Home » Gouvernance du SI » COBIT

Category Archives: COBIT

Abonnez-vous à ce blog par e-mail.

Saisissez votre adresse e-mail pour vous abonner à ce blog et recevoir une notification de chaque nouvel article par email.

7 raisons de suivre une formation COBIT

Formation COBIT : Pour qui et pourquoi?

Au moment d’adopter COBIT® 5 en tant que cadre pour la Gouvernance et le Management de l’Information, de nombreuses questions se posent. Tout d’abord, l’entreprise comprend-elle parfaitement ce que signifie la gouvernance et la gestion l’Information d’Entreprise et de la Technologie Associée (GEIT)? Les professionnels de la gouvernance de l’entreprise savent-ils comment évaluer efficacement l’état actuel du système d’information de l’entreprise dans le but de déterminer quels aspects de COBIT® 5 mettre en œuvre? L’entreprise est-elle en mesure de réaliser une évaluation pour déterminer l’aptitude d’un processus défini?

7 raisons de suive une formation COBIT

Pourquoi une formation COBIT?

La formation COBIT® 5 constitue, bien évidemment, un aspect important pour pouvoir s’assurer que les professionnels de la Gouvernance du SI ont les réponses à leurs questions et deviennent des professionnels compétents sur COBIT®.

Bien que de nombreux concepts puissent sembler familiers aux personnels du domaine informatique, cette version évolutive intègre les dernières réflexions sur les techniques de Gouvernance et de Gestion de l’Information des Entreprises et fournit des principes, des pratiques, des outils analytiques et des modèles reconnus dans le monde entier.

COBIT 5 porte sur la Gouvernance et le Management du Système d’Information et non sur l’Informatique. L’informatique ne constitue qu’une faible partie du Système d’Information. L’information est partout dans l’Entreprise. Contrairement aux idées reçues, seule une très faible partie est gérée par la technologie. Il est donc essentiel de ne pas se limiter au domaine informatique. La réalisation d’un programme de formation approprié pour les professionnels des métiers de l’Entreprise sur ce qu’est vraiment COBIT et comment il peut être utilisé et mis en œuvre est absolument essentielle. Bien sûr les technologies de l’information sont également concernées mais à moindre titre.

Une formation COBIT pour qui?

La formation COBIT est d’abord destinée aux membres des conseils d’administration et des comités de direction ainsi qu’aux directions métiers. Les auditeurs IT / IS, les auditeurs internes, la sécurité de l’information sont également ciblés. Les consultants et les membres de la direction du SI et des TI, qui ont besoin de connaître la GEIT, en tireront également un grand bénéfice.

7 bénéfices clés d’une formation COBIT

Une formation sur le référentiel COBIT profitera tout autant à l’organisation qu’aux personnes qui auront la chance d’y participer. Examinons 7 de ces bénéfices, en gardant à l’esprit qu’il en existe bien d’autres.

1 – Amélioration de l’efficacité et de la productivité

Une formation COBIT 5 fournit les outils et les connaissances indispensables à l’utilisation de COBIT. Les professionnels comprendront mieux ce que signifie la GEIT et comment ce concept peut être appliqué à leur entreprise. Chaque individu en tirera une appréciation plus pratique de la façon d’appliquer COBIT 5 à des problèmes spécifiques d’entreprise, des points de douleur, des événements déclencheurs et des scénarios de risque. Les rôles et les responsabilités de chacun au sein de l’organisation, en relation avec COBIT, seront clairement définis (facilitateur 3), entraînant un accroissement de productivité et d’efficacité dans l’entreprise. Cette meilleure compréhension des rôles et responsabilités permettra de mieux gérer les ressources et les risques. L’ensemble de ces concepts sont étudiés dans la formation COBIT Foundation qui sert de point d’entrée dans le cursus.

2 – Renforcer la confiance et la valeur créée par les systèmes d’information

Les cours de formation COBIT 5 fournissent aux participants les concepts et les principes clés leur permettant de découvrir comment évaluer l’état actuel de leur système d’information d’entreprise, dans le but de déterminer quels aspects de COBIT 5 seraient les plus prioritaires à mettre en œuvre. La confiance provient du fait que chacun connaîtra son rôle et disposera des outils et des connaissances nécessaires pour mettre en œuvre et évaluer efficacement la Gouvernance et le Management de l’Information dans son Entreprise.

