Charte informatique : le modèle simple pour une PME

Une charte informatique de 6 à 8 pages suffit souvent pour encadrer les usages numériques d’une PME, à condition de traduire les risques en règles concrètes. Équipements, mots de passe, télétravail, données et départ des salariés doivent y être traités sans jargon ni ambiguïté. Ce document protège l’entreprise tout en donnant aux collaborateurs un cadre applicable au quotidien.

À quoi sert une charte informatique en entreprise ?

La charte informatique entreprise définit les droits, les obligations et les bonnes pratiques liés aux outils numériques professionnels. Elle concerne les ordinateurs, les téléphones, la messagerie, les logiciels, les espaces de stockage, les accès distants et les données manipulées par les salariés.

Pour une PME sans service informatique, son rôle est très opérationnel. Elle évite que chaque collaborateur décide seul comment choisir ses mots de passe, transférer un document, installer un logiciel ou utiliser son ordinateur personnel. Elle fournit aussi une base commune pour réagir face à un courriel frauduleux, une perte de matériel ou un départ précipité.

La charte ne remplace pas les protections techniques. Un document signé ne bloque ni un rançongiciel ni une connexion frauduleuse. Il doit accompagner des mesures simples : authentification multifacteur, sauvegardes contrôlées, mises à jour automatiques, antivirus, filtrage des accès et gestion centralisée des comptes.

À retenir : une règle écrite sans moyen technique ni responsable désigné reste fragile. Chaque obligation doit correspondre à une procédure, un outil ou un contrôle réaliste.

Modèle simple de charte informatique pour une PME

Une charte utile suit le parcours numérique d’un salarié. Elle commence par le matériel confié, encadre l’accès aux comptes, précise les usages autorisés puis traite les situations sensibles. Le modèle suivant fournit une trame à adapter à l’activité, aux logiciels utilisés et aux données détenues.

1. Objet, périmètre et personnes concernées

La première partie indique que la charte vise à protéger le système d’information, les données de l’entreprise, ses clients et ses collaborateurs. Elle s’applique aux salariés, alternants, stagiaires, intérimaires et, lorsque leur contrat le prévoit, aux prestataires disposant d’un accès numérique.

Le périmètre doit couvrir les équipements fournis par l’entreprise, les services en ligne, la messagerie, les applications métier, les réseaux, les supports amovibles et les appareils personnels autorisés. La charte précise également qui contacter en cas de doute ou d’incident. Dans une petite structure, ce référent peut être le dirigeant, le responsable administratif ou un prestataire identifié.

2. Utilisation des ordinateurs et téléphones professionnels

Le matériel reste la propriété de l’entreprise. Le salarié doit en prendre soin, verrouiller sa session lorsqu’il s’absente et signaler rapidement toute perte, tout vol ou tout comportement inhabituel. Les mises à jour et protections installées ne doivent pas être désactivées.

Un usage personnel limité peut être toléré s’il ne perturbe pas le travail, ne consomme pas de ressources excessives et ne présente aucun risque juridique ou informatique. Les téléchargements illicites, les contenus offensants, le partage d’accès et l’installation de logiciels sans autorisation doivent être interdits clairement.

• Ne pas prêter un équipement professionnel à un proche.
• Ne pas connecter une clé USB inconnue.
• Ne pas installer d’extension de navigateur sans validation.
• Verrouiller l’écran dès que le poste reste sans surveillance.
• Déclarer une perte ou un vol dès sa constatation, sans attendre le lendemain.

3. Mots de passe et authentification

La charte impose un mot de passe différent pour chaque service sensible. Elle interdit le partage d’identifiants entre collègues, l’envoi d’un mot de passe par courriel et le stockage dans un document non protégé. Un gestionnaire de mots de passe validé par l’entreprise réduit les oublis et la réutilisation des mêmes secrets.

CybersécuritéRançongiciel : que faire dans les premières 24 heures

Un mot de passe long ou une phrase de passe doit être privilégié. L’authentification multifacteur est requise pour la messagerie, les outils de gestion, le stockage en ligne et les accès à distance. En cas de suspicion, le salarié change immédiatement son mot de passe et prévient le référent, même si aucune fraude n’est encore visible.

