Les neuf phases du chantier

Une phase répond à une seule question et produit des pièces nommées. Elle se termine par une porte : une liste de contrôles vrais ou faux, sans score et sans appréciation. Un seul contrôle faux et la phase ne se ferme pas. Les phases se franchissent dans l’ordre, y compris quand le calendrier presse.

Phase 1

Cadrage

Ce projet doit-il être construit, et si oui, maintenant et sous cette forme ?

Ce qui entre

Rien. C’est la première phase : elle part de la demande telle qu’elle a été formulée.

Ce qui sort

Note de cadrage · Journal de direction

Rôles impliqués : Chef de chantier, Responsable produit, Analyste métier.

Ce que fait le directeur de chantier, dans l’ordre

01Il écrit la demande telle qu’elle a été formulée, mot pour mot, avant de la reformuler.
02Il sépare la demande du besoin : la demande nomme une solution, le besoin nomme un problème.
03Il nomme la personne servie, et décrit ce qu’elle fait aujourd’hui à la place, sans le produit.
04Il fixe le résultat visé avec un nombre et une date, et écrit comment ce nombre sera relevé.
05Il relève les contraintes reçues : délai, budget, obligations légales, systèmes imposés.
06Il liste les hypothèses dont dépend la valeur du projet, et le moyen de vérifier chacune.
07Il examine explicitement les trois issues : construire, ne pas construire, différer, et écrit ce qui plaiderait pour chacune.
08Il écrit la décision, sa raison, sa date et le nom de la personne qui a tranché, puis ouvre le journal de direction sur cette entrée.

Ce qui fait échouer cette phase

Prendre la demande pour le besoin, et spécifier une solution que personne n’a examinée.
Nommer une technologie dès le cadrage, ce qui ferme l’architecture avant de l’avoir étudiée.
Écrire un résultat visé sans nombre, donc impossible à contredire et impossible à atteindre.
Écarter l’issue ne pas construire par politesse envers le commanditaire.
Confondre l’enthousiasme du commanditaire avec la preuve d’un besoin.
Différer sans écrire la condition qui déclencherait la reprise, ce qui revient à enterrer.

Porte PH-CADRAGE

La note de cadrage porte une décision parmi construire, ne pas construire, différer.
Le résultat visé porte au moins un nombre et une date.
La liste du hors périmètre contient au moins trois éléments nommés.
Aucune technologie, aucun produit et aucun fournisseur n’est nommé dans la note.
Chaque hypothèse porte son moyen de vérification et sa date prévue.
Le journal de direction est ouvert et porte l’entrée de décision datée et signée.

Si la porte refuse : Le chantier ne commence pas. On retourne auprès du commanditaire avec la liste précise de ce qui manque, et l’on refait le cadrage. Un cadrage qui ne conclut pas est un cadrage inachevé, pas un cadrage optionnel. Si la conclusion est ne pas construire ou différer, la porte est franchie : le processus a rendu son service le plus rentable.

Phase 2

Découverte

Comment le travail se fait-il aujourd’hui, réellement, et sur quelles données ?

Ce qui entre

Note de cadrage · Journal de direction

Ce qui sort

Carte du besoin

Rôles impliqués : Chef de chantier, Analyste métier, Responsable produit, Concepteur d’expérience.

Ce que fait le directeur de chantier, dans l’ordre

01Il dresse la liste nominative des rôles concernés et en retient au moins deux, distincts, à interroger.
02Il conduit chaque entretien sur le dernier cas réellement traité, avec ses dates et ses chiffres, jamais sur le cas moyen.
03Il fait exécuter le processus devant lui quand c’est possible, et note les écarts avec ce qui vient d’être décrit.
04Il relève chaque étape, ses attentes, ses reprises et ses contournements.
05Il inventorie les données : source, propriétaire, caractère personnel, durée de conservation.
06Il isole les règles métier non négociables et fait confirmer chacune par son détenteur, nommément.
07Il écrit ce qu’il n’a pas pu observer, la raison de cet angle mort, et ce qu’il faudrait pour le lever.
08Il fait relire la carte du besoin par une personne interrogée et consigne ses corrections avant remise.

