La cartographie des flux de données recense, pour chaque information utile à l'activité (une commande, un article, un client, une facture), d'où elle vient, par quels logiciels, fichiers et personnes elle passe, sous quelle forme, à quelle fréquence, et où elle est utilisée en dernier. Elle se présente sous deux formes liées : un inventaire des flux, à raison d'une ligne par flux, et un schéma qui rend cet inventaire lisible pour une direction.
Le mot « flux » couvre ici tous les transferts, automatisés ou non : une interface entre l'ERP et le logiciel de paie, un export CSV déposé chaque lundi dans un dossier partagé, une commande reçue en PDF et ressaisie, un tableau envoyé par courriel au contrôle de gestion. Aucun schéma d'architecture ne montre les transferts manuels, alors qu'ils produisent les ressaisies et les versions divergentes.
En quoi diffère-t-elle de la cartographie applicative ?
L'ANSSI a publié le 21 novembre 2018 un guide d'élaboration de la cartographie du système d'information. Il organise la cartographie en trois visions (métier, applicative, infrastructure) déclinées en six vues : écosystème, métier, applications, administration, infrastructures logiques, infrastructures physiques. La version PDF du guide précise que la vue des applications « décrit les composants logiciels du système d'information, les services qu'ils offrent et les flux de données entre eux ».
Cette vue répond à une question de sécurité et d'architecture : quelles applications échangent avec quelles applications. La cartographie des flux de données part de l'information métier et la suit, y compris quand elle quitte les applications. Un export Excel retraité à la main puis réimporté n'est pas un composant logiciel ; il figure pourtant dans l'inventaire des flux, avec son auteur et sa fréquence. Les deux démarches se complètent, et le guide de l'ANSSI admet que pour un SI de petite taille, il est possible de réaliser « une cartographie cumulant plusieurs vues dès le départ ».
Et avec le registre des traitements du RGPD ?
L'article 30 du RGPD impose de tenir un registre des activités de traitement de données personnelles. Selon le texte du règlement publié par la CNIL, il contient notamment les finalités, les catégories de personnes et de données, les catégories de destinataires, les transferts vers un pays tiers, les délais prévus pour l'effacement et une description générale des mesures de sécurité. Le paragraphe 5 dispense les organisations de moins de 250 employés, sauf si le traitement présente un risque, n'est pas occasionnel ou porte sur des catégories particulières de données ; la fiche de la CNIL sur le registre en déduit ce que les petites structures doivent tout de même inscrire.
Le registre décrit des traitements : une finalité, un ensemble de données personnelles. La cartographie décrit des circulations. Une cartographie des flux tenue à jour alimente le registre, car chaque flux qui transporte des données personnelles indique ses destinataires et ses éventuelles sorties de l'Union. L'ANSSI signale d'ailleurs que sa méthode peut servir « lors de la définition du registre des traitements ».
Quelles informations relever pour chaque flux ?
Une ligne d'inventaire par flux, avec des colonnes stables :
- l'objet transporté (commande client, fiche article, écriture comptable) et les champs concernés ;
- la source et la destination : logiciel, fichier, service ou personne ;
- le vecteur : interface, fichier plat, export manuel, ressaisie, courriel, papier ;
- le déclencheur et la fréquence : à chaque événement, chaque nuit, chaque fin de mois ;
- les transformations appliquées en route : conversion d'unités, regroupement, recodage ;
- le contrôle existant, s'il y en a un, et la personne qui constate une erreur ;
- la personne qui fait tourner le flux et celle qui en répond ;
- la présence de données personnelles, pour le lien avec le registre.
Chaque ligne marquée « ressaisie » ou « export manuel » dans la colonne « vecteur » désigne une tâche refaite à la main, et un point où deux versions d'une même donnée peuvent diverger.
Comment mener une cartographie des flux, étape par étape ?
- Fixer le périmètre sur un processus complet plutôt que sur un service : de la commande à l'encaissement, de la demande d'achat au paiement fournisseur, de l'embauche à la première paie.
