Évaluer la maturité de la gouvernance des données : modèles, notation et méthode légère au Luxembourg

Une évaluation de la maturité de la gouvernance des données mesure, domaine par domaine, la régularité avec laquelle une organisation gère ses données, sur une échelle qui va en général de 0 (aucune capacité) à 5 (optimisé), et chaque note s’appuie sur des preuves. Pour une organisation établie au Luxembourg, une version légère repose sur trois éléments : un cadre reconnu comme le DAMA-DMBOK2, un nombre limité d’entretiens et de documents, et une feuille de route qui transforme les notes en décisions.

Ce que mesurent les modèles de maturité

Un modèle de maturité décrit le degré de prévisibilité et de reproductibilité d’une pratique, pas le volume de technologie dont dispose l’organisation. L’évaluation DAMA-DMBOK2 compte six niveaux, tels que présentés lors de DAMA Sydney en septembre 2019 :

D’autres cadres suivent la même logique. Le modèle Data Management Maturity (DMM) du CMMI utilise cinq niveaux (performed, managed, defined, measured, optimizing) répartis sur six catégories, dont la stratégie de gestion des données, la gouvernance et la qualité des données. Le DCAM de l’EDM Council, répandu dans les services financiers, s’articule en huit composantes, de la stratégie de données et du business case jusqu’aux opérations et à l’environnement de contrôle, comme le résume un guide d’étude CDMP.

Les dimensions à noter

Le DAMA-DMBOK2, publié en 2017 et révisé en 2024, répartit la gestion des données en 11 domaines de connaissance, la gouvernance des données occupant le centre de la « roue DAMA » :

• gouvernance des données ;
• architecture des données ;
• modélisation et conception des données ;
• stockage et opérations ;
• sécurité des données ;
• intégration et interopérabilité ;
• documents et contenus ;
• données de référence et données maîtres ;
• entrepôt de données et informatique décisionnelle ;
• métadonnées ;
• qualité des données.

Pour chaque domaine, le DAMA-DMBOK2 propose quatre critères : les activités (le processus est-il exécuté ?), les outils (est-il soutenu par la technologie ?), les normes (est-il documenté ?) et les personnes et ressources (rôles, compétences et budget sont-ils attribués ?). Noter chaque critère séparément évite une illusion fréquente : une licence de catalogue de données est un outil, pas la preuve que les métadonnées sont gérées.

Mener une évaluation légère

Une première évaluation n’a que rarement besoin de couvrir les 11 domaines. Un périmètre réaliste comprend la gouvernance des données et les trois à cinq domaines les plus importants pour l’activité, par exemple les données de référence et maîtres, la qualité, les métadonnées et la sécurité.

1. Planifier. Arrêter le périmètre, l’échelle et le sponsor. Le DAMA-DMBOK2 décrit cinq activités : planifier l’évaluation, la réaliser, interpréter les résultats, élaborer un programme d’amélioration ciblé et réévaluer.

2. Interroger par questionnaire. Un court questionnaire recueille la perception des pratiques actuelles. Au Luxembourg, les langues administratives sont le luxembourgeois, le français et l’allemand en vertu de la loi du 24 février 1984, et l’anglais est courant dans les entreprises : le questionnaire doit donc exister dans les langues de travail des répondants. Une organisation qui ne souhaite pas concevoir son propre outil peut partir d’une enquête structurée de maturité et l’adapter à son périmètre.

3. Mener des entretiens. Les réponses au questionnaire restent des perceptions ; les entretiens structurés les mettent à l’épreuve. Les interlocuteurs habituels sont :

• le sponsor exécutif ou le membre de la direction responsable des données ;
• le délégué à la protection des données, lorsqu’il a été désigné au titre du RGPD ;
• les propriétaires métier des principaux domaines (clients, produits, finance) ;
• les responsables IT, architecture et plateforme de données ;
• la conformité, les risques et l’audit interne.

4. Demander des preuves. Chaque note doit renvoyer à un élément vérifiable : politiques et normes de données, liste nominative des propriétaires et stewards, procès-verbaux du comité de gouvernance, glossaire métier ou catalogue de données, règles et rapports de qualité, journaux d’incidents, ainsi que le registre des activités de traitement exigé par l’article 30 du RGPD. En l’absence de preuve, la note ne devrait pas dépasser le niveau 1.

5. Noter et calibrer. Noter chaque domaine selon les quatre critères, puis organiser un court atelier de calibrage où les personnes interrogées peuvent contester les notes. Un désaccord entre métiers et IT constitue en soi un constat.

Passer du résultat à la feuille de route

Une note est un point de départ, pas un plan. Trois étapes la rendent exploitable :

1. Fixer un niveau cible par domaine. Tous les domaines n’ont pas besoin du niveau 4. La cible dépend de la valeur métier et de l’exposition réglementaire : une organisation qui doit répondre à des demandes d’accès aux données ou produire des déclarations réglementaires aura besoin de processus définis pour les données concernées.
2. Prioriser les écarts. Une matrice valeur/faisabilité distingue les gains rapides (forte valeur, forte faisabilité) des initiatives stratégiques (forte valeur, faible faisabilité) et des tâches qui peuvent attendre.
3. Planifier la réévaluation. Réévaluer avec la même échelle et la même méthode montre si le programme fait évoluer les notes ; changer de méthode entre deux campagnes rend la comparaison inutile.

La feuille de route attribue un responsable et une échéance à chaque initiative et commence par les fondations de la gouvernance (rôles, droits de décision, politiques), dont dépendent la plupart des autres domaines.

Les pièges fréquents

• Tout ramener à une moyenne. Comme le relève Data Crossroads, ni le DAMA-DMBOK2 ni le DCAM ne précisent clairement comment agréger les notes en un niveau global. Une moyenne unique masque le domaine faible à l’origine des incidents.
• L’auto-évaluation sans preuves. Un questionnaire mesure une perception ; seuls les entretiens et l’examen des documents montrent si une pratique est réellement appliquée.
• Faire de la maturité un objectif en soi. Chaque niveau supplémentaire a un coût ; le bon niveau est celui dont l’activité et ses régulateurs ont besoin.
• Tout évaluer en même temps. Un premier passage large mais mal documenté est moins utile qu’un passage ciblé et solidement étayé.
• L’absence de suivi. Sans date de réévaluation, l’exercice se réduit à un rapport ponctuel.

Que faire maintenant

1. Choisir un cadre et une échelle (par exemple les domaines DAMA et l’échelle de 0 à 5) et documenter ce choix.
2. Limiter la première évaluation à la gouvernance des données et à trois à cinq domaines prioritaires.
3. Désigner un sponsor exécutif et les personnes à interroger, y compris le DPD lorsqu’il existe.
4. Préparer une liste des preuves attendues avant le début des entretiens.
5. Convenir des niveaux cibles et d’une date de réévaluation lors de la réunion de restitution.