Une gouvernance des données que les équipes appliquent : démarrage en 60 jours
La gouvernance des données a un problème d'image. Beaucoup l'associent à des comités, des chartes de 80 pages et un catalogue que personne ne met à jour après son lancement. Pourtant les questions qu'elle traite sont très concrètes : qui décide de ce qu'est un « client actif », qui corrige le CRM quand les doublons apparaissent, qui peut voir les données de salaire, et pouvons-nous prouver à la CNIL ce que nous faisons des données personnelles ? Ce guide décrit un dispositif minimal que les équipes suivent parce qu'il leur fait gagner du temps, et un plan de démarrage en 60 jours.
Ce que coûte l'absence de gouvernance
Les symptômes sont familiers à toute direction :
- Deux tableaux de bord affichent deux chiffres d'affaires différents, et les réunions commencent par un débat sur le bon chiffre
- Les analystes passent une grande partie de leur temps à chercher, vérifier et nettoyer les données au lieu de les analyser
- Personne ne sait qui appeler quand une source casse : les problèmes sont découverts par les utilisateurs finaux
- Des données personnelles sont copiées dans des exports et des tableurs sans trace du pourquoi ni de la durée
- Les projets d'IA et d'analyse calent parce que personne ne sait quelles données sont fiables ou autorisées
Chacun de ces points a un coût en temps, en décisions prises sur de mauvais chiffres et en exposition réglementaire. Notre article sur le coût des données indisponibles propose une façon d'estimer les deux premiers dans votre contexte.
Principes : la gouvernance comme un produit, pas comme une politique
Trois principes séparent la gouvernance qui vit de celle qui meurt :
- Partir des cas d'usage. Gouverner les données qui alimentent une décision à laquelle quelqu'un tient (chiffre d'affaires mensuel, base clients, stock), pas « toutes les données ».
- Confier la responsabilité au métier. L'informatique exploite les plateformes ; le métier définit le sens et accepte les niveaux de qualité.
- Rendre la bonne pratique facile. Définitions, responsables et contrôles qualité doivent vivre là où les gens travaillent déjà : dans l'outil de BI, les modèles de données et l'outil de tickets.
Notre article sur les cadres de gouvernance des données compare des cadres formels comme le DAMA-DMBOK, si vous avez besoin de plus de structure plus tard.
Les rôles minimaux
Pas besoin de nouveaux intitulés de poste. Il faut des personnes nommées, avec une petite part explicite de leur temps.
| Rôle | Qui, en général | Responsabilités | Temps |
|---|---|---|---|
| Sponsor | Un membre de la direction (finance, opérations ou digital) | Arbitre définitions et priorités, débloque | Quelques heures par mois |
| Propriétaire des données (par domaine) | Responsable du domaine métier (ventes, finance, RH, supply chain) | Responsable du sens, des règles d'accès et des objectifs de qualité du domaine | Quelques heures par mois |
| Data steward (par domaine) | Un utilisateur expert proche des données | Tient les définitions, trie les problèmes de qualité, répond aux questions | Quelques heures par semaine |
| Équipe data / plateforme | Data engineers, analystes | Met en œuvre modèles, tests, contrôles d'accès, catalogue | Dans le cadre de leur travail habituel |
| DPO | Délégué à la protection des données (interne ou externe) | Registre des traitements, analyses d'impact, conseil sur les données personnelles | Selon les besoins |
Un responsable de la gouvernance (souvent le responsable data) coordonne, tient le backlog et anime une courte réunion mensuelle avec les stewards.
Les quatre artefacts qui comptent
1. Un glossaire métier des termes critiques
Commencez par 20 à 40 termes qui font débat : client, client actif, commande, chiffre d'affaires, marge, effectif. Pour chacun : définition, propriétaire, règle de calcul, système source et tableaux de bord qui l'utilisent. Un terme sans propriétaire n'est pas terminé.
2. Un catalogue avec des responsables
Un catalogue de données liste les jeux de données avec description, propriétaire, sensibilité et lignage. Les outils vont de la documentation générée par dbt à des catalogues dédiés comme DataHub, OpenMetadata, Microsoft Purview ou le catalogue intégré à votre plateforme. Commencez par ce que votre pile fournit déjà ; achetez un outil dédié quand le nombre de jeux de données et d'utilisateurs le justifie. Voir catalogues de données et métadonnées.
