Audit IT : commencer par ouvrir l’armoire

L’article sur le pilier informatique pose la question qui tranche — qu’est-ce qui arrête l’entreprise pendant une journée — et constate que personne n’a d’inventaire. Cette page traite la fabrication de cet inventaire, et elle commence par une évidence désagréable.

Un audit informatique ne se fait pas depuis un bureau. Il se fait dans le local, en ouvrant l’armoire technique, en suivant un câble jusqu’à sa prise, en demandant à la personne de la caisse ce qu’elle fait quand l’imprimante ne répond pas.

Ce que l’on trouve en faisant cela n’est écrit dans aucun document et contredit régulièrement ce que la direction croit. Un serveur donné pour sauvegardé et qui ne l’est plus depuis un an. Un onduleur débranché. Un ancien employé encore administrateur.

Cet article décrit ce que l’audit doit produire — trois listes, pas un rapport —, la liste d’accès que personne n’a, et le refus commercial qui définit le reste : notre premier livrable est ce qu’il ne faut pas acheter.

Le format qui survit est un tableau, pas un rapport. Une ligne par équipement, six colonnes, et rien d’autre. Un document de trente pages n’est jamais mis à jour ; un tableau de quarante lignes l’est parfois.

Les six colonnes : ce que c’est, où c’est, qui l’utilise, à quoi ça sert, depuis quand, et ce qui se passe s’il tombe aujourd’hui. La sixième est celle qui transforme un inventaire en outil de décision, et c’est celle que les modèles téléchargés n’ont pas.

La colonne « depuis quand » ne sert pas à calculer un amortissement. Elle sert à repérer les équipements dont l’âge dépasse la période où l’on trouve encore des pièces, ce qui n’est pas la même chose que la garantie et ce qui décide de la stratégie de remplacement.

L’inventaire inclut ce que personne ne compte : les téléphones qui servent au travail, l’imprimante du comptable, le disque externe dans un tiroir, la machine sous le bureau qui fait tourner un vieux logiciel dont plus personne ne connaît le nom.

Et il inclut les abonnements. La ligne internet, l’hébergement, les noms de domaine, les licences annuelles, la surveillance. Ce sont des équipements au sens de cette page : ils s’arrêtent, ils se renouvellent, et ils appartiennent à quelqu’un — ce qui est la section suivante.

C’est la conclusion que les audits évitent d’écrire et c’est souvent la réponse à la question du pilier : ce qui arrête l’entreprise pendant une journée n’est pas une machine, c’est l’absence d’une personne.

Le cas type n’a rien d’exotique : une seule personne sait relancer le serveur, connaît le mot de passe de la caisse, sait où sont les factures, ou est la seule que le fournisseur d’accès accepte au téléphone. Quand elle est en congé, l’entreprise fonctionne à moitié.

Ce n’est ni un reproche à cette personne ni un problème de compétence : c’est une conséquence normale d’une petite structure qui a grandi sans écrire ses procédures. L’audit se contente de le nommer, ce qui est déjà inhabituel.

La correction est écrite plutôt qu’humaine, et elle est peu coûteuse. Trois pages : comment relancer, où sont les accès, qui appeler chez chaque fournisseur avec le numéro de contrat. Une deuxième personne les lit une fois, ce qui suffit à supprimer la moitié du risque.

Il y a une contrepartie à dire au dirigeant : formaliser ce savoir rend la personne moins indispensable, et elle le sait. Cela se présente comme une protection pour elle — pouvoir prendre des congés sans être appelée — parce que c’est aussi ce que c’est.

Un audit décrit un état à un instant. Trois mois plus tard, deux postes ont changé, un logiciel a été installé, quelqu’un est parti, et une partie du document est fausse sans que personne l’ait remarqué.

C’est pour cela que chaque livrable que nous remettons porte une date en tête et une durée de validité explicite. Un rapport non daté est réutilisé pendant des années et finit par servir d’argument pour une décision qu’il ne soutient plus.

C’est aussi la raison pour laquelle cette page ne contient aucun graphique. Nous aurions pu ouvrir avec une part d’entreprises dépourvues d’inventaire, comme le fait la moitié des documents de ce marché ; ce chiffre vient d’enquêtes d’éditeurs, sur d’autres pays, et il servirait à remplacer le travail plutôt qu’à l’orienter.

Le seul inventaire qui décide de quelque chose est le vôtre, et il n’existe pas encore. Le chiffre utile est donc produit par l’audit — combien d’équipements sans propriétaire identifié, combien d’accès non maîtrisés, combien de points uniques de défaillance — et il est daté par construction.

La conséquence pratique est une routine plutôt qu’une prestation : une relecture d’une heure tous les six mois, faite par quelqu’un de l’entreprise, qui met à jour le tableau et redessine la carte. C’est ce qui distingue un inventaire d’un rapport.

Ce que nous refuserons : rendre un audit qui ne contient pas de liste de ce qu’il ne faut pas acheter. C’est notre position sur ce marché et elle nous coûte une partie de ce que la concurrence facture ensuite.

Nous refuserons de faire un audit uniquement à distance. Ce qui décide est dans le local, derrière une porte que personne n’a ouverte depuis deux ans, et aucun questionnaire ne le remplace.

Nous refuserons de présenter un audit d’état comme une vérification de sécurité. Ce sont deux prestations différentes, et vendre la première en laissant croire la seconde produit exactement la fausse assurance que cette page veut éviter.

Ce que nous faisons : la visite physique et les photos avant de toucher ; le tableau à une ligne par objet, avec la colonne « que se passe-t-il s’il tombe aujourd’hui » ; l’inventaire des accès avec la colonne « qui peut retirer les autres » ; la carte des dépendances dessinée à la main ; les trois listes séparées ; et une date de validité sur chaque page.

Et ce que vous pouvez faire cette semaine sans nous : ouvrez votre local technique, photographiez-le, et essayez de nommer chaque appareil. Puis écrivez, pour chacun, qui a le mot de passe. Les deux réponses manquantes que vous trouverez sont, dans notre expérience, l’essentiel de ce qu’un audit vous aurait appris.