Recommander des évolutions : prioriser un plan d'action

Recommander des évolutions, c'est transformer des constats en actions vérifiables, puis les ordonner selon le risque évité, l'effort demandé et ce que l'équipe peut absorber. Une revue d'architecture qui s'arrête aux constats laisse le décideur devant vingt problèmes sans savoir par lequel commencer. Cette leçon s'adresse à la piste Architecte. Vous partez de constats déjà établis, vous écrivez les recommandations, vous les classez sur trois critères (gravité, probabilité, effort), vous séparez les gains rapides des chantiers structurants, puis vous bâtissez le plan. C'est le geste que l'épreuve de la fin de ce module note.

Ce que vous allez apprendre

• Formuler une recommandation qui décrit un résultat et son critère de vérification, jamais un produit.
• Classer des recommandations par gravité, probabilité et effort, avec des échelles écrites d'avance.
• Distinguer un gain rapide d'un chantier structurant, et découper une action trop grosse.
• Ordonner un plan en tenant compte des dépendances, des échéances et de la capacité de l'équipe.
• Reconnaître les erreurs de plan les plus fréquentes : liste sans rang, recommandation maximaliste, risque accepté sans signature.

Prérequis : la leçon Well-Architected Frameworks, qui enseigne la revue par axe, la note adossée à une preuve et le principe « un risque accepté se signe » ; la leçon Concevoir une architecture cible, qui apprend à chiffrer des exigences et à consigner une décision dans un ADR (Architecture Decision Record, la fiche qui garde le contexte, le choix et ses conséquences) ; et la lecture d'une architecture (flux, état, dépendances, points uniques de défaillance) enseignée par la formation Architecture des services. Les notions de RTO et de RPO viennent de la leçon Résilience cloud. Cette page suppose les constats déjà trouvés : elle n'enseigne pas à les chercher, elle enseigne ce qu'on en fait.

Qu'est-ce qu'une recommandation vérifiable ?

Une recommandation vérifiable décrit le résultat à obtenir, la façon de constater qu'il est obtenu et ce que cela coûte. « Renforcer la sécurité de la base » n'est pas une recommandation : personne ne peut dire un jour si elle est faite. « Aucune machine de recette ne peut ouvrir une connexion vers la base de production, ce que prouve un test de connexion refusé » en est une. Elle se vérifie chez n'importe quel fournisseur, parce qu'elle nomme une propriété et non un produit.

Six champs suffisent à rendre une recommandation complète. L'action dit ce qui change. Le critère de vérification dit comment le constater, par une commande, un test ou une mesure. L'effet attendu relie l'action au constat qu'elle traite. L'effort s'exprime en jours-personne (un jour de travail d'une personne), et le coût en euros par mois quand l'action en crée ou en économise. Le risque résiduel dit ce qui reste vrai une fois l'action faite, car aucune action ne ramène un risque à zéro.

Un test simple vérifie qu'une recommandation est finie : le directeur technique demande « qu'est-ce que je fais lundi matin, combien cela coûte-t-il, et comment saurai-je que cela fonctionne ? ». Si le texte ne répond pas à ces trois questions, il reste un constat reformulé. L'exemple de la leçon écrit deux recommandations sur ce modèle.

Comment classer : gravité, probabilité, effort ?

Trois critères suffisent pour ordonner : la gravité de ce qui arrive si le risque se réalise, sa probabilité, et l'effort pour le traiter. La gravité et la probabilité se multiplient en un niveau de risque de 1 à 9. L'effort ne s'y ajoute pas : il sert ensuite à départager et à séparer ce qu'on fait tout de suite de ce qu'on planifie. Écrire les échelles avant de noter évite de les ajuster pour retrouver l'ordre qu'on avait déjà en tête.

