ISO 9001 et Qualité dans les Systèmes d'Information
Du Système de Management aux Projets Numériques
La norme ISO 9001:2015 est le système de management de la qualité le plus déployé au monde avec plus d'un million de certifications dans 170 pays. Son application aux systèmes d'information, aux projets numériques et au développement logiciel reste pourtant mal comprise dans de nombreuses organisations, qui perçoivent la qualité comme une fonction de contrôle a posteriori plutôt que comme une discipline de gouvernance intégrée à chaque étape du cycle de vie des SI.
La norme ISO 9001:2015 repose sur sept principes fondamentaux de management de la qualité qui transcendent les secteurs d'activité. Leur transposition au contexte des systèmes d'information n'est ni automatique ni triviale. Elle suppose une réinterprétation de chaque principe à travers le prisme des enjeux spécifiques aux organisations numériques.
La norme ISO/IEC 90003:2018 fournit des lignes directrices pour l'application de l'ISO 9001 aux processus d'acquisition, de fourniture, de développement, d'exploitation et de maintenance des logiciels. Elle ne constitue pas un référentiel de certification indépendant mais un guide d'interprétation qui traduit les exigences génériques de l'ISO 9001 en pratiques adaptées aux projets logiciels.
L'apport principal de l'ISO 90003 réside dans la clarification des exigences sur les processus de développement logiciel. Elle précise notamment les exigences relatives à la définition des processus de développement (méthode, jalons, critères de validation), à la gestion des configurations (versionnement, traçabilité des modifications), aux activités de vérification et de validation (inspections, tests techniques et fonctionnels, critères d'acceptation), et à la gestion des anomalies (enregistrement, suivi, résolution, vérification de la correction).
Un déploiement de Microsoft Dynamics 365 pour un distributeur industriel de 800 collaborateurs a intégré les exigences ISO 9001 dans sa gouvernance de projet. La qualification des cas de test a inclus une matrice de traçabilité reliant chaque cas de test à une exigence fonctionnelle documentée. Les critères d'acceptation de chaque lot fonctionnel ont été définis et validés par les responsables métier avant le démarrage de la phase de réalisation. Les anomalies ont été classifiées par gravité avec des délais de résolution imposés par contrat. Cette approche a produit un taux de défauts en production, sur les six premiers mois, de 40 % inférieur à la moyenne observée sur les déploiements ERP sans référentiel qualité structuré dans le même secteur.
CMMI (Capability Maturity Model Integration), développé par le Software Engineering Institute (SEI) de l'Université Carnegie Mellon, constitue un modèle de référence pour l'amélioration des processus dans les organisations qui développent, acquièrent ou maintiennent des systèmes et des logiciels. Sa structure par niveaux de maturité offre une feuille de route progressive pour les organisations qui souhaitent mesurer et améliorer leurs capacités de développement et de livraison.
Le guide d'audit CIGREF-AFAI-IFACI 2019 identifie dans son vecteur Projets (vecteur 7) la conformité réglementaire et sécuritaire comme une bonne pratique fondamentale à intégrer dès la phase de conception des systèmes. Le principe est celui du Security and Privacy by Design, rendu obligatoire par le RGPD dans son Article 25 : la protection des données doit être intégrée dans la conception du système dès ses premières phases, pas ajoutée en fin de projet.
L'extension de ce principe à la qualité globale du SI — Quality by Design — impose de définir les critères de qualité acceptables dès le lancement du projet, de les intégrer dans les contrats avec les prestataires, de les vérifier lors des recettes techniques et fonctionnelles, et de les mesurer en production. Cette approche produit un résultat systématiquement meilleur que la détection et la correction des défauts en phase finale, pour une raison documentée depuis les années 1980 par Barry Boehm : le coût de correction d'un défaut est 100 fois plus élevé en production qu'en phase de conception.
Le projet Chorus, système d'information financière de l'État français déployé entre 2008 et 2012, est devenu une référence dans la littérature française sur les défaillances de gouvernance de projet IT. Le projet a dépassé son budget initial d'environ 300 % et a produit à sa mise en production un système présentant des dysfonctionnements majeurs qui ont perturbé pendant plusieurs mois les opérations de paiement de l'État et de ses fournisseurs.
Les rapports d'audit de la Cour des comptes et de l'IGFIP (Inspection générale des finances) ont identifié plusieurs facteurs de défaillance. La gouvernance de projet était fractionnée entre de nombreux acteurs sans autorité décisionnelle clairement établie. Les tests de recette ont été conduits sur une durée insuffisante et avec une couverture fonctionnelle incomplète des cas d'usage réels. La gestion des anomalies détectées en phase de test n'a pas conduit à repousser la date de mise en production malgré des taux de défauts dépassant les seuils habituellement acceptables. Et les utilisateurs finaux n'ont pas été suffisamment impliqués dans la validation des fonctionnalités critiques. Chacun de ces facteurs correspond directement à une exigence documentée dans les référentiels ISO 9001, CMMI et les bonnes pratiques CEGSI.
Un SMQ (Système de Management de la Qualité) adapté aux SI d'une organisation doit couvrir quatre domaines distincts correspondant aux quatre chapitres du référentiel CEGSI. La gouvernance de la conception garantit que chaque nouveau système est évalué dans le cadre de l'architecture existante, avec une étude de faisabilité et de rentabilité préalable et une gestion en mode projet documentée. La gouvernance du fonctionnement assure la sécurité des opérations, l'audit périodique et le contrôle continu des anomalies. La gouvernance du pilotage établit les tableaux de bord de suivi des indicateurs de performance et de productivité. La gouvernance de l'évolution garantit que chaque modification est testée sur un environnement dédié avant mise en production et que la documentation est maintenue à jour.
Le défaut le plus fréquent dans les démarches de certification ISO 9001 dans les DSI est la production de documentation qualité qui décrit des processus idéaux non pratiqués. Des procédures de test rédigées mais jamais exécutées, des checklists de revue de code formellement définies mais systématiquement contournées sous la pression des délais, des critères d'acceptation de recette formellement établis mais négociés à la baisse en fin de projet : ces écarts entre la documentation et la pratique produisent l'illusion d'une qualité qui disparaît à la première mise en production difficile.
Les organisations qui ont construit un système de management de la qualité cohérent pour leurs SI présentent des caractéristiques mesurables et documentées. Leurs taux de défauts en production sont plus faibles. Leurs projets respectent plus fréquemment leurs budgets et leurs délais. Leurs coûts de maintenance corrective sont plus faibles, libérant des ressources pour l'innovation. Et leur capacité à passer des audits réglementaires sans incident est structurellement supérieure à celle des organisations sans dispositif qualité formalisé.
La qualité dans les SI n'est pas une discipline réservée aux grandes organisations. Les référentiels ISO 9001, ISO 90003, les bonnes pratiques CEGSI et CMMI proposent chacun une entrée adaptée à la taille et à la maturité de l'organisation. L'entrée dans une démarche qualité formalisée produit des bénéfices dès les premiers mois, à condition que la direction générale y apporte un soutien visible et que les équipes opérationnelles y soient impliquées plutôt que soumises.