Matrice des responsabilités

1) Destination et valeur

La matrice RACI rend les rôles et les points de décision transparents à chaque étape du processus, réduit les risques opérationnels et accélère les rapprochements.

• éliminer les « zones d'ombre » et la duplication des efforts ;
• veiller à l'applicabilité des politiques et des exigences de contrôle ;
• simplifier l'audit par des affectations de rôle prouvées.

2) Termes et variantes

R (Responsible) : Exécute le travail/tâche.
A (Comptable) - a la responsabilité finale, approuve le résultat (un par tâche).
C (Consulted) - conseille, est impliqué avant la décision (communication bilatérale).
I (Informed) - notifiée après la décision (communication unilatérale).

• RASCI : ajoute S (Support) - support opérationnel pour l'artiste.
• DACI : D (Driver), A (Approver), C (Contributor), I (Informed) : Accent mis sur le pilote.
• RAPID : Recommend, Agree, Performance, Input, Decide - utile pour les solutions de produits.

3) Principes de conception RACI

1. Un A par tâche est la responsabilité sans équivoque.
2. Autant de R que nécessaire, mais éviter « R pour tout ».
3. C - en fait, pas « juste au cas où » (sinon nous freinons le flux).
4. I - ciblé : nous informons ceux dont les actions dépendent du résultat.
5. Lien avec le DoA/SoD : les pouvoirs et la répartition des responsabilités ne doivent pas entrer en conflit avec le RACI.
6. Versioning : modifications RACI → PR/rhubarbe/hachage reçu → publication.

4) Où appliquer

Incidents et crises (IB/paiements/vie privée).
DSAR/rétention/suppression de données.
VRM/onbording et vérification des partenaires.
Sorties et gates de conformité en CI/CD.
Marketing et publicité responsable.
Litiges de paiement/chargeback.
BCP/DR et Legal Hold.

5) Rôles (dictionnaire approximatif)

Board/Комитет, CEO/ExCom, Head of Compliance, Legal/DPO, Risk Office, Internal Audit, CISO/SecOps, CTO/Platform, Data Governance, Payments/Finance, Vendor Management, Marketing/PR, Support/Operations, HR/L&D, Product/Engineering, Regional Leads.

6) Exemples de matrices RACI

6. 1 Incident de confidentialité (fuite de données)

6. 2 DSAR : accès/suppression

6. 3 Onbording du vendeur critique (VRM)

6. 4 version gate de conformité

7) Communication avec le DoA/SoD et les politiques

DoA (Delegation of Authority) : A doit avoir les pouvoirs d'approbation prescrits dans le DoA.
SoD (Séparation of Duties) : R et A dans les étapes critiques ne sont pas combinées avec l'exécution des paiements/actions admin.
Politiques/normes : chaque ligne de la matrice fait référence aux approbations de contrôle et aux SOP.

8) Processus de création et de modification de RACI

1. Supprimer le processus en cours (diagramme E2E, points de décision).
2. Définir les rôles à partir du dictionnaire, négocier avec les propriétaires de domaine.
3. Remplir RACI au niveau des étapes/solutions, vérifier les conflits avec DoA/SoD.
4. Valider en pratique (table-top/simulation).
5. Approuver et publier dans le référentiel (Git), inclure dans le wiki/portail.
6. Prise en charge de la pertinence : déclencheurs - changement d'organisation, jura. mises à jour, résultat de l'audit/incident.
7. Versioning et preuves : Histoire PR, reçus de hachage, archives WORM.

9) Métriques et dashboards

RACI Coverage :% des processus clés avec une matrice fraîche.
Conformité Single-A : proportion de tâches avec exactement un A (objectif 100 %).
C/I Noise Ratio : consonances supplémentaires/notifiables (tendance ↓).
Time-to-Decision : la médiane de la négociation selon les étapes RACI.
Conflits SoD : conflits identifiés et fermés par rôle.
Audit-Ready : proportion de matrices liées aux politiques/contrôles/SOP et evidence.

