Le schéma directeur a été validé. Il décrit une cible à trois ans, cohérente, argumentée, et il est illustré par un diagramme que tout le monde reconnaît. La feuille de route qui l’accompagne comporte des jalons, une séquence, des enveloppes. Le comité a approuvé, et il avait raison de le faire : la cible est bonne.

Dix-huit mois plus tard, la moitié du chemin a été parcourue. Un domaine a basculé, un autre a été reporté au profit d’une urgence réglementaire, le sponsor initial a changé de poste et son successeur a d’autres priorités. Le nouveau système fonctionne pour une partie du périmètre, l’ancien pour le reste, et deux référentiels décrivent désormais les mêmes clients avec des règles différentes. Une réconciliation nocturne, écrite au départ « pour la durée de la transition », est devenue un point de passage critique de l’exploitation.

Personne n’a mal travaillé. Chaque décision prise isolément était défendable. Mais l’organisation vit aujourd’hui dans un état que personne n’a conçu : ni le point de départ, ni la cible, et surtout pas un état qu’un architecte aurait accepté de dessiner s’il lui avait été présenté comme une destination.

C’est le sort ordinaire des trajectoires de transformation, et il ne s’explique ni par le manque de méthode ni par l’inconstance des directions. Il s’explique par un déséquilibre dans ce qu’on produit : on conçoit soigneusement un état que l’on n’atteindra probablement pas, et l’on ne conçoit pas du tout ceux dans lesquels on va effectivement vivre. Or la probabilité qu’une organisation s’arrête en cours de route n’est pas un accident à corriger : c’est le comportement attendu, et il doit être une hypothèse de conception.

Pourquoi la cible n’est presque jamais atteinte

L’écart entre le schéma directeur et ce qui arrive n’est pas une question de discipline. Il tient à trois propriétés structurelles qu’il vaut mieux nommer que déplorer.

L’horizon de la cible dépasse l’horizon de décision de l’organisation. Une cible se pense à trois ou cinq ans. Les arbitrages budgétaires se prennent à un an, les priorités se déplacent à chaque exercice, et les personnes qui ont validé la cible ne sont pas nécessairement celles qui financeront sa dernière étape. Une trajectoire qui suppose une continuité d’intention sur cinq ans fait une hypothèse que rien, dans le fonctionnement réel d’une direction générale, ne vient soutenir.

La cible suppose un monde immobile. Elle est instruite à partir du périmètre, des contraintes et des priorités du moment. Une acquisition, une évolution réglementaire, un changement de modèle de distribution, et une partie de la cible devient sans objet — non parce qu’elle était mal conçue, mais parce que la question a changé. Plus l’horizon est lointain, plus cette érosion est certaine.

La cible est agréable à valider, la trajectoire est coûteuse à assumer. Approuver un état final n’engage personne immédiatement : le débat porte sur des principes, et tout le monde peut s’y retrouver. Décider la séquence, en revanche, désigne qui attend, qui paie et qui subit un régime transitoire. C’est un arbitrage bien plus dur, ce qui explique qu’il soit si souvent réduit à une frise de jalons sans contenu d’architecture.

Il n’y a rien à réparer dans ces trois constats. Il faut simplement en tirer la conséquence : la cible reste utile, mais elle change de statut. Elle n’est pas un plan, c’est un critère de cohérence — ce qui permet de juger si une décision prise cette année rapproche ou éloigne. Le livrable qui décide de la réussite, lui, n’est pas la cible : ce sont les états intermédiaires.

Ce que doit vérifier un état intermédiaire

Un jalon de feuille de route n’est pas un état d’architecture. Un état intermédiaire, pour mériter ce nom, doit vérifier trois propriétés — et une quatrième, moins évidente, qui est en réalité la plus importante.

