Politique de gouvernance documentaire
La présente politique définit le cadre normatif de gouvernance du corpus documentaire de DIALOG : finalités, typologie officielle, domaines fonctionnels normalisés, conventions de nommage et de versionnage, mise en page standardisée, règles de référencement interne anti-redondance et arborescence cible. Elle est destinée aux équipes internes, aux contributeurs au corpus et aux auditeurs (RGPD, ANSSI, ISO/IEC 27001).
1. Objet et champ d'application
La présente politique a pour objet de définir le cadre normatif de gouvernance du corpus documentaire de DIALOG, afin de garantir la lisibilité, la cohérence, la maintenabilité et l'auditabilité de l'ensemble des documents produits par l'organisation.
Elle s'applique à tous les documents constitutifs du corpus, qu'ils soient transverses (politiques, référentiels, procédures, plans cadres, modèles, guides), opérationnels (notices, runbooks) ou propres à un projet ou un marché. Elle s'inscrit dans une démarche de maîtrise documentaire, conformément aux bonnes pratiques de gouvernance des systèmes d'information, aux recommandations de l'ANSSI et aux exigences réglementaires applicables, notamment en matière de protection des données personnelles et de sécurité des systèmes d'information.
Plus précisément, elle poursuit les objectifs suivants.
1.1. Garantir la compréhension du rôle et du statut de chaque document
La convention documentaire vise à permettre à tout lecteur — collaborateur interne, chef de projet, RSSI client, auditeur ou autorité de contrôle — d'identifier sans ambiguïté :
- la nature du document (politique, procédure, plan, référentiel, modèle, etc.) ;
- son périmètre d'application (transverse, projet, marché spécifique) ;
- son niveau de stabilité et son cycle de vie ;
- son statut (brouillon, validé, diffusé).
Cette lisibilité immédiate est essentielle pour éviter les confusions fréquentes entre documents de gouvernance, documents contractuels et documents opérationnels, et pour garantir une utilisation appropriée de chaque livrable.
1.2. Favoriser la réutilisation et la mutualisation
La convention a pour vocation de structurer le corpus documentaire de manière modulaire, afin de permettre :
- la réutilisation de documents transverses (politiques, procédures, référentiels) dans plusieurs projets ou appels d'offres ;
- la mutualisation des contenus communs à l'ensemble des activités de l'organisation ;
- la limitation des documents redondants ou redécrivant les mêmes sujets sous des formes différentes.
Cette approche permet de réduire significativement l'effort de production documentaire lors des réponses à des marchés publics ou du lancement de nouveaux projets, tout en garantissant une cohérence globale du discours et des engagements.
1.3. Réduire la redondance et les risques d'incohérence
En définissant des règles strictes de typologie des documents et de référencement interne, la convention vise à instaurer le principe suivant :
Un sujet donné est traité dans un document de référence unique, vers lequel les autres documents font explicitement renvoi.
Cette organisation permet :
- d'éviter les duplications de contenu ;
- de limiter les divergences de version ou de terminologie entre documents ;
- de réduire les risques de contradictions lors d'audits, de contrôles ou d'analyses contractuelles.
Elle contribue ainsi à renforcer la fiabilité et la crédibilité du corpus documentaire dans le temps.
1.4. Faciliter la maintenance et l'évolution du corpus
La convention documentaire est conçue pour accompagner l'évolution naturelle de l'organisation, de ses outils, de ses pratiques et du cadre réglementaire.
Elle permet notamment :
- de localiser rapidement les documents impactés par une évolution réglementaire, organisationnelle ou technique ;
- de limiter les mises à jour à un nombre restreint de documents de référence ;
- de maîtriser l'impact des évolutions sur les documents contractuels déjà transmis à des clients ou partenaires.
Cette approche contribue à réduire la charge de maintenance documentaire et à sécuriser les engagements pris vis-à-vis des donneurs d'ordre.
1.5. Renforcer la traçabilité et la conformité en cas d'audit ou de contrôle
La mise en œuvre d'une convention documentaire formalisée répond directement aux attentes des autorités de contrôle et des auditeurs, notamment dans les contextes suivants :
- audits de conformité RGPD (CNIL) ;
- audits de sécurité des systèmes d'information ;
- revues contractuelles dans le cadre de marchés publics ;
- contrôles internes ou externes de gouvernance SSI.