Ce qui fait échouer cette phase

N’interroger que le commanditaire, et cartographier le processus tel qu’il croit qu’il se déroule.
Cartographier le processus idéal, celui de la procédure écrite, au lieu du processus exécuté.
Oublier les étapes d’attente, qui constituent souvent la majorité du délai constaté.
Recevoir un chiffre déclaré et le consigner comme mesuré.
Passer à côté des contournements, qui sont l’endroit exact où le besoin se trouve.
Traiter une donnée personnelle comme une donnée ordinaire, ce qui se paiera à la conception.

Porte PH-DECOUVERTE

Au moins deux rôles distincts ont été interrogés, dont un qui exécute le travail décrit.
Chaque étape du processus porte une durée, mesurée ou explicitement déclarée estimée.
Chaque champ de donnée porte la mention personnelle ou non personnelle.
Au moins une personne interrogée a relu la carte, et ses corrections sont consignées avec sa date.
Chaque règle non négociable porte le nom de la personne qui l’a confirmée.
La section de ce qui n’a pas pu être observé est présente et signée.

Si la porte refuse : On retourne sur le terrain pour l’entretien manquant. Aucune spécification ne commence sur une carte non relue : ce qui n’a pas été observé sera inventé par l’agent, et son invention sera plausible, donc indétectable à la lecture.

Phase 3

Spécification

Que doit faire exactement le produit, et à quoi verra-t-on qu’il le fait ?

Ce qui entre

Note de cadrage · Carte du besoin · Journal de direction

Ce qui sort

Spécification fonctionnelle · Maquette

Rôles impliqués : Responsable produit, Analyste métier, Concepteur d’expérience, Contrôle qualité, Chef de chantier.

Ce que fait le directeur de chantier, dans l’ordre

01Il fige le glossaire : un terme, une définition, aucun synonyme toléré.
02Il écrit les exigences une par une, numérotées, chacune tenant en une phrase d’action.
03Il attache à chaque exigence un critère d’acceptation observable par un tiers sans accès au code.
04Il décrit pour chaque exigence son cas limite et son cas d’erreur.
05Il définit les états des objets manipulés et les transitions autorisées entre eux.
06Il écrit les droits : qui voit quoi, qui modifie quoi, qui ne doit rien voir.
07Il fait dessiner les parcours et les quatre états de chaque écran, puis confronte la maquette aux exigences.
08Il relit la spécification en cherchant les mots vagues, et remplace chacun par une mesure ou le supprime.
09Il fait relire la spécification par le contrôle qualité, qui doit pouvoir en tirer des cas de test sans poser une seule question.

Ce qui fait échouer cette phase

Écrire des exigences que l’on comprend soi-même, et qu’un tiers lit autrement.
Laisser passer simple, rapide, intuitif, moderne : chacun de ces mots est une décision reportée sur l’agent.
Spécifier le chemin nominal et taire les cas d’erreur, qui représentent la moitié du travail réel.
Employer deux mots pour la même chose, ce qui produira deux objets distincts dans le code.
Numéroter les exigences dans un tableau qui sera trié : le tri déplace les identifiants et rompt les références.
Faire écrire la spécification par l’agent qui la réalisera ensuite, qui la taillera à ce qu’il sait faire.

Porte PH-SPECIFICATION

Chaque exigence porte un identifiant stable et un critère d’acceptation observable sans accès au code.
Aucune exigence ne contient les mots simple, rapide, intuitif, moderne, convivial ou performant sans mesure attachée.
Chaque terme métier employé figure au glossaire, et chaque terme du glossaire est employé au moins une fois.
Chaque écran de la maquette existe dans ses quatre états.
Le contrôle qualité a tiré au moins un cas de test par exigence sans demander d’éclaircissement.
Les droits sont écrits pour chaque exigence qui manipule la donnée d’autrui.
Chaque exigence porte au moins un cas d’erreur, ou la mention aucun cas d’erreur possible avec sa raison.

Si la porte refuse : La spécification revient à son auteur avec la liste des exigences en défaut, citées par identifiant. On ne compense pas une spécification floue par un brief détaillé : le brief se perd avec la conversation, la spécification reste et se relit.

Phase 4

Architecture

Quelle structure retenons-nous, et que nous rendra-t-elle difficile plus tard ?

