Cartographie du SI : le guide stratégique pour maîtriser son système d’information #

Cartographie du système d’information : définition opérationnelle et enjeux business #

Nous définissons la cartographie du système d’information comme une représentation structurée, visuelle et partageable des composants du SI – processus métiers, applications, données, infrastructures – et de leurs interactions. Cette définition dépasse la simple vision réseau–serveurs : elle intègre le fonctionnement réel de l’organisation et ses dépendances numériques. L’ANSSI, dans son guide publié en 2018, insiste sur la nécessité de couvrir les biens matériels, les logiciels, les réseaux de connexion, mais aussi les informations et activités métiers, afin de disposer d’un véritable inventaire patrimonial du SI.

Une cartographie exploitable se décline en plusieurs types de vues, qui constituent un vocabulaire commun entre la direction, la DSI et les métiers :

• Cartographie métier : représentation des processus métiers (vente, production, supply chain, relation client, actes médicaux, etc.) et de leurs interactions, souvent inspirée des notations BPMN.
• Cartographie fonctionnelle : vue des capacités fonctionnelles rendues par le SI (gestion des commandes, facturation, gestion des stocks, gestion des patients…), sans entrer encore dans le détail des applications.
• Cartographie applicative : inventaire structuré des applications et services SaaS, de leurs rôles, de leurs interfaces et des flux d’échanges entre elles.
• Cartographie technique : description des infrastructures (serveurs, VMs, conteneurs, réseaux, firewalls, datacenters, services cloud comme Microsoft Azure, AWS ou Google Cloud Platform).
• Cartographie des données : vue des domaines de données (clients, produits, contrats, dossiers patients), de leurs localisations, de leurs propriétaires et de leurs flux.

Sur le plan business, nous constatons que les bénéfices les plus tangibles se situent sur quatre axes : pilotage stratégique (capacité à aligner investissements SI et plan stratégique), optimisation des coûts (réduction des redondances applicatives, meilleure utilisation des licences), réduction des risques (visibilité sur les actifs critiques, dépendances et points de fragilité) et alignement métier–IT. Une cartographie partagée devient un langage commun pour arbitrer les priorités.

À lire Cartographie du SI : stratégie pour visualiser et maîtriser son système d’information

Pourquoi la cartographie du SI est devenue incontournable pour les entreprises #

Depuis le début des années 2010, la complexité des systèmes d’information a explosé, sous l’effet combiné de la multiplication des applications SaaS, de la généralisation du cloud public, du travail hybride et des exigences réglementaires (notamment le RGPD en 2018 en Europe). Des études de Gartner montrent que les grandes entreprises gèrent en moyenne entre 600 et 900 applications, tandis que les ETI dépassent souvent les 200 solutions, avec un taux de redondance fonctionnelle supérieur à 20%. Sans cartographie, ces environnements deviennent ingouvernables.

Nous voyons plusieurs raisons structurelles qui rendent la cartographie stratégique aujourd’hui :

• Complexité croissante des architectures : architectures hybrides mêlant on-premise, SaaS, PaaS, microservices et APIs, souvent issues d’acquisitions et de projets successifs.
• Explosion des applications SaaS : un baromètre BetterCloud évoque en 2023 une moyenne de 130 applications SaaS par entreprise de taille moyenne, avec une part significative non référencée par la DSI (shadow IT).
• Exigences de conformité et d’audit : contrôles liés au RGPD, à SOX, aux réglementations sectorielles (banque, assurance, santé) imposant une traçabilité des données et des flux.
• Résilience et continuité d’activité : les plans de PCA/PRA exigent une compréhension fine des dépendances entre processus, applications et infrastructures.
• Transformation digitale continue : programmes de migration vers le cloud, modernisation du legacy, ouverture d’APIs, déploiement d’ERP tels que SAP S/4HANA ou de CRM comme Salesforce.

