Combiner audit IT et audit de processus à 150 collaborateurs

Une entreprise de 150 collaborateurs se trouve dans une zone inconfortable. Assez grande pour que plus personne n'ait le tableau complet en tête. Assez petite pour que le gaspillage ne saute nulle part aux yeux, car il se répartit sur cinq ou six départements qui partent chacun du principe qu'un autre y veille.

Prenez un grossiste en pièces techniques. Cent cinquante personnes, un entrepôt, un service interne et un service externe, une équipe finance, deux personnes à l'IT. Un mardi ordinaire, une commande s'y bloque entre la vente et l'entrepôt, parce que quelqu'un recopie à la main une commande d'un système vers un autre. Personne n'y voit un problème. C'est simplement comme ça que ça se passe.

Un audit IT vous dit ce que ce mardi coûte en logiciels. Un audit de processus vous dit pourquoi cette recopie existe. Pris séparément, chacun des deux ne vous donne que la moitié de la réponse. Ensemble, vous obtenez la facture et la raison, et c'est seulement alors que vous pouvez décider ce que vous supprimez plutôt que ce que vous négociez un peu moins cher.

Pourquoi les deux vont de pair

Un audit IT cartographie quatre choses : ce que vous payez, quels contrats sont en cours, qui utilise réellement les outils, et où se trouvent les trous dans votre sécurité. C'est un inventaire avec des étiquettes de prix. Utile, mais sans gouvernail en soi, car un inventaire ne vous dit pas de quel outil vous avez réellement besoin.

Un audit de processus fait l'inverse. Il suit comment le travail se déroule réellement, non pas comme la procédure le prévoit mais comme les gens le font chaque jour. Avec l'export vers Excel parce que le rapport dans le système est faux. Avec le mail au collègue qui n'a pas accès au logiciel. Avec la double saisie parce que deux systèmes ne parlent pas la même langue. Cette recopie de la commande du mardi ne figure dans aucune procédure, et pourtant elle se produit cent fois par semaine.

Mettez les deux côte à côte et le schéma saute aux yeux. Un outil coûte de l'argent parce qu'une étape du processus l'exige. Supprimez l'étape et le coût disparaît avec elle. Voilà pourquoi il faut mener les deux audits ensemble et non l'un après l'autre. Qui audite d'abord l'IT et n'examine le processus que des mois plus tard négocie déjà, entre-temps, des contrats pour des étapes qu'il aurait mieux valu supprimer.

La plus grande erreur que vous puissiez commettre ici, c'est d'automatiser un mauvais processus. Vous achetez alors un logiciel qui ne fait qu'accélérer le problème. Vous payez deux fois : une fois pour l'outil, et une fois pour le temps que le processus brouillon continue d'engloutir, désormais avec un abonnement par-dessus.

Pourquoi 150 collaborateurs est le point de bascule

En dessous de cinquante collaborateurs, une seule personne connaît encore toute l'entreprise. Le dirigeant ou le responsable IT sait quels outils tournent, qui paie quoi et où se trouvent les mots de passe. Le gaspillage existe là aussi, mais il tient encore dans une seule tête, et il est donc corrigé dès qu'il fait mal.

À 150, cette image ne tient plus. Vous avez de vrais départements, chacun avec son propre budget et sa propre carte bancaire. La vente achète une extension au CRM, le marketing un outil de design, la finance un logiciel de reporting, et personne ne met jamais ces trois-là côte à côte. Cela s'appelle le shadow IT, et à cette échelle ce n'est pas une exception mais l'état par défaut. Chaque département a sa propre petite stack que personne ne connaît de façon centralisée.

Personne, en outre, ne possède la stack complète. Le responsable IT connaît les serveurs et les systèmes centraux, mais pas l'abonnement que la vente a pris le trimestre dernier avec une carte d'entreprise. Les chefs de département connaissent leurs propres outils, mais pas ce qu'ils coûtent ensemble. C'est précisément pour cela que l'argent fuit : chacun surveille son propre morceau et personne l'ensemble.

À cette échelle s'ajoute aussi une limite juridique. NIS2 fait entrer dans son périmètre les entreprises à partir d'environ 50 collaborateurs, avec notamment une obligation de notification en cas d'incident (NIS2). Une entreprise de 150 ETP y tombe à coup sûr, qu'elle y soit prête ou non. La sécurité n'est alors plus un hobby de l'IT mais une obligation légale assortie d'une échéance.

C'est précisément pour cela que vous mesurez maintenant et non l'an prochain. Assez grande pour que les fuites soient devenues structurelles et ne se referment plus d'elles-mêmes. Assez petite pour les cartographier en une seule passe coordonnée, sans un projet de transformation de dix-huit mois qui entraîne ses propres coûts.

Ce que vous mesurez, par équipe

Un audit qui reste au niveau de « l'IT » manque la moitié de l'argent. Les coûts et le temps perdu ne se trouvent pas dans la salle des serveurs mais dans ce que chaque équipe fait jour après jour. C'est pourquoi vous mesurez par fonction, et vous regardez, pour chaque département, aussi bien la facture que le travail qui la sous-tend.