Ce qui entre

Spécification fonctionnelle · Maquette · Note de cadrage

Ce qui sort

Décision d’architecture · Spécification technique · Dossier de sécurité

Rôles impliqués : Architecte, Responsable technique, Responsable sécurité, Ingénieur données, Chef de chantier.

Ce que fait le directeur de chantier, dans l’ordre

01Il chiffre les contraintes non fonctionnelles : utilisateurs simultanés visés, volume de données à douze mois, temps de réponse acceptable, indisponibilité tolérée, budget mensuel d’exploitation.
02Il relève les contraintes imposées de l’extérieur : localisation des données, obligations légales, systèmes à interfacer, compétences réellement disponibles pour exploiter.
03Il construit deux options au moins et chiffre pour chacune le coût d’exploitation, le délai jusqu’à la première mise en service et la limite connue.
04Il vérifie pour chaque option qu’au moins deux personnes ou fournisseurs identifiés sauraient l’exploiter, et les nomme.
05Il tranche dans une décision d’architecture numérotée et datée, qui nomme l’option retenue et les options écartées.
06Il écrit ce que la décision rend difficile plus tard, et le coût de la sortie.
07Il décline la décision en spécification technique : modules, contrats d’interface, modèle de données, conventions de nommage.
08Il ouvre le dossier de sécurité : biens à protéger, modèle de menaces, règles d’isolation, gestion des secrets.
09Il fait contredire l’ensemble par le rôle sécurité, et corrige avant de remettre au responsable technique.

Ce qui fait échouer cette phase

Choisir une technologie parce qu’elle est bien connue de l’agent, et non parce qu’elle sert la contrainte.
Concevoir pour une charge que personne n’a demandée, ce qui multiplie le coût d’exploitation sans un seul utilisateur.
Retenir une brique que personne d’autre que son auteur ne saurait remettre en marche.
N’écrire qu’une option, ce qui transforme la décision en justification après coup.
Omettre la section des conséquences, la seule qui vaudra encore quelque chose dans un an.
Traiter l’isolation des données entre comptes comme un détail d’implémentation à régler plus tard.

Porte PH-ARCHITECTURE

La décision d’architecture porte un numéro unique et une date.
Deux options au moins sont documentées, chacune avec sa limite connue.
La section des conséquences nomme au moins un point que la décision rend plus difficile.
Chaque contrainte non fonctionnelle porte un chiffre et l’origine de ce chiffre.
Chaque brique retenue est exploitable par au moins deux personnes ou fournisseurs nommés.
Le dossier de sécurité existe et porte le modèle de menaces et les règles d’isolation.
Chaque exigence de la spécification fonctionnelle est rattachée à au moins un module.

Si la porte refuse : On ne construit pas. On produit l’option manquante ou la section manquante, quel que soit le calendrier annoncé. Une architecture non écrite se paie deux fois : une fois quand on la découvre, une fois quand on la refait.

Phase 5

Préparation du chantier

Le chantier est-il équipé pour que la preuve soit produite automatiquement ?

Ce qui entre

Décision d’architecture · Spécification technique · Spécification fonctionnelle · Dossier de sécurité

Ce qui sort

Plan de tests · Plan de déploiement

Rôles impliqués : Responsable technique, Ingénieur d’exploitation, Contrôle qualité, Responsable sécurité, Chef de chantier.

Ce que fait le directeur de chantier, dans l’ordre

01Il crée le dépôt, écrit la règle de nommage des branches, et interdit l’écriture directe sur la branche principale.
02Il sépare les environnements de développement, de recette et de production, sans aucun secret partagé entre eux.
03Il installe la chaîne de vérification automatique, la rend bloquante à la fusion, puis provoque une fois son échec pour prouver qu’elle bloque vraiment.
04Il place les secrets hors du dépôt et écrit la procédure de remplacement d’un secret compromis.
05Il écrit le plan de tests à partir de la spécification, avant la première ligne de code.
06Il prépare un jeu de données de test réaliste et anonymisé, avec sa procédure de régénération.
07Il écrit le plan de déploiement et exécute une fois le retour arrière hors production.
08Il découpe le premier lot en incréments démontrables seuls, et fixe leur ordre en plaçant en tête ceux qui lèvent une incertitude.
09Il écrit la définition de terminé et l’affiche là où les briefs sont rédigés.

