Toute équipe opérationnelle se pose la même question pratique : combien de temps doit-on conserver les données de RUN, les transcriptions, les enregistrements et les pistes d'audit ? Une politique de rétention pertinente équilibre exigences légales, préparation aux incidents, apprentissage opérationnel, confidentialité et coût de stockage. Cet article explique quoi conserver, les fenêtres de rétention recommandées et comment appliquer ces règles dans une plateforme comme OKiDO.
Une politique recevable répond à quatre questions simples : quoi conserver, combien de temps, qui y a accès et comment les données sont détruites.
Pourquoi la politique de rétention compte pour les opérations
La rétention n'est pas qu'une case à cocher pour la conformité — elle affecte directement trois résultats opérationnels.
Réponse aux incidents et analyse des causes profondes : l'historique récent des RUN, les logs et les enregistrements sont souvent essentiels pour comprendre des défaillances.
Amélioration continue : les données d'exécution alimentent les métriques, l'analyse des tendances et l'itération des SOP. Voir comment exploiter les données d'exécution pour améliorer les SOP en continu dans "Exploiter les données d'exécution pour l'amélioration continue des SOP"(/fr/blog/donnees-execution-amelioration-continue-sops).
Maîtrise des risques et des coûts : une rétention inutile augmente la surface d'attaque et le coût de stockage ; une rétention trop courte vous prive de preuves quand vous en avez besoin.
Une politique pratique réduit l'incertitude pour les intervenants, les auditeurs et les équipes confidentialité en codifiant la rétention selon le type de preuve et le cas d'usage.
Ce qui compte comme données de RUN — et pourquoi chaque type est important
Les équipes opérationnelles génèrent plusieurs catégories de preuves pendant l'exécution. Traitez chaque catégorie différemment car leur utilité et leur profil de risque varient.
Pistes d'audit (horodatages des étapes, identifiants d'acteurs, approbations). Enregistrements à forte valeur et faible volumétrie utilisés pour prouver ce qui s'est passé. Conserver plus longtemps si la conformité ou les contrats l'exigent.
Payloads de RUN des SOP (variables remplies, réponses de formulaires). Utile pour reproduire et pour le reporting, mais peut contenir des PII.
Pièces jointes et artefacts (captures d'écran, fichiers, rapports exportés). Souvent volumineux ; certains sont requis pour des audits.
Transcriptions et enregistrements d'écran. Précieux pour la formation et les enquêtes mais volumineux et potentiellement sensibles.
Logs d'intégration et reçus externes (réponses API, identifiants de tickets externes). Nécessaires pour la réconciliation inter-systèmes et la résolution de litiges.
OKiDO capture ces éléments comme contexte opérationnel structuré — SOP versionnées, historique au niveau RUN, enregistrements et traces externes. Utilisez cette structure pour appliquer une rétention différentielle plutôt qu'une approche unique pour tous.
Fenêtres de rétention recommandées (point de départ pratique)
Il n'existe pas de réponse unique — les obligations légales et contractuelles varient — mais vous avez besoin d'une base défendable. Servez-vous de ces recommandations comme point de départ et adaptez-les à votre industrie et région.
Pistes d'audit (actions, approbations) : 3–7 ans. Conserver suffisamment longtemps pour satisfaire audits, gels légaux et litiges contractuels.
Métadonnées de RUN (statut, assignés, horodatages) : 1–3 ans. Utile pour l'analyse des tendances et les KPI.
Payloads de variables SOP (formulaires, saisies) : 90 jours à 1 an. Plus court pour les données personnelles sensibles ; plus long si les processus métier l'exigent.
Pièces jointes et exports : 1 an, sauf obligation contractuelle plus longue.
Enregistrements d'écran et transcriptions : 90 jours à 1 an. Conserver les enregistrements récents pour la formation et la relecture d'incidents ; archiver ou purger les éléments plus anciens.
Logs d'intégration et reçus externes : 1–7 ans selon les besoins de réconciliation et les règles de conservation comptable.
Deux règles empiriques : (1) conservez les pistes d'audit plus longtemps que les données variables, et (2) minimisez la conservation des PII sauf si elle est explicitement requise.
Concevoir une politique pratique et exécutable
Concevez votre politique autour de cinq dimensions : juridique, opérationnelle, technique, coût et confidentialité. Chaque dimension donne des actions concrètes que vous pouvez assigner à des responsables.
Exigences légales et contractuelles
Identifiez les règles de rétention réglementaires (finance, santé, télécom). La rétention par défaut doit satisfaire le terme le plus long requis.
Mettez en place un processus de legal hold pour pouvoir geler la rétention de RUN spécifiques lors de litiges ou d'audits.
Besoins opérationnels
Définissez la rétention par cas d'usage. Les enquêtes d'incident nécessitent des RUN et des enregistrements récents ; les audits réglementaires exigent des pistes d'audit de longue durée.
Cartographiez les processus à forte valeur et étiquetez-les dans votre Playbook afin qu'ils héritent de la rétention appropriée.
Application technique
Utilisez des contrôles au niveau système pour appliquer la rétention : politiques de dossiers, tags/Smart Labels, ou templates de RUN avec indicateurs de rétention.
Automatisez les tâches d'archivage et de purge. Convertissez les enregistrements volumineux en archives compressées ou en preuves basées sur transcription après une fenêtre donnée.
