Chapitre 2. Gestion des risques
La méthodologie de gestion de risques est ancienne dans le monde industriel et « à la mode » dans le monde du management et des services.
Or, même si la préservation des documents numériques implique un ensemble d’actions préventives, il s’agit avant tout et un projet comme un autre.
Que penser d’un système judiciaire qui n’aurait pas su conserver tous les documents nécessaires au bon déroulement d’un procès ? Que penser d’un système de santé qui aurait perdu la trace des analyses, examens, radiographies antérieurs d’un patient ? Si des séquelles d’un accident de la route apparaissent dix ou vingt ans après cet accident, que penser d’une société d’assurance qui n’aurait pas su pérenniser votre dossier ? Que dire d'une grande agence scientifique qui conduit des projets sur la base de financements publics et qui n'aurait pas su conserver les données qui résultent de ces projets ? |
Quelle que soit l’organisation concernée, la prise en compte du problème de pérennisation des informations numériques est de la responsabilité des dirigeants de cette organisation. La gestion des risques est essentielle car elle fournit un référentiel sur lequel peut reposer l’élaboration des conventions de service entre producteurs[1] et service d'archives[2] pour le transfert de responsabilités :
Elle fait en sorte que l’engagement de l’Archive en termes de conservation et d’accès soit proportionné aux les risques qui pèsent sur les objets,
elle définit les conditions d’une mission continue de veille et de surveillance des risques, définie dans le modèle OAIS comme «planification de la pérennisation »
Attention :
La non prise en compte du problème conduit à terme à la perte d'informations qui peuvent être précieuses, voire indispensables au fonctionnement de l’organisation. Au mieux, la reconstitution d’une information perdue sera nécessaire et nécessitera des ressources considérables.
Ce terme pourra se situer entre cinq et quinze ans suivant les cas.
2.1 – Méthodologie et principes
La première étape consiste à identifier et classifier les risques. Identifier et classifier les risques, c'est posséder un référentiel qui les catégorise.
Pour ce faire, une bonne pratique est de constituer un ou plusieurs groupe(s) de travail réunissant les « spécialistes » ou du moins les personnes ayant la compétence métier concernée. Ce ou ces groupes auront en charge de dresser la liste des risques. Il s'agit alors d'analyser les aspects fonctionnels, mais aussi de disposer des points de vue technique ou administratif. L'aide d'une personne en charge de la qualité – quand cela est possible – constituera une aide précieuse pour la rigueur et le bon suivi de la démarche.
Une fois la liste des risques constituée, il faut les évaluer. Pour cette étape, il est possible d’avoir une approche AMDEC (Analyse des Modes de Défaillance, de leurs Effets et leurs Criticité) du problème.
À partir de l'évaluation des risques, il est possible d’identifier les risques prioritaires, notamment en fixant un seuil pour l'Indice de Priorité des Risques (IPR), seuil au-delà duquel un effort de maîtrise doit être entrepris.
2.2 – Méthodologie et principes : deuxième étape
Deuxième étape après la définition du risque :
L’évaluation du risque : selon son degré de probabilité (5 niveaux de « improbable » à « fréquent »), son impact (toujours 5 niveaux de « insignifiant » à « catastrophique ») et son degré d’apparition dans le temps (de « lointain » à « imminent »).
La prise de décision : les risques sont-ils acceptables ? Suivant les objectifs de l’organisme, selon le type de producteurs et de catégories d’utilisateurs, suivant les coûts et bénéfices des opérations de maîtrise des risques, suivant les obligations légales.
Les maîtrises sont les mesures à prendre pour endiguer le risque :
qui diminuent la probabilité d’un risque (choisir des formats ouverts par exemple),
qui diminuent l’impact d’un risque (avoir un plan de sauvegarde par exemple),
qui évite le risque (on ne prend pas en charge des objets d’archives dont la conservation s’avère trop risquée).
Deux autres actions sont possibles :
partage du risque : ainsi, dans le secteur privé, les tiers archiveurs souscrivent des polices d’assurance contre les atteintes aux informations et/ou les dommages immatériels, comme la destruction volontaire ou involontaire des données, la divulgation d’informations, la mauvaise qualité des programmes,
ou encore la tolérance au risque : on décide par exemple d’encourir le risque et de payer des dédommagements plutôt qu’assurer la préservation sur le long terme de certaines des ressources numériques qu’on conserve.
