Lorsqu’elle est correctement réalisée, la documentation interne permet à une entreprise de rester constante et cohérente au fil de sa croissance. Mal faite, elle devient un risque.

Lorsque la documentation interne est reléguée au second plan, deux problèmes se posent.

Le premier est la désorganisation, qui se traduit par des versions erronées, des politiques enfouies et des documents d’onboarding que personne n’a mis à jour depuis que l’entreprise faisait la moitié de sa taille actuelle. Le second est l’exposition des données : des données sensibles qui se trouvent là où elles ne devraient pas être.

La plupart des équipes gèrent le premier problème (même si elles se sentent dépassées). Le second problème est plus difficile à résoudre, mais beaucoup plus dangereux s’il ne l’est pas.

Sensitive internal data is a common breach vector across industries. Proton research shows that 39% of businesses report experiencing a cybersecurity incident caused by human error. Often, it’s just well-meaning colleagues making mistakes with sensitive files.

Voici un cadre pratique pour la gestion des connaissances internes qui protège les données sensibles sans compliquer le travail de votre équipe.

Le problème de l’organisation

Lorsque les documents internes sont désorganisés, vous vous en rendrez vite compte. Cela s’explique principalement par la frustration et la confusion que cela génère au sein de votre entreprise.

Par exemple, supposons qu’il existe trois versions du manuel de l’employé dans votre drive, ainsi que des documents d’onboarding qui n’ont pas été mis à jour depuis que l’entreprise comptait 10 salariés. L’onboarding est alors lent et incohérent, et donne aux nouveaux arrivants une mauvaise impression du fonctionnement de votre entreprise.

Ou supposons que plusieurs politiques d’entreprise importantes ne se trouvent pas dans un dossier clairement marqué, mais soient enfouies quelque part dans un fil de discussion de messages. Les managers doivent alors deviner les politiques et ne peuvent pas les appliquer de manière cohérente. Un employé obtient une réponse, un autre en obtient une différente.

La désorganisation peut être corrigée avec le bon système (nous y reviendrons bientôt). Mais il existe un second problème que vous ne pouvez pas résoudre avec une meilleure structure de dossiers.

Le problème de la sécurité

Quelle que soit l’organisation de votre espace de stockage de documents, si les processus et les outils associés font défaut, des informations sensibles seront exposées.

Il peut s’agir de grilles salariales stockées dans une feuille Google Sheet partagée, de code source ou de clés API collés dans un canal Slack, d’un contrat client envoyé par message en tant que pièce jointe, ou de notes d’entretien de candidats contenant des informations personnelles identifiables, transférées par inadvertance et se trouvant désormais dans six boîtes de réception.

Lorsque des pratiques si faciles à négliger provoquent une fuite de données, vous n’avez plus seulement affaire à des collègues frustrés et à des processus bloqués. Vous vous exposez plutôt à une atteinte à votre réputation et à de lourdes sanctions financières.

Une grande partie de ces données, qu’il s’agisse de dossiers d’employés, d’informations clients ou d’informations financières, constitue des données personnelles ou sensibles au titre du GDPR. Cela signifie que quiconque les manipule est responsable de la manière dont elles sont stockées, dont on y accède et dont elles sont partagées. Et les accidents ne retirent pas la culpabilité.

En 2022, un membre du personnel des RH d’UNIQLO a répondu à une demande de paie en envoyant accidentellement par message un PDF contenant les données salariales de 446 employés. L’autorité espagnole de protection des données a infligé une amende de 270 000 € à UNIQLO(nouvelle fenêtre). La fuite de données n’a pas été causée par des pirates informatiques. Elle s’explique par l’absence de mesures organisationnelles autour d’un processus RH de routine.

Comment concevoir un système de documentation interne qui résout ces deux problèmes

Considérez ce que vous mettez en place comme un wiki d’entreprise sécurisé. Vous allez avoir besoin de quatre catégories de documentation interne, chacune ayant des niveaux de sensibilité et des exigences d’accès différents.

Catégorie 1 : connaissances de référence

Il s’agit des documents que chaque employé doit pouvoir trouver par lui-même : politiques d’entreprise, directives de marque, guides pratiques, documentation des outils, organigrammes. Sécuriser cette catégorie ne consiste pas à restreindre l’accès, mais à garantir l’exactitude des informations. Concentrez-vous sur le contrôle des versions (une seule version actuelle, et non des copies contradictoires qui circulent) et sur une responsabilité bien définie (une personne désignée responsable de la mise à jour de chaque document).

Catégorie 2 : connaissances d’équipe et de projet

C’est là que se déroule la majeure partie du travail quotidien : plannings de projet, documentation des processus, notes de réunion, feuilles de route, guides internes. Cette catégorie n’a pas besoin d’un accès à l’échelle de l’entreprise, protégez-la donc plutôt avec des autorisations au niveau de l’équipe ou du projet. Tout comme les connaissances de référence, chaque document doit avoir un propriétaire désigné et une fréquence de révision, sous peine de devenir obsolète.

Catégorie 3 : données confidentielles et réglementées

Il s’agit de la catégorie la plus risquée, présente dans tous les services : rapports et prévisions financières, contrats juridiques, dossiers d’employés et de clients, orientations stratégiques, identifiants de sécurité. Ces données nécessitent un accès strictement restreint, limité aux personnes ou aux équipes spécifiques qui en ont besoin. (Un mot de passe ne suffit pas ici. Vous avez besoin d’un chiffrement de bout en bout.)

Ce type de données ne doit pas non plus être joint à des messages, enregistré sur des drives personnels, ni partagé via des liens sans date d’expiration.

