Établir un diagnostic
Une suppression dans un seul outil peut laisser subsister des copies et échanges non examinés.
Classer les informations en trois états : constaté, déclaré mais non confirmé, et inconnu. Cette distinction rend les prochaines vérifications plus utiles qu’une note de maturité attribuée sans preuve.
Rechercher les données d’une personne fictive à travers les systèmes identifiés et vérifier cohérence, périmètre et absence de divulgation tierce.
Suivre demandes en retard, recherches incomplètes et causes de blocage.
Application à votre contexte
Confrontez les entretiens, les documents et au moins une observation de fonctionnement. Conservez les divergences : elles sont souvent plus instructives qu'un score de maturité calculé trop tôt.
Une mesure annoncée doit pouvoir être rapprochée d'un traitement, d'un contrat ou d'un contrôle observable. Une certification ou une déclaration d'un fournisseur ne couvre pas automatiquement vos configurations, vos usages et vos propres responsabilités.
Trois actions de départ
- Définir un circuit de traitement
- Cartographier les données et responsables
- Tester une demande complète sur un cas fictif