Note	Gravité (si le risque se réalise)	Probabilité (sur les douze prochains mois)
1	gêne sans effet sur un engagement ni sur les données	n'est pas attendu dans l'année
2	engagement dégradé, ou donnée récupérable	peut arriver dans l'année
3	engagement contractuel rompu, donnée perdue ou exposée	arrive déjà, ou plusieurs fois par an

Glissez pour voir

Ces échelles sont une proposition de travail, pas un standard, et il en va de même du produit gravité fois probabilité : c'est une convention de la leçon, courante dans les matrices de risque mais qu'aucune norme n'impose. Une organisation avec d'autres enjeux (santé, finance) les écrira autrement. Ce qui compte est qu'elles soient écrites, partagées et appliquées à tous les constats. Une note de probabilité s'appuie, comme une note de revue, sur une base : un incident déjà arrivé, une mesure, ou une hypothèse déclarée comme telle.

Le niveau de risque ne dit pas tout. Une gravité de 3 à probabilité faible donne un niveau de 3, juste au niveau d'une gêne fréquente, alors que la première rompt un contrat. La règle de bon sens : toute gravité 3 reste dans le plan, avec une date, même à faible probabilité. Le niveau de risque trie, il ne supprime rien.

Gain rapide ou chantier structurant ?

Un gain rapide se fait en deux jours-personne au plus, sans dépendre d'une autre action, et se défait si besoin ; tout le reste est un chantier structurant. Cette frontière est une convention de la leçon, à adapter à la taille de l'équipe, mais elle doit être écrite. Les deux catégories ne se traitent pas pareil. Les gains rapides se lancent le mois même, sans comité : ils réduisent un risque réel pour presque rien et prouvent à la direction que la revue produit un effet.

Un chantier structurant change la forme de l'architecture : une seconde zone, un pipeline de construction, un remplacement de composant. Il se planifie, se découpe en étapes vérifiables, et dépend souvent d'un autre chantier. Il demande une décision (comparer des options, voir la leçon sur la décision d'architecture) quand plusieurs voies existent.

Une recommandation trop grosse se découpe. « Isoler la recette de la production » mêle deux actions qui n'ont pas le même coût : couper l'accès (une demi-journée) et fournir un jeu de données de remplacement (plusieurs jours). La première est un gain rapide qui retire l'essentiel du risque, la seconde un chantier qui retire le risque résiduel. Découper donne souvent le meilleur rapport risque évité sur effort, et la cohérence du plan se juge à cette finesse.

Exemple travaillé : le plan de Salon-Express

Salon-Express est une billetterie en ligne pour salons professionnels : un plan en sept recommandations tient sur une page et dans la capacité de l'équipe. Ce cas est inventé pour la leçon. Il y a 40 000 billets par an, avec des pics à l'ouverture des ventes. L'équipe compte quatre personnes. Le contrat client promet une disponibilité de 99,5 %, un RTO de 2 heures (durée maximale pour rétablir le service) et un RPO de 1 heure (perte de données maximale). Trois contraintes cadrent le plan : l'équipe peut consacrer 6 jours-personne par mois à l'amélioration, le budget d'infrastructure ne peut pas augmenter de plus de 300 € par mois, et un client demande un audit de conformité sur les données personnelles dans quatre mois.

La revue a établi six constats, que l'on prend tels quels. Chacun est noté avec les échelles ci-dessus, la note de probabilité s'appuyant sur le fait indiqué.

N°	Constat	Fait qui l'appuie	Gravité	Probabilité	Risque
C1	La recette utilise les identifiants de la base de production	des prestataires accèdent à la recette ; les données de visiteurs y sont lisibles	3	2	6
C2	Aucune alerte sur les erreurs applicatives	trois incidents en deux mois découverts par des clients, 50 minutes en moyenne	2	3	6
C3	Journaux applicatifs conservés sans limite	400 Go, +15 % par mois, 85 € par mois	1	3	3
C4	Machines construites à la main	trois versions de système sur cinq machines, une réinstallation prend environ un jour	2	2	4
C5	Application et base dans une seule zone	la restauration de la base, mesurée lors d'un test, a pris 3 h 10 pour un RTO de 2 h	3	1	3
C6	Le composant de files de messages sort de support dans 14 mois	annonce de fin de support de l'éditeur	2	2	4

Glissez pour voir

Lisez C5 avec attention : son niveau de risque est de 3, comme celui d'une gêne sur les journaux applicatifs, mais l'engagement du contrat est déjà rompu par la mesure du test. La règle « toute gravité 3 reste dans le plan » le protège d'un classement trop bas. Les sept recommandations qui suivent traitent ces six constats ; C1 en produit deux, car on le découpe.

