Cartographie des processus : méthode, exemple et usage pour le BIA

La cartographie des processus est la représentation de tout ce que fait une organisation, découpé en processus reliés entre eux : une carte d'ensemble sur une page, complétée d'une fiche par processus. Née dans les démarches qualité, elle sert aujourd'hui bien au-delà : c'est le point de départ d'un bilan d'impact sur l'activité (BIA) et d'une analyse de risques, parce qu'on ne protège bien que ce que l'on sait décrire. Voici la méthode, un exemple commenté et la façon de s'en servir pour la continuité et les risques.

Un processus est un enchaînement d'activités qui transforme des éléments d'entrée en un résultat attendu : une commande reçue devient un colis livré, une candidature devient un salarié intégré. Il a une finalité, un pilote, des bénéficiaires et des ressources. La norme ISO 9001 a popularisé cette lecture sous le nom d'approche processus : elle demande de déterminer les processus nécessaires, leur séquence et leurs interactions, leurs entrées et sorties, leurs responsables, les ressources et les indicateurs qui permettent de les maîtriser.

La cartographie se construit en général à trois niveaux :

• la carte d'ensemble, sur une page, qui range les processus en familles et montre leurs principaux échanges ;
• la fiche de chaque processus, qui en précise la finalité, le pilote, les entrées, les sorties, les activités, les ressources et les indicateurs ;
• le détail des activités, sous forme de logigramme, réservé aux processus qui le justifient.

Il ne faut pas la confondre avec la cartographie du système d'information, qui décrit applications, serveurs et réseaux, ni avec la cartographie des risques, qui positionne les risques selon leur gravité et leur vraisemblance. Les trois se complètent, et la cartographie des processus vient en premier : elle dit ce qui compte, les deux autres disent sur quoi cela repose et ce qui le menace.

La plupart des cartes rangent les processus en trois familles. Les noms varient d'une organisation à l'autre ; l'important est que chaque processus trouve sa place sans ambiguïté.

Sur la carte, on place souvent le pilotage en haut, la réalisation au centre, de gauche à droite, entre les besoins du client et sa satisfaction, et les supports en bas. Les processus de réalisation sont ceux qui créent de la valeur ; ce sont aussi, presque toujours, ceux dont l'interruption coûte le plus cher.

1. Cadrer. Fixez le périmètre (toute l'organisation, une filiale, un site), l'objectif (qualité, continuité, risques, conformité) et le niveau de détail. Un sponsor à la direction évite que la carte devienne l'exercice d'un seul service.
2. Recenser. En entretien ou en atelier avec les responsables métier, listez ce que fait chaque direction, en verbes d'action : « préparer les commandes », pas « logistique ». Partez des documents existants : organigramme, procédures, contrats clients.
3. Classer et nommer. Regroupez les activités en processus, puis les processus en familles. Visez une quinzaine à une trentaine de processus pour une organisation de taille moyenne : au-delà, la carte devient illisible.
4. Décrire. Pour chaque processus, une fiche d'une page : finalité, pilote, bénéficiaires, entrées et sorties, grandes activités, ressources (personnes, applications, locaux, prestataires), indicateurs.
5. Relier. Tracez les échanges entre processus : ce qui sort de l'un entre dans l'autre. C'est là qu'apparaissent les dépendances cachées, par exemple un processus de réalisation qui attend chaque jour un fichier du service financier.
6. Valider et tenir à jour. Faites valider la carte par la direction et chaque fiche par son pilote, puis fixez une révision annuelle et une mise à jour à chaque réorganisation.

La note de l'ISO sur l'approche processus d'ISO 9001 recommande d'appliquer à chaque processus le cycle « planifier, faire, vérifier, agir » : la fiche n'est pas un document figé, mais la base du suivi de ses indicateurs.

Prenons un distributeur de fournitures médicales de 120 salariés, qui livre des cliniques et des pharmacies (exemple fictif). Sa carte compte trois processus de pilotage, quatre processus de réalisation et quatre processus de support. Le schéma ci-dessous la construit, puis déplie le processus « Préparer et livrer les commandes ».

La fiche du processus déplié tient en quelques lignes :

Deux enseignements apparaissent dès cette étape. Le processus dépend d'un prestataire unique, le transporteur, qui relève de la gestion des risques tiers. Et il dépend d'une application dont personne n'avait mesuré le rôle : sans le logiciel de gestion d'entrepôt, les préparateurs ne savent plus où se trouvent les produits.

ISO 9001 n'impose aucun formalisme : la note de l'ISO sur l'information documentée précise même qu'une cartographie formalisée n'est pas exigée, tant que les processus sont maîtrisés. Trois niveaux de formalisme coexistent :

• des boîtes et des flèches, sur un tableau blanc ou un outil de dessin : suffisant pour la carte d'ensemble et pour un BIA ;
• le tableau fournisseurs, entrées, processus, sorties, clients (souvent appelé SIPOC, d'après ses initiales anglaises), pratique pour remplir une fiche sans oublier d'échange ;
• la notation BPMN, normalisée par l'OMG puis reprise par l'ISO sous la référence ISO/IEC 19510, utile pour décrire finement une activité, notamment avant de l'automatiser.

Pour la continuité et les risques, le niveau de la carte et des fiches suffit presque toujours. Détailler chaque tâche en BPMN avant d'avoir fait un premier BIA est le moyen le plus sûr de ne jamais finir.

Le bilan d'impact sur l'activité (BIA) mesure, activité par activité, ce que coûterait une interruption et au bout de combien de temps elle deviendrait inacceptable. ISO 22301 en fait un préalable à toute stratégie de continuité, et l'ISO lui consacre des lignes directrices dédiées, ISO/TS 22317. Le guide PCA du SGDSN recommande de son côté de partir des activités et de leurs besoins de continuité.

La cartographie des processus lui apporte trois choses :

• la liste des activités à évaluer, complète, y compris celles qui ne reposent pas sur l'informatique ;
• les ressources de chaque activité (personnes, locaux, applications, prestataires), qui deviennent les ressources critiques à protéger ;
• les dépendances entre processus : si « Préparer et livrer » s'arrête, « Facturer et encaisser » s'arrête aussi quelques jours plus tard.

Dans l'exemple, le BIA fixe pour « Préparer et livrer » une durée maximale d'interruption admissible (DMIA) de 24 heures, au-delà de laquelle les cliniques se tournent vers un concurrent, et une perte de données maximale admissible (PDMA) de 4 heures. Ces deux valeurs dictent la stratégie de reprise du logiciel de gestion d'entrepôt et la procédure dégradée sur papier. Notre guide de la continuité d'activité et l'article sur le plan de continuité d'activité détaillent la suite.

Une analyse de risques commence toujours par la question : que cherche-t-on à protéger ? La méthode EBIOS Risk Manager de l'ANSSI y répond dans son atelier 1 avec les valeurs métier, qui sont des processus ou des informations essentiels, et les biens supports sur lesquels elles reposent. Une cartographie des processus à jour fournit directement les premières ; les ressources inscrites dans les fiches orientent vers les seconds, que la cartographie du SI détaille. Le guide de l'ANSSI sur la cartographie fait le même lien avec sa vue métier.

Le secteur financier en a fait une obligation : l'article 8 de DORA demande d'identifier et de documenter toutes les fonctions métier soutenues par les technologies de l'information et de la communication (TIC), les actifs qui les soutiennent et leurs dépendances. Pour chaque valeur métier, les besoins de sécurité se cotent ensuite en disponibilité, intégrité, confidentialité et preuve (voir notre article sur le DICP), et les scénarios se placent sur une matrice des risques.