Équiper un télétravailleur : matériel fourni, prise en charge des frais, connexion depuis l'extérieur, déplacements professionnels et cadre écrit côté employeur.
Équiper un télétravailleur revient à déplacer une partie du système d’information hors des murs de l’entreprise. Trois chantiers se traitent ensemble : le matériel fourni et son financement, la connexion depuis l’extérieur, et le cadre écrit qui fixe les règles. Négliger l’un des trois fragilise les deux autres.
La pratique s’est installée durablement. Selon la DARES, 26 % des salariés télétravaillaient au moins occasionnellement en 2023, contre 9 % en 2019, avec une nette préférence pour un ou deux jours par semaine. Le sujet n’est plus de savoir si le poste sort du bureau, mais dans quel état il en sort.
Le socle matériel, et ce qu’il coûte vraiment
Un poste nomade se définit par ce qu’il embarque, pas par sa marque. Quatre éléments constituent le minimum défendable.
- un ordinateur portable appartenant à l’entreprise, disque chiffré intégralement, session verrouillée automatiquement après quelques minutes d’inactivité ;
- un téléphone professionnel capable de partager sa connexion, qui sert aussi de second facteur d’authentification ;
- une sauvegarde automatique, indépendante du poste, pour que la perte de la machine ne coûte que la machine ;
- un jeu d’accessoires de transport, housse rembourrée et filtre de confidentialité pour l’écran, qui règlent deux risques banals : la chute et le regard du voisin de train.
Le reste dépend du métier. Un comptable qui manipule des liasses gagne un second écran au domicile, un commercial en tournée préfère un poste léger et une batterie externe. La règle qui tient : l’entreprise achète, référence et reprend le matériel. Un équipement acheté par le salarié puis remboursé lui appartient juridiquement, ce qui complique sa restitution le jour du départ.
Chaque machine sortie doit figurer dans l’inventaire du parc informatique, avec le nom du détenteur et la date de sortie. Sans cette ligne, personne ne sait combien de postes circulent, ni lesquels ont manqué les derniers correctifs de sécurité.
La prise en charge des frais, sujet qui revient chaque année
Les frais engagés par le salarié pour son activité professionnelle restent à la charge de l’employeur. L’accord national interprofessionnel du 26 novembre 2020, étendu l’année suivante, rappelle ce principe pour le télétravail sans imposer de montant.
Deux voies existent. La première rembourse les dépenses réelles sur justificatifs, précise mais lourde à gérer. La seconde verse une allocation forfaitaire, admise sans cotisations dans les limites publiées chaque année par l’URSSAF.
| Situation | Montant admis sans cotisations (barème 2026) |
|---|---|
| Forfait journalier, sans accord collectif | 2,70 € par jour de télétravail |
| Plafond mensuel correspondant | 59,40 € par mois |
| Forfait mensuel alternatif | 11 € par jour de télétravail hebdomadaire |
| Forfait journalier prévu par accord collectif | 3,30 € par jour, jusqu’à 72,60 € par mois |
Ces montants couvrent l’électricité, le chauffage, la part professionnelle de l’abonnement internet et les consommables. Ils ne couvrent pas le matériel, qui relève de l’investissement de l’entreprise. Le budget annuel se construit donc sur deux lignes distinctes, comme le reste du budget informatique de la PME.
Connexion depuis l’extérieur : le vrai point de bascule
Le domicile du salarié n’offre aucune des protections du réseau professionnel. Box grand public jamais mise à jour, objets connectés partageant le même segment, mot de passe Wi-Fi affiché sur un post-it depuis l’emménagement : l’environnement échappe complètement à l’entreprise.
L’ANSSI traite ce sujet dans son guide « Recommandations sur le nomadisme numérique », référencé ANSSI-PA-054, dont la deuxième version publiée le 13 novembre 2023 porte cinquante règles. Sa logique tient en une phrase : le poste nomade doit se comporter comme s’il évoluait en permanence en environnement hostile.
Trois décisions structurent la mise en œuvre.
Le tunnel chiffré d’abord. Toute connexion au système d’information passe par un accès distant chiffré, activé automatiquement au démarrage plutôt que laissé au bon vouloir de l’utilisateur. Un tunnel qu’il faut penser à lancer finit par ne plus être lancé.
L’authentification forte ensuite, sur la messagerie comme sur les applications métier. Un mot de passe volé depuis un poste personnel infecté ouvre autrement l’ensemble du système, sans qu’aucune alerte ne se déclenche. Cette mesure reste le meilleur rapport effort/protection décrit dans les guides de cybersécurité pour les PME.
Le cloisonnement des droits enfin. Un salarié à distance accède aux ressources dont son poste a besoin, pas au partage général. La matrice des habilitations et la revue des droits prend toute sa valeur quand les connexions viennent de partout.
Un dernier point technique se néglige souvent : le réseau du domicile. Demander au salarié de séparer sa box professionnelle de ses usages familiaux relève de l’illusion, mais lui expliquer comment changer le mot de passe d’administration de sa box et activer le chiffrement récent prend dix minutes. Les mêmes principes que pour le Wi-Fi d’entreprise s’appliquent en version réduite.