Ce qui fait échouer cette phase

Commencer à construire avant que la chaîne de vérification bloque : une fois le chantier lancé, elle ne bloquera jamais.
Écrire le plan de tests après le code, donc le tailler pour qu’il passe.
Copier des données de production dans un environnement de développement pour aller vite.
Laisser un secret dans le premier envoi de code, où il restera même après suppression du fichier.
Partager une même base entre développement et production pour économiser une ligne de configuration.
Découper le travail par couche technique plutôt que par incrément démontrable, ce qui rend le refus impossible avant la fin.

Porte PH-PREPARATION

L’écriture directe sur la branche principale est refusée par le dépôt lui-même, et le refus a été constaté.
La chaîne de vérification échoue lorsqu’un test échoue, et cet échec a été provoqué une fois pour le prouver.
Aucun secret ne figure dans l’historique du dépôt.
Les trois environnements existent et ne partagent aucun secret.
Le plan de tests est daté d’avant la première ligne de code de l’incrément qu’il couvre.
Le retour arrière a été exécuté une fois hors production, et sa date est consignée.
Le premier incrément est démontrable seul.

Si la porte refuse : On n’ouvre pas la construction. Un chantier sans porte automatique produit du travail non prouvé, et le non prouvé se découvre en production, au pire moment et devant le pire public. On finit l’équipement, quel que soit le calendrier annoncé.

Phase 6

Construction

L’incrément demandé existe-t-il, et sa preuve est-elle reproductible par un tiers ?

Ce qui entre

Spécification fonctionnelle · Spécification technique · Maquette · Plan de tests · Journal de direction

Ce qui sort

Incrément livré · Journal de direction

Rôles impliqués : Responsable technique, Développeur serveur, Développeur interface web, Développeur mobile, Ingénieur données, Chef de chantier, Rédacteur technique.

Ce que fait le directeur de chantier, dans l’ordre

01Il écrit le brief de l’incrément : rôle tenu, contexte factuel, comportement attendu, comportement interdit, format de la preuve à rendre.
02Il fait écrire les tests avant le code, et vérifie qu’ils échouent avant que la réalisation commence.
03Il laisse l’agent réaliser sans intervenir, puis lit la totalité de ce qui a été modifié, et non le résumé qu’on lui en fait.
04Il exécute la commande de vérification depuis un dépôt fraîchement cloné, sur sa propre machine.
05Il exécute lui-même la démonstration, sur les données de départ fournies.
06Il compare la liste des fichiers modifiés au périmètre du brief, et refuse tout débordement, même utile.
07Il consigne au journal l’incrément reçu, la référence de version, les contrôles passés et le verdict.
08Il refuse par écrit en citant le contrôle en défaut, ou accepte et transmet l’incrément au contrôle qualité.

Ce qui fait échouer cette phase

Accepter une démonstration en direct à la place d’une preuve reproductible par un tiers.
Laisser l’agent élargir la tâche, ce qu’il fait toujours de bonne foi et toujours au-delà du brief.
Accepter la suppression d’un test comme une correction.
Faire juger le travail de l’agent par le même agent, qui confirmera avec le même aplomb qu’il a produit.
Cumuler plusieurs incréments avant de contrôler, ce qui rend le refus trop coûteux pour être prononcé.
Lire le résumé produit par l’agent au lieu du travail produit par l’agent.

Porte PH-CONSTRUCTION

La commande de vérification s’exécute depuis un dépôt fraîchement cloné et se termine sans échec.
Aucun test n’a été désactivé ni supprimé par rapport à l’incrément précédent.
Tous les fichiers modifiés appartiennent au périmètre du brief.
L’incrément est démontrable seul, et la démonstration a été exécutée par le chef de chantier lui-même.
Aucun secret ne figure dans les fichiers livrés ni dans l’historique de la version livrée.
Le journal de direction porte l’entrée de contrôle datée, avec la référence de version exacte.

Si la porte refuse : L’incrément est renvoyé avec le contrôle en défaut cité par son libellé exact, et ce refus est écrit au journal. On ne corrige pas soi-même pour débloquer, et l’on ne lance pas l’incrément suivant tant que celui-ci n’est pas accepté.

Phase 7

Vérification

L’ouvrage est-il conforme à ce qui a été spécifié, prouvé par quelqu’un qui ne l’a pas construit ?