La standardisation des métadonnées (version, propriétaire, statut, date d'entrée en vigueur, périmètre) et des règles de référencement permet de démontrer une maîtrise effective de la documentation, élément clé de la conformité réglementaire et de la maturité organisationnelle.
1.6. Soutenir la montée en maturité organisationnelle et la transmission des connaissances
Enfin, la convention documentaire constitue un levier structurant pour :
- homogénéiser les pratiques entre les équipes ;
- faciliter l'appropriation des documents par les nouveaux collaborateurs ;
- capitaliser durablement sur le savoir-faire de l'organisation ;
- assurer une continuité documentaire indépendante des personnes.
Elle participe ainsi à la professionnalisation des pratiques de gouvernance, de sécurité et de gestion de projets, en cohérence avec les exigences du secteur public et les standards de l'état de l'art.
2. Références
2.1. Références réglementaires et normatives
La présente politique s'inscrit dans le respect des obligations légales, réglementaires et normatives suivantes :
- le Règlement (UE) 2016/679 (RGPD), en particulier son article 5.2 (accountability) qui implique de pouvoir démontrer la conformité par une documentation maîtrisée ;
- les recommandations et lignes directrices de la CNIL sur la documentation des traitements et l'accountability ;
- les recommandations de l'ANSSI relatives à la gouvernance documentaire SSI et au Référentiel Général de Sécurité (RGS) ;
- la norme ISO/IEC 27001:2022, en particulier les mesures A.5.10 « Acceptable use of information and other associated assets », A.5.12 « Classification of information », A.5.13 « Labelling of information » et plus largement l'exigence générale d'une documentation contrôlée du SMSI (clause 7.5).
2.2. Documents internes de référence
La présente politique s'articule notamment avec :
- la politique de sécurité des systèmes d'information ;
- la politique de classification de l'information, qui précise la classification par défaut des documents du corpus ;
- la politique de protection des données personnelles ;
- le sommaire du corpus documentaire (non disponible sur ce site), qui en constitue l'inventaire opérationnel ;
- le guide de rédaction d'un document avec Word (non disponible sur ce site).
3. Typologie officielle des documents (fondation)
Chaque document appartient obligatoirement à une catégorie unique.
| Code | Type de document | Finalité | Stabilité |
|---|---|---|---|
| POL | Politique | Principes, gouvernance | Très stable |
| REF | Référentiel | Mesures, exigences | Stable |
| PRO | Procédure | Comment on fait | Évolutif |
| PLAN | Plan | Organisation projet / marché | Dépendant du client |
| MOD | Modèle | Réutilisable / vierge | Stable |
| NOT | Notices | Notices, tutoriels ... | Évolutif |
| RUNBOOK | Pas à pas | Comment faire concrètement | Évolutif |
| GUIDE | Guide | Guides internes d'appropriation et de formation | Évolutif |
Un document = un seul type, jamais hybride.
4. Domaines fonctionnels normalisés
Pour éviter les intitulés variables, utilisez la liste fermée de domaines ci-dessous :
| Domaine | Signification |
|---|---|
| SSI | Sécurité des systèmes d'information |
| RGPD | Protection des données |
| GOUV | Gouvernance |
| PROJET | Pilotage projet |
| ARCHI | Architecture |
| EXPLOIT | Exploitation / maintien en condition opérationnelle (MCO) |
| JUR | Contractuel / juridique |
| RH | Ressources humaines |
| CONTINUITE | Continuité de l'activité |
| DATA | Gestion de la data |
5. Convention de nommage des fichiers
La convention de nommage permet un tri automatique et cohérent des documents, grâce à une structure normalisée facilitant leur classement dans les répertoires partagés, outils collaboratifs ou solutions de gestion électronique de documents (GED).
Elle assure une compréhension immédiate du contenu et du rôle de chaque fichier, le nom du document rendant explicites son type, son domaine fonctionnel et son niveau de version, sans qu'il soit nécessaire de l'ouvrir.
Enfin, cette convention garantit une compatibilité native avec les outils de GED et de travail collaboratif (SharePoint, Nextcloud, Teams, etc.), en facilitant l'indexation, la recherche, le contrôle des versions et la gestion des droits d'accès.
