Une bonne pratique QA d’il y a deux ans n’est pas forcément une bonne pratique aujourd’hui.
On fait un bilan de santé chez le médecin, on révise sa voiture avant l’hiver… mais combien d’équipes remettent réellement à plat leur démarche d’assurance qualité logicielle (AQ) ? Tant que « ça tourne », on se dit que tout va bien. Pourtant, une pratique QA qui n’évolue pas finit toujours par se faire rattraper : par la dette technique, par de nouvelles menaces, par une réglementation qui se durcit ou par des utilisateurs de plus en plus exigeants.
Une expérience utilisateur qui se dégrade sans bruit
Votre produit change sans cesse : nouvelles fonctionnalités, nouveaux appareils, nouvelles versions de navigateurs, intégrations tierces. Vos scénarios de test, eux, restent souvent figés à l’époque de leur écriture. Résultat : des parcours critiques qui ne sont plus couverts, des tests instables qu’on finit par ignorer et des bogues qui passent entre les mailles.
L’enjeu est loin d’être anecdotique. Le Consortium for Information & Software Quality (CISQ) estime que la mauvaise qualité logicielle a coûté au moins 2,41 billions de dollars à l’économie américaine en 2022, dont environ 1,52 billion de dollars de dette technique accumulée. Un check-up permet de vérifier que vous testez toujours ce qui compte vraiment, en vous appuyant sur un référentiel reconnu comme la norme ISO/IEC 25010, qui définit les caractéristiques de qualité d’un produit logiciel (fiabilité, performance, sécurité, utilisabilité, compatibilité, etc.).
La rétention se joue dans les détails
Un abonné ne quitte presque jamais pour un seul bogue. Il part après une série de petites frictions : un paiement qui échoue, une application lente, une fonctionnalité qui plante après une mise à jour. Chaque irritant érode la confiance, et conserver un client coûte généralement bien moins cher que d’en acquérir un nouveau. Les travaux de Frederick Reichheld, de Bain & Company, sont souvent cités à ce sujet : une hausse de seulement 5 % de la rétention pourrait augmenter les profits de 25 % à 95 % selon les secteurs.
Croisez vos indicateurs QA (bogues échappés en production, délai de correction, couverture des parcours clés) avec vos données de désabonnement et vos tickets de support : vous verrez rapidement où la qualité coûte des clients.
Éviter les incidents critiques, dont la fuite de données
Une fuite de données naît rarement d’un seul grand échec, mais d’un empilement de petits oublis : une dépendance jamais mise à jour, un environnement de test contenant de vraies données clients, des accès trop larges. Le rapport Cost of a Data Breach 2026 d’IBM chiffre le coût moyen mondial d’une violation à 4,99 millions de dollars, avec un cycle de vie moyen de 241 jours en 2025 pour l’identifier et la contenir. Les organisations qui détectent la violation elles-mêmes économisent en moyenne 900 000 $ par rapport à celles qui l’apprennent de l’attaquant. Détecter tôt, ça se prépare, et ça se teste.
Le cadre légal fait aussi du contrôle régulier une obligation de diligence, pas une simple bonne idée :
- Québec – Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) : les entreprises doivent prendre des mesures de sécurité adaptées à la sensibilité des renseignements, tenir un registre des incidents de confidentialité et aviser la Commission d’accès à l’information (CAI) ainsi que les personnes concernées en cas de risque de préjudice sérieux. Les sanctions administratives pécuniaires peuvent atteindre 10 M$ ou 2 % du chiffre d’affaires mondial, et les sanctions pénales 25 M$ ou 4 %, selon le montant le plus élevé.
- Europe – RGPD : l’article 32 exige de tester, d’analyser et d’évaluer régulièrement l’efficacité des mesures de sécurité du traitement. C’est, presque mot pour mot, la définition d’un check-up.