Rang	Recommandation	Constat	Effort	Type	Dépend de
1	R1. Couper l'accès de la recette à la base de production	C1	0,5 j	gain rapide	rien
2	R2. Alerter sur le taux d'erreurs et la latence	C2	2 j	gain rapide	rien
3	R3. Limiter la conservation des journaux applicatifs	C3	0,5 j	gain rapide	rien
4	R4. Construire les machines par un pipeline	C4	10 j	chantier	rien
5	R5. Fournir à la recette un jeu de données anonymisé	C1	8 j	chantier	R1
6	R6. Répartir l'application et la base sur deux zones	C5	15 j	chantier	R4
7	R7. Remplacer le composant de files de messages	C6	20 j	chantier	rien, échéance à 14 mois

Glissez pour voir

R3 ne vise que les journaux applicatifs. Le journal d'audit, qui trace qui a fait quoi sur le compte, garde la durée exigée : au moins six mois selon la leçon IAM : gérer les identités et permissions, davantage si une obligation légale l'impose. L'audit de conformité attendu par le client de Salon-Express en aura besoin : raccourcir sa conservation pour économiser quelques euros créerait un nouveau constat.

Voici deux de ces recommandations écrites en entier, une de chaque type, avec les six champs.

Champ	R1, gain rapide	R6, chantier structurant
Action	Retirer les identifiants et la route réseau de la recette vers la base de production	Placer une machine applicative par zone et une réplique de la base dans la seconde zone
Critère de vérification	Depuis une machine de recette, une connexion vers la base de production est refusée ; la configuration de recette ne contient plus d'identifiant de production	Une coupure de la zone principale est simulée : le service est rétabli en moins de 2 heures, chronomètre en main, perte de données inférieure à 1 heure
Effet attendu	Plus aucune donnée de visiteurs lisible depuis la recette (traite C1)	L'engagement de RTO de 2 heures est tenu et mesuré (traite C5)
Effort et coût	0,5 jour-personne, 0 € par mois	15 jours-personne, environ +250 € par mois (estimation à confirmer sur la grille tarifaire du fournisseur)
Risque résiduel	La recette n'a plus de données réalistes : les tests en pâtissent jusqu'à R5	Une panne qui touche les deux zones ou le fournisseur entier reste possible ; un second test de coupure est planifié tous les six mois
Dépend de	rien	R4 : sans machines reproductibles, créer la seconde zone est manuel et lent

Glissez pour voir

Le classement n'est pas un simple tri par niveau de risque. Trois forces le corrigent. D'abord les gains rapides passent en premier : R1, R2 et R3 coûtent trois jours-personne en tout, soit la moitié d'un mois de capacité. Puis une dépendance impose l'ordre : R6 traite l'engagement déjà rompu, mais ne peut pas démarrer avant R4, donc R4 passe devant. Enfin une échéance place R5 avant R6 : l'audit tombe dans quatre mois et R5 doit être finie avant. Ce choix laisse l'engagement de RTO rompu jusqu'à la fin de R6, au mois 6 : ce risque est à accepter par écrit le temps du chantier. R7, de niveau 4 mais sans urgence immédiate, se planifie assez tôt pour finir avant la fin du support.

Le plan tient-il dans la capacité de l'équipe ?

Un plan n'est crédible que si la somme des efforts tient dans la capacité disponible. Les sept actions représentent 56 jours-personne (0,5 + 2 + 0,5 + 10 + 8 + 15 + 20). À 6 jours par mois, cela fait un peu plus de neuf mois, donc un plan de dix mois. Le budget se vérifie de la même façon : R2 ajoute environ 20 € par mois, R6 environ 250 €, R3 économise environ 60 € (estimations à confirmer), soit un solde proche de +210 € par mois, sous le plafond de 300 €.

Le calendrier découle des dépendances et des échéances. Au mois 1, les trois gains rapides (3 jours) et le début de R4 (3 jours). Aux mois 2 et 3, la fin de R4 (7 jours) puis le début de R5. Au mois 4, la fin de R5 avant l'audit, puis le démarrage de R6. Aux mois 5 et 6, la fin de R6. À partir du mois 7, R7, qui demande vingt jours et se termine au mois 10, plusieurs mois avant la fin du support à 14 mois. Cette marge est volontaire : un chantier de remplacement dérape presque toujours.

