Préparer un contrôle de conformité en deux semaines

Un contrôle porte d'abord sur la capacité à dire ce qui existe, et seulement ensuite sur la qualité de la documentation de chaque système. Cette hiérarchie détermine l'ordre de préparation.

Une organisation qui produit un inventaire complet, même assorti de fiches imparfaites, démontre qu'elle sait ce qu'elle exploite. Une organisation qui produit trois dossiers excellents en ignorant l'existence de dix autres systèmes démontre l'inverse.

C'est pourquoi l'inventaire passe avant tout le reste, et pourquoi il ne coûte qu'une demi-journée alors que la documentation exhaustive coûte des semaines.

Lister tous les systèmes qui appellent un modèle, y compris ceux que personne ne considère comme des projets. C'est l'étape la plus rapide et la plus révélatrice.

La méthode est directe : regarder les factures des fournisseurs, les clés d'API émises, et interroger chaque équipe sur ce qu'elle a branché. Cette dernière question fait apparaître, à chaque fois, des systèmes dont la direction ignorait l'existence.

Les découvertes habituelles sont d'un genre précis : un assistant créé par une équipe métier et devenu quotidien, un script d'enrichissement branché sur une base, une automatisation ajoutée dans un outil de gestion.

Aucun de ces systèmes n'a été caché ; ils n'ont simplement jamais été qualifiés de projets. Ils comptent pourtant, et c'est ce que révèle le rapprochement avec ce qu'un assistant sans code ne couvre pas.

Décrire un dispositif de supervision ne suffit pas ; il faut montrer qu'il fonctionne, et cette preuve se collecte, elle ne se rédige pas. C'est l'étape la plus souvent manquée.

Ce qui constitue une preuve est concret : des cas où un humain a effectivement refusé une proposition du système, avec la trace de ce refus. Sur un système supervisé qui traite plusieurs milliers de dossiers, ces cas existent nécessairement.

S'ils n'existent pas, deux explications possibles, toutes deux importantes. Soit le système ne se trompe jamais, ce qui est improbable et mérite vérification. Soit la supervision est une formalité, et la personne valide sans regarder, la configuration décrite dans supervision humaine : la concevoir, pas la promettre.

Dans les deux cas, le constat est plus utile que le document qu'on aurait rédigé.

Un journal absent ne se reconstitue pas ; ce qu'on peut faire, c'est l'activer immédiatement et documenter la date de début. C'est la réponse honnête et elle est acceptable.

Une organisation qui déclare avoir activé la journalisation à telle date, et qui produit les traces depuis, est dans une situation très différente d'une organisation qui n'a rien et n'a rien prévu.

Ce qu'il ne faut pas faire est plus important : ne pas produire de traces reconstituées. Un journal fabriqué après coup est une fausse pièce, et son coût potentiel dépasse largement le manquement qu'il prétend couvrir.

La règle qui en découle vaut au-delà du contrôle : activer la journalisation dès qu'un système est mis en service, même si personne ne l'exige encore. C'est le seul chantier dont le report se paie définitivement.

Un rendez-vous trimestriel d'une heure, où l'on relit les fiches et où l'on ajoute les nouveaux systèmes, suffit à maintenir le dossier vivant. Sans ce rituel, la préparation est à refaire à chaque échéance.

L'ordre du jour tient en trois points. Les nouveaux systèmes mis en service depuis le dernier rendez-vous, avec leur fiche. Les fiches existantes dont la finalité a dérivé. Et les systèmes arrêtés, à retirer du registre.

Ce troisième point est régulièrement oublié et il compte : un registre qui liste des systèmes qui ne tournent plus est aussi faux qu'un registre incomplet.

Une heure par trimestre, quatre heures par an. C'est l'écart entre une organisation qui répond à un contrôle en une semaine et une organisation qui y consacre deux mois.