La première étape pour un audit réussi est de partager les objectifs. C'est bien sûr le client qui les fixe en nous expliquant le contexte qui l'a amené à avoir recours à cet audit.
À noter que c'est aussi fréquemment l'inverse : quand le client nous explique sa situation, avec ses mots, nous pouvons l'orienter sur cette solution d'audit.
Les situations débouchant sur un audit peuvent être très variées. En voici quelques exemples :
Ces objectifs divers et variés sont importants car un audit est toujours court (pas plus de 10 jours), et il est nécessaire de mettre l'emphase sur les points qui répondront aux questions les plus importantes.
Nous tâchons, autant que possible, d'impliquer les acteurs en place. Il ne s'agit pas de juger, mais plutôt d'analyser et mesurer les risques pour proposer des solutions à nos clients.
Souvent, les dirigeants préfèrent intervenir sans concerter leurs équipes opérationnelles de peur de les froisser. D'expérience, nous conseillons l'inverse. Tôt ou tard, l'information circule et les équipes se sentent jugées et trahies si elles n'ont pas été prévenues.
Un audit doit se faire avec discernement. Nous en faisons d'autant preuve que notre métier est de développer des applications.
Notez que ce qui peut sembler (avec beaucoup de distance) comme absurde d'un point de vue technique, aura la plupart du temps une explication rationnelle dans le contexte de l'époque. Nous sommes tous amenés à faire des choix, et à se dire “on repassera dessus plus tard”.
Notre audit est de plus haut niveau et vise à déterminer ce qui peut réellement poser problème pour la maintenance future de l'application.
Lors de nos audits applicatifs, nous nous appuyons sur un certain nombre d'outils permettant d'extraire plusieurs métriques telles que le nombre de lignes de code, ou encore, le risque de sécurité des dépendances.
L'intérêt de ces outils est de pouvoir rapidement déterminer la taille de l'application, la version des dépendances, mais aussi, d’analyser la sécurité en surface.
Cependant, ces outils ont leurs limites, et ne nous permettent pas de savoir :
Pour décider où l’on va, il faut savoir d'où l’on vient. Il est donc nécessaire de comprendre quelles étaient et quelles sont les équipes en place, quelles sont leurs conventions, leurs directives, ainsi que leurs points forts et points faibles.
Ces informations sont cruciales. Bien souvent, pendant nos audits, nous nous rendons compte que les personnes qui ont la meilleure vision du métier se trouvent au sein de l'équipe technique... pour la simple et bonne raison qu'elles ont implémenté ces règles.
Dans ces équipes, il est rare que tout le monde ait le même niveau de connaissance du projet. Généralement, cette connaissance se cristallise sur une ou deux personnes. C'est un élément auquel nous sommes attentifs pendant notre phase d'audit et qui fait l'objet de notre restitution.
Il est également assez rare qu'un projet fasse l'objet de conventions fortes (guidelines, structure du code, validation de l'intégration de dépendance, processus d'onboarding, revue de code). Toutes ces pratiques, qui prennent du temps au début, en font gagner sur le long terme en garantissant un niveau de qualité consistant, quels que soient les intervenants, et pendant tout le cycle de vie du projet.
Vous l'avez compris, il y a de nombreux points importants dans un audit, qui va bien au-delà de l'analyse stricte du code.
Une fois les différents points du dessus synthétisés, il est temps de les restituer.
C'est pendant cette phase qu'on se félicite d'avoir défini des objectifs que l'on peut donc évaluer ensemble à la lumière du contenu de l'audit. Les décisions nécessaires s'imposent facilement quand les enjeux ont été clairement définis.
On le voit, l'audit nécessite de croiser un certain nombre de compétences pour être efficace. Il est rarement judicieux de le faire en interne car les équipes sont trop impliquées dans les projets pour avoir le recul nécessaire, et peuvent rapidement tomber dans le jugement et l’émotion.
Ce regard neuf et cette analyse approfondie sont essentiels pour pérenniser le travail de plusieurs années.
Faites-vous accompagner !
