Gouverner la donnée, ce n'est ni créer un comité ni acheter un catalogue. C'est désigner qui décide des définitions, de la qualité, de l'accès, de la conservation et de l'usage de chaque domaine de données. Une PME peut commencer par les clients, les produits, les fournisseurs et la finance, appliquer des règles mesurables et traiter les incidents à la source.
Objectifs
- Une définition par donnée critique.
- Une qualité suffisante pour décider.
- Un accès fondé sur le besoin d'en connaître.
- Traçabilité.
- Conformité.
- Réutilisation maîtrisée.
- Moindre dépendance aux personnes.
L'AEPD (autorité espagnole de protection des données) relie la gouvernance de la donnée à la responsabilité proactive et aux principes du RGPD.
Périmètre par domaine
Il est déconseillé de démarrer sur l'ensemble de l'entreprise. Mieux vaut prioriser :
- Client.
- Produit/service.
- Fournisseur.
- Collaborateur.
- Finance.
- Exploitation.
Chaque domaine dispose d'un propriétaire métier (data owner) et d'un steward opérationnel.
Rôles
| Rôle | Responsabilité |
|---|---|
| Sponsor | Priorités et ressources |
| Data owner | Définition, accès et qualité |
| Data steward | Règles et incidents |
| Dépositaire IT | Plateforme et sécurité |
| DPO | Vie privée et droits |
| Utilisateur | Bon usage et signalement |
Il n'est pas nécessaire de créer tous ces postes ; il faut en revanche confier ces fonctions à des personnes identifiées.
Glossaire
Chaque terme critique doit préciser :
- Définition.
- Formule de calcul.
- Source.
- Propriétaire.
- Fréquence.
- Périmètre.
- Synonymes interdits.
- Exemple.
« Client actif » doit désigner la même réalité dans l'ERP, le CRM et le BI, ou bien les différences entre systèmes doivent être explicitées.
Catalogue minimal
Un fichier contrôlé peut recenser :
- Jeu de données/table.
- Description.
- Système.
- Propriétaire.
- Sensibilité.
- Base légale/finalité.
- Qualité.
- Conservation.
- Utilisateurs.
- Lignage.
- Incidents.
L'outil se choisit après avoir défini le processus, pas avant.
Qualité
Dimensions à surveiller :
- Complétude.
- Exactitude.
- Unicité.
- Cohérence.
- Actualité.
- Validité.
- Traçabilité.
Chaque règle est associée à un seuil et à une action. Par exemple : NIF (numéro d'identification fiscale) valide à 99 % ou plus, doublons sous 0,5 %, adresses revues tous les deux ans.
La qualité se corrige à la source, pas uniquement dans le rapport BI.
Gestion des incidents
Le ticket de donnée enregistre :
- Domaine.
- Règle en échec.
- Enregistrements concernés.
- Impact.
- Cause.
- Correction.
- Prévention.
- Propriétaire.
- Date.
La récurrence de chaque type d'incident est mesurée.
Accès
L'accès est accordé par rôle et par finalité, avec l'approbation du propriétaire de la donnée. Des revues périodiques, une séparation des tâches et une désactivation automatique en cas de changement de situation de l'utilisateur sont mises en place.
Un accès techniquement possible n'implique pas une autorisation. Les exports et les copies locales doivent également être gouvernés.
Vie privée
Pour les données personnelles, il convient de considérer :
- Finalité et base légale.
- Minimisation.
- Exactitude.
- Conservation.
- Droits des personnes.
- Sécurité.
- Transferts.
- Sous-traitants.
Le DPO conseille, mais le propriétaire de la donnée reste responsable du processus.
Cycle de vie
- Création/collecte.
- Validation.
- Usage.
- Partage.
- Archivage/blocage.
- Suppression.
Chaque phase dispose de ses propres contrôles. Rien n'est conservé « au cas où cela servirait un jour ».
Données de référence
Le golden record et les règles de rapprochement (matching) sont définis. Pour les clients, par exemple :
- Identifiant.