Les gains mesurables que nous observons chez des organisations ayant investi sérieusement dans leur cartographie sont loin d’être théoriques : réduction du nombre d’applications de 10 à 30% sur trois ans, baisse des coûts de licences de 5 à 15%, temps de préparation des analyses d’impact divisé par 2 à 4 lors de projets de transformation, amélioration notable des indicateurs de MTTR (Mean Time To Repair) lors d’incidents majeurs. Cette capacité à décider vite sur les investissements SI, en s’appuyant sur une vue consolidée, constitue un avantage compétitif réel.

Les grandes dimensions d’une cartographie SI complète : métier, applicative, données, technique #

Une cartographie utile au comité de direction n’est jamais une vue unique. Elle repose sur un ensemble de vues complémentaires, cohérentes entre elles, qui répondent chacune à des questions différentes, tout en s’ancrant dans un même référentiel. C’est l’approche promue par les frameworks d’architecture d’entreprise comme TOGAF ou l’architecture en couches Business / Application / Data / Technology (B/ADT).

À lire quasi-usufruit avantages et inconvénients

Nous distinguons quatre dimensions structurantes, que nous recommandons systématiquement de couvrir :

• Vue métier : qui fait quoi, dans quel processus, avec quels points de friction ? Elle met en relation les processus métiers, les rôles, les unités organisationnelles et les indicateurs de performance. Un directeur des opérations y visualise l’enchaînement des activités, par exemple le cycle Order-to-Cash dans une entreprise industrielle.
• Vue fonctionnelle et applicative : quelles fonctions sont couvertes, par quelles applications ? Nous relions les capabilités métier (gestion des contrats, pilotage de la production, gestion des sinistres) aux applications concrètes (ERP, CRM, WMS, outils métiers spécifiques). C’est cette vue qui met immédiatement en évidence les redondances.
• Vue des données : quelles données sont manipulées, où sont-elles stockées, qui en est responsable ? Nous représentons les domaines de données, les référentiels maîtres, les data warehouses, les lacs de données et les flux d’alimentation. Cette dimension est centrale pour le RGPD et les stratégies data-driven.
• Vue technique : sur quelle infrastructure tout cela repose-t-il ? Elle couvre les serveurs, clusters, VMs, conteneurs Kubernetes, réseaux, zones de sécurité, interconnexions avec les fournisseurs cloud comme Amazon Web Services ou les hébergeurs en France et en Europe.

Ce jeu de vues construit un référentiel cohérent : à chaque processus métier sont rattachées des fonctions, des applications, des données et des composants techniques. Nous constatons que cette traçabilité verticale, du métier jusqu’au serveur, change la manière dont les DSI échangent avec les directions métiers : les décisions d’arbitrage ne se font plus sur des impressions, mais sur des cartes partagées.

Comment lancer un projet de cartographie SI sans se perdre : périmètre, enjeux, parties prenantes #

Les échecs de projets de cartographie tiennent rarement à la technique. Ils proviennent souvent d’un périmètre mal défini ou d’une démarche trop centrée DSI. Nous recommandons d’aborder la phase amont comme un projet stratégique, avec un cadrage clair des objectifs, du périmètre initial et des parties prenantes.

Concrètement, nous conseillons aux directions générales et DSI de structurer ce lancement autour de quelques décisions clés :

À lire Usufruit et Droit de Succession : Comment Fonctionne ce Démembrement Juridique

• Clarifier les enjeux prioritaires : sécurité (conformité aux guides de l’ANSSI, préparation NIS2), rationalisation du portefeuille applicatif, modernisation du legacy (migration d’un mainframe IBM vers le cloud), conformité réglementaire (RGPD, exigences de l’ACPR dans la banque, de la HAS dans la santé).
• Choisir un périmètre initial maîtrisable : un domaine métier (ex. la souscription et gestion de contrats dans une compagnie d’assurance), une filiale dans un autre pays, un processus critique (facturation, chaîne logistique, prise en charge patient).
• Travailler d’abord l’ as is ? puis la cible : cartographier l’existant avec un niveau de détail pertinent, puis projeter un SI cible cohérent avec le schéma directeur.
• Impliquer les bonnes parties prenantes : DSI, architectes d’entreprise, RSSI, responsables applicatifs, responsables métiers, et sponsor explicite au niveau COMEX (souvent le directeur général ou le directeur de la transformation).