4. Messagerie, navigation et fraude au président

La messagerie concentre les tentatives d’hameçonnage, les fausses factures et les demandes urgentes de virement. La charte doit demander aux salariés de vérifier l’adresse de l’expéditeur, de se méfier des pièces jointes inattendues et de ne jamais communiquer un code de connexion reçu par SMS.

Une demande inhabituelle liée à un paiement, un changement de coordonnées bancaires ou la transmission d’un fichier confidentiel doit être confirmée par un autre canal. Un appel au numéro déjà connu du fournisseur vaut mieux qu’une réponse au message reçu. Cette règle concerne aussi les demandes qui semblent venir du dirigeant.

5. Télétravail et accès à distance

Le télétravail expose les informations en dehors des locaux. La charte précise les outils autorisés, le mode d’accès aux applications et les conditions de transport du matériel. Les documents sensibles ne doivent pas rester visibles dans un espace partagé ni être imprimés sans nécessité.

Le salarié utilise une connexion protégée et évite les réseaux Wi-Fi publics pour accéder aux données professionnelles. Lorsque l’entreprise fournit un réseau privé virtuel, son usage est obligatoire. Les fichiers restent dans les espaces de stockage validés plutôt que sur le bureau de l’ordinateur ou dans une messagerie personnelle.

6. Données professionnelles et outils de stockage

La charte distingue les données ordinaires, confidentielles et sensibles. Les fichiers clients, données personnelles, informations bancaires, contrats et documents de ressources humaines exigent des restrictions renforcées. Leur accès doit correspondre au besoin réel de chaque fonction.

Les transferts vers une adresse personnelle, un espace de stockage grand public non validé ou une application gratuite choisie par le salarié sont interdits. La suppression d’un fichier local ne garantit pas sa disparition des sauvegardes ou des historiques. Toute demande d’effacement doit suivre une procédure gérée par l’entreprise.

7. Appareils personnels et BYOD

L’usage d’un téléphone ou d’un ordinateur personnel, souvent nommé BYOD, figure parmi les points oubliés. La charte doit soit l’interdire, soit le soumettre à des conditions précises. Une tolérance informelle crée une zone grise concernant la sécurité, la confidentialité et l’effacement des données.

Si l’usage est autorisé, l’appareil doit disposer d’un code de verrouillage, d’un système à jour et d’un espace professionnel séparé. L’entreprise doit pouvoir retirer ses données en cas de perte ou de départ, sans accéder aux contenus privés. Les modalités techniques et le respect de la vie personnelle doivent être expliqués avant l’enrôlement de l’appareil.

8. Départ ou changement de poste d’un salarié

Le départ d’un collaborateur nécessite une règle dédiée. Les accès doivent être désactivés à une date et une heure définies. Le matériel, les badges, les clés de sécurité et les supports de stockage sont restitués. Les fichiers professionnels détenus par le salarié sont transférés vers l’emplacement prévu.

Le responsable vérifie les délégations de messagerie, les accès aux réseaux sociaux, les comptes fournisseurs et les logiciels utilisés. Les mots de passe partagés, encore présents dans certaines petites structures, doivent être remplacés. Une redirection temporaire de messagerie doit être encadrée, proportionnée et portée à la connaissance du salarié.

Quelle valeur juridique donner à la charte informatique ?

La valeur de la charte dépend de son contenu et de son mode d’adoption. Un simple document envoyé par courriel informe les salariés, mais sa portée disciplinaire reste limitée si les formalités applicables n’ont pas été respectées.

Lorsqu’elle contient des obligations générales et permanentes ainsi que des sanctions, la charte peut constituer une adjonction au règlement intérieur. Elle suit alors le régime juridique correspondant. Dans les entreprises où le règlement intérieur est obligatoire, elle est généralement intégrée en annexe. Dans les structures plus petites, une note de service comportant des règles générales et permanentes en matière de discipline peut relever de formalités comparables.

Selon la situation de l’entreprise, le projet doit être soumis au comité social et économique, communiqué selon les formalités prévues et porté à la connaissance de chaque salarié. Une date d’entrée en vigueur claire doit être fixée. Une validation par un professionnel du droit social sécurise les clauses disciplinaires et les dispositifs de contrôle.

Point de vigilance juridique : la signature d’un salarié prouve qu’il a reçu la charte. Elle ne corrige pas une procédure d’adoption incomplète et ne rend pas licite une règle disproportionnée.