Il doit être exploitable. Un état intermédiaire est un système en production, avec des utilisateurs, des astreintes, des incidents et des audits. Il doit donc avoir un modèle d’exploitation défini : qui est appelé la nuit, où l’on regarde quand un flux ne passe pas, quelle procédure s’applique en cas de divergence entre les deux systèmes qui coexistent. Un état de transition traité comme un chantier — c’est-à-dire sans exploitation nommée, parce qu’« il ne va pas durer » — est celui qui produira les incidents les plus longs à résoudre.

Il doit être finançable dans un cycle de décision. Un jalon dont la valeur ne se manifeste qu’au jalon suivant ne survit pas à un changement de priorité. La contrainte pratique est simple : une étape doit tenir dans l’horizon où une organisation sait tenir une intention, c’est-à-dire un cycle budgétaire, rarement plus.

Il doit porter un bénéfice propre. C’est le point le plus souvent sacrifié, en particulier lorsque la trajectoire est découpée par couche technique. Un socle mis en place sans usage qui s’y appuie n’est pas une première étape : c’est un investissement dont le rendement est intégralement reporté, et donc la première ligne coupée quand l’exercice se tend. Une étape qui ne produit rien d’observable pour le métier sera toujours en concurrence défavorable avec autre chose.

Et il doit être un endroit où l’on peut s’arrêter. C’est le critère décisif, et il se formule comme une question à poser à chaque jalon : si tout s’arrêtait ici, pendant deux ans, l’organisation serait-elle dans une situation tenable ? Si la réponse est non, l’étape n’est pas un état, c’est le milieu d’un gué. Cela ne l’interdit pas — certaines transitions n’ont pas de palier possible — mais cela change ce qu’il faut sécuriser : un gué se traverse avec un engagement de financement pluriannuel obtenu au départ, pas avec l’espoir que la conviction tiendra.

La façon la plus honnête de tester une trajectoire consiste d’ailleurs à l’examiner à l’envers : prendre chaque étape et se demander non pas « qu’apporte-t-elle ? », mais « à quoi ressemble l’organisation si elle s’arrête ici ? ». Les trajectoires qui ne survivent pas à cet examen sont celles qui supposent que tout ira jusqu’au bout.

Le cœur du sujet : les régimes de coexistence

Entre le moment où un nouveau système entre en service et celui où l’ancien s’éteint, il existe une période — souvent longue, parfois définitive — pendant laquelle deux systèmes portent la même réalité. C’est là que se joue l’essentiel du coût et du risque d’une trajectoire, et c’est presque toujours la partie la moins conçue.

Un régime de coexistence n’est pas un état dégradé qu’on subit. C’est une architecture à part entière, qui doit répondre explicitement à trois questions.

Qui détient la vérité, pour quel objet ? C’est la question fondatrice, et la seule règle qui ne souffre pas d’exception : à tout instant, pour chaque objet métier, un seul système est le système de référence. L’autre en détient une copie, qu’il utilise mais ne modifie pas. Un régime transitoire dans lequel les deux systèmes acceptent des écritures sur le même objet n’est pas une transition : c’est une duplication, et elle produira des divergences que personne ne saura arbitrer, parce qu’aucune règle n’aura été écrite pour dire qui a raison.

La finesse importe : la référence se désigne par objet, voire par attribut, pas par application. Il est parfaitement normal qu’un nouveau système soit référence sur le client et l’ancien sur le contrat pendant une phase. Ce qui ne l’est pas, c’est que la question n’ait pas de réponse écrite.

Dans quel sens circule la donnée, et avec quelle latence assumée ? Une synchronisation unidirectionnelle est un mécanisme simple, testable et réparable. Une synchronisation bidirectionnelle est un système distribué avec résolution de conflits, c’est-à-dire un problème d’une tout autre nature, qu’il faut avoir décidé d’affronter et non découvert en cours de route. Et la latence n’est pas un détail technique : elle détermine ce qu’un utilisateur voit, donc ce qu’il croit, donc les décisions qu’il prend. Un délai de propagation non énoncé devient une règle de gestion implicite.

