Atelier 1 · L’inventaire de vos systèmes

Cet atelier valide les modules 1 et 2. Compte une heure et quart.

C’est l’étape que toutes les organisations sautent, et c’est celle qui détermine si la journée sert à quelque chose. On ne peut pas mettre en conformité ce dont on ignore l’existence.

La mission

Un tableau des systèmes réellement utilisés, avec pour chacun le rôle tenu et le niveau de risque.

1. Trouver ce qui tourne (25 minutes)

Le point difficile. Trois sources, et aucune n’est suffisante seule.

Le service informatique. Les logiciels déployés officiellement, les intégrations, ce qui est branché sur le système d’information.

La comptabilité. Les abonnements payés, y compris ceux souscrits par un service sans passer par la DSI. C’est souvent la source la plus révélatrice.

Les équipes. Ce qui est utilisé sans avoir été souscrit : comptes personnels, outils gratuits, extensions de navigateur. Demandé sans recherche de coupable, on obtient des réponses.

Cherché ?	La source
☐	Liste des logiciels et intégrations du service informatique
☐	Abonnements et prélèvements récurrents en comptabilité
☐	Fonctions d’IA activées dans les logiciels déjà en place
☐	Usages déclarés par les équipes, y compris sur comptes personnels
☐	Outils utilisés par vos prestataires pour votre compte

La dernière ligne est celle qu’on oublie. Un cabinet de recrutement qui présélectionne pour vous utilise des outils qui vous concernent.

L’avant-dernière est celle qui surprend : les fonctions apparues lors de mises à jour, activées par défaut, que personne n’a décidées.

2. Remplir le tableau (25 minutes)

Une ligne par système, ou par usage quand le même outil sert à plusieurs choses.

Système	Usage réel	Qui l’utilise	Notre rôle	Niveau	Fournisseur a répondu ?

Trois consignes qui font la valeur de l’exercice.

L’usage réel, pas la fonction commerciale. « Assistant de rédaction » ne dit rien ; « présélection de candidatures par le responsable d’agence » dit tout.

Une ligne par usage. Le même assistant peut apparaître trois fois, en niveau minimal pour la rédaction et en haut risque pour le tri.

Le rôle avant le niveau. Fournisseur, déployeur, ou question ouverte selon les trois cas de la fiche sur les rôles.

3. Classer (15 minutes)

Applique le test des quatre niveaux, dans l’ordre, à chaque ligne.

Vérifié ?	Contrôle du classement
☐	Toute ligne qui observe ou évalue des personnes a été examinée sous l’angle des pratiques interdites
☐	Le classement porte sur l’usage réel, pas sur la plaquette du fournisseur
☐	Les usages détournés vers une décision sur des personnes sont signalés en rôle « question ouverte »
☐	Les agents conversationnels exposés au public sont marqués niveau transparence
☐	Le reste est classé en niveau minimal sans y passer de temps

Cette dernière ligne compte autant que les autres. L’objectif n’est pas de tout traiter avec la même intensité.

4. Le compte (10 minutes)

Quatre chiffres, à écrire, datés.

Combien de systèmes recensés au total. Combien en niveau minimal. Combien en transparence. Combien en haut risque, et combien de lignes en pratique interdite ou en question ouverte.

Ces quatre chiffres sont le résultat présentable de l’atelier. Dans la plupart des organisations, la répartition surprend dans le bon sens : beaucoup de minimal, deux ou trois lignes qui comptent.

Et note ce qui manque : combien de fournisseurs n’ont pas encore été interrogés.

La grille de correction

Critère	Points
Les trois sources ont été sollicitées, comptabilité comprise	/3
Les outils des prestataires agissant pour votre compte figurent au tableau	/2
Les fonctions activées par défaut lors de mises à jour ont été cherchées	/2
Chaque ligne porte un usage réel, pas une fonction commerciale	/3
Le rôle est renseigné, avec les questions ouvertes signalées	/3
Le classement en quatre niveaux est fait pour toutes les lignes	/3
Les quatre chiffres sont établis et datés	/2
Les usages en niveau minimal sont classés sans y avoir passé de temps	/2

Seuil de validation : 14 sur 20.

Faute éliminatoire

L’atelier n’est pas validé si l’inventaire ne contient que les outils officiellement déployés.

Un inventaire qui ignore les abonnements souscrits hors DSI, les comptes personnels et les outils des prestataires décrit une organisation qui n’existe pas. Ce sont précisément ces lignes-là qui portent l’exposition, parce que personne ne les a examinées.

Ce que tu gardes

Un tableau qui vaut état des lieux, quatre chiffres présentables, et la liste des fournisseurs à interroger.

Ce document alimente directement le plan de l’atelier 2, et il rejoint naturellement votre registre des traitements pour les lignes qui traitent des données personnelles.

Pour aller plus loin

Refais l’inventaire dans six mois. La comparaison est instructive : le parc bouge beaucoup plus vite que les procédures, et les fonctions activées par défaut apparaissent en continu.

En intra, cet atelier gagne à réunir informatique, comptabilité, RH et un opérationnel dans la même salle. C’est souvent la première fois que ces quatre personnes comparent leurs listes, et la découverte a lieu pendant la séance.