5.1. Format standard (obligatoire)
[DIALOG]_[TYPE]_[DOMAINE]_[OBJET]_vX.Y.docx
5.2. Exemples concrets
| Document | Nom de fichier |
|---|---|
| Politique RGPD | DIALOG_POL_RGPD_PolitiqueProtectionDonnees_v1.0.docx |
| Procédure incidents | DIALOG_PRO_SSI_GestionIncidents_v1.2.docx |
| PAS générique | DIALOG_PLAN_SSI_PlanAssuranceSecurite_Modele_v1.0.docx |
| PMCS générique | DIALOG_PRO_SSI_MaintienConditionSecurite_v1.1.docx |
6. Convention de versionnage (simple et robuste)
6.1. Format
vMAJEUR.MINEUR
6.2. Règles
- MAJEUR (v2.0 → v3.0) : changement de périmètre, de principes, ou impact contractuel ;
- MINEUR (v2.1 → v2.2) : clarification, mise à jour technique, correction.
❌ Pas de dates dans les noms de fichiers ; ✅ les dates vont dans le document.
7. Mise en page standardisée (Word)
Chaque document doit commencer par la même structure.
Utilisez le modèle de document DIALOG_MOD_GOUV_ModèleDeDocument_v1.0.docx prévu à cet effet pour initialiser tous vos nouveaux documents.
7.1. Page de garde
La page de garde permet de placer le document dans l'univers visuel de DIALOG et de Upcoop tout en fournissant au lecteur les informations importantes dès la première page.
Le pied de page de la page de garde doit être vierge.
7.2. Page des cartouches de métadonnées minimales
Chaque document du corpus doit comporter un cartouche de métadonnées standardisé, placé en début de document, permettant d'identifier sans ambiguïté son contenu, son statut et son périmètre d'application.
Ce cartouche précise notamment le type de document, son domaine fonctionnel, sa version, sa date d'entrée en vigueur, son propriétaire, sa classification (sensibilité) et sa diffusion (audiences autorisées). Les deux axes de classification et de diffusion sont distincts et complémentaires, conformément à la politique de classification de l'information (chapitres 4 et 5) :
- la classification prend l'une des valeurs
Public,Interne,Confidentiel,Sensible; - la diffusion prend une ou plusieurs valeurs parmi
libre,client,fournisseur,interne,aucune(la valeuraucuneétant exclusive).
Pour les documents du corpus Codex (.mdx), ces deux axes sont également portés par les champs classification et diffusion du frontmatter.
Le cartouche constitue un élément clé de la traçabilité documentaire et facilite la gestion des versions, la diffusion contrôlée et les audits internes ou externes.
La présence et la mise à jour de ce cartouche sont obligatoires pour tout document diffusé ou référencé dans le cadre du corpus.
Cette page de métadonnées est clé en audit CNIL. La double information classification × diffusion permet de démontrer, document par document, que la diffusion réelle (qui a reçu quoi) est conforme à la diffusion autorisée.
7.3. Légende des blocs de mise en valeur
Pour faciliter la lecture des documents et notamment pour mettre en valeur les informations importantes, un ensemble de blocs ont été normalisés.
La page qui explique la signification de chaque bloc doit impérativement être présente au début du document.
7.4. Table des matières
Tous les documents doivent proposer une table des matières, même s'ils ne sont composés que d'un seul chapitre.
8. Règle de référencement interne (anti-redondance)
La règle de référencement interne a pour objectif de garantir la cohérence, la lisibilité et la maintenabilité du corpus documentaire, en évitant toute redondance inutile et tout risque d'incohérence entre les documents.
Elle repose sur le principe fondamental suivant :
Chaque sujet ou processus est décrit dans un document de référence unique.
Les autres documents s'y rapportant doivent explicitement y faire référence, sans en reprendre le contenu détaillé.
8.1. Principe de non-duplication des contenus
Il est strictement proscrit de recopier intégralement ou partiellement le contenu d'un document de référence (politique, procédure ou référentiel) dans un autre document, notamment dans les plans ou documents projet.
Toute duplication de contenu augmente le risque de divergence de version, de contradiction en audit et de perte de maîtrise documentaire.
