J'ai reçu un rapport d'audit la semaine dernière. Quarante-deux pages. Couverture soignée, sommaire numéroté, diagrams en couleur. Le client me l'a envoyé en me demandant ce que j'en pensais. Le rapport datait de neuf mois.
Personne n'avait appliqué la moindre recommandation.
Ce n'est pas une exception. C'est la norme. Selon les retours que je collecte lors de mes missions, plus de 70 % des audits commandés ne génèrent aucun changement mesurable dans les six mois qui suivent. L'argent est dépensé, le rapport est livré, et l'organisation reprend son mouvement naturel — comme si rien ne s'était passé.
Voici ce qui ne va pas, et comment le corriger avant même de commencer.
L'erreur n°1 : auditer sans commanditaire réel
La première question à poser avant d'accepter une mission d'audit n'est pas "quel est le périmètre ?" mais "qui va porter les décisions qui en découlent ?"
Dans la moitié des cas, l'audit est commandé par quelqu'un qui n'a pas l'autorité pour faire changer les choses. Un directeur produit qui veut légitimer une décision déjà prise. Un CTO qui cherche à convaincre son board. Un manager intermédiaire qui espère que "le rapport externe" fera bouger sa hiérarchie.
Ces audits-là sont condamnés dès le départ. Non parce que les recommandations sont mauvaises, mais parce qu'elles n'ont pas de porteur avec le pouvoir et la volonté d'agir.
Avant de commencer, obtenez par écrit le nom de la personne qui prendra les décisions, la liste des décisions qu'elle est autorisée à prendre, et la date à laquelle elle s'engage à répondre aux recommandations.
Si vous ne pouvez pas obtenir ces trois éléments, l'audit ne vaut pas la peine d'être fait. Pas parce que le diagnostic serait inutile — mais parce qu'il ne changera rien.
L'erreur n°2 : vouloir tout couvrir
Le syndrome du rapport exhaustif. L'auditeur veut montrer qu'il a tout vu, tout analysé, tout documenté. Le résultat : un document de 60 pages avec 47 recommandations, dont aucune n'est priorisée.
Le destinataire ouvre le fichier, fait défiler les pages, referme. Il ne sait pas par où commencer. Et comme tout commence par le début, il ne commence pas.
Un audit utile couvre moins, pas plus. Il identifie le problème systémique central — celui dont la résolution débloque tout le reste — et construit autour de lui un plan d'action réaliste sur 90 jours.
La règle que j'applique : trois recommandations prioritaires maximum. Pas trois domaines. Trois actions concrètes avec un responsable nommé et une date.
L'erreur n°3 : livrer un rapport, pas une décision
Un rapport d'audit est un objet passif. Il documente. Il n'agit pas. Le problème, c'est que les organisations traitent les livrables comme des fins en elles-mêmes.
"Vous avez livré le rapport ? Parfait, la mission est terminée." Non. La mission est terminée quand la première décision a été prise et que son exécution a commencé.
La restitution n'est pas une soutenance. C'est une réunion de décision déguisée. Elle doit se terminer avec :
- Une décision formelle prise sur chaque recommandation prioritaire (oui / non / plus tard, avec une date)
- Un responsable désigné pour chaque action retenue
- Une date de suivi dans 30 jours, bloquée dans les agendas avant que tout le monde quitte la salle
Si la réunion se termine par "merci beaucoup, on va réfléchir à tout ça", l'audit est mort.
La structure qui fonctionne : ORCA
Voici le framework que j'utilise pour structurer mes rapports d'audit. Quatre couches, dans l'ordre.
O — Observation
Ce qu'on voit, objectivement. Pas d'interprétation encore. Des faits : le backlog compte 340 tickets non priorisés depuis plus de 6 mois. Les sprint reviews réunissent 14 personnes pour un meeting de 2 heures dont 20 minutes sont utiles. Le taux d'activation des nouveaux utilisateurs est de 23 % alors que la moyenne du secteur est à 41 %.
R — Root cause
Pourquoi ça arrive. Pas le premier "pourquoi" évident, mais le troisième ou le quatrième, celui qui désigne un problème systémique. Le backlog de 340 tickets non priorisés n'est pas un problème de backlog — c'est un problème de critères de décision : personne ne sait ce que "priorisé" veut dire dans cette organisation.
C — Conséquences
Ce que ça coûte, en termes mesurables. Temps perdu par sprint, opportunités manquées, chiffre d'affaires impacté, dette technique accumulée. Les recommandations sans coût associé n'ont aucun poids dans une réunion de direction.
A — Actions
Les trois choses à faire dans les 90 jours. Pas de vœux pieux. Des actions avec un verbe d'action, un responsable, une date et un critère de succès mesurable.
Action : [verbe + objet précis]. Responsable : [prénom + rôle]. Deadline : [date]. Succès si : [métrique observable]. Ressources nécessaires : [temps / budget / décisions préalables].
La réunion de restitution : ne pas la bâcler
La restitution est le moment le plus important de toute la mission. C'est là que l'audit devient réel ou meurt.
Quelques règles non négociables :
- Durée : 90 minutes maximum. Au-delà, l'attention chute et les décisions sont reportées.
- Les décideurs doivent être présents physiquement, pas en visio depuis un train. Les décisions importantes ne se prennent pas sur téléphone.
- Le rapport est lu avant la réunion. Envoyez-le 5 jours avant avec une consigne explicite : venez avec vos questions, pas vos réactions à chaud.
- Les 30 premières minutes sont consacrées aux faits (observations + causes). Les 60 minutes suivantes aux décisions.
- Terminez avec un relevé de décisions signé, pas des "actions à discuter".
Le suivi à J+30 : l'étape que tout le monde oublie
Même quand la restitution se passe bien, même quand les décisions sont prises et les responsables désignés, la dynamique s'érode. Les priorités du quotidien reprennent le dessus. Les actions glissent.
Le suivi à J+30 est la seule chose qui empêche ça. Une réunion de 45 minutes, point par point sur chaque action retenue : faite, en cours, bloquée. Pour chaque point bloqué, on identifie le obstacle et on prend une décision sur place.
C'est cette réunion — pas le rapport — qui fait la différence entre un audit qui change quelque chose et un audit qui finit dans un Drive.
La prochaine fois que vous commandez un audit ou que vous en réalisez un, posez-vous ces quatre questions avant de commencer :
- Qui est le commanditaire avec pouvoir de décision réel ?
- Quelles sont les trois actions prioritaires que nous voulons déclencher ?
- La restitution se terminera-t-elle avec des décisions écrites ?
- Le suivi à J+30 est-il déjà dans les agendas ?
Si vous ne pouvez pas répondre à ces quatre questions, le rapport ne changera rien. Et il finira au fond d'un Drive.
Vous avez un audit à lancer ou à relancer ?
Je réalise des diagnostics flash en 2 semaines — rapport écrit, restitution 90 min, plan d'action sur 90 jours. Aucun rapport sans suivi.
Discutons-en →