Dashboards : Process Map + RACI overlay, Lead Time per RACI step, Org Heatmap (goulets d'étranglement des approbations).

10) SOP (procédures standard)

SOP-1 : Conception RACI

Cartographie du processus → brouillon matriciel → vérification DoA/SoD → pilote/simulation → approbation par le Comité → publication.

SOP-2 : Examen trimestriel

Collecte des modifications de structure/stratégie → révision des matrices → des mises à jour PR → read- & -attest pour les rôles concernés.

SOP-3 : Incident déclencheur

À la suite de l'incident, ajustement du RACI (par exemple, renforcement A/C, dégroupage R) → mise à jour des SOP/contrôles → retest.

SOP-4 : Formation

Micro-cours sur la lecture de matrices et de mallettes ; obligatoire pour les rôles A/R.

11) Modèles

11. 1 Tableau RACI (Markdown)

Шаг процесса      Описание      R      A      C      I      Контролы/SOP
---    ---    ---    ---    ---    ---    ---
P-01      Прием запроса      Support      Head of Compliance      Legal/DPO      Product      SOP-DSAR-001, CTRL-DSAR-SLA

11. 2 artefact YAML (policy-as-code ancrage)

yaml process: "DSAR"
version: "1.3.0"
steps:
- id: P-01 name: "Intake & Verify"
R: ["Support"]
A: ["Head of Compliance"]
C: ["Legal/DPO"]
I: ["Product"]
controls: ["CTRL-DSAR-SLA","CTRL-PII-MIN"]
sop: ["SOP-DSAR-001"]
evidence: ["hash://evidence/dsar/intake-log.csv"]
meta:
owner: "Policy Owner - Privacy"
review_date: "2026-01-31"

11. 3 Carte de changement RACI

Justification (incident/audit/mise à jour juridique)

Ancienne/nouvelle affectation de rôle

Effet sur le DoA/SoD

Plan de formation/communication

Liens vers les reçus PR/hachage

12) Intégration

Référentiel de stratégies : liens des matrices vers les approbations de contrôle.
GRC : stockage des versions et read- & -attest.
HRIS/LMS : profils de rôle → formation pour A/R.
ITSM/Jira : tâches de négociation et SLA par étapes RACI.
CCM : Vérification automatique de la présence de A/R dans les métadonnées d'action (p. ex., logs admin, communiqués).

13) Anti-modèles

Deux ou plus A par tâche.
« R pour tout le monde » et « C/I pour cocher » → surchauffe des canaux et des retards.
RACI sans communication avec le DoA/SoD et les contrôles.
Une matrice unique sans révisions ni versioning.
Captures d'écran au lieu d'artefacts vivants (aucune preuve).
Manque de formation pour A/R → conformité « papier ».

14) Modèle de maturité (M0-M4)

M0 Ad hoc : les rôles ne sont pas fixés, les accords sont chaotiques.
M1 Basic : RACI par processus clés, mises à jour manuelles.
M2 Géré : communication avec DoA/SoD, référentiel, révisions trimestrielles, read- & -attest.
M3 Intégré : matrices YAML, processus PR, ancrage aux contrôles/SSM et ITSM-SLA.
M4 Assurance continue : recommandations pour l'optimisation (goulots d'étranglement), le contrôle automatique SoD, l'analyse par Lead Time et « what-if ».

15) Articles wiki liés

Cadre de gouvernance d'entreprise

Matrice de délégation de pouvoir (DoA) et Répartition des responsabilités (SoD)

Surveillance continue de la conformité (CCM)

Référentiel des règles et réglementations

Contrôles interservices

Gestion de crise et communication

La feuille de route de la conformité

KPI et métriques de conformité

Total

La matrice RACI n'est pas seulement une table, mais un mécanisme de gestion : une seule personne responsable du résultat, des exécutants et des participants clairs, un lien prouvé avec les pouvoirs et les contrôles, des vérifications régulières et la formation. Un tel système supprime les retards, réduit les risques et rend les processus « audit-ready » par défaut.