l’entreprise traite des données sensibles (données de santé, données financières de clients) ou quand elle prépare une certification de sécurité.
Critères de choix d’un prestataire d’audit informatique
Le prestataire retenu influence directement la qualité du livrable et, indirectement, la durée de l’audit. Trois critères méritent une attention particulière.
- Méthodologie documentée : le prestataire doit pouvoir décrire précisément les étapes de son audit, les outils utilisés et le format du rapport final avant le démarrage de la mission.
- Certifications reconnues : des qualifications comme ISO 27001 Lead Auditor ou des certifications en sécurité offensive (OSCP, CEH) attestent d’un niveau de compétence vérifiable.
- Expérience sur des parcs de taille similaire : un cabinet habitué aux grands comptes peut sous-estimer les contraintes spécifiques des PME (budget limité, absence de DSI interne, infrastructure partiellement externalisée).
Un prestataire expérimenté sur le segment PME calibre son périmètre d’audit pour produire des recommandations applicables avec les ressources réellement disponibles, plutôt qu’un catalogue de mesures théoriques.
La durée d’un audit informatique complet en PME oscille donc entre une et six semaines selon le périmètre. Le facteur le plus sous-estimé reste l’état de la documentation du parc : investir quelques heures dans un inventaire à jour avant de lancer l’audit peut réduire le calendrier global de plusieurs jours.