3 – Positionnement spécifique

La connaissance de COBIT par le professionnel de la Gouvernance lui permettra de bien dissocier les activités de Gouvernance des activités de Management. La Gouvernance consiste à Diriger, Evaluer et Surveiller la performance. Le Management Planifie, Construit, Exploite et Contrôle. Les formations COBIT 5 confèrent aux participants une connaissance inégalée en matière de Gouvernance et de Management de l’Information dans l’Entreprise sous la forme de concepts, de principes et de processus. Cette connaissance est cruciale pour l’évaluation de la capacité de l’Entreprise à créer de la valeur. Elle est également indispensable pour mettre en oeuvre un système de Gouvernance et de Management adapté. En outre, COBIT® est évolutif. Une formation accréditée permet ainsi au professionnel d’être à la pointe des connaissances et de la pratique.

4 – Accroissement de la confiance et de la capacité

Une formation COBIT permet aux participants d’affiner leurs compétences et d’améliorer la compréhension des risques IT. Elle permet notamment d’améliorer la prise de décisions éclairées pour réduire les incidents de sécurité de l’information. Cette compréhension et la sensibilisation au risque sont essentielles pour améliorer la prévention, la détection et la résilience aux incidents. Le professionnel COBIT sera capable de fournir des outils à son Organisation pour maintenir des informations de haute qualité lui permettant de prendre les décisions commerciales avisées et de l’aider à respecter les exigences réglementaires, légales ou gouvernementales. Ces connaissances permettront de mettre en place un programme d’amélioration continue en s’appuyant sur la formation COBIT Implementation.

5 – Crédibilité

Les organismes de formation COBIT accrédités par l’ISACA qui offrent des formations et des examens de certification doivent d’abord passer un processus d’agrément méticuleux. Les formateurs accrédités sont évalués régulièrement au travers d’audits sur site de leur compétence et de leur pédagogie. Les participants à une formation auprès d’un organisme de formation accrédité sont donc certains de la qualité de la formation qu’elles reçoivent. Les entreprises peuvent vérifier que l’organisme de formation auquel ils font appel est bien accrédité par APMG ou par Peoplecert. Les examens sont rigoureux, stimulants et cohérents, et, en conséquence, les participants peuvent être fiers de leur réussite. En outre, les employeurs peuvent vérifier auprès de l’ISACA si leurs employés sont vraiment titulaires d’une certification COBIT.

6 – Alignement de la sécurité de l’information avec la stratégie de l’organisation

La cascade d’objectifs est un outil essentiel pour aligner les objectifs de l’informatique avec les objectifs de l’Entreprise. Les participants à une formation COBIT apprendront à maîtriser cet outil très puissant. Ils seront ainsi en mesure d’assurer que la sécurité de l’information est bien alignée à la stratégie de l’Entreprise. Ceci leur permettra de s’assurer que la tolérance au risque de l’Organisation est bien respectée tout en maximisant les bénéfices et en optimisant les ressources. Ainsi, il leur sera plus facile de prendre les bonnes décisions tout en économisant les ressources et les budgets. Grâce à cette connaissance, la sécurité ne sera plus un sujet exclusivement technique. Selon une étude d’IBM, 95% des attaques réussies sur les données ne proviennent pas de l’informatique. Il est donc primordial de ne pas laisser ce sujet entre les mains des informaticiens.

7 – Assurance de l’aptitude de l’organisation à créer de la valeur

Grâce à la méthode d’évaluation d’aptitude des processus basée sur la norme ISO 15504, les auditeurs internes participant à une formation COBIT apprendront à s’assurer de l’aptitude de l’Entreprise à créer de la valeur. Il s’agit là d’un élément très important. Le programme d’évaluation de COBIT 5 se focalise sur l’aptitude plutôt que sur la maturité. C’est une approche radicalement différente de la plupart des autres cadres d’audit. La maturité correspond à la façon dont une organisation travaille. Ce qui est audité c’est l’application de processus formalisés au sein de l’Organisation. A l’inverse, l’aptitude fait référence à la qualité des processus et à leur capacité à délivrer de la valeur. C’est une autre approche extrêmement importante qui sera approfondie dans la formation COBIT Assessor.

