Un workflow d'abord. La carte ensuite.

Un rapport écrit sur un workflow, et une restitution de soixante minutes. Le rapport couvre le fonctionnement réel du workflow, les endroits où des personnes interviennent et avec quelle autorité, les passages d’une personne ou d’un système à l’autre, et les points où ce que vous décrivez et les éléments disponibles divergent. Il se termine par ce qui doit être tranché : chaque question ouverte, la personne constatée comme ayant autorité pour la trancher, et une échéance seulement quand un fait daté de chez vous la porte.

Cinq jours ouvrés à compter de la clôture de la collecte. C’est un délai de livraison, pas une charge de travail : le prix est fixe, connu avant de commencer, et ne bouge pas si le dossier se révèle trois fois plus lourd que prévu. La collecte se clôt une fois vos éléments reçus, ce qui veut dire que vous pouvez allonger votre propre délai en tardant à les fournir. De votre côté, trois heures trente au total : trente minutes de questionnaire, deux heures trente d’échange — un point de cadrage, un second échange une fois vos éléments lus, et la restitution — et trente minutes pour rassembler vos éléments. Nous demandons trois à cinq pièces que vous avez déjà, jamais quelque chose que vous devriez produire. Nous n'interrogeons pas vos équipes à ce stade. Nous demandons aussi le matériel qui existe déjà : un export, un calendrier partagé, un historique de versions, un dossier de fichiers datés. Nous demandons des exports plutôt que des accès, ce qui allège la charge chez vous. Quand rien ne permet de vérifier un point, nous le présentons comme une question ouverte plutôt que comme une conclusion.

Ni l’un ni l’autre. Un audit vérifie une conformité à un référentiel et rend un jugement. Ici, il s’agit d’une analyse du fonctionnement réel d’un workflow, à une date donnée, où chaque constat indique sur quoi il repose. Rien n’est certifié et aucune note n’est donnée. Sprinkling Act n’est ni un cabinet d’avocats, ni un organisme notifié, ni un organisme de certification. Quand une lecture réglementaire est pertinente pour votre situation, elle vient s’ajouter en annotation par-dessus l’analyse, et elle ne remplace pas un conseil qualifié.

Leur reporting est une entrée nécessaire et nous partons de là. Votre prestataire connaît son outil mieux que quiconque, et vos équipes connaissent leur propre travail. Ce qui manque, c’est que personne n’a pour rôle de rassembler les deux à l’échelle du workflow entier. C’est ce travail que nous faisons, pour que tout le monde regarde la même image au moment de décider.

Si, et certaines organisations le font. Ce qui rend l’exercice plus difficile qu’il n’y paraît n’est pas l’effort, c’est la position. Un dirigeant qui décrit sa propre organisation décrit ce qui lui est remonté, et le relevé existe précisément pour mesurer la distance entre cela et ce que montrent les éléments. Le faire soi-même, c’est être à la fois la source et celui qui la vérifie, ce qui est la seule chose que l’exercice ne peut pas se permettre. Le second obstacle est plus terne : le travail demande des jours qui sont reportés par l’urgence de la semaine. Le faire en interne ensuite est plus simple quand une première image existe.

Parce qu’un autre texte s’applique déjà aux mêmes faits, et qu’il est applicable depuis 2018. Le règlement (UE) 2016/679 impose un contrat avec tout sous-traitant agissant pour votre compte (article 28), un registre des activités de traitement (article 30), et des mesures techniques et organisationnelles appropriées (article 32). Un outil IA introduit par une équipe sans passer par vous peut relever de ces trois articles sans que personne l’ait vérifié. Ce levier est déjà applicable, déjà connu de vos conseils, et déjà sanctionné. Ce que le Baseline en fait, et ce qu’il n’en fait pas : il ne produit pas votre registre. Le registre est votre obligation, sa complétude engage votre responsabilité, et un registre partiel établi par un tiers vous exposerait davantage qu’une absence assumée. Ce qu’il fait, c’est documenter une chaîne que votre registre ignore probablement, et vous mettre en position de savoir ce qui lui manque. Il révèle une part de l’obligation ; il ne la remplit pas. Pour être net sur ce que nous ne sommes pas : ce n’est ni une mise en conformité RGPD, ni un audit de protection des données, nous n’agissons pas comme votre délégué à la protection des données, et la qualification juridique d’un traitement relève de votre conseil, pas de nous.

Le prix est un forfait, arrêté avant que le travail commence, et il ne bouge pas ensuite. Deux choses font varier ce qu’une mission demande réellement : le nombre de catégories d’éléments que vous pouvez fournir, et le nombre d’outils qui apparaissent dans votre facturation sans figurer dans ce que vous nous avez décrit. Ni vous ni nous ne les connaissons au moment de signer — les établir fait partie de ce que le relevé cherche à faire. Le forfait met ce risque de notre côté : si le dossier s’avère trois fois plus lourd que prévu, vous payez le même prix. Celui dont le dossier est dense ne paie pas davantage, et celui dont le dossier est simple achète la même conclusion. Sprinkling Act est une entité belge, numéro BCE et TVA BE 1034.962.482. Les prix sont affichés hors taxes. Les clients belges se voient appliquer la TVA belge à 21 %. Les clients B2B de l’UE disposant d’un numéro de TVA valide sont facturés en autoliquidation. Les clients établis hors de l’UE ne se voient pas appliquer la TVA belge.