Direction

La direction décide aujourd'hui trop souvent à l'instinct, simplement parce que les chiffres manquent. Vous ne pouvez pas supprimer ce que vous ne voyez pas. Un audit ne vous donne pas un tableau de bord de quarante indicateurs mais une seule vue d'ensemble : ce que coûte la technologie, où le temps disparaît, et quelles trois interventions rapportent le plus. Une liste assez courte pour la signer et pour agir dès le lundi suivant.

La deuxième chose que la direction en retire, c'est une prise sur le risque. Aucune dépendance envers un seul fournisseur, aucune surprise lors d'un contrôle externe, et une sécurité conforme à ce que NIS2 exige. Ce ne sont pas des détails informatiques, ce sont des questions de gouvernance.

Finance

La finance regarde souvent le mauvais chiffre. La question n'est pas ce qu'un système a coûté à l'achat, mais ce que la stack continue d'engloutir chaque mois : le run-rate. C'est là qu'est la fuite. 20 % à 30 % des dépenses informatiques sont du gaspillage, et plus de la moitié des licences SaaS restent inutilisées (Flexera, 2024).

Concrètement, ce sont des licences qui continuent de tourner pour des gens déjà partis, des abonnements qui se renouvellent automatiquement chaque année sans que personne ne retrouve le bouton pour résilier, et trois outils qui font en pratique la même chose parce que trois départements les ont achetés séparément. La finance y accole un montant, et ce montant transforme un vague ressenti en une conversation concrète.

IT

L'IT gère une stack que personne n'a jamais conçue comme un tout. Une entreprise moyenne fait tourner environ 106 applications SaaS (BetterCloud, 2024), et la plupart s'y sont ajoutées de façon insidieuse, outil par outil, année après année. Sous cette prolifération se cache la dette technique : systèmes vieillissants, connexions rafistolées, code que plus personne n'ose toucher. Cette dette représente 20 % à 40 % de la valeur de l'ensemble du paysage technologique, et 10 % à 20 % du budget destiné aux nouveautés part à la résorber (McKinsey, 2020).

La deuxième question pour l'IT, c'est la gestion des accès. Qui a accès à quoi, et est-ce encore correct aujourd'hui ? Sur 150 personnes et bien plus de cent applications, ce n'est pas une formalité administrative mais le cœur de votre sécurité. C'est aussi le point où l'audit de l'IT et celui des RH se rejoignent, comme on le verra plus loin.

Opérations

Les opérations, c'est là que le temps disparaît, et le temps est le coût caché le plus important de tous, parce qu'il ne figure sur aucune facture. Les travailleurs du savoir perdent près de 20 % de leur semaine de travail, environ une journée entière, à chercher de l'information interne (McKinsey, 2012). Rapportez cela à votre exploitation : c'est une journée par personne et par semaine qui n'est comptabilisée nulle part.

Ne mesurez donc pas seulement la licence mais le geste. Combien de fois la même donnée est-elle recopiée ? Combien de temps cette commande du mardi reste-t-elle à l'arrêt entre la vente et l'entrepôt ? Où quelqu'un attend-il une approbation qui doit arriver par mail et n'est lue qu'après le déjeuner ? Ce temps d'attente compte, et il peut presque toujours se résoudre sans acheter le moindre nouvel outil.

Vente

Les commerciaux consacrent moins de 30 % de leur temps à vendre réellement. Le reste part en administration, en remplissage du CRM et en réunions internes (Salesforce). Qui lit cela comme « les commerciaux travaillent trop peu » se trompe de lecture. Le CRM est le plus souvent le problème : il est construit pour permettre au management de faire du reporting, pas pour amener le commercial plus vite à une signature.

Dans l'audit, vous suivez une offre du premier contact jusqu'à la commande signée. Vous voyez alors avec précision où le temps s'échappe : la double saisie de données clients qui figurent déjà ailleurs, la composition d'une offre à la main, la poursuite d'une remise interne que quelqu'un doit approuver. Chacune de ces étapes est une candidate à la suppression ou à l'automatisation, et chacune rend au commercial du temps qu'il peut consacrer à vendre.

RH

Les RH semblent loin de l'IT, jusqu'à ce que vous examiniez l'onboarding et l'offboarding. Engager un nouveau collaborateur, c'est créer des comptes sur des dizaines d'applications. Faire partir quelqu'un, c'est refermer tous ces comptes. Sur une stack de bien plus de cent applications, c'est du travail manuel, et le travail manuel échoue presque toujours quelque part.

Un compte non fermé appartenant à quelqu'un parti depuis des mois n'est pas un détail RH. C'est une porte ouverte dans votre sécurité, et donc immédiatement un problème d'IT et de sécurité qui porte un nom. L'onboarding et l'offboarding relèvent donc du même audit que la gestion des accès de l'IT, et non d'un dossier RH séparé que personne ne met à côté du reste.

Comment vous le menez

Comptez environ quatre semaines, pas un trimestre. Cela commence par le périmètre. Vous désignez un responsable par département, quelqu'un qui sait comment le travail s'y déroule vraiment et qui reçoit aussi le temps d'y participer. Sans ce responsable, cela devient un exercice du seul service IT, et vous manquez alors justement la moitié qui compte : le processus tel que les gens le font réellement tourner.