Il sera ainsi possible d’auditer l’aptitude, par exemple, du processus de gestion des ressources humaines. Cela permettra également d’évaluer la qualité du système de Management de l’Entreprise. Une autre évaluation possible pourra concerner les risques, par exemple en matière d’éthique.

En savoir plus et échanger avec nos experts

Pour en savoir plus ou échanger avec nos experts, n’hésitez pas à nous laisser un commentaire. Nous vous répondrons alors avec grand plaisir. Si vous avez suivi une formation COBIT 5 ou si vous utilisez COBIT 5 dans votre entreprise, n’hésitez pas à nous laisser votre témoignage. Nous serons heureux de le relayer.

 

La version Française du Guide de mise en oeuvre COBIT 5 est disponible

Ca y est enfin!! Le guide « COBIT 5 Mise en oeuvre » est désormais disponible en Français. De longues semaines d’investissement personnel de l’équipe de traduction auront été nécessaires. Il n’est jamais simple de traduire un guide de bonnes pratiques ou de mise en oeuvre. L’Anglais est une langue typiquement orientée « business » et donc assez rigoureuse. A l’opposé, le Français est une langue plus orientée vers la littérature ou la diplomatie et dans laquelle, soit les termes anglais n’ont pas d’équivalent ou, pire encore, sont le plus souvent traduits par des termes erronés (les fameux faux-amis sur lesquels tous les élèves ont trébuché pendant leur parcours scolaire).

COBIT 5 Mise en Oeuvre

Bon, en ce qui concerne cette publication, l’honnêteté nous impose d’admettre que ce n’est pas réellement une version Française. C’est plutôt une version Québécoise, car réalisée par l’équipe du chapitre (tiens, encore un mot qui n’a pas d’équivalent direct en Français) ISACA de Québec, avec seulement deux contributions externes, l’une d’un expert en Gouvernance de Montréal (toujours au Québec) et l’autre de votre serviteur, seul Français (encore que résident en Côte d’Ivoire) à avoir participé à la préparation de cette version Française.

Les raisons d’une absence totale de la France

Mais pourquoi donc une version Française dans laquelle aucun Français (de France) ne s’implique? La question mérite d’être posée. Les réponses sont multiples et malheureusement assez désespérantes:

  • Une incompréhension totale, en France de ce que sont la Gouvernance et le Management, et donc un intérêt très faible pour le sujet,
  • Une mauvaise interprétation de la notion de création de valeur, comprise uniquement comme une valeur financière et focalisée majoritairement sur une réduction des coûts,
  • Un contexte légal basé sur un modèle hérité à la fois de systèmes monarchiques et « communistes » qui conduit irrémédiablement à la destruction de valeur au lieu de la création, qui ne favorise pas l’adoption du cadre COBIT,
  • Des structures organisationnelles et gouvernementales ne permettant pas de séparer la gouvernance du management,
  • Une culture, une éthique et des comportements inadéquats (particulièrement visibles en France en cette période électorale),
  • Une gouvernance et une gestion anarchique de l’information conduisant à des excès et induisant des conséquences catastrophiques,
  • Une technologie mal utilisée et mal exploitée pour la création de valeur et laissée entre les mains de techniciens et d’ingénieurs,
  • Un modèle éducatif et une gestion de la formation continue déconnectés des réalités et des besoins des organisations.

Nous reviendrons plus en détail sur ces raisons avec un autre article dans les prochains jours. Cependant les lecteurs connaissant COBIT® 5 auront reconnu là des faiblesses au niveau des facilitateurs (en Anglais on les nomme « enablers » ce qui est beaucoup plus fort que  facilitateur mais n’a pas de traduction littérale) d’une bonne gouvernance et d’un management efficaces qui manquent cruellement à la France.

