Faire l’inventaire du parc informatique et des logiciels d’une TPE

Vous ne pouvez ni mettre à jour, ni assurer, ni remplacer correctement un équipement dont vous ignorez l’existence. Dans une TPE, le parc informatique dépasse vite les ordinateurs : téléphones, box, imprimantes, terminaux, logiciels installés, abonnements cloud, noms de domaine, comptes administrateur et données critiques participent tous au fonctionnement. Un inventaire utile ne cherche pas à imiter celui d’un grand groupe. Il relie chaque actif à un usage, un responsable, un niveau de criticité et une prochaine action.

1. Décidez d’abord quelles décisions l’inventaire doit améliorer

Un inventaire n’est pas une liste décorative de numéros de série. Il doit permettre de répondre rapidement à des questions concrètes : quel appareil reçoit encore des mises à jour ? Qui administre la messagerie ? Où se trouvent les contrats ? Quel téléphone faut-il bloquer après une perte ? Quel logiciel empêche une reprise d’activité ? Quelles licences sont facturées pour des utilisateurs partis ? Écrivez les cinq décisions les plus fréquentes, puis construisez le registre pour y répondre.

L’ANSSI place la connaissance du parc, des applications et des données parmi les premières questions de sécurité d’une TPE. Cette connaissance sert aussi au budget, à l’assurance, à la continuité et à la réduction des coûts. Elle complète le guide de choix des outils numériques : celui-ci aide à décider quoi adopter, tandis que l’inventaire décrit ce que l’entreprise possède ou utilise déjà.

Désignez un responsable du registre, même si chaque collaborateur renseigne son matériel. Il ne doit pas tout administrer lui-même, mais vérifier que les ajouts et retraits sont tracés. Une version unique, protégée et sauvegardée vaut mieux que plusieurs listes dans les factures, les e-mails et la mémoire du dirigeant.

2. Recensez cinq familles d’actifs numériques

Commencez par les équipements : ordinateurs, téléphones, tablettes, serveurs, box, routeurs, points Wi-Fi, imprimantes, scanners, terminaux de paiement, systèmes de caisse, disques externes, clés de sécurité et équipements métier connectés. Ajoutez les accessoires qui conditionnent réellement l’usage, comme une station d’accueil ou un chargeur particulier, sans inventorier chaque câble banal.

Deuxième famille : les logiciels installés, systèmes d’exploitation, extensions de navigateur et applications mobiles professionnelles. Troisième famille : les services en ligne — messagerie, stockage, CRM, agenda, facturation, signature, site, hébergement, domaine, réseaux sociaux, banque et paiement. Un service cloud reste un actif à piloter même si aucun programme n’est installé localement.

Quatrième famille : les comptes et moyens d’administration qui donnent accès à ces services. Le registre ne contient jamais les mots de passe ; il indique où l’accès est administré, qui détient le rôle propriétaire et si un compte de secours existe. Cinquième famille : les ensembles de données indispensables, par exemple dossiers clients, planning, catalogue, factures, sauvegardes, modèles et documents réglementaires. Le guide pour organiser les dossiers clients détaille leur classement ; l’inventaire indique où ils vivent et de quoi ils dépendent.

3. Gardez des colonnes simples, mais directement exploitables

Pour le matériel, ajoutez marque, modèle, numéro de série, date d’achat, garantie, système, état de chiffrement et date de fin de support connue. Pour un service en ligne, notez l’entité qui a souscrit, l’adresse administrateur, le nombre de licences, la périodicité, le moyen de paiement, les intégrations et le mode d’export. Pour les données, précisez la copie de référence, la sauvegarde et le responsable de la durée de conservation.

Évitez les informations sensibles inutiles. Le mot de passe, le numéro complet d’une carte bancaire ou une clé API n’ont rien à faire dans le tableur. Indiquez plutôt « coffre Sécurité / entrée Hébergement » ou le nom de la procédure. Limitez l’accès au registre complet, car il cartographie une partie de votre système. Une vue simplifiée peut servir aux utilisateurs sans dévoiler tous les comptes administrateur.

4. Retrouvez les actifs oubliés avec plusieurs sources

La mémoire ne suffit pas. Comparez les factures et prélèvements des douze derniers mois, les applications présentes sur les appareils, les extensions de navigateur, les comptes liés à la messagerie, les consoles d’administration, les contrats, les historiques d’achat et les espaces partagés. Demandez à chaque personne quels outils elle utilise réellement pour recevoir une demande, produire, partager, facturer et encaisser.

Repérez les outils « gratuits » ou testés sans achat : ils peuvent contenir des données et créer une dépendance malgré l’absence de facture. Recherchez les domaines expirant bientôt, comptes ouverts avec une adresse personnelle, appareils encore associés à un ancien salarié, applications qui continuent d’accéder au stockage et licences inutilisées. L’audit des abonnements décrit dans la réduction des coûts fixes fournit une bonne source de départ.

Ne lancez pas un scanner réseau improvisé si vous ne savez pas interpréter ses résultats. Dans une petite structure, les sources administratives et un contrôle visuel couvrent déjà l’essentiel. Si le parc devient complexe ou comporte des systèmes exposés, demandez à un prestataire compétent de rapprocher l’inventaire logique et la réalité technique.