Une itération s’avère ensuite indispensable pour vérifier que les maîtrises mises en œuvre n’ont pas créé d’autres risques, ou encore pour adapter l’évaluation des risques lorsque le système est modifié ou pour prendre en compte les risques évolutifs.
Complément : la démarche AMDE
AMDE propose une démarche de recherche déductive et exhaustive des risques encourus par un système. Ici, il s'agit d'une recherche des causes en mesure d'entraîner une défaillance, d'une recherche des dispositions existantes en mesure de détecter la cause, d'une recherche des recommandations permettant de réduire voire de supprimer la cause ou son impact. En ajoutant la criticité, AMDEC permet une hiérarchisation des risques.
Plusieurs moyens peuvent être utilisés pour définir le niveau de criticité. On en retiendra deux qui permettent de fixer un Indice de Priorité des Risques (IPR) au-dessus duquel toute criticité doit être réduite :
- la multiplication d'un indice de gravité par un indice d'occurrence de la cause,
- la multiplication d'un indice de gravité par un indice d'occurrence de la cause et par un indice de détection des contrôles.
Par exemple, nous pouvons évaluer la gravité d'un risque graduellement depuis le niveau « sans gravité » à « catastrophique » sur une échelle de 0 à 5, l'occurrence de la cause évoluant graduellement de « peu probable » à « très fréquent » de 1 à 5 et l'indice de détection des contrôles de « facilement détectable » à « très difficile » à détecter de 1 à 5.
Prenons l'exemple du risque de dégradation des supports dans le cas d'un enregistrement effectué sur un support de type CD-R dans le respect des préconisations en vigueur. L'indice de gravité est estimé à « grave » et non « catastrophique » (4) car il existe également une autre copie de sauvegarde, l'indice d'occurrence est estimé à « moyennement fréquent » (3) car la durée d'un CD-R est de l'ordre de 3 à 5 ans et l'indice de détection des contrôles est estimé au « maximum » (5) car aucun moyen de contrôle n'a été mis en place. Ainsi nous obtenons une évaluation du risque de 60 (IPR=60). Nous avons les moyens d'identifier qu'il est donc primordial de détecter la dégradation des CD-R.
Complément : la méthode « Ishikawa »
Cette méthode est dite de l'arête de poisson due à la forme du diagramme obtenu – issue du domaine de la gestion de la qualité. Le but est de trouver toutes les causes possibles d'un effet ou d'un problème. Cette méthode graphique permet de faciliter la réflexion (« brainstorming »).
Chaque arête du diagramme constitue une dimension du problème qu'il convient d'explorer. La version initiale de Kaoru Ishikawa propose cinq axes, « les 5M » : Matière, Matériel, Méthode, Milieu et Main-d'œuvre mais d'autres déclinaisons ont été adaptées à des secteurs d'activités particuliers. Nous proposons sur la figure 6.1 un exemple dans une version « 7M » d'un problème crucial : « la perte d'un fichier sur un support »
Remarque :
L'entité de management (au sens du modèle OAIS)
- c'est elle qui définit le mandat
- c'est en général elle qui fournit les ressources.
Ce n'est pas pour autant elle qui assure la gestion ou l'organisation de l'Archive.
2.3 – Classification des risques
Les risques environnementaux sont les risques globaux encourus par l'environnement de l'Archive, à savoir :
les risques naturels,
la sécurité,
les lieux de stockage.
L'environnement est défini comme l'interaction des éléments matériels au sein desquels le système est installé :
le lieu géographique, (il s'agit des risques naturels liés à un événement naturel),
le bâtiment. (des risques de sécurité (risques liés à l'incendie ou à l'intrusion) et enfin les risques liés aux locaux.
Les risques organisationnels sont parfois largement sous-évalués voire ignorés. Pour ce faire, il est nécessaire de procéder à une réflexion sur les compétences nécessaires. Les risques budgétaires constituent également un écueil important : si les coûts liés à la mise en place technique de la plateforme sont généralement prévus, en revanche les coûts de maintenance et de fonctionnement de la plateforme ne sont pas toujours intégrés dans le budget du service. Et surtout, sont généralement ignorés les coûts liés à la prise en charge d’un nouveau processus auprès d’un producteur. Cette catégorie de risques recouvre également les risques liés aux personnels (manque de compétences techniques par exemple), ainsi que les risques liés aux processus (manque de surveillance, mauvaise application des procédures de tests…).