A cela, il faut bien rajouter, mais peut-on encore leur en vouloir après ce que nous venons de dire, une absence totale de volonté de l’AFAI (chapitre Français de l’ISACA) de s’investir de quelque façon que ce soit dans la promotion de COBIT® 5 qui n’assure pas, aujourd’hui, compte tenu du modèle économique imposé par ISACA HQ, un bénéfice suffisant pour les membres Français. Or, en France, il est d’usage que la création de valeur s’évalue au niveau personnel et non au niveau d’une organisation. En d’autres termes, si je participe à ces travaux, qu’est-ce que j’y gagne personnellement?

Le marché pour une version Française des bonnes pratiques

La Francophonie compte aujourd’hui un peu moins de 280 millions de personnes dans le monde, réparties de la façon suivante (source: organisation internationale de la Francophonie)

  • environ 8% en Amérique du Nord (majoritairement au Canada)
  • 37% en Europe (majoritairement en France)
  • près de 54% en Afrique (où la culture et les institutions sont calquées sur la France, héritage de la colonisation)
  • autour de 1% dans le reste du monde.

Qu’est-ce qui fait la différence entre le Canada (ou plus précisément le Québec) et les pays francophones européens et africains? J’apporterai deux réponses:

  • La culture nord-américaine fortement ancrée au Canada, intégrant les bonnes pratiques de Gouvernance et de Management largement répandues dans cette partie du monde,
  • Des lois imposant l’usage de modèles intégralement francisés dans les organisations Québécoises, ce qui n’est pas le cas en Europe, ni en Afrique francophone.

Il est donc clair que l’environnement légal favorise l’adoption des bonnes pratiques décrites par COBIT 5 au Canada et qu’au contraire l’environnement local défavorise et décourage les bonnes pratiques basées sur COBIT 5 en Europe et en Afrique Francophones.

Il apparaît ainsi clairement que le marché pour une traduction Française du cadre COBIT 5 et de son guide de mise en oeuvre se situe majoritairement en Amérique du Nord. C’est donc fort logiquement que ce sont les Québécois qui font l’effort. Malheureusement, cela décourage encore un peu plus les Français d’adopter COBIT 5 et de s’appuyer sur le guide de mise en oeuvre pour lancer des initiatives d’amélioration de la Gouvernance et du Management car ils voient ces pratiques comme étant issues de la culture Américaine. De plus ils considèrent que le Québécois n’est pas le Français tel qu’il est parlé en Europe et en Afrique. Et ce n’est pas faux…

 COBIT 5 Mise en Oeuvre – Juste une référence indispensable

La publication de la version française du guide de mise en oeuvre vient complèter le référentiel et le modèle de référence des processus COBIT 5 déjà traduits par la même équipe qu’il convient de féliciter pour leur excellent travail.

Toutefois, il faut bien rappeler que ce guide ne décrit pas la mise en oeuvre du cadre de gouvernance et de management COBIT 5 mais la mise en oeuvre des sept facilitateurs soutenant la gouvernance et management de l’information dans l’Entreprise. Il s’agit en fait de la méthodologie extrêmement efficace et efficiente de gestion d’un programme de mise en oeuvre ou d’amélioration continue, décrite par COBIT et basée sur trois composants hérités des normes et bonnes pratiques du marché :

  1. l’amélioration continue en sept étapes (similaire à ITIL)
  2. la facilitation du changement (héritée des bonnes pratiques de Change Management)
  3. la gestion de programme et de projets (issue de PRINCE2, PMBok et M_o_P)

Gageons que la version Française du guide de mise en oeuvre sera une aide efficace pour les utilisateurs francophones et sera un réel succès.