Contrôle des usages et respect de la vie privée

L’employeur peut encadrer et contrôler l’utilisation des outils professionnels, mais les moyens employés doivent être justifiés et proportionnés. Les salariés doivent être informés des dispositifs de journalisation, de filtrage, de surveillance ou de conservation des traces.

La charte décrit la finalité des contrôles, les catégories de données consultées, les personnes habilitées et les durées de conservation. Elle ne doit pas annoncer une surveillance permanente si aucun besoin ne la justifie. Les fichiers identifiés comme personnels bénéficient d’une protection particulière, même lorsqu’ils se trouvent sur un ordinateur professionnel.

Sanctions disciplinaires

La charte peut rappeler que le non-respect des règles expose à une sanction prévue par le règlement intérieur et le droit du travail. Elle ne doit pas inventer une échelle parallèle ni prévoir une sanction automatique pour chaque faute. La gravité des faits, leur répétition, le poste occupé et les conséquences pour l’entreprise doivent être examinés.

CybersécuritéAssurance cyber pour PME : ce qu’elle couvre, ce qu’elle exige

Des exemples rendent la règle lisible : partage volontaire d’identifiants, installation répétée de logiciels interdits, extraction non autorisée de fichiers clients ou refus de signaler une perte de matériel. La procédure disciplinaire reste applicable dans chaque cas.

Quelle longueur prévoir pour une charte informatique de PME ?

Une longueur de 6 à 8 pages convient à de nombreuses PME. Au-delà de 10 pages, le texte risque de devenir difficile à mémoriser. Un environnement réglementé ou une activité manipulant des données de santé, financières ou industrielles justifie toutefois des annexes plus détaillées.

Le document principal doit contenir les règles stables. Les procédures susceptibles d’évoluer, comme le nom du référent, le numéro d’urgence, la liste des logiciels autorisés ou les instructions de connexion, gagnent à figurer dans une fiche pratique séparée. Cette organisation évite de reprendre toute la procédure juridique lors d’un simple changement d’outil.

Faire adopter la charte sans service informatique

La réussite repose moins sur la quantité de règles que sur leur compréhension. Une PME doit partir de ses usages réels : logiciels, télétravail, smartphones, prestataires, données clients et habitudes de partage. Copier un modèle générique sans inventaire préalable laisse souvent de côté les risques les plus proches du terrain.

1. Cartographier les usages : lister les équipements, applications, comptes partagés, accès distants et données sensibles.
2. Identifier cinq risques prioritaires : hameçonnage, perte de matériel, mots de passe réutilisés, stockage non autorisé et départ mal préparé.
3. Rédiger des règles vérifiables : remplacer les principes vagues par des actions attendues et des interdictions compréhensibles.
4. Faire relire le document : associer la direction, l’administratif, des salariés représentatifs et le conseil juridique lorsque nécessaire.
5. Respecter la procédure d’adoption : organiser la consultation, l’information et les formalités correspondant au statut du texte.
6. Présenter la charte en équipe : prévoir une séance de 30 à 45 minutes fondée sur des cas concrets.
7. Conserver une preuve de remise : signature, accusé électronique ou remise contre émargement.

La présentation doit montrer le comportement attendu face à une situation réelle. Par exemple, un salarié reçoit une demande urgente de modification d’IBAN. Il suspend le traitement, appelle son contact habituel et signale le message. Cette mise en situation transforme une clause abstraite en réflexe de sécurité.

Maintenir la charte informatique à jour

Une révision annuelle offre un rythme adapté à une petite entreprise. Une mise à jour anticipée s’impose lors d’un changement majeur : nouvel outil collaboratif, généralisation du télétravail, usage d’appareils personnels, déménagement, incident de sécurité ou évolution de l’organisation.

Le dirigeant peut suivre quelques indicateurs simples : taux d’activation de l’authentification multifacteur, nombre de comptes partagés, délai de suppression des accès après un départ, proportion d’équipements à jour et résultat d’un exercice d’hameçonnage. Ces données montrent si la charte informatique entreprise produit des pratiques observables.

Un exercice semestriel de 20 minutes suffit pour tester un scénario : téléphone perdu, courriel frauduleux ou fichier envoyé au mauvais destinataire. Chaque participant doit savoir qui prévenir, quelles informations transmettre et quelles actions éviter. Les écarts constatés servent ensuite à ajuster la procédure, la formation ou les protections techniques.