5. Classez la conséquence d’une indisponibilité

La valeur d’achat ne détermine pas seule la criticité. Une vieille box peut arrêter toute l’activité, alors qu’un ordinateur récent sert à une tâche reportable. Classez chaque actif selon la conséquence : essentiel si son absence bloque rapidement un service vital ou une obligation ; important si un mode dégradé existe pour quelques jours ; secondaire si l’activité peut continuer sans lui.

Reliez l’actif aux processus. Le planning dépend peut-être du logiciel, de la connexion, du compte administrateur et du téléphone qui reçoit le second facteur. Si ce téléphone appartient à une seule personne, cette dépendance doit apparaître. Le plan de continuité de la TPE utilise cette carte pour préparer les solutions de secours et les délais de reprise.

Ajoutez une action à chaque actif essentiel : sauvegarde testée, appareil de remplacement, procédure hors ligne, second administrateur, contrat de support ou export récent. Ne cherchez pas à tout doubler. L’inventaire sert précisément à investir d’abord là où l’interruption aurait un effet réel.

6. Suivez versions, licences, intégrations et fin de support

Pour les logiciels installés, relevez la version et l’état des mises à jour automatiques. Une application encore fonctionnelle peut ne plus recevoir de correctifs. Notez la date de fin de support annoncée par l’éditeur lorsque vous la connaissez, puis planifiez l’analyse suffisamment tôt. Ne forcez pas une mise à jour critique en pleine production sans sauvegarde ni possibilité de retour.

Pour les SaaS, suivez le titulaire du contrat, le propriétaire du compte, les utilisateurs actifs, les rôles, l’export disponible et les connexions avec d’autres outils. Une suppression peut casser une automatisation ; une résiliation sans export peut perdre l’historique. Vérifiez les renouvellements automatiques et les conditions de sortie pendant que le service fonctionne encore.

Un logiciel non autorisé n’est pas automatiquement malveillant : il révèle souvent un besoin non couvert. Évaluez le besoin, les données confiées, le contrat et les risques, puis adoptez, remplacez ou fermez l’outil. L’objectif n’est pas de punir l’initiative, mais d’éviter qu’une fonction essentielle dépende d’un compte personnel invisible.

7. Transformez l’inventaire en plan de sécurité

Pour chaque actif qui traite des données sensibles ou commande une fonction critique, vérifiez quatre protections : mise à jour, authentification, sauvegarde ou export, et procédure d’incident. Les contrôles prioritaires de cybersécurité donnent la méthode générale. L’inventaire permet de les appliquer à des objets nommés plutôt qu’à des catégories abstraites.

Si un téléphone est perdu, vous savez quelle SIM, quels comptes et quelles applications révoquer. Si une vulnérabilité touche un logiciel, vous savez si vous l’utilisez et sur quels appareils. Si un prestataire annonce une panne, vous connaissez les processus dépendants et la dernière exportation. Si un collaborateur part, vous retrouvez les licences et équipements à récupérer.

Reliez aussi l’inventaire au plan de sauvegarde 3-2-1. Un disque sauvegardé ne couvre pas automatiquement la messagerie, les réglages de caisse ou les données d’un logiciel cloud. Pour chaque donnée essentielle, documentez la copie, la fréquence, la durée et le test de restauration.

8. Maintenez le registre avec les événements réels

Une revue trimestrielle de trente minutes peut suffire à une petite structure. Comparez les utilisateurs, factures, appareils et actions en retard. Contrôlez en priorité les actifs essentiels, les administrateurs, les versions non supportées, les exports et les renouvellements proches. Archivez les actifs sortis au lieu d’effacer leur historique : date de retrait, méthode d’effacement, cession ou recyclage et preuve utile.

Mettez à jour le registre lors de chaque achat, arrivée, départ, changement de rôle, panne, migration ou résiliation. L’événement déclenche l’action ; vous n’attendez pas la revue trimestrielle. Mesurez trois éléments simples : part des actifs essentiels avec un responsable, part avec une date de contrôle à jour et nombre d’exceptions sans action. Un inventaire court mais vivant protège mieux qu’un fichier exhaustif abandonné.

Une fois les versions et fins de support recensées, transformez ce registre en routine de mise à jour des logiciels avec priorité, test, sauvegarde et preuve de déploiement.

Sources officielles et primaires : ANSSI — guide de cybersécurité pour les TPE et PME, inventaire du parc et des actifs métier ; ANSSI — guide d’hygiène informatique ; CNIL — guide de la sécurité des données personnelles et cycle de vie des matériels et logiciels. Consultées le 3 août 2026. Adaptez le niveau de détail aux risques, au secteur et aux obligations de votre activité.

En résumé

L’inventaire numérique d’une TPE relie chaque matériel, logiciel, service, compte et donnée à un usage, un responsable, une criticité et une action. Il alimente le budget, les mises à jour, la sauvegarde, les départs et la continuité. Commencez par les actifs vitaux, puis maintenez le registre au fil des événements plutôt que par une grande opération annuelle.