GDPR et protection des données en Afrique

Les exigences et les conséquences du GDPR

La règlementation générale sur la protection des données (GDPR: General Data Protection Régulation) est applicable à partir du 25 mai 2018. Elle deviendra donc, de fait, une loi applicable dans chacun des pays de la Communauté Européenne à cette date. Encore une réglementation européenne de plus, pensez-vous? Non, pas exactement. Il s’agit là d’une réglementation majeure qui va impacter profondément les économies des pays Européens. Mais elle va également impacter celles des pays qui ont des liens commerciaux forts avec l’Europe. Les pays d’Afrique sont au premier plan des pays qui vont subir de plein fouet cette nouvelle réglementation. Alors de quoi s’agit-il? Faut-il s’inquiéter? Comment s’y préparer pour réduire les risques pour nos économies? Nous allons essayer de vous apporter quelques ébauches de réponses.

COBIT, GDPR et la protection des données

 GDPR – Ca veut dire quoi?

GDPR signifie Réglementation Générale sur la Protection des Données. Il s’agit d’une réglementation Européenne (99 articles décrits sur 88 pages) qui entrera en vigueur le 25 Mai 2018. A compter de cette date, elle s’impose à toutes les Entreprises de l’ensemble des états de la Communauté Européenne. L’objectif de cette réglementation est d’assurer la protection des données personnelles de l’ensemble des citoyens, notamment face aux risques de cybersécurité qui augmentent chaque jour.

La négligence, l’imprudence ou la simple malchance ne constitueront pas une excuse en vertu de la loi renforcée. Les entreprises qui seront en violation avec la loi devront faire face à une augmentation des peines importantes. A moins, bien sûr, qu’elles ne puissent démontrer que la protection des données qu’elles utilisent – la confidentialité et la sécurité – était manifestement au niveau de qualité exigé par le GDPR. Ceci a notamment pour objectif de nous assurer que nous, en tant qu’individus, disposons de privilèges plus étendus sur nos données personnelles, y compris le droit à l’oubli.

Quels sont les enjeux?

Le GDPR est fondamentalement une excellente chose. Il est moralement juste et chacun d’entre nous devrait y adhérer sans réserve. Il y a de bonnes raisons commerciales également à le respecter :

  • le respect du GDPR signifie que nous sommes alignés avec la réglementation Européenne en la matière et que nous pouvons donc avoir des activités commerciales avec des Entreprises dans tous les pays Européens,
  • c’est l’occasion de mieux protéger nos données contre les risques en matière de cybersécurité,
  • c’est aussi la meilleure façon d’assurer que nous sommes alignés avec la réglementation en vigueur en Amérique du Nord et que les risques de cybersécurité ne seront pas un frein à nos échanges avec les USA et le Canada.

Mais, malheureusement, il y a aussi des coûts associés :

  • la mise en oeuvre des obligations prévues par la réglementation,
  • les problèmes de réputation et les aspects stratégiques,
  • les coûts opérationnels et les coûts de conformité,
  • et enfin la mise à niveau, en termes de formation et de sensibilisation, de l’ensemble du personnel des Entreprises, depuis le Président du Conseil d’Administration jusqu’au gardien, car les individus sont les premiers remparts en matière de sécurité des données.

Tous ces coûts risquent fort d’être extrêmement importants. Et ce surtout en Afrique où le sujet n’intéresse, pour l’instant, pas grand monde et où le niveau de sécurité de l’information dans les Entreprises est proche de zéro. Combien d’Entreprises, par exemple, sont aujourd’hui, en Afrique, certifiées sur la base de la norme ISO 27001? L’étude annuelle réalisée début 2016 par l’ISO montre seulement 129 entreprises certifiées ISO 27001 en Afrique. Parmi celles-ci, seulement 2 sont en Afrique Francophone subsaharienne (1 en Côte d’Ivoire et 1 au Sénégal). Ce chiffre est à comparer avec les plus de 12.000 organisations certifiées en Asie…

Les exigences du GDPR en matière de protection des données

L’ICO (Information Commissioner’s Office), organisation indépendante créée au Royaume Uni en vue  superviser les droits sur l’information dans l’intérêt public, donne une explication détaillée et compréhensible des principaux aspects de cette règlementation.

