Logiciel ITSM pour une banque : par où commencer

Le jour où l'auditeur demande « qui a donné l'accès à ce compte, quand, et sur quelle autorisation », la réponse est dans un ticket ou elle n'est nulle part. C'est la différence entre un logiciel ITSM et une boîte mail partagée, et c'est pour cette réponse-là qu'une banque s'équipe. Pas pour un tableau de bord.

J'ai passé huit ans à mettre en place des plateformes de gestion de services dans des groupes bancaires, d'assurance et industriels, en France, au Maroc et en Côte d'Ivoire. Les banques qui réussissent leur service desk ne sont pas celles qui ont le plus gros budget. Ce sont celles qui commencent par la bonne question et dans le bon ordre. Voici cet ordre.

Ce que la conformité attend vraiment du service desk

Les référentiels de la zone UEMOA sur le contrôle interne, la continuité d'activité et la sécurité des systèmes d'information ne parlent jamais de « tickets ». Traduits côté service desk, ils demandent quatre choses, et rien d'autre :

• Une trace inaltérable. Qui a demandé, qui a approuvé, qui a exécuté, à quelle heure. Le ticket est le journal ; il ne doit pas pouvoir être effacé ni réécrit après coup.
• La séparation des rôles. Celui qui demande un accès n'est ni celui qui l'approuve, ni celui qui l'exécute. L'approbation est nominative, horodatée, et le système refuse le raccourci.
• Des engagements mesurés. Un délai de réponse et de résolution par priorité, et les dépassements visibles sans qu'on ait à les chercher.
• La maîtrise de l'hébergement. Savoir où sont les données, pouvoir les exporter intégralement, pouvoir les rapatrier sur site si le régulateur l'exige.

Un outil qui ne fournit pas ces quatre éléments par construction les fait reposer sur la discipline des équipes. La discipline tient six mois. La construction tient dix ans.

Chantier 1 : les processus livrés, mis en service tels quels

Le réflexe des comités de projet est de modéliser tous les processus avant de toucher l'outil. J'ai vu ce travail durer neuf mois et produire un classeur que personne n'a rouvert. L'approche qui marche est inverse : prendre les processus livrés par la plateforme, alignés ITIL 4 (incident, demande, changement, problème), y mettre vos catégories et vos équipes, ouvrir, puis ajuster à partir de tickets réels.

Deux semaines. Pas parce que les banques sont simples, mais parce qu'un processus se corrige beaucoup mieux sur cent tickets vécus que sur un atelier de trois heures.

Chantier 2 : le catalogue des accès, avant tout le reste

Le premier catalogue d'une banque est presque toujours celui des accès : applications métier, partages réseau, VPN, comptes à privilèges, cartes d'accès physiques. C'est là que l'auditeur regarde, et c'est là que la valeur est immédiate.

Chaque article du catalogue porte trois choses : ses variables (quelle application, quel profil, pour combien de temps), sa chaîne d'approbation (le responsable hiérarchique, puis le propriétaire de l'application), et son exécutant. Une fois ce catalogue en ligne sur le portail employés, la moitié des demandes arrivent complètes, approuvées dans les règles, sans un seul appel au service desk. L'autre moitié, ce sont les incidents, et ils bénéficient d'un service desk qui a du temps.

Chantier 3 : les engagements, mesurés avant d'être promis

Définissez trois ou quatre priorités et leurs délais. Attachez-les aux incidents. Puis laissez les compteurs tourner deux mois avant de rendre ces délais contractuels avec les métiers. Vous découvrirez que le délai réaliste d'une priorité 2 n'est pas celui que vous pensiez, et il vaut mieux le découvrir dans un rapport interne que devant le comité de direction.

La règle qui évite les fausses urgences : la priorité n'est jamais choisie par le demandeur. Elle est calculée depuis l'impact (combien de personnes, quel service) et l'urgence (à quelle échéance). Une matrice de douze cases, connue de tous, défendable en réunion.

Chantier 4 : la CMDB par les services qui comptent

N'inventoriez pas chaque câble. Modélisez les cinq services métier que la direction générale nomme quand elle appelle : paiements, cœur bancaire, messagerie, poste de travail, réseau d'agences. Pour chacun, ses applications, ses composants principaux et ses propriétaires. Reliez-y les incidents.

À partir de ce moment, quand un serveur tombe, le service desk sait quel service est touché, quelles agences, et qui prévenir. C'est la seule question que pose la direction, et c'est celle à laquelle un inventaire de matériel ne répond jamais.

Les trois erreurs qui coûtent six mois

1. Choisir l'outil sur une démonstration. Une démonstration montre ce que le vendeur veut montrer. Exigez une instance à vous, avec vos données, avant tout engagement. Si l'éditeur ne peut pas la fournir en une journée, c'est déjà une information.
2. Acheter des licences par siège pour une organisation qui grandit. Chaque agence ouverte, chaque prestataire intégré, chaque équipe qui veut enfin utiliser l'outil devient une ligne budgétaire à négocier. Le prix par instance, utilisateurs illimités, retire cette négociation.
3. Reporter la question de l'hébergement. Elle revient toujours, en général au moment de la signature. Réglez-la au départ : hébergé en Europe dans un espace isolé par organisation avec export complet à tout moment, ou installé dans votre centre de données à Abidjan si le régulateur l'exige. Les deux doivent être possibles sans changer d'outil.

Ce que cela donne sur TRAMEWORK

Les quatre chantiers correspondent à ce qu'une instance livre dès l'ouverture : les processus ITSM alignés ITIL 4, le catalogue avec variables, approbations à plusieurs niveaux et tâches d'exécution, les SLA par priorité avec calendriers de service, une CMDB alignée CSDM, un portail employés composable. L'authentification passe par votre annuaire via OIDC. Un jeu de données de démonstration s'active en un clic pour se faire la main, puis se désactive.

Le plan Gratuit couvre le chantier 1 à 4 sur une instance, sans limite d'utilisateurs ni de temps. Le plan Entreprise ajoute l'installation sur site pour les établissements soumis à une exigence de localisation.

Cette semaine

Ouvrez une instance, importez vos utilisateurs depuis un export CSV de l'annuaire, créez les cinq articles de catalogue des accès les plus demandés, et faites passer les prochaines demandes par là. En une semaine, vous aurez votre première réponse à l'auditeur. Le reste du projet se déroule ensuite, sur des tickets réels.