Revue de risque
Avant qu'un changement de workflow parte en production, quelqu'un vérifie non seulement s'il fonctionne, mais ce qu'il pourrait toucher de nouveau — et les changements qui pourraient faire de vrais dégâts reçoivent une paire d'yeux de plus.
Pensez aux rénovations. Repeindre une chambre, c'est votre affaire ; abattre un mur demande un permis et un inspecteur, parce que le pire scénario n'est pas du tout le même. La revue de risque fonctionne pareil pour les workflows IA : les petits changements sortent vite, mais un changement qui donne de nouveaux pouvoirs à l'agent reçoit un deuxième regard avant d'aller où que ce soit.
Le problème, en mots simples
Un coéquipier propose un changement à un workflow. Quelques lignes, les tests passent, la revue prend deux minutes. Ce que personne ne remarque, c'est que ce petit changement donne discrètement à l'agent quelque chose qu'il n'avait jamais eu — l'accès à une nouvelle base de données, ou la capacité d'envoyer des messages à l'extérieur de l'entreprise. Le changement avait l'air inoffensif à l'écran. Son comportement une fois déployé est une tout autre bête. Et comme chaque changement reçoit le même coup d'œil rapide, les changements inquiétants sont sous-vérifiés et les changements banals sur-vérifiés. Vous découvrez lesquels étaient lesquels quand quelque chose casse à grande échelle.
Ce que nous mettons en place
Chaque workflow porte une classification de risque — une étiquette écrite qui dit quelles données il touche, quels outils il peut appeler, et quels effets il peut avoir en dehors de vos systèmes. Quand quelqu'un propose un changement, le changement déclare comment il déplace cette étiquette. Un changement qui reste au même niveau sort par la revue normale. Un changement qui élève le niveau — un nouvel accès outil, une nouvelle classe de données, une nouvelle destination externe — exige la signature explicite d'un réviseur supplémentaire, nommé d'avance. L'étiquette elle-même est versionnée (chaque modification est enregistrée, avec qui et quand), donc personne ne peut abaisser en douce le niveau de risque d'un workflow : un abaissement déclenche sa propre revue. Chaque élévation et chaque signature atterrissent dans un journal d'audit.
Comment ça fonctionne, étape par étape
- Un changement est proposé
Quelqu'un modifie un workflow — un nouveau prompt, un nouvel outil, une nouvelle source de données. La routine.
- Le changement déclare son risque
Quelles données touche-t-il ? Quels outils peut-il appeler ? Que pourrait-il affecter hors de l'entreprise ? Les réponses sont comparées à l'étiquette de risque actuelle du workflow.
- Même niveau ? Il sort par la voie normale
Revue régulière, pas de cérémonie supplémentaire. Le travail à faible risque reste rapide.
- Niveau plus élevé ? Un réviseur de plus signe
Nouvel accès outil, nouvelle classe de données, nouvelle destination externe — une personne désignée doit dire oui explicitement, au dossier.
- L'étiquette elle-même est protégée
La classification de risque est versionnée. L'élever est visible ; l'abaisser en douce est impossible, parce qu'un abaissement déclenche sa propre revue.
- Tout est au dossier
Chaque élévation, chaque signature, chaque changement d'étiquette entre dans un journal d'audit. Quand quelqu'un demande qui a approuvé ceci, la réponse existe.
Ce qui change pour vous
Avant, chaque changement recevait le même degré d'attention, ce qui voulait dire en pratique que les dangereux étaient sous-vérifiés et les routiniers sur-vérifiés. Après, votre équipe livre vite les changements à faible risque et ne ralentit que pour la poignée qui élargit ce que l'agent peut toucher — et ceux-là reçoivent l'attention de quelqu'un dont c'est le rôle. La revue fonctionnelle continue de répondre à « est-ce que ça marche » ; la revue de risque répond à « quelle est la pire chose que ceci pourrait faire à grande échelle, et est-ce acceptable ». Ce qu'il ne fera pas : juger si le changement est une bonne idée. Il garantit seulement que les bonnes personnes regardent avant qu'une chose au rayon d'impact plus large ne passe la porte.