Points clés
- Piloter la maîtrise documentaire suppose des indicateurs quantitatifs (taux de documents à jour, couverture) et qualitatifs (pertinence opérationnelle, utilisation effective).
- Le taux de documents révisés dans les 12 derniers mois est l'indicateur le plus simple et le plus révélateur de la vitalité du dispositif documentaire.
- L'utilisation effective des documents (combien sont consultés lors des incidents réels, combien sont référencés dans les tickets) est l'indicateur de pertinence opérationnelle.
- Les indicateurs documentaires doivent être présentés à la direction avec un contexte — un taux de couverture de 80 % peut être excellent ou insuffisant selon les domaines couverts.
Les indicateurs quantitatifs de base
Le taux de documents à jour est la métrique fondamentale d'un dispositif documentaire : quelle proportion des documents du référentiel a été révisée dans une fenêtre temporelle définie (généralement 12 mois pour les politiques, 6 mois pour les procédures opérationnelles critiques). Ce taux est calculable automatiquement si le système documentaire trace les dates de dernière révision. Un taux inférieur à 80 % pour les documents critiques est un signal d'alarme.
Le taux de couverture mesure la proportion des processus ou domaines de sécurité qui disposent d'une documentation formalisée. Il peut être calculé par rapport à un référentiel comme ISO 27001 (quelle proportion des contrôles de l'annexe A dispose d'une politique ou procédure associée) ou par rapport au référentiel interne des processus de sécurité. Ce taux révèle les domaines non documentés — qui sont aussi des domaines sans accountability formelle.
Les indicateurs de propriété et de responsabilité
Le taux de documents avec propriétaire désigné mesure la proportion des documents qui ont un responsable clairement identifié pour leur maintenance. Un document sans propriétaire est presque certain d'être obsolète à terme. Ce taux doit être proche de 100 % pour les documents critiques. Le délai moyen de mise à jour post-événement mesure le temps entre un changement significatif (incident majeur, modification d'architecture, nouvelle réglementation) et la mise à jour des documents impactés. Un délai court indique un dispositif documentaire réactif ; un délai long indique un découplage entre les évolutions opérationnelles et leur traçabilité documentaire.
Ces indicateurs de propriété et de réactivité révèlent si le dispositif documentaire est activement gouverné ou laissé à dérive. Ils sont complémentaires aux indicateurs de quantité — un portefeuille documentaire large avec des propriétaires pour tous les documents est préférable à un portefeuille large sans responsabilités clairement définies.
L'indicateur de pertinence opérationnelle
Le meilleur indicateur de la qualité d'un dispositif documentaire est son utilisation effective en situation réelle. Dans les systèmes documentaires intégrés aux outils opérationnels (ITSM, GRC), il est possible de mesurer combien de fois chaque document a été consulté lors d'incidents, de changements, ou d'autres événements opérationnels. Un plan de réponse à incident jamais référencé dans les tickets d'incidents est soit un plan que les équipes n'utilisent pas, soit un plan qui ne correspond pas aux incidents réels qu'elles traitent — les deux situations sont problématiques.
Cet indicateur de pertinence opérationnelle est plus difficile à mesurer que les indicateurs quantitatifs mais plus révélateur. Il peut être approximé par des enquêtes périodiques auprès des équipes opérationnelles ("lors du dernier incident, avez-vous consulté la procédure correspondante ? Était-elle utile ?") — une approche qualitative qui complète les métriques quantitatives.
Présenter les indicateurs documentaires à la direction
Un tableau de bord de maîtrise documentaire présenté à la direction doit combiner les métriques quantitatives (taux de couverture, taux de documents à jour) avec leur contexte et leurs implications : un taux de couverture de 75 % est alarmant si les 25 % non couverts incluent les plans de réponse aux incidents ransomware, et acceptable si les lacunes concernent des domaines à faible criticité. Ce contexte transforme des chiffres abstraits en informations décisionnelles.
Les tendances sont aussi importantes que les valeurs absolues. Un taux de documents à jour qui progresse de 60 % à 75 % en six mois révèle un effort soutenu qui mérite d'être reconnu. Un taux stable à 75 % malgré des ressources allouées révèle peut-être un problème de processus ou de priorisation.