Les documents de type plan (ex. PAS, PMCS projet) ou modèle doivent se limiter à :
- décrire le contexte spécifique auquel ils s'appliquent ;
- préciser les éventuelles adaptations ou dérogations ;
- référencer les documents de niveau supérieur applicables.
8.2. Modalités de référencement obligatoires
Tout référencement interne doit être explicite, normé et vérifiable. À ce titre, les références doivent mentionner à minima :
- l'intitulé exact du document de référence ;
- son type documentaire ;
- sa version en vigueur.
La formulation suivante est recommandée et doit être utilisée de manière homogène dans l'ensemble du corpus :
« Conformément à la procédure DIALOG_PRO_SSI_GestionIncidents_v1.2, la gestion des incidents de sécurité est assurée par... »
Ce formalisme garantit que le lecteur puisse identifier sans ambiguïté la source faisant autorité et vérifier sa validité.
8.3. Hiérarchie documentaire et portée des références
Le référencement interne s'inscrit dans une hiérarchie documentaire clairement définie :
- les politiques fixent les principes et le cadre général ;
- les référentiels et procédures décrivent les règles et les modalités opérationnelles ;
- les plans et documents projet appliquent ces règles à un contexte donné ;
- les notices et guides complètent sans se substituer aux procédures / référentiels selon leur public ;
- les runbooks décrivent les opérations au pas à pas, en complément des procédures.
Un document de niveau inférieur ne peut ni contredire ni redéfinir un document de niveau supérieur. En cas de nécessité d'adaptation locale ou contractuelle, celle-ci doit être explicitement mentionnée comme telle, sans modification du document de référence.
8.4. Gestion des évolutions et impacts documentaires
Lorsqu'un document de référence est mis à jour, les documents qui y font référence ne doivent pas être modifiés tant que la référence reste valide et applicable.
Ce mécanisme permet de limiter les mises à jour en cascade et de maîtriser l'impact des évolutions réglementaires, organisationnelles ou techniques.
En cas d'incompatibilité avérée entre une nouvelle version d'un document de référence et un document projet existant, une analyse d'impact doit être réalisée afin de déterminer la nécessité :
- d'une mise à jour du document projet ;
- ou d'une mention de dérogation formalisée.
8.5. Enjeux de conformité et de gouvernance
Le respect strict des règles de référencement interne permet de démontrer une maîtrise documentaire conforme aux attentes des autorités de contrôle et des auditeurs (CNIL, RSSI clients, auditeurs SSI).
Il participe à la traçabilité des engagements, à la clarté des responsabilités et à la fiabilité du corpus documentaire, éléments essentiels dans les contextes de marchés publics et de gestion de données sensibles.
9. Arborescence cible et sommaire du corpus
L'arborescence cible du corpus documentaire repose sur une organisation à deux niveaux, combinant la nature des documents (politiques, référentiels, procédures, plans, modèles, notices, runbooks et guides / formations) et leur domaine fonctionnel (gouvernance, sécurité, RGPD, projet, exploitation, etc.).
Cette structuration vise à garantir une séparation claire entre les documents de gouvernance, les documents opérationnels et les documents spécifiques aux projets ou marchés. Elle facilite la recherche et la réutilisation des documents, limite les redondances et permet une maintenance maîtrisée et durable du corpus.
L'état détaillé du corpus (liste exhaustive des documents, version courante, résumé) n'est volontairement pas maintenu dans la présente politique, afin d'éviter toute désynchronisation entre la doctrine et l'inventaire opérationnel.
L'inventaire des documents constituant le corpus documentaire est tenu à jour dans un document dédié, qui fait office de sommaire de référence : Sommaire du corpus documentaire (non disponible sur ce site).
Pour le pilotage des projets au sens de la politique de gouvernance des projets (non disponible sur ce site), les documents PROJET s'inscrivent dans le même corpus et respectent les mêmes règles de nommage et de versionnage que celles définies dans la présente politique.
10. Sensibilisation, contrôle et amélioration continue
10.1. Sensibilisation et formation
Le cadre transverse de sensibilisation et de formation à la sécurité est défini par la politique de sécurité des systèmes d'information (chapitre 11.1). La présente politique est intégrée aux dispositifs de sensibilisation à destination des contributeurs au corpus documentaire (équipes projet, RSSI, DPO, équipes administratives, équipes techniques) afin d'assurer une compréhension partagée de la typologie, du nommage, du versionnage, de la mise en page et des règles de référencement. Le guide de rédaction d'un document avec Word (non disponible sur ce site) constitue un support d'appropriation pour les rédacteurs.