Comment saura-t-on qu’on est sorti du régime ? Un régime de coexistence a besoin d’une condition de sortie observable, écrite au moment où on l’ouvre : quel volume résiduel, sur quel périmètre, à quelle date. Sans cela, la sortie ne dépendra plus d’un critère mais d’une disponibilité — et une équipe n’est jamais disponible.

Deux mécanismes complètent utilement le dispositif. Le premier est la réconciliation permanente : tant que deux systèmes portent la même réalité, l’écart entre eux doit être mesuré et publié, pas découvert lors d’une clôture. Le second concerne la double saisie : lorsqu’elle est imposée aux utilisateurs, elle doit être reconnue comme le coût qu’elle est — un coût récurrent, supporté par le métier, généralement absent du chiffrage du projet qui l’a créé.

Le provisoire qui s’installe

Un régime transitoire a une propriété redoutable : il fonctionne. C’est précisément ce qui le rend durable.

Le mécanisme est le même que celui qui protège les systèmes qu’on n’arrête jamais, mais il agit ici plus tôt et plus discrètement. Une passerelle, une table de correspondance, un batch de nuit qui rejoue les écarts : chacun de ces objets a été construit vite, documenté peu, et personne ne le revendique. Son coût est diffus et son retrait n’a aucun sponsor, puisque le bénéfice attendu — « ne plus avoir à le maintenir » — ne figure sur aucune ligne budgétaire. Au bout de quelques années, ces objets sont devenus l’endroit où réside réellement une partie de la logique métier, et plus personne ne peut expliquer pourquoi une correspondance de codes est écrite ainsi.

Deux règles suffisent à contenir le phénomène, à condition d’être posées avant l’ouverture du régime et non après.

La première : un état intermédiaire sans date de réexamen n’est pas un état intermédiaire, c’est une cible que l’on n’assume pas. La formulation est volontairement dure, parce qu’elle est utile en comité. Si l’on est prêt à vivre dans cet état sans échéance, alors ce n’est plus une transition, et il faut le concevoir comme une architecture permanente — avec la documentation, l’exploitation et la propriété que cela suppose. Les deux réponses sont acceptables ; ce qui ne l’est pas, c’est de ne pas choisir.

La seconde : le coût de sortie du régime transitoire appartient au projet qui l’ouvre, dans son périmètre, son budget et ses critères de clôture. Un projet qui livre un nouveau système et laisse derrière lui un dispositif de coexistence non financé n’a pas terminé : il a déplacé une partie de sa facture vers l’exploitation, où elle sera payée sans jamais avoir été arbitrée.

Ces règles ont un effet secondaire vertueux, et c’est peut-être leur principale utilité : elles renchérissent les trajectoires qui multiplient les régimes transitoires parallèles. Ce renchérissement n’est pas artificiel — il révèle un coût réel que le découpage habituel dissimule.

Découper une trajectoire

Reste la question pratique : par où commencer, et selon quelle ligne découper.

L’erreur la plus répandue est le découpage par couche technique : d’abord le socle, ensuite les données, enfin les usages. Il est séduisant parce qu’il correspond à l’ordre logique de construction, et il échoue régulièrement parce qu’il concentre tout le coût au début et tout le bénéfice à la fin. Il produit des premières étapes invisibles pour le métier, donc fragiles au premier arbitrage.

Le découpage qui tient suit les frontières de la donnée. La bonne ligne de coupe est celle où la séparation entre l’ancien et le nouveau coûte le moins cher à maintenir pendant la coexistence — c’est-à-dire là où l’on peut désigner sans ambiguïté un système de référence, et où les échanges nécessaires restent unidirectionnels. Ce critère est bien plus discriminant que l’ordre fonctionnel apparent, et il est presque toujours examiné trop tard.

Trois formes de découpage se rencontrent, avec des profils de risque différents.