Les risques technologiques concernent
d’une part les supports d’enregistrement (obsolescence technologique et dégradation des supports),
d’autre part les formats de représentation (obsolescence technologique du format de représentation lui-même).
Les risques liés à l’accès :
risques liés à l’accessibilité sémantique (risques liés à la compréhension de l’Objet information auquel on donne accès à une communauté d'utilisateurs, ainsi que les informations nécessaires pour trouver, reconnaître et identifier les objets,
risques liés à l’accessibilité technique (risques liés à la capacité technique de diffuser une information à une communauté d'utilisateurs : absence de métadonnées techniques ou de structure appropriées, présence de systèmes de protection, cryptage des données),
risques liés aux responsabilités d’accès de l’Archive (risques liés à l’organisation, aux informations et aux outils nécessaires pour qu’un objet Contenu d'information ne soit accessible qu’aux personnes qui disposent des droits d’accès à cet objet).
Complément : la nécessaire implication des dirigeants de l'organisme et les compétences nécessaires au projet
L’archivage numérique est une activité à part entière à la croisée entre archivistique et informatique.
Le succès de ce type de projet réside dans la capacité de ses acteurs à travailler ensemble ou dans l'émergence de nouveaux profils rassemblant ces deux compétences.
Étant donné la diversité des compétences sollicitées dans la construction du projet (archivistiques, informatiques, juridiques, qualité) et, généralement, l’absence de structure ou service spécialisé dans ce domaine, la nomination d’un groupe de travail ou la création explicite d’un projet par la direction est un signe qui permet de rendre visible à tous l’importance de ce projet. Cette solution permet de montrer la nature transverse du problème aux acteurs internes, qui ont forcément une approche du point de vue de la problématique de leur métier, et aux acteurs externes qui vont apporter soit une formation pour pallier le manque de compétence partielle des équipes, soit une expertise lorsqu'il s'agit de compétences qu’il n’est pas nécessaire d'acquérir sur le long terme.
De plus, la mise en place d’un projet d’archivage électronique implique de faire évoluer les processus existants ou d’en mettre en place de nouveaux, notamment pour collecter les métadonnées nécessaires à la pérennisation. Pour obtenir l’adhésion des services et des personnes concernés par ces changements, il est nécessaire de la part de l’organisation d’afficher une volonté sans laquelle rien ne sera vraiment possible.
Pour aller plus loin, il faut envisager la création d’équipes de projets et de structures permanentes entièrement dédiés à l’archivage numérique, et faire en sorte que ces équipes disposent des différentes compétences requises, et enfin les organiser de façon à ce que ces différentes compétences reposent toutes sur une même compréhension du problème à résoudre.
Nous le voyons, le rôle de la direction est déterminant. La réussite du projet repose en partie sur l’affichage qu'elle montre à soutenir le projet. C’est pourquoi un tel projet doit avoir des objectifs clairs et visibles par l’ensemble des intervenants.
2.4 – Conclusions sur la gestion des risques
Il s’agit d’utiliser les données de gestion des risques pour générer un tableau de bord de pilotage de la préservation des objets numériques d’un secteur (« plan de conservation »).
C’est un outil de pilotage qui permet de :
planifier les revues : surveiller l'évolution des données, des applications et des supports. La revue permet de s’assurer que les choix techniques ou organisationnels sont toujours valides et que leur qualité est bonne. La revue produit un compte-rendu de revue qui déclenche une alerte en cas de situation anormale,
prévoir les alertes et les solutions : un signal est émis suite à la détection d'un problème, l’alerte déclenche un processus de résolution des problèmes préparé à l’avance (plan d’urgence…),
déterminer les risques spécifiques à différents types d’objets, et pondérer l’évaluation des risques en fonction de leurs particularités techniques ou autres.
On peut également auditer le système en vue de la certification, ou en vue de prioriser les actions. La gestion des risques donne une vue d’ensemble des actions de préservation menées sur l’ensemble des objets numériques.