Le déplacement professionnel change la nature du risque
Le télétravail à domicile reste un environnement stable. Le déplacement, lui, cumule les expositions : réseaux inconnus, lieux publics, perte matérielle, contrôles aux frontières pour les voyages hors Union européenne.
Avant le départ, trois gestes suffisent à réduire l’essentiel de l’exposition.
- Emporter le strict nécessaire. Un poste vidé de ses archives locales ne perd que la mission en cours en cas de vol.
- Vérifier que les correctifs sont appliqués et la sauvegarde à jour. Une mise à jour bloquée pendant un vol se transforme en journée perdue.
- Noter le numéro de série et le contact à prévenir en cas de perte. La déclaration rapide conditionne le blocage à distance.
Sur place, la règle la plus utile concerne les réseaux ouverts. Un Wi-Fi d’hôtel, d’aéroport ou de gare ne prouve ni son identité ni son isolement : rien n’empêche un point d’accès de porter le nom de l’établissement sans lui appartenir. Le partage de connexion depuis le téléphone professionnel coûte quelques centaines de mégaoctets et supprime le problème.
Deux réflexes complètent le dispositif. Aucun périphérique de stockage trouvé ou offert ne se branche sur le poste, y compris un chargeur inconnu. Aucun document sensible ne s’ouvre en espace public sans filtre de confidentialité, la photographie discrète d’un écran restant la méthode de captation la moins coûteuse qui soit.
Pour les déplacements hors Union européenne, l’ANSSI recommande le principe du matériel dédié : une machine et un téléphone de mission, vierges au départ, réinitialisés au retour. Cette pratique paraît excessive tant qu’une entreprise n’a pas vu revenir un poste compromis.
Le cadre écrit, condition de tout le reste
Le matériel et le réseau ne suffisent pas si personne n’a écrit les règles. L’article L1222-9 du Code du travail prévoit que le télétravail se met en place par accord collectif ou, à défaut, par une charte élaborée après avis du comité social et économique. En l’absence des deux, un accord formalisé par tout moyen entre le salarié et l’employeur reste possible.
Ce document répond à des questions très concrètes : quels postes sont éligibles, combien de jours, avec quelles plages de joignabilité, quel matériel fourni, quelle indemnisation, comment s’organise le retour au bureau. L’article L1222-10 ajoute des obligations précises à la charge de l’employeur, dont l’information du salarié sur les restrictions d’usage des équipements et l’organisation d’un entretien annuel portant sur les conditions d’activité et la charge de travail.
Deux points juridiques méritent d’être connus des dirigeants.
Le premier concerne les accidents. Un accident survenu sur le lieu du télétravail pendant l’exercice de l’activité professionnelle est présumé accident du travail. La formulation figure directement dans l’article L1222-9, et elle inverse la charge de la preuve.
Le second concerne la déconnexion. Les modalités d’exercice du droit à la déconnexion entrent dans la négociation annuelle sur la qualité de vie au travail, prévue à l’article L2242-17 du Code du travail. Un cadre horaire clair protège autant l’entreprise que le salarié, et il évite la dérive silencieuse des messageries actives à vingt-trois heures.
Le volet protection des données complète l’ensemble. L’article 32 du règlement général sur la protection des données impose des mesures techniques et organisationnelles adaptées au risque : le chiffrement des postes mobiles et la traçabilité des accès distants en font partie dès que des données personnelles quittent les locaux.
Ce qui casse en premier dans les PME
Les échecs observés se ressemblent beaucoup, et tiennent rarement à la technique.
Le premier tient au matériel personnel toléré « le temps de commander ». Ce temps dure des années, et l’entreprise finit avec des données professionnelles sur des machines qu’elle ne maîtrise pas. La sortie de ce régime coûte cher, car il faut alors récupérer sans droit d’audit ce qui aurait dû rester chez elle.
Le deuxième vient du départ mal géré. Un salarié quitte l’entreprise, son poste revient ou non, mais ses accès distants restent actifs plusieurs semaines. La revue trimestrielle des comptes règle ce point mieux qu’une procédure de sortie que personne n’applique.
Le troisième relève de l’empilement d’outils. Multiplier les applications d’accès distant, de partage de fichiers et de visioconférence produit une surface d’attaque étendue et une confusion durable chez les utilisateurs. La rationalisation de la stack d’outils collaboratifs sert autant la sécurité que la productivité.
Le quatrième porte sur le support. Un salarié bloqué à distance sans interlocuteur identifié improvise, désactive une protection, installe un utilitaire trouvé en ligne. Le canal de dépannage se définit avant le premier incident, pas pendant.
Prochaine étape : lister les postes qui sortent aujourd’hui des locaux, vérifier pour chacun le chiffrement du disque, l’état des correctifs et l’existence d’une sauvegarde récente. Cet inventaire tient en une demi-journée et révèle presque toujours deux ou trois machines oubliées.