- Nom.
- NIF (identifiant fiscal).
- Contact.
- Statut.
- Source.
- Date.
Les fusions d'enregistrements exigent traçabilité et réversibilité.
Lignage des données
Pour les indicateurs (KPI) et les données critiques, il faut connaître :
- Origine.
- Transformations.
- Destination.
- Responsable.
- Version.
Cela permet de corriger les erreurs et d'auditer la donnée avec des garanties.
Fournisseurs et partage de données
Avant de partager des données avec des tiers, il convient d'examiner :
- Finalité.
- Données minimales nécessaires.
- Rôle de chaque partie.
- Contrat.
- Sécurité.
- Pays de destination.
- Durée.
- Restitution des données.
Le Data Governance Act (règlement européen sur la gouvernance des données) encadre des aspects spécifiques du partage de données et vise la confiance et la disponibilité, mais il ne remplace ni le RGPD ni la gouvernance interne de la donnée.
Gouvernance pour les systèmes d'IA
Les systèmes qui exploitent des données pour produire des résultats ont besoin de données dont la provenance, la qualité, les autorisations et les limites sont clairement établies. L'inventaire doit relier chaque modèle ou système aux jeux de données qu'il utilise. Si une donnée change, il doit être possible d'identifier quels modèles et rapports sont concernés par ce changement.
Indicateurs
- Domaines dotés d'un propriétaire.
- Éléments catalogués.
- Règles actives.
- Incidents et délai de clôture.
- Doublons.
- Accès revus.
- Données sans durée de conservation définie.
- Rapports partageant une définition commune.
Il ne suffit pas de mesurer le volume de métadonnées produites.
Comité allégé
Réunion mensuelle de 45 minutes avec cet ordre du jour :
- Incidents critiques.
- Définitions en attente.
- Accès exceptionnels.
- Nouveaux projets.
- Indicateurs.
- Décisions et responsables.
Plan à 90 jours
Jours 1 à 30
Domaines, propriétaires, glossaire et données critiques.
Jours 31 à 60
Règles, catalogue, accès et cycle de vie.
Jours 61 à 90
Incidents, indicateurs, gouvernance pour l'IA et amélioration continue.
Erreurs fréquentes
- Commencer par l'outil.
- Couvrir toute l'entreprise dès le départ.
- Rendre l'IT seule responsable.
- Ne pas définir les termes.
- Nettoyer les données uniquement dans les rapports.
- Ne pas fixer de seuils.
- Accorder l'accès par facilité.
- Ne pas gouverner les exports.
- Conserver les données indéfiniment.
- Avoir un comité sans décisions.
Checklist
- Domaines priorisés.
- Propriétaires et stewards désignés.
- Glossaire rédigé.
- Catalogue minimal.
- Règles et seuils définis.
- Gestion des incidents.
- Accès revus.
- Cycle de vie maîtrisé.
- Vie privée intégrée.
- Indicateurs et comité opérationnels.
Questions fréquentes
Faut-il un CDO ?
Pas nécessairement. Un sponsor et des propriétaires de domaine sont en revanche indispensables.
La gouvernance de la donnée est-elle la même chose que le RGPD ?
Non. C'est un concept plus large, qui doit toutefois intégrer les principes et obligations de protection des données.
Quel outil faut-il utiliser ?
Il convient de démarrer avec le minimum permettant de prendre des décisions, de conserver la traçabilité et d'exercer le contrôle ; l'outil est ensuite mis à l'échelle lorsque le volume le justifie.
Sources consultées
- AEPD (autorité espagnole de protection des données) : gouvernance et politique de protection des données.
- AEPD : principes et responsabilité proactive.
- Commission européenne : Data Governance Act.
- Guide pratique du Data Governance Act.
Summum Consultoría peut concevoir les rôles, le glossaire, la qualité et la gouvernance de la donnée, en conformité avec le RGPD et avec les systèmes d'IA de l'entreprise.