Nous considérons que l’absence de sponsor côté métier ou direction générale est l’un des signaux les plus défavorables. Une cartographie qui reste cantonnée à la DSI finit presque toujours sous-exploitée. À l’inverse, lorsque le RSSI et les métiers portent ensemble le besoin – par exemple pour préparer un audit de sécurité ou un plan de rationalisation –, la dynamique de collecte et de mise à jour est nettement plus robuste.

Méthodologie pas à pas pour cartographier son système d’information #

Plusieurs guides, notamment celui de l’ANSSI ou les retours d’expérience de prestataires comme Eleven Labs, convergent sur une démarche structurée en étapes successives. Nous constatons que les organisations qui réussissent maintiennent un équilibre entre rigueur méthodologique et pragmatisme, sans chercher une exhaustivité irréaliste dès le démarrage.

Une démarche efficace peut s’articuler autour des étapes suivantes :

• Collecte et consolidation des informations existantes : inventaires d’actifs (CMDB), référentiels applicatifs, schémas réseau, documentations projets, contrats cloud, audits de sécurité. Nous voyons souvent un taux de réutilisation de 40 à 60% de documentation déjà existante, à condition de la structurer correctement.
• Définition du modèle de représentation : choix d’une représentation par couches (Business / Application / Data / Technology), par domaines métiers, ou centrée sur les flux. Ce modèle doit être stable et porté par l’équipe d’architecture.
• Structuration des objets : définition claire des objets manipulés (applications, processus, données, interfaces, serveurs, zones de sécurité), avec des attributs standardisés (propriétaire, criticité, RTO/RPO, statut, coût).
• Modélisation progressive : construction des premiers diagrammes, matrices et cartes, en ciblant les processus et applications critiques. Nous recommandons une approche incrémentale, par lots métier ?.
• Validation avec les équipes : ateliers avec les responsables métiers, les responsables applicatifs, le RSSI pour valider les flux sensibles, les dépendances et les enjeux de continuité.
• Mise à jour continue : intégration des mises à jour dans les processus de gestion de changement (ITIL, Change Advisory Board) et dans les comités de gouvernance projets.

Nous sommes favorables à une granularité juste suffisante ? : une cartographie trop détaillée devient rapidement obsolète et coûteuse à maintenir. L’enjeu n’est pas de tout modéliser, mais de concentrer l’effort sur les zones de valeur et de risque : applications critiques, données sensibles, interconnexions externes, composants techniques à forte exposition.

À lire Rachat de crédit refusé en 2026 : causes, solutions et stratégies efficaces

Modèles de représentation pour la cartographie du SI : choisir la bonne approche visuelle #

Les modèles visuels conditionnent la capacité de la cartographie à être comprise par les différentes parties prenantes. Un directeur financier n’a pas besoin de voir les VLANs, alors qu’un architecte réseau en a besoin. Nous recommandons d’assumer des représentations différenciées pour les C-level, les architectes et les équipes sécurité, tout en s’appuyant sur un même référentiel d’objets.

Les approches les plus utilisées se répartissent entre quelques grandes familles :

• Représentation en couches (B/ADT) : largement promue par les approches d’architecture d’entreprise, elle offre une vue claire de l’alignement entre métier, applications, données et technologies. Idéale pour les comités de transformation et de schéma directeur.
• Approche par domaines métiers : segmentation par domaines fonctionnels ? (finance, RH, logistique, production, relation client). Très adaptée à la rationalisation d’un portefeuille applicatif ou à un projet de mise en place d’ERP, d’où le succès de ce type de vue dans des déploiements SAP ou Oracle.
• Modèles en arborescence : utiles pour parcourir un patrimoine applicatif ou technique, souvent implémentés dans les outils de type CMDB ou EA.
• Modèles en matrice : matrices processus/applications, applications/données, applications/infrastructures, très efficaces pour les arbitrages de rationalisation.
• Modèles orientés flux : cartes des flux applicatifs et des flux de données, essentielles pour la cybersécurité, les projets d’ETL, de data integration ou de migration cloud.