- Rassembler l'existant. C'est la deuxième étape du guide de l'ANSSI : « recenser toutes les informations disponibles en rassemblant les inventaires et schémas » déjà constitués.
- Collecter les fichiers utilisés au quotidien : exports, classeurs partagés, extractions manuelles, modèles de courriel. Ils révèlent les flux que personne ne cite en entretien ; c'est la démarche décrite dans pourquoi nous demandons les fichiers avant les accès.
- Faire décrire chaque poste par ceux qui l'occupent : ce qu'ils reçoivent, ce qu'ils en font, ce qu'ils transmettent et ce qu'ils vérifient avant de transmettre.
- Remplir l'inventaire, puis dessiner le schéma à partir de l'inventaire, jamais l'inverse.
- Faire valider le schéma par les métiers concernés, flux par flux.
- Désigner qui met à jour l'inventaire quand un logiciel, un fichier ou une procédure change. L'ANSSI consacre sa cinquième étape à cette mise à jour.
À quoi ressemble un exemple de cartographie des flux ?
Exemple fictif, construit pour l'illustration, sur le processus « commande à facture » d'une PME industrielle :
- flux 1 : le client envoie sa commande en PDF par courriel, l'administration des ventes la ressaisit dans l'ERP, à chaque commande ;
- flux 2 : chaque lundi, un export des commandes ouvertes alimente un classeur de planification tenu par l'atelier ;
- flux 3 : l'atelier modifie les dates dans le classeur ; elles ne reviennent dans l'ERP que par un courriel du chef d'atelier, suivi d'une ressaisie ;
- flux 4 : la facture est émise dans l'ERP et l'écriture part en comptabilité par une interface nocturne ;
- flux 5 : le contrôle de gestion extrait chaque mois les factures et les retraite dans un tableur pour le tableau de bord de direction.
Sur cinq flux, un seul est automatisé. Les dates de livraison existent en deux versions, celle de l'ERP et celle du classeur, et seule la seconde est à jour. Le chiffre d'affaires du tableau de bord dépend d'un retraitement que seul son auteur connaît. Ces constats sortent de l'inventaire sans outil particulier.
Que faire de la cartographie une fois terminée ?
Chaque ressaisie repérée devient un candidat à la suppression, par une interface ou par un référentiel unique (voir les doubles saisies entre ERP et fichiers). Chaque donnée qui existe en plusieurs versions appelle un propriétaire et une règle, ce qui est l'objet de la gouvernance des données en PME. Les actions se classent ensuite selon leur valeur et leur effort, comme dans l'étape de rapport de notre méthode.
La cartographie sert aussi avant tout projet qui consomme les données : une migration d'ERP, dont la reprise de données suppose de savoir d'où vient chaque champ, ou un projet d'IA, qui suppose de savoir quelle version d'un document fait foi (voir préparer ses données avant l'IA).
Questions fréquentes
Quel outil utiliser pour cartographier les flux de données ?
Un tableur suffit pour l'inventaire et un logiciel de diagramme pour le schéma. Le guide de l'ANSSI consacre une étape au choix de l'outillage, qui devient utile quand plusieurs personnes tiennent l'inventaire à jour.
Par quel périmètre commencer ?
Par un processus complet qui traverse plusieurs services, par exemple de la commande à l'encaissement. Pour un grand SI, l'ANSSI recommande aussi de commencer par une cartographie limitée, centrée sur les systèmes critiques ou exposés.
La cartographie des flux est-elle obligatoire ?
Aucun texte ne l'impose sous ce nom à la plupart des entreprises. Le registre des traitements l'est dans les conditions de l'article 30 du RGPD, et une cartographie à jour aide à le tenir exact.
Qui doit piloter la cartographie ?
Une personne qui connaît les processus et a accès aux métiers, rattachée à la DAF, à la DSI ou à la qualité selon l'organisation. Les métiers valident les flux qui les concernent ; la DSI complète les flux automatisés.