3 000 à 8 000€ et quatre à huit semaines de travail. C'est ce que facturent les cabinets de conseil pour un schéma directeur IT de PME. Un document de 20 à 40 pages, relu trois fois, validé en COPIL, rangé dans un dossier SharePoint. Que personne ne rouvrira.
En 20+ missions de CTO externalisé, je n'ai jamais livré de schéma directeur classique. Pas par paresse. Parce que le format ne fonctionne pas.
Le schéma directeur IT, un produit de consulting qui rate sa cible
Commençons par les faits. 50% des logiciels installés en entreprise ne sont pas utilisés8. Chez les PME, 96% des dirigeants admettent avoir payé des licences qui n'ont jamais servi8. Et dans 65% des PME françaises, personne n'est dédié à l'IT2. Le dirigeant gère tout, des accès WiFi aux licences Microsoft en passant par la stratégie commerciale.
J'ai vu ça des dizaines de fois. Une PME industrielle de 80 salariés, un ERP vieillissant, trois tableurs Excel qui tiennent lieu de CRM, un NAS dans le placard du couloir qui fait office de "cloud", et un dirigeant qui jongle entre les devis clients et les tickets du prestataire infogérance. Lui proposer un document de gouvernance IT de 20 pages, c'est lui demander de lire un plan d'architecte quand il cherche un plombier.
Le problème n'est pas le dirigeant. C'est le format.
Un schéma directeur classique part du postulat qu'il existe une DSI structurée pour le porter. Que quelqu'un va suivre les 47 actions du plan triennal. Que les hypothèses budgétaires à 3 ans tiendront la route. Dans une PME où 80% des chefs d'entreprise gèrent l'IT eux-mêmes2, ces postulats ne tiennent pas.
Et à l'échelle globale, seulement 16% des projets IT se déroulent comme prévu en termes de budget et de délai10. Ce chiffre concerne toutes les tailles d'organisation, y compris celles qui ont une DSI, un PMO et des processus rodés. Imaginez le taux de réussite d'un plan IT triennal dans une PME sans responsable IT dédié.
2026, trois échéances qui rendent la gouvernance IT non optionnelle
On pourrait se dire que la gouvernance IT est un luxe de grand compte. Sauf que 2026 change la donne avec une convergence réglementaire inédite.
NIS2 et la loi Résilience. La directive européenne NIS2 élargit considérablement le périmètre des entités soumises à des obligations de cybersécurité. Votre PME peut relever de NIS2 selon son secteur d'activité, sa taille et parfois des critères fonctionnels. Le simulateur MonEspaceNIS2 de l'ANSSI permet de vérifier. Ce qui est certain, c'est que le texte prévoit notamment que les organes de direction doivent approuver et superviser les mesures de cybersécurité, et suivre une formation adaptée. Les amendes prévues visent l'entité, jusqu'à 10 M€ ou 2% du CA mondial pour les entités essentielles, sous réserve des textes de transposition française.
Quand 90% des TPE et 69% des PME sont au niveau de maturité cyber "critique" selon l'ANSSI11, et que 77% y consacrent moins de 2 000€ par an11, l'écart entre les exigences et la réalité est vertigineux.
Facturation électronique. La réception de factures électroniques devient obligatoire le 1er septembre 2026 pour tous les assujettis à la TVA4. L'émission sera échelonnée selon la catégorie d'entreprise4. Ce n'est pas qu'un sujet comptable. Ça implique de la qualité de données fournisseurs, un connecteur vers une PDP ou Chorus Pro, des processus de validation internes, et de l'archivage conforme. Bref, de la gouvernance IT.
AI Act. Le règlement européen sur l'IA s'applique progressivement à partir du 2 août 2026, avec un calendrier différencié selon les obligations. Les sanctions maximales peuvent atteindre 35 M€ ou 7% du CA mondial pour les pratiques interdites. 26% des TPE-PME utilisent déjà l'IA, un chiffre qui a doublé en un an3. Souvent sans inventaire, sans classification des risques, sans supervision formalisée.
La gouvernance IT n'est plus un luxe, mais le schéma directeur classique n'est toujours pas la réponse.