Chaque ligne du plan reste révisable. Un incident, un départ dans l'équipe ou un client qui change son contrat déplacent l'ordre. Un plan utile dit donc aussi à quelle condition il se rouvre, comme un ADR, et nomme la personne qui arbitre quand la capacité manque. Un risque qu'on choisit de ne pas traiter est accepté par écrit, avec un nom et une date de revue.

Quelles erreurs fragilisent un plan de recommandations ?

Six erreurs reviennent presque toujours, et aucune ne dépend du sujet. La première est la liste sans rang : vingt constats alignés n'aident personne à décider. La deuxième est la recommandation maximaliste, par exemple « tout reconstruire sur plusieurs régions », qui ignore le budget de 300 € et les 6 jours par mois. La troisième est le produit à la place du critère : citer un service sans dire quelle propriété on cherche, ce qui rend la recommandation intransposable.

La quatrième est le plan hors capacité : sept actions de 56 jours promises sur trois mois ne seront pas tenues, et l'équipe cessera de croire le plan. La cinquième est l'oubli des dépendances : planifier la seconde zone avant les machines reproductibles oblige à tout faire deux fois. La sixième est le risque accepté sans signature : un risque laissé de côté sans nom ni date de revue n'est pas accepté, il est oublié. Un défaut plus discret s'y ajoute : classer par ancienneté ou par volume, c'est traiter le constat le plus vieux ou le plus nombreux, pas celui qui expose le plus.

Pour approfondir, la page sur la dette de sécurité montre le même raisonnement de priorisation par le risque appliqué aux vulnérabilités. La matrice effort et valeur de la leçon sur les stratégies de migration applique l'effort comme second axe pour une autre décision : le principe est voisin, les critères diffèrent.

Comment vérifier que vous savez le faire seul ?

Refaites le plan avec une capacité de 3 jours-personne par mois : si vous savez dire ce qui change et qui arbitre, vous maîtrisez le geste. Gardez les mêmes sept recommandations et les mêmes dépendances. Posez-vous trois questions. Les sept actions tiennent-elles encore dans l'échéance de l'audit à quatre mois et dans celle de la fin de support à quatorze mois ? Quelle recommandation passe devant R4 pour tenir l'audit ? Quel risque faut-il accepter, et par qui est-il signé ?

Contrôlez votre réponse : à 3 jours par mois, les 56 jours demandent près de 19 mois, ce qui dépasse l'échéance de 14 mois de R7. Le plan ne tient pas tel quel. L'audit, lui, tient : R1, R2, R3 et R5 demandent 11 jours, pour 12 disponibles en quatre mois, à condition de passer R5 avant R4. Pour la fin de support, il faut arbitrer : demander de la capacité, repousser R6 en acceptant par écrit un RTO non tenu plus longtemps, ou découper R7. Une bonne réponse nomme le risque accepté, sa date de revue et la personne qui le signe. Elle ne se contente pas de décaler les dates sans rien dire de ce qui reste exposé.

À retenir

• Une recommandation décrit un résultat et son critère de vérification, avec effet attendu, effort en jours-personne, coût et risque résiduel ; elle ne nomme pas un produit.
• Le niveau de risque est gravité fois probabilité, sur des échelles écrites avant de noter, chaque note s'appuyant sur un fait ou une hypothèse déclarée.
• Toute gravité 3 reste dans le plan, même à faible probabilité : le niveau de risque trie, il ne supprime rien.
• Un gain rapide coûte deux jours-personne au plus, ne dépend de rien et se défait si besoin ; un chantier structurant se planifie, se découpe et demande souvent une décision d'architecture.
• Découper une recommandation trop grosse donne souvent le meilleur rapport entre le risque retiré et l'effort.
• L'ordre du plan combine le risque, les dépendances, les échéances et la capacité, et un risque non traité est accepté par écrit, avec une personne qui signe.

Contrôle de connaissances

Vérifiez que l'essentiel de ce guide est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →