Le 15 octobre 2026, la société d'audit BDO a publié six constats tirés de ses évaluations de sécurité dans les PME suisses : les bases techniques sont généralement solides, et les attaques aboutissent rarement à cause d'une faille purement technique. Ce qui manque, ce sont des responsabilités claires, des procédures écrites et une direction qui pilote le sujet. Un DSI à temps partagé peut combler ce vide dans une PME sans service informatique, à condition de savoir ce qu'il fait, et surtout ce qu'il ne fait pas.
L'essentiel
- Selon BDO, le maillon faible des PME n'est plus le pare-feu, mais l'absence de responsabilités, de procédures et de circuits de décision.
- Le prestataire informatique ne remplace pas un plan d'urgence : la continuité de l'activité reste l'affaire de l'entreprise.
- Selon l'indice ESET 2026, 45 % des PME interrogées ont subi un incident de sécurité au cours des douze derniers mois.
- Un DSI à temps partagé pilote, documente et arbitre. Il ne remplace ni le dépannage au quotidien, ni une astreinte de nuit.
Ce qui se passe
Octobre est le Mois européen de la cybersécurité. BDO Suisse en a profité pour publier ce qu'elle observe sur le terrain, après de nombreuses évaluations de sécurité menées dans des PME. La bonne nouvelle d'abord : pare-feu, antivirus, mises à jour et sauvegardes sont le plus souvent en place, et les partenaires informatiques font du travail de qualité. C'est justement ce qui donne aux entreprises un faux sentiment de sécurité.
Car les lacunes sont ailleurs. Qui peut valider un ordre de paiement reçu par courriel de la direction ? À qui signaler un message suspect ? Qui décide, à trois heures du matin, d'arrêter des systèmes critiques ? Bien souvent, personne n'a répondu à ces questions. BDO cite des cas typiques : des paiements exécutés sur la foi d'un seul courriel, des accès d'anciens collaborateurs encore actifs pendant des mois, des prestataires externes qui gardent un accès permanent sans véritable contrôle.
Le constat le plus utile pour un dirigeant concerne le prestataire. Beaucoup d'entreprises pensent qu'en cas d'incident, leur partenaire informatique s'occupera de tout. Il peut restaurer les systèmes, à condition d'en avoir le mandat, des sauvegardes et les ressources nécessaires, et lors d'une attaque de grande ampleur, il aura peut-être plusieurs clients touchés en même temps. Mais combien de temps l'entreprise peut-elle travailler sans informatique, quels clients prévenir, qui parle à l'assurance ? Aucun prestataire ne peut répondre à la place de l'entreprise. Pour BDO, un plan d'urgence qui se résume à un contrat de prestations informatiques n'en est pas un, et les cyberrisques relèvent de la direction, au même titre qu'un incendie.
Les chiffres d'ESET vont dans le même sens. Son SMB Cyber Readiness Index 2026, qui interroge 4 400 entreprises de 25 à 1 000 postes dans 13 pays, indique que 45 % d'entre elles ont subi un incident au cours des douze derniers mois. Les causes les plus citées n'ont rien d'exotique : hameçonnage (26 %), vulnérabilités non corrigées (23 %), absence de surveillance (22 %), mots de passe faibles (20 %). Et pour 34 % des entreprises, l'enquête sur l'incident a pris de deux à six semaines. Ces entreprises sont en moyenne plus grandes que les PME de 5 à 50 personnes dont je parle ici, et la Suisse ne figure pas dans l'échantillon : retenez l'ordre de grandeur, pas la décimale.
Ce que ça change pour vous : à quoi sert un DSI à temps partagé
Dans une PME de 5 à 50 personnes, l'informatique a rarement un responsable. Elle est répartie entre un prestataire qui intervient quand on l'appelle, un collaborateur « qui s'y connaît » et le dirigeant, qui signe les factures sans toujours savoir ce qu'il achète. Chacun fait sa part, mais personne n'a la vue d'ensemble. C'est exactement le vide que décrit BDO.
Un DSI à temps partagé, qu'on appelle aussi directeur informatique à temps partiel, occupe ce rôle quelques jours par mois. Son travail n'est pas de réparer, c'est de piloter.
Il sait ce que vous possédez. Inventaire des comptes, des abonnements, des données et des accès : qui a les mots de passe, où dorment les sauvegardes, quels prestataires ont un accès permanent.
Il écrit ce qui n'est écrit nulle part. La documentation de l'installation, les procédures (départ d'un collaborateur, validation des paiements, incident) et un plan d'urgence sur papier.
Il arbitre au nom de l'entreprise. Il compare les solutions, rédige les cahiers des charges, relit les offres et les contrats des prestataires, et vérifie que ce qui est livré correspond à ce qui a été décidé.
Il rend compte à la direction. Une fois par mois ou par trimestre, un état des lieux clair : ce qui a été fait, ce qui reste à risque, ce qu'il faut décider.
Ce qu'il ne fait pas compte autant. Il ne dépanne pas l'imprimante à huit heures du matin, il n'assure pas un support de premier niveau à chaque collaborateur, et il n'est pas joignable la nuit ni le week-end. Si votre activité s'arrête quand l'informatique s'arrête, vous avez besoin d'un prestataire avec une astreinte, et éventuellement d'un service de surveillance permanente. Le rôle du DSI est alors de définir ce contrat par écrit, limites comprises, et de vérifier qu'il est tenu. Les deux se complètent, ils ne se remplacent pas.