Ensuite, vous mesurez deux choses en même temps. D'un côté les chiffres bruts : coûts, contrats, usage, qui a réellement ouvert quelle licence le mois dernier. De l'autre le processus : cartographié étape par étape, avec le temps d'attente et le double travail notés à côté. Ces deux pistes avancent en parallèle, car un coût sans le processus qui le sous-tend est un chiffre sans signification, et un processus sans son coût est une histoire sans poids.

L'essentiel de la vérité ne se trouve pas dans les systèmes mais chez les gens. Passez voir le commercial qui se plaint du CRM, le magasinier qui recopie la commande, le collaborateur de la finance qui compose chaque mois le même rapport à la main. En cinq minutes, ils vous montrent où ça coince, plus vite qu'un export ne le fera jamais.

Ensuite, vous notez. Chaque étape reçoit un coût et un temps. Vous voyez ainsi non seulement ce qu'un outil coûte par an, mais aussi que l'étape de processus en dessous coûte une demi-journée par semaine à trois personnes. Ce n'est qu'avec les deux chiffres côte à côte que vous pouvez prioriser honnêtement, car parfois l'outil bon marché est l'étape la plus chère.

Le résultat est un rapport avec une base de référence : une mesure de départ de ce que la situation coûte aujourd'hui, en euros et en heures. Cette base de référence, vous la faites cosigner par la finance. Cela semble une formalité, mais c'est l'étape la plus importante de toutes. Sans un chiffre derrière lequel la direction et la finance se tiennent ensemble, vous ne pourrez étayer aucune économie par la suite.

Et ensuite, vous décidez pour chaque étape suivante : go ou no-go. Pas un grand plan que vous approuvez ou rejetez en une seule fois, mais une série de décisions distinctes, chacune avec sa propre étiquette de prix et son propre rendement. L'audit lui-même reste neutre vis-à-vis des fournisseurs. Il vous dit quoi faire, pas quelle marque acheter. C'est une différence qui vous économise beaucoup d'argent par la suite.

Les pièges

Le premier piège, vous le connaissez désormais : automatiser un mauvais processus. Un logiciel ne redresse pas un processus brouillon, il le coule dans le béton et y ajoute une facture mensuelle. Mettez d'abord le processus en ordre, n'achetez qu'ensuite l'outil qui vient dessous.

Le deuxième, c'est de sauter la base de référence. Qui saute directement aux solutions sans d'abord fixer la mesure de départ ne pourra jamais prouver ensuite que quelque chose a été économisé. Pas de base de référence, pas de preuve, et donc pas de mandat pour l'étape suivante. L'économie devient alors une affaire de foi, et la foi ne convainc aucun comité de direction.

Le troisième, c'est d'auditer uniquement l'IT et de laisser le processus de côté. Vous obtenez alors une jolie liste de licences à négocier, et vous manquez précisément les étapes qui rendent la moitié de ces licences superflues. Vous gagnez dans ce cas dix pour cent sur le prix là où vous auriez pu supprimer cent pour cent du coût en retirant l'étape elle-même.

Le quatrième, c'est le big bang. Tout aborder en même temps dans un seul grand programme de transformation avec une seule grande signature dessous. C'est exactement ainsi que tournent les projets qui dérapent. Les grands projets logiciels dépassent leur budget de 45 % en moyenne et livrent 56 % de valeur en moins que promis (McKinsey et Oxford, 2012). Travaillez donc par vagues, avec un go ou no-go après chaque vague, pour pouvoir vous arrêter dès qu'une piste ne rapporte rien.

Ce qu'il vous en reste

Après quatre semaines, il vous reste trois choses. Une base de référence signée, noir sur blanc, derrière laquelle la direction et la finance se tiennent ensemble. Une liste priorisée de ce qui coûte de l'argent et du temps, avec la plus grande fuite en tête. Et pour chaque point de cette liste une décision claire : construire, supprimer ou conserver.

C'est là le vrai résultat, et non le rapport lui-même. Pas un document qui disparaît dans un tiroir jusqu'à la prochaine réorganisation, mais une décision avec laquelle vous pouvez vous mettre au travail dès le lundi après l'audit. Vous savez quelles trois choses vous abordez en premier, ce qu'elles coûtent et ce qu'elles rapportent. Cette commande du mardi qui s'était bloquée entre la vente et l'entrepôt : vous savez maintenant ce que la recopie coûte et s'il vaut la peine de la retirer.

C'est ainsi que YK s'y prend. Commencez par un audit IT FinOps qui cartographie ensemble le coût et le processus. Poursuivez ensuite par vagues, avec un go ou no-go, pour ne plus jamais miser sur une seule grande signature, vers une plateforme en propriété qui se trouve dans votre propre repo et vous appartient. Et calculez le run-rate avec le calculateur de coûts avant de faire le premier pas.

Mesurer n'est pas le but. Décider est le but, et vous ne pouvez pas décider de ce que vous ne voyez pas.