Microsoft 365 : ce qu’un dirigeant doit vraiment savoir avant de signer, de renouveler — ou de changer

Un contrat qui grossit sans qu’on s’en rende compte

Dans la majorité des PME, l’abonnement Microsoft 365 a été souscrit il y a plusieurs années, pour un besoin ponctuel, puis étendu progressivement au fil des recrutements. Résultat : peu d’entreprises savent précisément combien de licences elles paient, à quel niveau, et si ce niveau correspond encore à leurs usages réels.

C’est un sujet budgétaire autant qu’un sujet de sécurité. Une étude Forrester citée par plusieurs analystes du marché évalue le retour sur investissement d’un déploiement Microsoft 365 bien mené à plus de 160% sur trois ans — mais ce chiffre suppose une suite correctement configurée et pilotée, ce qui est loin d’être la norme.

Les coûts cachés à identifier

Sur un échantillon type de PME de 50 collaborateurs, il n’est pas rare de constater que 8 à 12 comptes correspondent à des salariés partis depuis plus de six mois, et que 15 à 20% des utilisateurs sont positionnés sur un plan supérieur à leur usage réel. Sur une base de 50 licences Business Premium, cela représente typiquement plusieurs milliers d’euros par an de dépense évitable — avant même de renégocier le contrat.

• Comptes fantômes : licences payées pour des employés partis, jamais désactivées.
• Sur-licenciement : des utilisateurs sur un plan E5 (le plus cher) qui n’utilisent que la messagerie et le stockage de base.
• Doublons d’outils : Teams payé dans Microsoft 365 alors que l’entreprise utilise aussi Slack et Zoom en parallèle.
• Stockage supplémentaire : facturé à part quand les quotas OneDrive/SharePoint sont dépassés, souvent sans alerte préalable.
• Add-ons oubliés : licences complémentaires (Visio, Project, Power BI Pro) souscrites pour un projet ponctuel et jamais résiliées ensuite.

Comparatif des offres Microsoft 365

Sécurité : ce qui est inclus, ce qui ne l’est pas

Microsoft fonctionne sur un modèle de responsabilité partagée. L’éditeur sécurise l’infrastructure et la disponibilité du service ; l’entreprise reste responsable de la configuration, des accès et des données. Beaucoup de plans incluent des outils de sécurité avancés (MFA, Defender, Purview) qui restent désactivés par défaut faute de configuration.

Concrètement, un abonnement Business Premium payé plein tarif mais avec le MFA non activé et les permissions SharePoint jamais auditées revient à payer une assurance sans jamais en activer les garanties.

Le MFA : la mesure la plus rentable, la moins appliquée

C’est sans doute le chiffre le plus parlant de ce guide. L’authentification multifacteur (MFA) est unanimement reconnue comme la mesure de sécurité au meilleur rapport coût/efficacité pour protéger un tenant Microsoft 365 — et elle reste pourtant largement sous-déployée dans les petites structures.

Cet écart explique en grande partie pourquoi les petites structures restent une cible privilégiée des campagnes de phishing visant les messageries professionnelles. Autre nuance importante : même quand le MFA est activé, il ne l’est pas toujours partout. Une part significative des petites entreprises n’appliquent le MFA que sur certains comptes, laissant les comptes les plus sensibles — administrateurs en tête — sans protection renforcée. Les techniques de contournement du MFA (vol de jeton de session, harcèlement de notification, attaques de l’homme du milieu) ciblent d’ailleurs spécifiquement les environnements Microsoft 365 mal configurés, ce qui rend la configuration correcte — et pas seulement l’activation — déterminante.

Ce que coûte réellement une négligence

Les PME ne sont plus des cibles secondaires. Selon le Panorama de la cybermenace de l’ANSSI, elles représentent aujourd’hui environ la moitié des victimes de rançongiciels traitées par l’agence — un renversement par rapport à l’image d’une cybercriminalité concentrée sur les grands groupes.

Rapportés au coût d’une messagerie Microsoft 365 correctement sécurisée (MFA, Defender activé, formation basique des utilisateurs), ces chiffres remettent en perspective ce qui ressemble parfois à une case budgétaire secondaire : le rapport entre le coût de la prévention et le coût d’un incident est sans commune mesure.

Conformité RGPD et hébergement des données

Continuité, sauvegarde et gouvernance des accès

Un point souvent mal compris : Microsoft garantit la disponibilité de l’infrastructure, pas la récupération de vos données en cas d’erreur humaine, de suppression malveillante ou de chiffrement par un rançongiciel. La rétention native n’est pas conçue comme un filet de sécurité complet — c’est une fenêtre de récupération à court terme, pas une politique de sauvegarde.