Notre recommandation : construire un socle de représentations stables (couches et domaines métiers) puis enrichir au besoin par des vues spécialisées (flux sensibles pour le RSSI, cartes d’intégration pour les équipes projets). Les outils modernes d’architecture d’entreprise, tels que LeanIX, MEGA Hopex ou Archi, permettent précisément de dériver plusieurs vues à partir d’un même référentiel.

Rôles clés et gouvernance autour de la cartographie du système d’information #

Une cartographie utile n’est pas un livrable ponctuel, c’est un actif vivant. Sa pérennité dépend directement de la gouvernance mise en place. Nous observons une corrélation nette entre la maturité de la fonction architecture d’entreprise et la qualité de la cartographie.

À lire Prêt de trésorerie hypothécaire : comment sécuriser votre emprunt immobilier

L’organisation type que nous préconisons mobilise plusieurs rôles :

• DSI : sponsor exécutif, responsable de l’intégration de la cartographie dans le pilotage global du SI et dans les comités de direction.
• Architectes d’entreprise ou urbanistes SI : garants du modèle de données du référentiel, des standards de modélisation, des règles d’urbanisation.
• Responsables applicatifs : contributeurs principaux pour la complétude et la mise à jour des informations sur les applications et leurs interfaces.
• RSSI : responsable de l’intégration des dimensions sécurité (classification, zones de confiance, exposition internet, dépendances critiques).
• Métiers (directeurs d’entités, responsables de domaine) : garants de la vision processus, propriétaires des besoins et des priorités d’évolution.

Pour faire vivre cet actif, nous plaidons en faveur d’une gouvernance structurée : référentiel unique (éviter les fichiers dispersés), processus de mise à jour intégrés aux cycles projet et au Change Management, comités d’architecture réguliers (mensuels ou trimestriels) qui s’appuient explicitement sur les vues de cartographie pour arbitrer les projets, les dérogations techniques ou les plans de rationalisation. Cette gouvernance doit être articulée avec les démarches de gestion de portefeuille projets (PPM), de gestion des risques et de continuité d’activité.

Cartographie SI et cybersécurité : un outil essentiel pour maîtriser les risques #

Sur le terrain de la cybersécurité, nous considérons la cartographie comme un outil indispensable, surtout depuis l’augmentation des attaques par ransomware constatée en Europe entre 2020 et 2024. Les recommandations de l’ANSSI et de plusieurs CERT nationaux convergent : on ne protège efficacement que ce que l’on connaît et que l’on sait localiser.

Une cartographie orientée sécurité apporte plusieurs contributions majeures :

• Visibilité sur les actifs critiques : identification des applications essentielles (production, facturation, SI patient, systèmes industriels OT), de leurs données sensibles et de leurs dépendances techniques.
• Cartographie des flux sensibles : vue détaillée des flux contenant des données personnelles, financières ou de propriété intellectuelle, avec localisation des points d’exposition (internet, partenaires, prestataires).
• Soutien à l’analyse de risques : base factuelle pour appliquer des méthodes d’analyse comme EBIOS RM, pour préparer des audits ISO 27001 ou NIS2.
• Préparation aux incidents : compréhension des scénarios de propagation possibles, identification des single points of failure ?, construction de plans de remédiation et de plans de reprise d’activité réalistes.
• Conformité aux guides de bonnes pratiques : alignement avec les guides de cartographie et de segmentation réseau publiés par l’ANSSI, ou avec les exigences des autorités de supervision sectorielles.

Lors d’incidents sérieux, les organisations qui disposent d’une cartographie à jour réduisent significativement le temps de diagnostic et de confinement, parfois de 50% selon les retours partagés lors d’événements professionnels comme les Assises de la Sécurité