10.2. Contrôle et conformité du corpus
Des contrôles internes vérifient :
- le respect de la typologie et des domaines fonctionnels normalisés ;
- la conformité des noms de fichiers à la convention de nommage ;
- la présence et la qualité des cartouches de métadonnées dans les documents Word ;
- la cohérence du référencement interne (absence de duplication, références correctes, versions à jour) ;
- la cohérence entre la présente politique, le sommaire du corpus et l'arborescence effectivement déployée.
La maîtrise documentaire peut également être évaluée dans le cadre d'audits internes ou externes (RGPD/CNIL, ISO/IEC 27001 §A.5 et clause 7.5, audits clients sur marchés publics). Les écarts constatés font l'objet d'actions correctives proportionnées dont la mise en œuvre est suivie jusqu'à clôture.
10.3. Amélioration continue et évolution de la politique
DIALOG intègre les retours d'expérience issus des audits, des actions de contrôle, de l'évolution de l'organisation et des outils (transition Word vers les outils collaboratifs structurants — SharePoint, Docusaurus, GED — par exemple), ainsi que des évolutions réglementaires et normatives. Sur cette base, la présente politique et le sommaire du corpus sont actualisés chaque fois que nécessaire. Les mises à jour sont documentées et diffusées auprès des parties concernées.
11. Entrée en vigueur, versionnement et diffusion
11.1. Entrée en vigueur et validation
La présente politique entre en vigueur à compter de sa date de validation par la Direction de DIALOG. Elle s'applique à tout document du corpus produit, mis à jour ou diffusé à compter de cette date. Les documents préexistants sont mis en conformité progressivement, à l'occasion de leur prochaine évolution.
Le versionnement de la présente politique suit les règles définies au chapitre 6 ; la version courante est portée par le suffixe vMAJEUR.MINEUR du nom du fichier.
11.2. Cadence de revue
La présente politique fait l'objet d'une revue annuelle, ainsi que d'une mise à jour ponctuelle en cas d'évolution significative du contexte (réglementation, organisation, outils documentaires retenus, retours d'expérience d'audits). Les modalités de capitalisation des évolutions sont précisées au chapitre 10.3.
11.3. Diffusion et application
La présente politique porte la classification Public et la diffusion interne au sens de la politique de classification de l'information. Elle est diffusée auprès de l'ensemble des contributeurs au corpus documentaire et mise à leur disposition par tout moyen approprié (Codex authentifié codex.dialog.fr). Elle peut être communiquée, le cas échéant, aux clients, partenaires ou autorités compétentes, dans le respect des audiences autorisées par la diffusion qui lui sera attribuée pour cette fin, et des règles de confidentialité applicables.
Tout document du corpus respecte les règles suivantes :
- la classification et la diffusion sont qualifiées dès la création du document, conformément à la grille de défaut fixée par la politique de classification de l'information (chapitre 6) ;
- la diffusion détermine les canaux de publication autorisés :
librepourdocs.dialog.fr,clientpour les espaces contractuels client,internepour le Codex authentifié, etc. ; - la modification de classification ou de diffusion d'un document existant suit les règles de révision définies par la politique de classification (§4.3 et §5.4).
Tout manquement aux principes définis par la présente politique est susceptible d'entraîner des mesures appropriées, conformément aux règles internes en vigueur.
12. Documents associés
12.1. Politiques articulées
- Politique de sécurité des systèmes d'information ;
- Politique de classification de l'information ;
- Politique de rétention et d'archivage (non disponible sur ce site) ;
- Politique de protection des données personnelles ;
- Politique de gouvernance des projets (non disponible sur ce site).
12.2. Référentiels
- Sommaire du corpus documentaire (non disponible sur ce site) ;
- Référentiel de correspondance ISO 27001 et ANSSI (non disponible sur ce site) ;
- Référentiels externes (non disponible sur ce site).
12.3. Guides
- Guide de rédaction d'un document avec Word (non disponible sur ce site) ;
- Guide de rédaction d'un cahier des charges (non disponible sur ce site).