De la même manière, les droits d’accès à SharePoint et OneDrive s’accumulent naturellement au fil des mouvements internes (changements de poste, projets terminés, partenaires externes). Sans revue périodique, un ancien prestataire ou un collaborateur ayant changé de service peut conserver un accès à des documents qui ne le concernent plus.

Existe-t-il des alternatives crédibles à Microsoft 365 ?

Oui — et le sujet dépasse largement la question technique. Trois familles d’alternatives existent aujourd’hui, avec des logiques différentes : la suite américaine concurrente (Google Workspace), les suites internationales alternatives (Zoho Workplace), et les solutions souveraines européennes (Infomaniak kSuite, OVHcloud). Le bon choix dépend moins d’un comparatif fonctionnel que de vos priorités réelles : coût, intégration Windows existante, ou sensibilité de vos données.

Sur le plan tarifaire, l’écart entre Microsoft 365 Business Basic et Google Workspace Business Starter est aujourd’hui marginal — l’arbitrage se joue davantage sur le stockage inclus (Microsoft reste généralement plus généreux en entrée de gamme) et sur l’écosystème déjà en place dans l’entreprise que sur le prix affiché.

Rester sur Microsoft 365 ou migrer : comment trancher

Checklist avant votre prochain renouvellement

• □ Le nombre de licences actives correspond-il exactement à l’effectif ?
• □ Le niveau d’abonnement de chaque utilisateur est-il justifié par son usage réel ?
• □ Le MFA est-il activé pour 100% des comptes, y compris les administrateurs ?
• □ Une solution de sauvegarde tierce est-elle en place ?
• □ Les données sont-elles hébergées dans la région attendue (UE) ?
• □ Une revue des accès et des partages a-t-elle été faite dans les 12 derniers mois ?
• □ Le contrat a-t-il été comparé à une offre concurrente ou renégocié depuis 2 ans ?
• □ Une alternative (Google Workspace, Zoho, Infomaniak) a-t-elle été chiffrée au moins une fois, migration comprise ?

FAQ

Faut-il forcément passer sur une offre E3 ou E5 pour être bien sécurisé ?

Non. Les offres Business Premium couvrent déjà l’essentiel (MFA, protection des appareils, chiffrement) pour la majorité des PME. E3/E5 se justifie surtout pour des environnements réglementés ou des effectifs importants avec des besoins de conformité spécifiques.

Peut-on réduire sa facture Microsoft 365 sans renégocier avec Microsoft ?

Oui. La première source d’économie est interne : désactiver les comptes inactifs et réajuster le niveau de licence par utilisateur suffit souvent à réduire la facture de 10 à 20% sans toucher au contrat.

Google Workspace est-il vraiment moins cher que Microsoft 365 ?

Pas systématiquement. Les tarifs d’entrée de gamme sont très proches. L’écart se fait surtout sur le stockage inclus et sur les besoins en applications Office installées en local, où Microsoft garde un avantage pour les usages professionnels avancés.

Une alternative souveraine comme Infomaniak est-elle vraiment plus sûre ?

Sur le plan juridique, oui : une entreprise suisse ou européenne n’est pas soumise au Cloud Act américain. Sur le plan technique, la sécurité dépend surtout de la configuration, quelle que soit la plateforme choisie.

Pourquoi le MFA reste-t-il si peu appliqué dans les petites structures ?

Principalement par manque de temps dédié à la configuration et par crainte de complexifier l’usage quotidien pour les collaborateurs. Or son activation prend généralement moins d’une journée pour un tenant de taille PME, pour un bénéfice de sécurité disproportionné par rapport à l’effort.

Qui doit porter cet audit dans l’entreprise ?

Idéalement une collaboration entre le DAF (visibilité budgétaire) et le responsable IT ou le prestataire infogéré (visibilité technique et sécurité). Cette double lecture évite de couper une licence utile ou de garder une dépense injustifiée.

Conclusion

Microsoft 365 n’est ni trop cher ni sous-sécurisé par nature : il est simplement rarement audité, et encore plus rarement comparé à une alternative. Les chiffres sont sans ambiguïté sur un point : l’écart d’activation du MFA entre petites et grandes structures explique une bonne part de leur exposition au risque, et le coût d’une négligence dépasse très largement celui d’un audit annuel. Quant au choix de la suite elle-même, il mérite d’être réévalué périodiquement — non pas pour changer par principe, mais pour vérifier que votre décision initiale reste la bonne au regard de vos besoins actuels de coût, de conformité et de souveraineté.