Proton Drive est un espace de stockage cloud professionnel qui gère cette catégorie grâce à un chiffrement à connaissance zéro (pas même Proton ne peut lire le contenu), avec en plus des contrôles d’accès granulaires qui maintiennent les données sensibles là où elles doivent rester.

Catégorie 4 : documents partagés en externe

Certains documents doivent temporairement quitter votre système interne : packs d’onboarding pour les nouvelles recrues, fichiers partagés avec des prestataires ou des fournisseurs, documents envoyés aux clients au cours d’un projet. C’est délicat car l’accès doit souvent être accordé avant même qu’une relation ne soit pleinement établie. La solution est simple : définissez des liens qui expirent, configurez l’accès à l’avance plutôt que de l’accorder de manière ad hoc, et révoquez-le dès qu’il n’est plus nécessaire.

Proton Drive définit des dates d’expiration pour les liens par défaut, de sorte que les documents partagés expirent automatiquement sans que personne n’ait besoin de penser à les révoquer.

Choisir la bonne plateforme pour une gestion sécurisée des connaissances internes

Le cadre que nous avons décrit peut être utilisé sur n’importe quelle plateforme. Mais n’importe quelle plateforme ne peut pas garantir que ce cadre s’applique de lui-même au lieu de compter sur la vigilance des collaborateurs.

L’erreur humaine s’immisce inévitablement lorsque vous vous appuyez sur des processus manuels pour définir des dates d’expiration sur les liens partagés, réviser l’accès lors de l’offboarding et maintenir des niveaux d’autorisation à mesure que l’équipe grandit. Mais avec la bonne plateforme, votre cadre peut être appliqué grâce à l’automatisation.

Votre plateforme doit répondre à une seconde exigence : une conception axée sur le respect de la vie privée. De nombreuses plateformes grand public ne sont pas conçues pour stocker des informations sensibles : en réalité, par défaut, elles exploitent le contenu des documents pour alimenter leur indexation de recherche et leurs fonctionnalités d’IA.

La plupart des entreprises n’envisageraient pas de stocker les données de leurs clients dans un dossier Google Drive non sécurisé. Les données des employés méritent le même niveau d’exigence. La bonne plateforme prendra en charge à la fois l’application des règles et le chiffrement de bout en bout.

Trois décisions pour assurer le bon fonctionnement de votre système

Une bonne plateforme cloud appliquera votre cadre de sécurité, mais même les meilleures plateformes ne peuvent pas vérifier et mettre à jour vos documents à votre place.

Une documentation non entretenue engendre deux types de risques.

Il y a un risque juridique : une procédure disciplinaire obsolète peut par exemple invalider une affaire devant un tribunal.

Il y a un risque culturel : lorsque la documentation officielle ne reflète pas la réalité, les employés le remarquent et en concluent que personne ne contrôle la situation.

Suivez ces trois règles pour éviter l’un comme l’autre :

  • Chaque document a un propriétaire désigné (et non une équipe). Une responsabilité partagée au sein d’une équipe est une responsabilité que personne ne se sent d’assumer
  • Les dates de révision sont définies lors de la création, et non ajoutées plus tard. Il est difficile de défendre un document devant un tribunal s’il n’a pas été révisé depuis trois ans (ou s’il n’existe aucune trace de sa dernière vérification)
  • Archivez vos documents, ne les supprimez pas. La suppression de documents est source de problèmes si vous (ou un organisme de réglementation) devez un jour y accéder. Les archiver dans un dossier avec un label clair maintient la propreté de votre système sans rendre les documents irrécupérables

Rien de tout cela ne nécessite un gestionnaire de connaissances dédié. Seulement trois décisions, prises une fois pour toutes (et réévaluées chaque trimestre).

Une liste de contrôle de conformité pour la documentation RH interne

Rappelez-vous : vous êtes le responsable du traitement des données. La responsabilité ne relève pas de votre fournisseur cloud, elle vous incombe.

  • Savez-vous qui peut accéder à vos documents les plus sensibles (données financières, juridiques, des employés ou des clients) et cette liste est-elle à jour ?
  • Les documents sensibles sont-ils chiffrés au repos, et pas seulement en transit ?
  • Les liens partagés vers des documents sensibles ont-ils des dates d’expiration ?
  • Existe-t-il un processus documenté pour révoquer l’accès lorsque quelqu’un s’en va ou qu’un projet se termine ?
  • Pouvez-vous produire une piste d’audit indiquant qui a accédé à quoi et à quel moment ?
  • Les données sensibles sont-elles stockées dans une juridiction dotée de lois strictes sur le respect de la vie privée, comme la Suisse ?
  • Chaque document a-t-il un propriétaire désigné et une date de révision ?
  • Les documents obsolètes sont-ils archivés plutôt que supprimés ?

Si vous pouvez répondre oui à toutes ces questions, votre système de documentation est en bonne voie.

Une base de connaissances sécurisée à laquelle vos employés peuvent faire confiance, et une plateforme pour la mettre en œuvre

Le cadre de ce guide vous fournit la structure. Vous avez besoin d’une plateforme qui l’impose, afin que les normes de sécurité que vous avez définies ne dépendent pas du fait que des humains se souviennent de les appliquer.

Ne cherchez pas plus loin que Proton Workspace. Suite de collaboration sécurisée reposant sur un chiffrement de bout en bout et hébergée en Suisse, l’une des juridictions les plus strictes au monde en matière de respect de la vie privée, Proton Workspace offre à votre équipe :

Vos employés vous confient leurs données les plus sensibles. Il est temps de mettre en place un système de documentation interne digne de cette confiance.

Commencer un essai gratuit de Proton Workspace