- Normes de référence : ISO/IEC 27001 (revue et audits internes périodiques), NIST SP 800-218 (Secure Software Development Framework) et OWASP (Top 10, ASVS) pour structurer les tests de sécurité.
Un audit de votre pratique QA devrait au minimum vérifier la présence de tests de sécurité automatisés dans votre pipeline, la gestion des données de test (anonymisation, aucune donnée réelle hors production), la revue des accès et des dépendances, ainsi que des plans de réponse aux incidents réellement testés. Selon IBM, un plan de réponse aux incidents éprouvé réduit sensiblement le coût d’une violation.
L’IA : un domaine où il faut constamment se mettre à jour
Que vous utilisiez l’IA pour générer du code, automatiser des tests ou l’intégrer à votre produit, vous avez ajouté une nouvelle surface de risque : hallucinations, fuites d’informations via des outils tiers, biais, code généré non vérifié, injection de requêtes malveillantes (prompt injection). Le même rapport d’IBM révèle que 13 % des organisations ont déjà subi une violation touchant un modèle ou une application d’IA, et que 97 % d’entre elles n’avaient pas de contrôles d’accès adéquats pour l’IA. Par ailleurs, 63 % des organisations touchées n’avaient pas de politique de gouvernance de l’IA, ou étaient encore en train d’en élaborer une.
Le cadre réglementaire, lui, bouge presque en continu. Le règlement européen sur l’IA (Règlement (UE) 2024/1689, ou AI Act) s’applique par étapes, et son calendrier vient justement d’être modifié par le « Digital Omnibus » (Règlement (UE) 2026/1744), qui repousse au 2 décembre 2027 les obligations visant les systèmes à haut risque de l’annexe III, tout en laissant en place d’autres volets comme les interdictions et les règles sur les modèles à usage général. Au Québec, la Loi 25 impose déjà d’informer une personne lorsqu’une décision la concernant est prise exclusivement par traitement automatisé. Ce qui était conforme l’an dernier peut donc ne plus l’être, et inversement.
Quelques garde-fous à mettre en place :
- Une politique d’usage claire : quels outils d’IA sont autorisés, et quelles données ne doivent jamais y être transmises ?
- Une revue humaine obligatoire du code et des tests générés par IA.
- Des tests spécifiques pour les fonctionnalités d’IA : réponses inattendues, contenus problématiques, tentatives de détournement (voir l’OWASP Top 10 for LLM Applications).
- Un cadre de gouvernance reconnu : NIST AI Risk Management Framework (et son profil pour l’IA générative) ou ISO/IEC 42001 pour les systèmes de management de l’IA.
- Une veille réglementaire et technique assignée à une personne ou à un comité, avec une révision périodique.
- De la formation continue : les équipes doivent comprendre les limites des outils qu’elles utilisent.
Comment s’y prendre concrètement
Pas besoin d’un chantier monstre. Une fois par an (idéalement plus souvent pour les produits à risque), réservez le temps nécessaire selon la taille de votre équipe pour :
- Mesurer : analyser vos indicateurs de qualité et vos incidents des douze derniers mois.
- Auditer : comparer vos pratiques actuelles à vos objectifs et aux référentiels reconnus.
- Prioriser : choisir deux ou trois améliorations à fort impact plutôt que de tout vouloir corriger.
- Planifier : les inscrire à la feuille de route, avec un responsable et une échéance.
Un regard externe est souvent très utile : une personne extérieure remarque ce que l’équipe ne voit plus. On en profite pour vous renvoyer vers notre service d’audit gratuit CareLogic si vous désirez faire un check-up de votre pratique.
Conclusion
L’assurance qualité n’est pas une case qu’on coche une fois pour toutes. C’est une pratique vivante, qui doit évoluer au rythme de votre produit, de vos utilisateurs, des menaces et des lois.
Un check-up régulier coûte peu comparé à une vague de désabonnements, à une sanction réglementaire ou à une fuite de données, et il envoie un message clair à vos clients : leur confiance compte pour vous.