L'alternative : gouvernance IT itérative en 4 sprints de 90 jours
Ce que je livre à mes clients, ce n'est pas un document. C'est un cycle. Quatre sprints, chacun avec un livrable qui tient sur une page. Un dirigeant occupé le lit. Un document de 20 pages, il le range.
Sprint 0 – Auto-diagnostic (½ journée de travail effectif)
Avant de construire quoi que ce soit, il faut savoir où vous en êtes. Deux outils gratuits permettent de démarrer immédiatement.
MAGNum 2026, publié en mars 2026 par l'IFACI, le Cigref et ISACA France15, propose 13 vecteurs de gouvernance numérique (stratégie, innovation, risques et conformité, RSE, données et IA, architecture, projets, RH, prestataires, services, budget, marketing) avec 5 niveaux de maturité. L'outil Excel est téléchargeable gratuitement1. Il remplace le GAGSI, qui avait 15 ans7.
Le diagnostic France Num offre un point d'entrée complémentaire en 10 minutes3, plus orienté transformation numérique que gouvernance, mais utile pour les PME qui partent de zéro.
Livrable : un radar de maturité sur une page, avec 3 axes prioritaires identifiés.
Le dirigeant et le responsable IT (ou la personne qui fait office de responsable IT) remplissent l'évaluation ensemble. Comptez une demi-journée effective.
Sprint 1 – Cartographie et quick wins (effort : 2-3 jours, délai : 2-3 semaines)
L'effort de travail réel est de 2 à 3 jours, mais le délai calendaire s'étend sur 2 à 3 semaines parce qu'il faut collecter les informations auprès des équipes, récupérer les contrats fournisseurs, et attendre les réponses.
Inventaire du SI : applications, licences, fournisseurs, coûts annuels. Pas besoin d'un outil CMDB. Un tableur suffit. L'objectif est d'avoir la carte, pas la carte parfaite.
Quick wins : les victoires rapides qui justifient la démarche dès le premier sprint. Typiquement, les licences inutilisées (souvenez-vous, 50% des logiciels installés8), le MFA absent sur les comptes critiques, les sauvegardes jamais testées, les accès d'anciens salariés encore actifs.
Livrable : carte des actifs critiques + 5 actions immédiates, sur une page.
Sprint 2 – Roadmap 90 jours (effort : 1-2 jours, délai : 1-2 semaines)
Les quick wins du Sprint 1 sont en cours. Maintenant, il faut prioriser la suite. Une matrice Value/Effort simple (deux axes, quatre quadrants) suffit. Pas besoin de RICE, de MoSCoW ou d'une méthodologie à 12 critères.
Budget de référence : le benchmark international situe le budget IT entre 3 et 6% du CA9. Pour une PME de 50 salariés à 5 M€ de CA, ça représente 150 000 à 300 000€ par an. Répartition type : 60% fonctionnement (infra, licences, support), 25% projets (migrations, nouveaux outils), 15% sécurité. Si votre budget IT est en dessous de 3%, vous sous-investissez. Au-dessus de 6%, vérifiez que vous ne payez pas des licences fantômes.
Le délai de 1 à 2 semaines inclut les arbitrages avec la direction, qui doit valider les priorités et le budget.
Livrable : plan trimestriel avec budget, responsable et indicateur de suivi par action.
Sprint 3 – Gouvernance continue
Le sprint 3 n'a pas de fin. C'est le passage d'un mode projet à un mode opératoire.
COPIL mensuel : 1 heure maximum, ordre du jour type (avancement des actions, incidents du mois, budget consommé, décisions à prendre). Si ça dure plus d'une heure, le périmètre est trop large.
Revue trimestrielle : à chaque fin de cycle de 90 jours, on refait le point. Qu'est-ce qui a avancé, qu'est-ce qui a bloqué, quelles sont les 3 à 5 priorités du prochain cycle. Le Sprint 2 se relance.
Livrable : template de COPIL + indicateurs de suivi.
