Ce que gouverner veut dire

Un incident qui n’a l’air de rien

Un client est facturé deux fois parce que sa fiche existe en double dans deux systèmes qui ne se parlent pas. Un export marketing part vers un prestataire sans qu’on sache qui l’a autorisé. Aucun de ces deux incidents n’est un bug au sens technique : le code fonctionne comme prévu. Ce qui a manqué, c’est une règle sur qui a le droit de faire quoi, et qui en répond.

C’est le terrain de la gouvernance des données (data governance) : non pas la technique de stockage, mais l’ensemble des règles et des décisions qui déterminent comment une organisation traite ses données comme un actif. Le référentiel DAMA-DMBOK (Data Management Body of Knowledge), révisé en 2024, ouvre ses principes directeurs par cette idée : la donnée est un actif aux propriétés propres, et sa gestion efficace suppose un engagement réel de l’encadrement, pas une charte affichée sans suite.

Gouverner, gérer, garantir la qualité, être conforme

Ces quatre mots se recouvrent dans le langage courant et pourtant ne désignent pas la même chose.

Gouverner, c’est décider des règles : qui peut créer, modifier, partager ou supprimer telle catégorie de donnée, selon quel processus. La gouvernance fixe le cadre, elle ne l’exécute pas. Gérer, c’est exécuter ce cadre au quotidien : administrer les bases, appliquer les habilitations. La gestion des données (data management) est l’ensemble des pratiques opérationnelles ; la gouvernance en est la couche de pilotage.

Garantir la qualité, c’est s’assurer que la donnée est exacte, complète, à jour et cohérente au regard de l’usage qu’on en fait. Une donnée peut être parfaitement gouvernée sur le papier et rester fausse dans les faits si personne ne mesure sa qualité. Être conforme, enfin, c’est respecter un cadre légal externe, le RGPD au premier chef. La conformité est une conséquence attendue d’une bonne gouvernance, jamais un substitut : une organisation peut cocher toutes les cases réglementaires et rester incapable de retrouver, en interne, qui est responsable d’une table.

Le cycle de vie d’une donnée

Une donnée naît, vit et doit un jour disparaître. Ce cycle de vie se découpe classiquement en six étapes.

La création ou la collecte est le moment où la donnée entre dans le système, par une saisie, un capteur ou une API. C’est le point où la qualité se joue le plus économiquement : une erreur corrigée à la saisie coûte bien moins cher qu’une erreur corrigée trois systèmes plus loin.

Le stockage détermine où la donnée réside, sous quel format, avec quelles garanties de sécurité. Vient ensuite l’usage, sa raison d’être : un tableau de bord, un algorithme de recommandation, une facture.

Le partage fait circuler la donnée au-delà de son système d’origine, en interne ou vers un partenaire externe. C’est l’étape la plus exposée sur le plan de la conformité, parce que chaque partage est un nouveau traitement à justifier.

L’archivage conserve une donnée devenue inactive mais encore utile, à des fins probatoires ou statistiques. La purge, enfin, la supprime définitivement, quand plus aucune base légale ne justifie sa conservation. Une organisation qui gouverne bien ses données sait répondre, pour chaque catégorie, à la question : où en est-elle dans ce cycle ?

Qui porte la donnée : les rôles et leur articulation

Une règle de gouvernance sans porteur reste théorique. Quatre rôles reviennent dans la quasi-totalité des organisations structurées sur ce sujet, même sous d’autres intitulés.

Le responsable des données (Chief Data Officer, CDO) porte la stratégie données au niveau de la direction : il arbitre les priorités et rend des comptes sur la valeur produite par les données de l’organisation. Le propriétaire des données (data owner) est responsable d’un domaine métier donné, le référentiel client ou le catalogue produit par exemple : il décide des règles d’accès et valide les définitions. L’intendant de données (data steward) est la cheville opérationnelle : il documente, surveille la qualité au quotidien et fait remonter les anomalies.

Le délégué à la protection des données (DPO, Data Protection Officer) occupe une position différente : il n’est propriétaire d’aucun domaine, mais garant transversal du respect du RGPD, avec une obligation d’indépendance vis-à-vis de la direction. Sa mission, définie par le règlement européen lui-même, sera détaillée au chapitre suivant. Point commun à ces rôles : sans matrice de responsabilités écrite et partagée, chacun suppose que « quelqu’un d’autre » s’occupe du problème, et personne ne s’en occupe.

Pourquoi les organisations échouent

Les mêmes causes reviennent, presque toujours combinées. Les silos organisationnels font qu’un service ignore ce qu’un autre sait déjà d’un même client, et recrée sa propre version de la vérité. La qualité négligée laisse s’accumuler des doublons et des incohérences qui finissent par éroder la confiance dans les tableaux de bord eux-mêmes. Les données fantômes (shadow data ou dark data), enfin, sont ces données collectées ou dupliquées hors des systèmes officiels, tableurs partagés, exports oubliés, bases de test devenues bases de production, qui échappent à toute règle simplement parce que personne ne sait qu’elles existent.

Aucun outil ne répare seul ces trois failles : ce sont des rôles clairs, un cycle de vie documenté et des définitions partagées qui le font. C’est la matière du chapitre suivant.

Pour la sécurité des usages numériques qui accompagne cette gouvernance, le cours Initiation à la cybersécurité traite des menaces qui pèsent sur ces mêmes données. Une question sur votre organisation ? Contactez-nous.