Ce que j'en ai appris
J'ai d'abord vu l'informatique de l'intérieur, là où elle a un vrai service. Comme ingénieur systèmes chez Vacheron Constantin (350 utilisateurs sur trois sites), j'ai mené des migrations et géré l'annuaire, la sécurité et les sauvegardes, avant que le groupe Richemont me confie, comme conseiller, le déploiement entre ses marques de l'infrastructure Citrix que j'avais mise au point. J'ai ensuite été consultant pour l'État de Genève, dans l'équipe messagerie et portails (plus de 30 000 utilisateurs) : archivage, stockage, conformité légale. Ces organisations ont des procédures, des responsables et des circuits de décision. C'est précisément ce qui manque dans une PME, et ce qu'il faut lui apporter à sa taille, sans la bureaucratie qui va avec. Mon parcours complet est en ligne.
Le cas qui me sert de référence est AtonRa Partners, une société de gestion financière fondée par des professionnels issus de grandes institutions. En 2010, ils voulaient recréer l'environnement qu'ils connaissaient, Lotus Notes compris. Mon premier travail n'a pas été d'installer, mais de distinguer les besoins exprimés des besoins réels, puis de comparer les solutions, open source comme propriétaires. La comparaison a conclu à Microsoft, alors que j'ai une préférence pour l'open source : un regard indépendant sert à recommander ce qui convient à l'entreprise, pas ce que préfère le conseiller. Ensuite seulement sont venus les serveurs, la messagerie, la téléphonie, les accès à distance, la documentation et la formation de l'équipe. En 2013, quand l'équipe est passée de 5 à 15 personnes, j'ai organisé et aménagé les nouveaux bureaux.
Il existe une situation plus inconfortable que l'installation neuve : la reprise. Le prestataire est parti, personne ne connaît les mots de passe ni l'architecture, et rien n'est documenté. Dans ce cas, je commence par le même travail : inventaire, récupération des accès, documentation. Le but n'est pas que vous dépendiez de moi à la place de l'ancien prestataire, mais que vous ne dépendiez plus jamais d'une seule personne.
C'est aussi pour cette raison que mon offre de suivi mensuel dit les choses noir sur blanc : mises à jour, supervision, test de restauration trimestriel, et sans astreinte 24/7. Je préfère que vous le sachiez avant de signer plutôt qu'à trois heures du matin.
Que faire concrètement
1. Désignez un responsable à la direction
Une personne de la direction est responsable de l'informatique et de ses risques, et le sujet passe au moins une fois par an en séance de direction. C'est la première question de l'auto-évaluation de BDO, et sans elle les suivantes restent souvent sans suite.
2. Faites l'inventaire de ce que vous possédez
Comptes administrateurs, abonnements, emplacement des données, sauvegardes, prestataires qui ont un accès. Rangez les mots de passe dans un coffre-fort qui appartient à l'entreprise, pas à un collaborateur ni à un prestataire.
3. Mettez par écrit le rôle de votre prestataire
Que fait-il en cas d'incident, dans quels délais, et où s'arrête son engagement ? Combien de temps prendrait une restauration complète ? Si personne ne sait répondre, vous savez par où commencer.
4. Testez une restauration
Une sauvegarde qui n'a jamais été restaurée n'est qu'un espoir. Faites restaurer un dossier, puis un serveur entier, et chronométrez. J'en parle plus en détail dans l'article sur les sauvegardes et les rançongiciels.
5. Fermez les accès oubliés et écrivez les procédures
Anciens collaborateurs, anciens prestataires, comptes partagés : fermez ce qui ne sert plus. Écrivez ensuite trois procédures courtes : arrivée et départ d'un collaborateur, validation des paiements par un second canal, et que faire en cas d'incident, sur papier.
6. Choisissez votre modèle
Un informaticien salarié si l'informatique occupe quelqu'un à plein temps, un prestataire seul si vos besoins sont simples et bien cadrés, ou un DSI à temps partagé qui pilote, avec un prestataire d'astreinte si votre activité ne supporte pas d'interruption.
Questions fréquentes
Quelle différence entre un DSI à temps partagé et un prestataire informatique ?
Le prestataire exécute : il installe, dépanne et maintient. Le DSI à temps partagé décide avec vous de ce qu'il faut faire, rédige le cahier des charges, contrôle le travail du prestataire et rend compte à la direction. Il travaille pour l'entreprise, pas pour un fournisseur.
Un DSI à temps partagé remplace-t-il une astreinte ?
Non. Il n'est pas joignable la nuit ni le week-end. Si un arrêt de vos systèmes bloque votre activité, il vous faut un prestataire avec une astreinte contractuelle ; le DSI vous aide à la définir et à vérifier qu'elle fonctionne.
Quand vaut-il mieux embaucher ?
Quand l'informatique occupe une personne à plein temps, ou quand vous avez besoin de quelqu'un sur place chaque jour. Le temps partagé convient aux entreprises qui ont besoin d'un pilote, pas d'un technicien permanent.
Pour aller plus loin
Je fais un état des lieux écrit de votre informatique et de son organisation, puis je vous aide à décider et à tenir le cap : voir la page Stratégie et accompagnement. Pour la reprise en main technique et le suivi mensuel, c'est la page Systèmes et infrastructure. Pour savoir si un DSI à temps partagé a du sens chez vous, parlons-en lors d'un appel de 20 minutes.
Sources
- La cybersécurité dans les PME suisses : six constats tirés de la pratique, BDO Suisse, 15 octobre 2026.
- ESET SMB Cyber Readiness Index 2026, ESET, édition mondiale, mai 2026 (4 400 entreprises de 25 à 1 000 postes dans 13 pays, enquête Go4insight).
Photo : Ivan N / Unsplash (unsplash.com/photos/AfStyhXC5kM).
Tags : DSI à temps partagé, directeur informatique, PME, gouvernance informatique, cybersécurité, prestataire informatique, plan d'urgence