Une architecture 100 % cloud, sans serveur ni DSI interne : Microsoft 365 pour la collaboration, des postes de travail cloud hébergés en UE pour centraliser données et applications, les outils métier (gestion de portefeuille, reporting) en SaaS, un socle de sécurité opéré (MFA, EDR, sauvegardes immuables testées), et le dispositif DORA proportionné — registre, contrats conformes, processus d'incident. Le tout opéré par un prestataire spécialisé, pour un budget mensuel par utilisateur qui reste une fraction du coût d'un recrutement IT.
Une société de gestion de 8, 12 ou 18 personnes cumule deux exigences contradictoires en apparence : un niveau de conformité digne d'une institution — l'AMF et DORA ne raisonnent pas au prorata de l'effectif pour l'essentiel du dispositif — et des moyens de PME, sans DSI, sans RSSI, souvent sans fonction support du tout. La réponse n'est pas de recruter : c'est une architecture simple, standardisée et opérée, où la conformité est produite par le dispositif lui-même plutôt que par des efforts documentaires héroïques.
L'identité comme socle. Un annuaire cloud unique (Entra ID), MFA sans exception, accès conditionnel — c'est la fondation de tout le reste, et le premier point qu'un contrôle regarde.
Le poste de travail cloud comme centre de gravité. Plutôt que des données dispersées sur les PC des gérants, un environnement Azure Virtual Desktop en région UE concentre applications et documents : le portable d'un gérant en déplacement n'est qu'un écran, la traçabilité est native, la sauvegarde est centrale. Pour une structure où chaque collaborateur manipule des informations sensibles, c'est l'architecture qui simplifie le plus la conformité.
Les outils métier en SaaS. Gestion de portefeuille, passage d'ordres, reporting réglementaire : le SaaS spécialisé est devenu la norme pour cette taille. Le point de vigilance n'est pas technique mais contractuel — chaque SaaS est un prestataire TIC au sens de DORA, à inscrire au registre avec un contrat qui tient la route.
La sécurité et la conformité, opérées. EDR supervisé, sauvegardes immuables testées trimestriellement, journalisation, et le triptyque DORA proportionné : registre d'information fourni et tenu par le prestataire, processus d'incident écrit et testé, comité de pilotage périodique qui produit les preuves au fil de l'eau.
L'ordre de grandeur pour une structure de cette taille : un forfait mensuel par utilisateur de quelques dizaines d'euros pour l'infogérance complète, auquel s'ajoutent les licences (Microsoft, outils métier) refacturées en transparence et l'infrastructure cloud, modeste à cette échelle. À comparer au coût complet d'un recrutement IT — salaire, charges, et le risque de faire reposer la conformité AMF sur une seule personne. L'externalisation bien contractualisée est aussi la réponse au risque de dépendance individuelle que le régulateur lui-même identifie chez les petites structures.
Pour le détail de ce qu'il faut exiger contractuellement de ce prestataire — article 30 de DORA, registre, réversibilité — nous y consacrons un guide complet : que doit exiger une société de gestion AMF de son prestataire informatique ?
Oui : la taille ne fait pas sortir du champ du règlement, elle en module l'intensité via la proportionnalité. Le socle — gestion du risque TIC, registre d'information, incidents, encadrement des prestataires — s'applique, calibré à l'échelle de la structure.
C'est déconseillé : un NAS ou un serveur local réintroduit ce que l'architecture cloud élimine — sauvegarde vulnérable, point de défaillance unique, données hors du périmètre supervisé et tracé. À cette taille, tout ce qui existe doit être dans le périmètre géré.
Pour une structure de moins de 20 personnes, comptez quelques semaines : socle identité et sécurité d'abord, migration des données et des postes ensuite, dispositif documentaire DORA en parallèle — sans interruption d'activité si la bascule est correctement planifiée.
DIGICAB opère des environnements complets pour des sociétés de gestion agréées : architecture cloud UE, sécurité supervisée, dispositif DORA proportionné. 30 minutes avec un ingénieur, sans démarchage ni engagement.
Prendre rendez-vous