Ce qui entre

Incrément livré · Plan de tests · Spécification fonctionnelle · Dossier de sécurité

Ce qui sort

Procès-verbal de recette · Dossier de sécurité

Rôles impliqués : Contrôle qualité, Responsable sécurité, Responsable produit, Chef de chantier.

Ce que fait le directeur de chantier, dans l’ordre

01Il installe la version soumise sur un environnement neuf, en suivant la documentation, et note chaque écart entre la procédure écrite et la réalité.
02Il exécute les cas du plan de tests dans l’ordre écrit, et consigne le résultat observé, jamais le résultat attendu.
03Il rejoue les cas des incréments précédents pour détecter les régressions introduites.
04Il exécute les essais de sécurité : accès à la ressource d’un autre compte, recherche de secrets dans l’historique, contrôle des droits par rôle.
05Il classe chaque anomalie en bloquante, majeure ou mineure, avec ses étapes de reproduction.
06Il fait corriger par un rôle distinct de celui qui juge, puis rejoue le cas lui-même.
07Il prononce conforme ou non conforme, sans mention intermédiaire, et rédige le procès-verbal.
08Il complète le dossier de sécurité avec les preuves de rejeu, ce qui le fait passer de promesse à preuve.

Ce qui fait échouer cette phase

Déléguer la vérification à une autre intelligence artificielle : un second agent partage les angles morts du premier, et sa confirmation ne vaut rien.
Tester sur l’environnement du développeur, où tout est déjà configuré et où l’installation ne prouve rien.
Prononcer conforme avec réserve, ce qui revient à accepter le non prouvé en le sachant.
Modifier un cas de test parce qu’il échoue, au lieu de traiter ce qu’il révèle.
Refermer une anomalie sur la déclaration de celui qui l’a corrigée.
Ne rejouer que le cas corrigé, et laisser passer la régression que la correction vient de créer.

Porte PH-VERIFICATION

Le verdict est conforme ou non conforme, sans mention intermédiaire ni réserve.
La personne qui prononce n’est ni l’auteur du code ni l’auteur des correctifs.
Le verdict a été prononcé par une personne ; aucune intelligence artificielle n’a prononcé de recette.
Chaque exigence du périmètre soumis apparaît avec un résultat observé.
Aucune anomalie bloquante n’est ouverte.
L’essai d’accès à la ressource d’un autre compte a été exécuté et son résultat est consigné.
Chaque anomalie corrigée porte la trace d’un rejeu exécuté par une personne autre que celle qui a corrigé.

Si la porte refuse : Le verdict est non conforme et le procès-verbal le dit. On repart en construction sur les seules anomalies bloquantes, on rejoue la campagne entière et non le seul cas corrigé, et l’on ne met rien en service entre-temps. La vérification ne se sous-traite pas à une machine : c’est le point où le chef de chantier engage sa signature, et une signature qu’une machine a produite n’engage personne.

Phase 8

Mise en service

Pouvons-nous mettre en service, et savons-nous en sortir si cela tourne mal ?

Ce qui entre

Procès-verbal de recette · Plan de déploiement · Dossier de sécurité

Ce qui sort

Manuel d’exploitation · Journal de direction

Rôles impliqués : Ingénieur d’exploitation, Responsable technique, Responsable sécurité, Rédacteur technique, Chef de chantier.

Ce que fait le directeur de chantier, dans l’ordre

01Il vérifie que le procès-verbal de recette est conforme et qu’il porte sur la version exacte qui sera mise en service.
02Il prend une sauvegarde et vérifie que sa restauration a déjà été éprouvée, pas seulement planifiée.
03Il annonce la fenêtre aux personnes concernées, avant l’opération et non après.
04Il exécute la séquence du plan de déploiement, étape par étape, sans raccourci ni improvisation.
05Il exécute les contrôles d’après mise en service et les compare au résultat attendu écrit d’avance.
06Il déclenche le retour arrière dès que le critère chiffré est franchi, sans délibérer.
07Il publie le manuel d’exploitation et fait vérifier par une personne étrangère au développement qu’elle sait remettre le système en marche.
08Il consigne l’opération au journal : version, heure, contrôles, incidents, décisions prises pendant la fenêtre.

