Dossier · Audit de réversibilité
Exporter les actifs, reconstruire une cible isolée et faire reprendre les fonctions critiques par l’équipe interne selon des critères fixés avant l’exercice.
Le test ne demande pas si la sortie paraît possible. Il vérifie qu’un service minimum identifié peut être restauré sur une cible donnée, avec les actifs autorisés et dans les limites approuvées par l’autorité du mandat.
La production peut rester intacte : l’exercice utilise un état source contrôlé et une cible isolée. Toute extrapolation au système complet est écrite comme une limite.
Six prérequis empêchent de confondre un échec de préparation avec une impossibilité de sortie.
Chaque phase reprend les identifiants du registre et émet une trace datée. Une phase non exécutée reste visible dans la conclusion.
| Phase | Opération | Preuve de passage |
|---|---|---|
| T0 | Figer périmètre, version et critères | Mandat et inventaire approuvés |
| T1 | Produire l’export complet | Manifestes, volumes et erreurs |
| T2 | Contrôler intégrité et exclusions | Empreintes, rapprochements et écarts |
| T3 | Charger les actifs sur la cible | Journaux d’import et objets disponibles |
| T4 | Reconstruire l’environnement | Déploiement rejoué et dépendances résolues |
| T5 | Exécuter les parcours critiques | Résultats comparés aux critères |
| T6 | Tester incident et restauration | Alertes, décisions et traces |
| T7 | Basculer dans la fenêtre prévue | Départ, interruption et reprise observés |
| T8 | Révoquer les accès source | Clés tournées et comptes retirés |
| T9 | Exécuter le retour arrière | Retour contrôlé ou réserve documentée |
| T10 | Clore l’essai | Conclusion, écarts et preuves conservées |
Le manifeste d’export ne suffit pas. Les volumes, empreintes, schémas, métadonnées, conventions temporelles et droits d’accès sont contrôlés, puis les données sont effectivement lues ou requêtées sur la cible.
Une exclusion peut être légitime. Elle doit alors être exhaustive, justifiée, reliée à son effet sur le service et acceptée avant que la conclusion soit signée.
La cible est reconstruite à partir d’artefacts versionnés. Les interfaces, identités, observabilité, sauvegardes et procédures d’incident sont rejouées. Les secrets sont recréés sur la cible, jamais copiés en clair.
Une équivalence fonctionnelle n’est pas une identité technique. Les fonctions communes et l’écart admissible entre source et cible sont définis avant la comparaison.
Le chronomètre n’est qu’une mesure parmi d’autres. Le dossier conserve aussi la perte de données, les opérations manuelles et les appels résiduels à la source.
Le responsable suspend l’exercice si les données de production risquent d’être altérées, si un secret échappe au contrôle, si le retour à l’état sûr devient impossible ou si une dépendance découverte sort du périmètre autorisé.
Chaque arrêt conserve l’heure, le fait observé, l’autorité consultée et la condition de reprise. Le retour arrière est exécuté ou son impossibilité apparaît comme une réserve.
La conclusion distingue sortie démontrée, conditionnelle et non démontrée. Elle identifie les phases non exécutées, les écarts, les dépendances résiduelles, les responsables et la date de réexamen.
Sources primaires
Dernière revue documentaire : 6 septembre 2026.
Changement de service de traitement de données et suppression des obstacles à la sortie.
Gestion du risque lié aux prestataires TIC, stratégies de sortie et plans de transition dans le secteur financier.
Mécanismes de sécurité, responsabilités du client, réversibilité et compétences.
Lignes directrices pour l’audit des systèmes de management : principes, programme, éléments probants.
Avant de nous écrire
Non. Il peut utiliser un état source contrôlé et une cible isolée. Le rapport limite alors sa conclusion au périmètre, à la version et aux conditions effectivement éprouvés.
L’autorité désignée dans le mandat l’approuve avant l’exercice à partir de la criticité du service et des obligations applicables. La méthode n’impose aucun délai universel.
Non. Il faut encore vérifier l’intégrité, reconstruire la cible, exécuter les parcours critiques, révoquer les accès source et démontrer l’autonomie de l’équipe cible.
Dossier réversibilité
Présentez la source, la cible et le service minimum attendu. Nous vérifions si les conditions d’un essai interprétable sont réunies.
Cadrer le test