Plan de gestion des systèmes – comment élaborer le registre des systèmes informatiques, les responsabilités et le calendrier annuel

Un plan de gestion de système décrit la manière dont un système informatique doit être exploité, développé, contrôlé et, enfin, mis hors service. Un registre des systèmes informatiques est l'inventaire complet des systèmes de l'entreprise, de leurs propriétaires, fournisseurs, contenus d'information et dépendances clés. Ensemble, ils facilitent la répartition des responsabilités, la priorisation des mesures et le contrôle du paysage informatique.

Que doit contenir un plan de gestion de système ?

Un plan de gestion utile relie les besoins de l'entreprise à l'exploitation informatique courante. Il doit pouvoir être suivi sans devenir un rapport exhaustif que personne n'utilise. Le contenu peut différer entre une petite entreprise utilisant dix services SaaS et une activité avec des systèmes de gestion développés en interne.

Qui est le propriétaire du système – et quelle est la différence avec le gestionnaire de système ?

Le propriétaire du système est normalement le rôle désigné par l'entreprise pour décider des objectifs, des priorités et des ressources du système. Le gestionnaire de système coordonne généralement le travail pratique, la documentation et le suivi. L'exploitation informatique (IT) gère les tâches techniques selon la répartition des responsabilités en vigueur au sein de l'organisation ou auprès du fournisseur.

Il s'agit de rôles organisationnels, et non d'une classification juridique universelle. Une petite entreprise peut combiner plusieurs tâches pour une même personne, mais les décisions, l'exécution pratique et le contrôle doivent rester clairement définis. Lors du traitement de données à caractère personnel, il est en outre important de distinguer le propriétaire de système désigné en interne du rôle juridique de responsable du traitement selon le RGPD.

Créer un registre des systèmes informatiques étape par étape

1. Inventorier les systèmes réellement utilisés

Incluez les systèmes de gestion, les systèmes financiers, les outils RH, les abonnements SaaS, les plateformes d'intégration et les systèmes utilisés par des équipes individuelles. Recherchez les doublons et les services sans donneur d'ordre clair. Enregistrez également les systèmes en cours de mise hors service.

2. Documenter les informations de base

Saisissez le nom du système, son objectif, le processus principal, le fournisseur, le propriétaire, les principaux utilisateurs, le détenteur du contrat, le coût, la durée du contrat et le point de contact pour les incidents. Indiquez si possible où sont conservés les contrats et la documentation technique associés, sans stocker de mots de passe ou d'autres secrets dans le registre.

3. Identifier les informations et les dépendances

Notez les volumes d'informations gérés par le système, les intégrations importantes, les flux de données et les processus métier critiques. Assurez le suivi de la confidentialité, de l'exactitude et de la disponibilité. Un inventaire devient particulièrement précieux lorsque les mêmes données peuvent être utilisées dans les évaluations des risques et la planification de la continuité.

4. Répartir les responsabilités avec une simple matrice RACI

Définissez qui est responsable de la décision, qui exécute une activité, qui doit être consulté et qui doit être informé. Liez ces rôles à l'approbation des changements, au contrôle des accès, à la gestion des incidents et au renouvellement des contrats fournisseurs.

5. Prioriser les risques et les améliorations

Évaluez l'impact et la probabilité des perturbations pertinentes. Documentez le responsable du risque, les mesures d'atténuation, les décisions et les dates de suivi. Évitez d'utiliser un score unique comme remplacement automatique de l'évaluation par l'entreprise.

6. Créer une roue annuelle

Planifiez des contrôles réguliers des droits d'accès, de la capacité de récupération, des résultats des fournisseurs, des coûts, des licences, des tickets de support et des améliorations décidées. Adaptez la fréquence selon l'importance et le profil de risque de chaque système.

7. Examiner le cycle de vie et la mise hors service

Lorsqu'un système doit être remplacé, des décisions claires sont nécessaires concernant l'exportation des données, la migration, la suppression des accès, le tri, l'archivage et la clôture du contrat. Vérifiez en particulier que les données à caractère personnel et les informations comptables sont traitées selon les règles applicables.

Exemple : trois systèmes dans une petite entreprise

Supposons qu'une entreprise utilise un système financier, un système RH et un helpdesk externe. Le responsable financier peut être désigné propriétaire du système financier, le responsable RH pour le système RH, et le responsable IT pour le helpdesk. La fonction IT peut simultanément effectuer les contrôles techniques communs. Pour chaque système, le fournisseur, le renouvellement du contrat, la classification des informations, le risque majeur et le prochain contrôle sont enregistrés.

