Le livrable : ce qui distingue un rapport utile d’un rapport lu

Un rapport de conseil a une seule fonction : provoquer des décisions. Tout ce qui n’y contribue pas est du remplissage — y compris les parties dont l’auteur est le plus fier.

Voici ce qui sépare un livrable qui produit des effets d’un livrable correctement rédigé qui finit archivé.

Écrire pour celui qui décide, pas pour celui qui vérifie

Un rapport a deux lecteurs. Le décideur, qui lit trois pages et arbitre. L’opérationnel, qui lit sa section et exécute.

Servir les deux dans un même flux de texte ne fonctionne pas. La structure qui marche sépare franchement : une synthèse décisionnelle courte, puis le détail technique en corps de rapport, puis les preuves en annexe.

Test simple : la synthèse doit permettre à un directeur général de dire ce qu’il décide, sans lire la suite.

Hiérarchiser au lieu de lister

Quarante constats classés par domaine technique ne produisent aucune priorité. Le lecteur ne saura pas par où commencer, donc il ne commencera pas.

La hiérarchisation utile ne repose pas sur la gravité technique seule, mais sur le croisement gravité × exposition × valeur de l’actif — même logique que pour la priorisation des vulnérabilités.

Trois à cinq priorités. Au-delà, il n’y a plus de priorité.

Formuler un constat qui tienne

Un constat exploitable comporte quatre éléments : ce qui a été observé, où, pourquoi c’est un problème, et ce que ça permettrait à un attaquant ou à un contrôleur.

« La politique de mots de passe n’est pas conforme aux bonnes pratiques » n’est pas un constat. « Les comptes de service du domaine ne sont pas soumis à rotation ; trois d’entre eux disposent de droits d’administration ; leur secret est inchangé depuis 2019 » en est un.

La différence : le second est vérifiable, non discutable, et indique quoi faire.

Séparer le constat, le risque et la recommandation

Les mélanger produit des phrases où le lecteur ne sait plus ce qui est observé et ce qui est supposé.

Le constat est factuel. Le risque est une conséquence possible. La recommandation est une option — de préférence deux : une correction complète et un contournement rapide, parce que la première est souvent hors budget immédiat.

Écrire les recommandations pour l’environnement du client

« Appliquer les correctifs de sécurité » n’engage à rien. Une recommandation utile est datable, assignable et vérifiable : quoi, par qui, pour quand, et comment on saura que c’est fait.

C’est aussi ce qui permet de terminer par un plan d’action avec des responsables internes nommés — sans lequel le rapport ne produit rien, comme détaillé dans pourquoi les missions dérapent.

Dire ce qui va bien

Un rapport uniquement négatif provoque une réaction défensive et perd son crédit. Signaler deux ou trois points solides n’est pas de la complaisance : cela montre qu’on a regardé, et cela rend les constats négatifs plus difficiles à écarter.

Ce qu’il faut supprimer

• Les rappels de contexte que le client connaît mieux que vous.
• Les définitions génériques recopiées d’un référentiel.
• Les captures d’écran sans légende explicative.
• Les conditionnels en cascade — « il conviendrait éventuellement d’envisager ».
• Les graphiques qui n’appellent aucune décision.

Un rapport de trente pages denses est mieux lu qu’un rapport de quatre-vingts pages dont soixante sont du décor.

La restitution orale n’est pas optionnelle

Un document envoyé par courriel transfère tout le travail d’interprétation chez le client. La réunion de restitution est le moment où les priorités se négocient avec ses contraintes réelles — et où l’on apprend ce que le rapport ne pouvait pas savoir.

Le test final

Trois mois après la remise, combien de recommandations ont été mises en œuvre ? C’est le seul indicateur de qualité d’un livrable. La satisfaction exprimée à la restitution n’en est pas un.

Aller plus loin

Nos exigences de livrable sont détaillées dans ce que doit contenir un rapport de test d’intrusion. Voir aussi nos modalités d’intervention.