Ce qui fait échouer cette phase

Mettre en service sans avoir jamais exécuté le retour arrière une seule fois.
Mettre en service à une heure où personne ne restera disponible pour surveiller.
Corriger à la main en production pour sauver la mise en service, ce qui rend l’environnement irreproductible pour toujours.
Décider du retour arrière par discussion au lieu d’appliquer le critère chiffré écrit d’avance.
Publier un manuel d’exploitation que personne n’a jamais exécuté.
Mettre en service une version différente de celle qui a été recettée, au motif qu’un correctif est arrivé entre-temps.

Porte PH-MISE-EN-SERVICE

La version mise en service est exactement celle qui figure au procès-verbal de recette.
Une sauvegarde a été prise, et sa restauration avait déjà été éprouvée avant l’opération.
Le critère de retour arrière est chiffré et observable dans les minutes qui suivent la mise en service.
La procédure de retour arrière a été exécutée au moins une fois hors production.
Le manuel d’exploitation existe, et une personne étrangère au développement a exécuté ses procédures.
Aucune modification manuelle n’a été faite en production pendant l’opération.
Aucun constat de sécurité bloquant n’est ouvert.

Si la porte refuse : On ne met pas en service. On note l’heure, on prévient les personnes qui avaient été annoncées, et l’on traite le contrôle en défaut. Reporter une mise en service coûte une journée ; une mise en service dont on ne peut pas sortir coûte le produit et la confiance qui allait avec.

Phase 9

Exploitation

Le produit tient-il en service, et ce qu’il nous apprend revient-il au chantier ?

Ce qui entre

Manuel d’exploitation · Incrément livré · Journal de direction · Note de cadrage

Ce qui sort

Manuel d’exploitation · Journal de direction

Rôles impliqués : Ingénieur d’exploitation, Rédacteur technique, Contrôle qualité, Responsable produit, Chef de chantier.

Ce que fait le directeur de chantier, dans l’ordre

01Il vérifie que chaque alerte déclarée parvient réellement à une personne nommée, en la déclenchant une fois.
02Il traite chaque incident selon le manuel d’exploitation, et écrit ce qui a manqué au manuel pendant l’incident.
03Il rédige après chaque incident une note qui nomme les faits, l’effet constaté, la correction et la mesure de prévention, sans nommer de coupable.
04Il révise à date fixe la liste des accès en production, et retire ceux qui ne servent plus.
05Il vérifie à date fixe qu’une restauration de sauvegarde fonctionne encore, en l’exécutant.
06Il collecte l’usage réel et le compare, chiffre contre chiffre, au résultat visé de la note de cadrage.
07Il rapporte au journal de direction le périmètre livré, le budget consommé et les risques ouverts.
08Il renvoie en découverte ce que l’usage réel contredit, plutôt que de le corriger par retouches successives.

Ce qui fait échouer cette phase

Poser des alertes que personne ne reçoit, ou que tout le monde ignore parce qu’elles se déclenchent trop souvent.
Considérer la sauvegarde comme acquise parce qu’elle s’exécute, sans jamais restaurer.
Chercher un coupable après un incident, ce qui garantit que le suivant sera caché.
Corriger par retouches successives un besoin mal compris, au lieu de retourner en découverte.
Laisser des accès de production ouverts à des personnes qui ont quitté le projet.
Ne jamais comparer l’usage réel au résultat visé, et déclarer le succès par habitude.

Porte PH-EXPLOITATION

Chaque alerte déclarée a été déclenchée une fois, et il est établi qu’elle parvient à une personne nommée.
Une restauration de sauvegarde a été exécutée depuis la mise en service, et sa date est consignée.
Chaque incident survenu porte sa note écrite, sans nom de coupable, avec une mesure de prévention.
La liste des accès en production a été revue à sa date, et les retraits sont consignés.
L’usage réel est comparé au résultat visé de la note de cadrage, chiffre contre chiffre.
Le manuel d’exploitation a été corrigé de ce qui lui a manqué pendant le dernier incident.

Si la porte refuse : L’exploitation ne se déclare pas saine. On corrige l’alerte muette, on exécute la restauration, on écrit la note manquante. Un produit en service dont personne ne surveille la sortie n’est pas exploité : il est abandonné en marche, et l’on ne s’en apercevra qu’au premier client perdu.