L'exemple montre pourquoi un registre des systèmes et un plan de gestion remplissent des fonctions différentes : le registre indique ce qui existe, tandis que le plan décrit ce qui doit être fait, par qui et quand.

Un registre des systèmes informatiques est-il la même chose que le registre des activités de traitement du RGPD ?

Non. Un registre des systèmes informatiques décrit les systèmes et les ressources techniques ou organisationnelles. Les règles de l'article 30 du RGPD portent sur un registre des activités de traitement des données à caractère personnel et exigent des données spécifiques, notamment les finalités, les catégories de personnes concernées et les destinataires, là où les exigences s'appliquent. Un système informatique peut prendre en charge plusieurs traitements de données à caractère personnel, et un traitement peut impliquer plusieurs systèmes. Le registre des activités de traitement doit donc être évalué séparément.

Lisez notre guide existant sur le registre des activités de traitement selon l'article 30 du RGPD pour obtenir le contenu approprié pour ce document.

Check-list pour la gestion de système

• Tous les systèmes informatiques importants sont inscrits au registre.
• Le propriétaire du système, le responsable opérationnel et le fournisseur sont identifiés.
• L'objet du système, ses dépendances et ses volumes d'informations sont décrits.
• Les risques, les changements et les décisions sont documentés.
• L'examen des droits d'accès et les procédures d'incident ont des responsables désignés.
• Les dates de licence et de contrat sont suivies.
• La roue annuelle et les résultats des contrôles sont suivis.
• La mise hors service et l'exportation des données sont planifiées pour les systèmes devant être remplacés.

Erreurs courantes à éviter

• Systèmes sans propriétaire : Personne n'a le mandat de prioriser les améliorations.
• Registre sans routine de mise à jour : L'information devient rapidement obsolète.
• Confusion des rôles : On suppose automatiquement que le support IT porte toute la responsabilité de l'activité et de la protection des données.
• Services SaaS oubliés : Les coûts, intégrations et espaces de stockage externes sont négligés.
• Absence de plan de sortie : Il n'est pas clair comment les données seront transférées ou supprimées lorsque le contrat prend fin.

Questions fréquentes sur le plan de gestion de système

Toutes les entreprises doivent-elles avoir un plan de gestion de système ?

Il n'existe aucune exigence légale générale imposant à chaque entreprise de posséder un document portant précisément le nom de "plan de gestion de système". Des activités spécifiques peuvent être soumises à d'autres exigences contraignantes en matière de gouvernance, de sécurité, de documentation et de contrôle. Le plan est donc un outil de pilotage pratique qui peut aider l'organisation à remplir ses obligations pertinentes.

Quelle est la différence entre un registre des systèmes informatiques et un registre des licences ?

Le registre des systèmes décrit l'objet, le propriétaire, la gestion des informations et le cycle de vie du système. Le registre des licences se concentre sur les abonnements, le nombre de licences, les coûts et les dates de renouvellement. Les registres peuvent être liés entre eux.

À quelle fréquence le plan de gestion de système doit-il être mis à jour ?

Déterminez un examen récurrent basé sur le risque et le rythme des changements. Mettez-le également à jour après des changements de système majeurs, des incidents, des changements organisationnels et des changements importants de fournisseurs.

La même personne peut-elle être propriétaire de système et gestionnaire de système ?

Oui, dans les petites organisations, les rôles peuvent être cumulés. Documentez néanmoins clairement qui prend les décisions, effectue les contrôles et est responsable de la correction des lacunes.

Guides et modèles associés

Approfondissez le travail grâce à nos guides sur la classification des informations, l'examen des droits d'accès, le plan de gestion des incidents et la sortie SaaS et migration de données. Voir aussi nos modèles de contrats IT et de services numériques.

Sources et lectures complémentaires

• IMY : Tenir un registre des activités de traitement des données à caractère personnel
• IMY : Gestion des données à caractère personnel par les entreprises
• Informationssakerhet.se : Support méthodologique pour le travail systématique en sécurité de l'information

Dernière vérification des faits : 13 octobre 2026. L'article fournit des conseils généraux et ne constitue pas un avis juridique. Vérifiez si votre activité est soumise à des exigences sectorielles, des contrats ou des réglementations spécifiques.