Le flou qui coûte des semaines
La phrase qui révèle l'absence de partage écrit : « je croyais que c'était eux qui le faisaient ».
Elle se prononce toujours après coup, sur un sujet dont personne ne s'occupait : les mises à jour d'un logiciel métier, la surveillance d'un certificat, la revue des comptes, la commande des consommables.
Le remède tient en un tableau d'une page, produit en une réunion, et relu une fois par an.
Le tableau des responsabilités
Pour chaque sujet, une seule colonne peut porter « fait », et une seule « décide ». Le reste est informé.
| Sujet | Fait | Décide | Informé |
|---|---|---|---|
| Sauvegarde des serveurs | prestataire | client | client mensuellement |
| Test de restauration | prestataire | client | client, procès-verbal annuel |
| Création de comptes | client | client | prestataire |
| Mises à jour des serveurs | prestataire | client, fenêtre | utilisateurs |
| Logiciel métier | éditeur | client | prestataire |
| Achat de matériel | prestataire propose | client | comptabilité |
Deux règles d'écriture rendent ce tableau utile.
Une seule personne ou entité par case « fait ». Deux responsables signifient aucun.
Les sujets orphelins apparaissent à la rédaction, et c'est le vrai bénéfice de l'exercice. La ligne qu'on n'arrive pas à remplir est précisément celle qui provoquera un incident.
Les accès du prestataire
C'est la partie la plus mal tenue des relations d'infogérance, et elle porte un risque réel : un prestataire compromis donne accès à tous ses clients, ce qui est un mode d'attaque connu et utilisé.
Cinq exigences, toutes raisonnables et rarement toutes appliquées.
Des comptes nominatifs. Un compte par intervenant, jamais un compte partagé « prestataire ». Sans cela, aucune action n'est attribuable.
Une authentification forte, au même niveau que pour vos propres administrateurs.
Des droits ajustés au périmètre. Un prestataire qui gère les serveurs n'a pas besoin d'accéder aux boîtes mail de la direction.
Une traçabilité consultable par vous. Qui s'est connecté, quand, et ce qui a été fait.
Un retrait à la fin. Le départ d'un intervenant du prestataire doit entraîner la suppression de son compte chez vous. Personne ne vous préviendra : demandez une notification contractuelle, et faites une revue des comptes tous les six mois.
Cette revue des comptes prestataires trouve presque toujours quelque chose. C'est un contrôle d'une demi-heure au rendement très élevé.
Les interlocuteurs, nommés des deux côtés
Trois rôles suffisent, et les nommer évite les échanges qui se perdent.
Un référent technique de chaque côté, pour le quotidien.
Un responsable de la relation, pour les sujets contractuels, la facturation et les désaccords.
Un chemin d'escalade écrit, avec des noms et des numéros, utilisable en dehors des horaires courants. Il se teste une fois, à froid : un numéro d'urgence jamais composé est une hypothèse.
À retenir
Un tableau d'une page, une seule entité par case « fait », et les sujets orphelins qui apparaissent à la rédaction. Comptes nominatifs pour le prestataire, authentification forte, droits ajustés, traçabilité, revue tous les six mois. Et un chemin d'escalade testé à froid.