C'est cette boucle qui remplace le schéma directeur. Pas un document figé qui prétend prédire l'IT à 3 ans, mais un cycle court qui s'adapte à la réalité.
Tous ces livrables (auto-diagnostic, roadmap 90 jours, template COPIL) sont disponibles dans le kit gouvernance IT PME, prêt à l'emploi et imprimable.
Test MAGNum 2026 : je l'ai fait sur SmartCTO
Je demande à mes clients de faire l'auto-diagnostic. Il serait malhonnête de ne pas le faire moi-même. J'ai téléchargé MAGNum 2026 et je l'ai rempli pour SmartCTO.
Les bons scores (niveau 4/5) : données et IA (j'utilise des agents IA au quotidien, mes workflows sont documentés), architecture technique (stack maîtrisée, choix délibérés, dette technique sous contrôle), innovation (veille active, tests réguliers de nouveaux outils).
Les scores moyens (niveau 3/5) : stratégie numérique (vision claire mais pas assez formalisée), projets (méthodologie agile appliquée, mais suivi informel), marketing numérique (stratégie de contenu en place, analytics suivis, mais pas encore systématisé).
Les points faibles (niveau 2/5) : RH numériques (freelance solo, pas de plan de montée en compétences formalisé), budget (pas de suivi mensuel structuré du budget IT, c'est mal), prestataires (je travaille avec mon frère Benoît, c'est un choix, mais la gestion contractuelle est minimale), RSE numérique (aucune politique formalisée, même si la stack est sobre par choix).
Le quick win identifié : formaliser un suivi budgétaire mensuel. Une ligne dans mon tableur de gestion, 10 minutes par mois. Pourtant, je ne le faisais pas. C'est exactement le genre de chose que le Sprint 1 révèle.
La leçon : SmartCTO est une structure simple (freelance + quelques prestataires). Les résultats sont corrects, avec des angles morts prévisibles. Et c'est justement le point. Si un CTO externalisé qui passe ses journées à auditer la gouvernance IT de ses clients n'obtient pas 5/5 sur sa propre structure, un dirigeant de PME qui gère ça entre deux rendez-vous commerciaux n'a pas à culpabiliser.
L'objectif n'est pas la perfection. C'est la progression mesurable, sprint après sprint.
Votre PME a-t-elle besoin de structurer sa gouvernance IT ?
6 questions. Répondez par oui ou non.
Checklist auto-diagnostic
1. Avez-vous un inventaire à jour de toutes vos applications, licences et fournisseurs IT ?
2. Existe-t-il une personne identifiée comme responsable de l'IT dans votre entreprise (même à temps partiel) ?
3. Votre budget IT est-il formalisé avec un suivi régulier des dépenses ?
4. Vos sauvegardes sont-elles testées au moins une fois par an (restauration effective vérifiée) ?
5. Avez-vous une roadmap IT, même informelle, avec des priorités identifiées pour les 3 à 6 prochains mois ?
6. Un point régulier (mensuel ou trimestriel) est-il organisé pour suivre les sujets IT avec la direction ?
Répondez aux 6 questions pour voir votre résultat.
Et maintenant ?
Si votre score au quiz est faible, commencez par le Sprint 0. Utilisez le kit gouvernance IT PME pour faire l'auto-diagnostic simplifié directement en ligne, ou téléchargez MAGNum complet1 pour l'évaluation détaillée. Bloquez une demi-journée avec la personne qui gère l'IT dans votre entreprise. Ça ne coûte rien, ça prend 3 heures, et ça produit un livrable utile dès le premier jour.
Le kit inclut aussi le template COPIL mensuel et la roadmap 90 jours, prêts à remplir et à imprimer.
Si vous préférez qu'on le fasse ensemble, je propose un diagnostic de 30 minutes. Pas de document de 20 pages. Pas de schéma directeur classique. Juste un premier état des lieux et les 3 actions à lancer cette semaine.
Cet article ne constitue pas un conseil juridique. Les informations réglementaires (NIS2, AI Act, facturation électronique) sont données à titre indicatif et synthétisées à partir des textes européens et des communications officielles françaises. Consultez un avocat spécialisé pour votre situation.