Coût et stockage
Classez le stockage en fonction de la valeur des preuves. Conservez les pistes d'audit dans un stockage durable et indexable ; déplacez les enregistrements vers du cold storage après X jours.
Suivez les coûts de stockage par équipe/processus et intégrez-les aux discussions budgétaires.
Confidentialité et minimisation des données
Appliquez une visibilité interne uniquement aux RUN contenant des données sensibles. Masquez ou censurez les PII dans les transcriptions lorsque c'est possible.
Publiez un calendrier de rétention qui explique ce que vous conservez et pourquoi — cela facilite le traitement des demandes des personnes concernées et la transparence.
Assignez des responsabilités : le juridique définit les règles de conformité, les propriétaires ops fixent les fenêtres opérationnelles par processus, et les administrateurs de la plateforme exécutent l'application technique.
Mettre en œuvre des contrôles de rétention dans OKiDO (modèles pratiques)
OKiDO fournit des briques pour opérationnaliser la rétention sans tâches manuelles lourdes.
Rétention pilotée par labels : appliquez des Smart Labels aux processus et aux RUN (par ex. "FinancialRecords", "PII", "ShortRetention") et mappez les labels aux politiques de stockage.
Valeurs par défaut au niveau template : définissez une rétention par défaut sur les templates de SOP et les versions système afin que chaque RUN hérite du calendrier correct.
Politiques de dossier et d'équipe : utilisez des dossiers imbriqués pour limiter les règles de rétention par département, client ou région. Les politiques au niveau dossier simplifient l'application multi-tenant.
Pistes d'audit versionnées : conservez des pistes d'audit immuables tout en permettant l'évolution des templates ; cela préserve la preuve historique après des changements de processus.
Workflows d'archivage : créez des étapes RUN automatisées qui déplacent pièces jointes et enregistrements vers un stockage d'archive à un âge configuré et les remplacent par une somme de contrôle ou une preuve basée sur transcription.
Legal hold et export : proposez un override qui empêche la purge pour des RUN spécifiés et permet l'export sécurisé des preuves pour les auditeurs.
Contrôles d'accès : utilisez les permissions
VIEW/EDIT/RUNet des flags internal-only pour que seuls les utilisateurs autorisés accèdent aux données sensibles.
Ces modèles vous permettent de concilier preuve et confidentialité tout en maintenant une faible charge administrative.
Checklist pratique, erreurs courantes et étapes suivantes
Suivez cette checklist pour définir et opérationnaliser votre politique de rétention, et évitez les erreurs fréquentes.
Inventoriez les types de preuves produits par vos opérations (journaux d'audit, RUN, variables, enregistrements, pièces jointes).
Cartographiez les obligations légales et contractuelles de rétention par processus et par région.
Catégorisez les processus par sensibilité et valeur (ex. : Financier, Orienté client, Interne).
Définissez des fenêtres de rétention de base pour chaque catégorie en vous basant sur les recommandations ci-dessus.
Décidez des stratégies d'archivage et de compression pour les médias volumineux (transcription seule après X jours).
Automatisez les politiques dans votre plateforme opérationnelle : valeurs par défaut des templates, règles de dossier et Smart Labels.
Configurez les workflows de legal hold et d'export pour les audits ou litiges.
Définissez les rôles : qui peut modifier les règles de rétention, qui exécute les holds, qui approuve les exports.
Documentez la politique, publiez un calendrier de rétention et formez les équipes sur ce qu'elles doivent (et ne doivent pas) capturer.
Révisez annuellement ou après incidents — mettez à jour la rétention lorsque vos risques, obligations réglementaires ou besoins opérationnels évoluent.
Pièges courants à éviter :
Tout conserver “au cas où”. Conservez uniquement ce qui apporte une valeur démontrable ; une rétention excessive multiplie les risques.
Traiter tous les processus de la même manière. Les workflows ont des besoins de preuve différents — utilisez des règles au niveau template ou dossier.
Compter sur des purges manuelles. Le nettoyage manuel est incohérent ; automatisez selon un calendrier lié aux métadonnées.
Oublier les transcriptions et médias. Les médias sont souvent les plus gros consommateurs de stockage ; intégrez-les explicitement dans votre calendrier.
La rétention se connecte au design des SOP, aux approbations et à l'observabilité. Si vous voulez une auditabilité longue durée, intégrez des gates d'approbation et des preuves immuables dans vos templates SOP pour que la piste d'audit soit autonome. Si vous vous appuyez sur les données de RUN pour améliorer les processus, conservez les métriques agrégées plus longtemps que les entrées brutes contenant des PII et exportez des métriques anonymisées pour l'analyse long terme. Voir "Créer des SOP auditables : guide pratique pour les opérations"(/fr/blog/creer-sops-auditables-guide-pratique).
Une politique de rétention défendable équilibre conformité, préparation opérationnelle, confidentialité et coût. Commencez par un petit ensemble de fenêtres de rétention claires, automatisez l'application via des règles de template et de labels, et conservez les pistes d'audit longue durée séparément des payloads volumineux ou sensibles.
Si vous gérez des RUN opérationnels sur plusieurs systèmes, la structure Playbook d'OKiDO, les Smart Labels, les RUNs versionnés et les workflows d'archivage rendent ces modèles applicables à l'échelle. Demandez une démo d'OKiDO et nous établirons un plan de rétention personnalisé pour votre Playbook et vos RUNs.