Par périmètre : une entité, une géographie, un segment de clientèle bascule entièrement, les autres attendent. La coexistence est simple, parce que la frontière est nette et qu’un objet appartient à un côté ou à l’autre. Le prix à payer est la durée : le régime dure aussi longtemps que le dernier périmètre n’a pas basculé.

Par fonction : le nouveau système prend en charge une fonction après l’autre, l’ancien conservant les autres. La progression est plus continue, mais la coexistence est nettement plus exigeante, puisque les deux systèmes se partagent les mêmes objets métier. C’est la forme qui exige le plus de rigueur sur la désignation de la référence.

Par flux nouveau : le nouveau système prend tout ce qui arrive à partir d’une date, l’ancien conservant l’existant jusqu’à extinction naturelle. C’est souvent la forme la moins risquée, quand le métier s’y prête, parce qu’elle évite la reprise de données. Elle a un défaut à connaître : elle repousse la question de l’historique, qui reviendra au moment de l’extinction de l’ancien système.

Reste le choix de la première étape, et il faut être honnête sur le fait qu’il y a un arbitrage réel. Commencer par ce qui apporte le bénéfice le plus visible sécurise le financement de la suite. Commencer par ce qui porte l’incertitude la plus lourde — la reprise de données, l’interface la plus mal connue — lève le doute au moment où il est encore corrigeable. Les deux logiques sont défendables ; la seule position intenable consiste à commencer par ce qui est facile, ce qui produit une démonstration précoce et repousse toutes les vraies questions au-delà du point de non-retour.

Ce que l’architecture doit tenir

Le rôle de l’architecture, dans une trajectoire, n’est pas de garantir qu’on ira jusqu’au bout. Il est de faire en sorte que chaque endroit où l’on pourrait s’arrêter soit un endroit vivable.

Cela suppose de maintenir la cible comme critère et non comme plan : la réviser à date fixe, en assumant qu’une partie devient sans objet, plutôt que la défendre longtemps puis l’abandonner d’un coup.

De soumettre chaque jalon aux quatre propriétés — exploitable, finançable, porteur d’un bénéfice propre, et vivable si tout s’arrête — et de traiter un jalon qui n’en vérifie aucune comme ce qu’il est : une étape de projet, pas un état d’architecture.

De nommer, pour chaque objet métier et à chaque étape, le système de référence, et de refuser l’ouverture d’un régime de coexistence tant que cette désignation n’est pas écrite.

D’inscrire la sortie du provisoire dans le périmètre du projet qui le crée, et de tenir la liste des dispositifs transitoires en vie, avec leur date de réexamen et leur propriétaire.

Et de rendre visible le coût de coexistence : tant qu’il reste dissous dans l’exploitation, les trajectoires longues paraîtront moins chères qu’elles ne le sont, et le découpage continuera d’être décidé sur d’autres critères que ceux qui comptent.

Une trajectoire est une suite d’états vivables

L’exercice du schéma directeur a une valeur réelle : il force à formuler une intention et à la rendre discutable. Mais il entretient une illusion tenace, celle d’un chemin qui serait parcouru dans l’ordre prévu, par des gens qui resteraient d’accord assez longtemps.

Ce qui distingue les transformations qui aboutissent n’est pas la qualité de leur cible. C’est qu’à chaque instant de leur parcours, l’organisation se trouvait dans un état qu’un architecte aurait accepté de dessiner. La bonne question à poser devant une feuille de route n’est donc pas « où voulons-nous arriver ? », mais « que se passe-t-il si nous nous arrêtons ici ? », posée à chaque étape, jusqu’à ce qu’aucune réponse ne soit inacceptable.

Une cible qui ne survit pas à sa propre exécution n’était pas une architecture : c’était une opinion sur l’avenir. Ce qui reste, lui, ce sont les états intermédiaires — et ils méritent d’être conçus avec le même soin que la destination qu’ils ne rejoindront peut-être jamais.