Champs minimaux par jeu de données :
| Champ | Exemple |
|---|---|
| Nom et description | Commandes, une ligne par ligne de commande, mise à jour quotidienne |
| Propriétaire et steward | Responsable de l'administration des ventes / analyste ventes |
| Sensibilité | Public, interne, confidentiel, données personnelles |
| Source et rafraîchissement | ERP, chaque nuit |
| État qualité | Tests au vert, dernier incident |
3. Des règles de qualité là où les données sont construites
Les règles de qualité ne servent que si elles s'exécutent automatiquement et que quelqu'un reçoit l'alerte. Mettez-les en œuvre dans la couche de transformation (tests dbt, ou outils comme Great Expectations ou Soda), d'abord sur les seules tables critiques.
| Dimension | Exemple de règle |
|---|---|
| Complétude | Chaque commande a un identifiant client |
| Unicité | Une ligne par numéro de facture |
| Validité | Les codes pays suivent l'ISO 3166 |
| Cohérence | La somme des lignes égale le total de la commande |
| Fraîcheur | Table mise à jour dans les 26 dernières heures |
Un indicateur simple à publier pour chaque table critique :
Q = Nr / Nt
où Q est le taux de réussite qualité (sans unité, entre 0 et 1), Nr le nombre de tests de qualité réussis lors de la dernière exécution (nombre) et Nt le nombre total de tests de qualité définis sur la table (nombre). Publiez-le à côté des tableaux de bord qui dépendent de la table, pour que les utilisateurs voient la fiabilité de ce qu'ils lisent. Plus de détails dans les cadres de qualité des données.
4. Le registre des activités de traitement (RGPD)
L'article 30 du RGPD impose un registre des activités de traitement : finalités, catégories de données et de personnes, destinataires, transferts hors UE, durées de conservation et mesures de sécurité. L'exemption pour les organisations de moins de 250 salariés est étroite (elle ne s'applique pas aux traitements non occasionnels, à risque ou portant sur des données sensibles) : en pratique, la plupart des entreprises doivent en tenir un. La CNIL en publie un modèle. La gouvernance aide en reliant le registre aux jeux de données réels du catalogue, pour qu'il reflète la réalité plutôt que des intentions. Un traitement susceptible d'engendrer un risque élevé exige une analyse d'impact (article 35). Voir la conformité en matière de données personnelles et les politiques de conservation.
Extrait de la fiche « GDPR for Security Teams » · Demander la fiche complète
Règles d'accès
Définissez les accès par classe de sensibilité, pas jeu de données par jeu de données :
| Classe | Accès par défaut | Validation |
|---|---|---|
| Public / interne | Tous les salariés ayant un besoin métier | Aucune |
| Confidentiel | Équipe du domaine et rôles nommés | Propriétaire des données |
| Données personnelles | Strict nécessaire, pseudonymisées si possible | Propriétaire, avis du DPO pour un nouvel usage |
| Données personnelles sensibles | Strictement limitées, accès journalisés | Propriétaire et DPO |
Mettez cela en œuvre dans l'entrepôt et l'outil de BI via des groupes issus de votre fournisseur d'identité, et revoyez-le au moins une fois par an.
Plan de démarrage en 60 jours
| Jours | Actions | Résultat |
|---|---|---|
| 1-10 | Choisir 1 ou 2 domaines prioritaires liés à une vraie décision ; nommer sponsor, propriétaires et stewards ; fixer le rythme des réunions | Charte de gouvernance d'une page, avec des noms |
| 11-25 | Lister les termes et jeux de données critiques des domaines ; écrire les définitions avec les propriétaires ; trancher les trois définitions les plus disputées | Premier glossaire, premières entrées de catalogue |
| 20-40 | Mettre en place les tests de qualité sur les tables critiques, router les alertes vers les stewards, créer un circuit de traitement (ticket, responsable, échéance) | Tests en place, canal d'alerte, journal des anomalies |
| 30-45 | Classer la sensibilité, aligner les groupes d'accès, relier le registre RGPD aux jeux de données | Matrice d'accès, registre à jour |
| 45-60 | Publier les indicateurs de qualité à côté des tableaux de bord ; première revue mensuelle ; planifier les domaines suivants | Tableau de bord de la gouvernance, backlog |
Au bout de 60 jours, le succès se voit : les définitions disputées sont tranchées, les tables critiques ont des tests et des responsables, et les utilisateurs savent à qui s'adresser.
Signaux d'alerte
- Un programme de gouvernance qui commence par l'achat d'un outil
- Une charte sans noms, ou avec seulement des noms de l'informatique
- Des règles de qualité décrites dans un document mais exécutées nulle part
- Un catalogue rempli automatiquement de milliers de tables sans responsables
- Des réunions de gouvernance sans décisions consignées
Questions à poser à un prestataire
- Par quel domaine commenceriez-vous, et pourquoi ?
- Qu'est-ce qui tournera automatiquement à la fin (tests, alertes, groupes d'accès), et pas seulement documenté ?
- Comment impliquez-vous les propriétaires métier, et combien de leur temps ?
- Que nous restera-t-il : glossaire, configuration du catalogue, circuits, dans des outils que nous maîtrisons ?
Notre accompagnement
Tadata aide les organisations à mettre en place une gouvernance des données pragmatique : rôles, glossaire, catalogue, règles de qualité et alignement RGPD, en partant des cas d'usage qui comptent ; voir notre page stratégie data. Notre tech finder recense des outils de catalogue et de qualité des données à comparer.