Comment tenir un registre des décisions stratégiques et des audits du SI ?
D’après Les cahiers de la souveraineté
Un registre de décisions permet de conserver les raisons d'un choix et les conditions dans lesquelles il a été approuvé. Le suivi des audits complète cette mémoire en vérifiant si les hypothèses, les dispositifs et les actions restent valides. Les deux ensembles doivent être reliés, mais leurs informations ne sont pas interchangeables.
Documenter chaque décision
Une fiche de décision peut préciser son identifiant, sa date, le choix retenu, le contexte et les décideurs. Elle conserve aussi les hypothèses, les contraintes, les options écartées et les raisons de leur abandon. Enfin, elle renvoie aux risques associés dans la matrice de risques.
Dans un exemple fictif, le choix d’un CRM SaaS repose sur des hypothèses de coût et une contrainte de calendrier. Les alternatives sont écartées pour des raisons de délai, de coût ou d’intégration. Conserver ces éléments permet de comprendre la décision et de la réexaminer si les conditions changent.
Tenir un suivi distinct des audits
Une fiche d'audit décrit le type de contrôle, le périmètre examiné, la date du dernier audit et ses principales conclusions. Elle indique le plan d'action associé, le responsable du suivi et la prochaine échéance de revue. Une date d'audit ne doit pas être confondue avec la date d'une décision.
On peut, par exemple, documenter un contrôle portant sur un fournisseur critique, une extraction de données d’un CRM ou un exercice de reprise. Un test de réversibilité peut révéler un format propriétaire ou un coût d’extraction non prévu. Une reprise peut réussir techniquement tout en restant dépendante de personnes difficiles à mobiliser.
Rapprocher les constats des choix initiaux
Les résultats d'audit doivent conduire à revoir les actions et, lorsque nécessaire, les décisions. Un choix acceptable avec certaines hypothèses peut devoir être réexaminé si elles changent ou si un test révèle une difficulté importante.
Le registre fournit ainsi une continuité entre décision, risque, contrôle et action corrective. Il sert à préparer les arbitrages suivants et à transmettre la connaissance, plutôt qu'à reconstituer les justifications après un incident.