Quelques points clés issus du contenu de la réglementation sont particulièrement importants pour les économies Africaines :

Fournisseurs et partenaires d’affaires sont inclus dans le périmètre

Les fournisseurs et les partenaires d’affaires doivent être inclus dans le périmètre de la gestion de la protection des données. Cela signifie qu’une Entreprise Européenne ne pourra transmettre des données (bancaires ou commerciales par exemple) à un fournisseur ou un partenaire d’affaires situé sur le continent Africain que si et seulement si ce fournisseur ou ce partenaire d’affaires peut apporter la preuve (au travers d’un audit ou d’une certification par exemple) qu’il sécurise ses informations à un niveau au minimum égal à ce qu’exige la réglementation Européenne.

Compréhension des vulnérabilité et menaces

Comprendre les vulnérabilités, les menaces et l’efficacité de votre maintenance corrective sont essentiels. Cela signifie, en clair, qu’il est indispensable que toutes les menaces, toutes les vulnérabilités et la maintenance corrective des logiciels que vous utilisez soient connues, comprises, évaluées et contrôlées. En Afrique, les Entreprises sont majoritairement des PMEs. Les budgets et les compétences nécessaires vont bien au-delà de leurs moyens. Par contre, cela rentre typiquement dans le périmètre des obligations d’un éditeur de logiciel. Cela signifie donc, entre autres, qu’il ne sera pas possible, sauf à démontrer que l’obligation est bien respectée grâce à des certifications internationales ou des audits, de s’appuyer sur des applications spécifiques, développées en interne par les Entreprises. Impossible également de s’appuyer sur du logiciel libre, largement répandu dans les Entreprises Africaines. Dans ce cas, il sera impossible d’apporter la preuve du respect de l’exigence dans le cadre d’un audit.

Sécurisation adéquate des données des clients

Les données des clients doivent être considérées parmi les « biens » les plus précieux de l’Entreprise. Elles doivent donc être protégées comme telles et  bénéficier d’un niveau de sécurité maximum. Des audits et/ou des certifications d’entreprises sur des normes internationales devront permettre de démontrer que le niveau adéquat de protection est bien appliqué aux données des clients (informations personnelles, informations bancaires, informations médicales par exemple), y compris lorsqu’elles transitent ou sont manipulées au sein d’une Entreprise Africaine, partenaire d’affaires, client ou fournisseur d’une Entreprise Européenne.

Protection efficace contre les faiblesses humaines

Une protection efficace est exigée contre des fuites de données involontaires, provoquées par l’entreprise et son personnel, notamment via les médias sociaux. Cela implique une formation de l’ensemble du personnel des Entreprises Africaines, allant du Président au gardien, sur la sécurité de l’information et la mise en oeuvre de moyens de contrôle, notamment sur la fuite d’informations via les réseaux sociaux. Cela risque de s’avérer quasi-impossible dans des pays où le moyen privilégié de communication est Facebook. Facebook constitue généralement, dans les pays d’Afrique subsaharienne, le support institutionnel pour la communication d’Entreprise.

De plus les législations locales des pays Africains n’autorisent pas ces pratiques de contrôle pour les Entreprises. Cela nécessite donc des changements culturels et législatifs qui prendront beaucoup de temps. Or le temps est compté puisque la réglementation s’applique à compter du 25 Mai 2018. De plus ces évolutions risquent fort de rencontrer une opposition farouche des populations. Elles considèreront cela, sans aucun doute, comme une entrave à leurs libertés.

Et si une Entreprise n’est pas conforme au GDPR?

L’article 83 du GDPR stipule que toute Entreprise Européenne non conforme à la réglementation sera soumise à une amende égale à la plus élevée des deux montants : 20.000.000 Euros ou 4% de son chiffre d’affaire annuel.

Il est clair qu’aucune organisation en Europe n’acceptera de courir un tel risque avec un partenaire d’affaires ou un fournisseur qui ne serait pas aligné sur les exigences de cette réglementation.

GDPR - Impacts

Les conséquences pour les économies des pays Africains

Les conséquences pour les économies Africaines sont donc claires. Elles doivent s’adapter pour permettre à leurs Entreprises de faire du business avec l’Europe, qui constitue un de leurs plus gros marchés. A défaut, elles seront dans de très grandes difficultés. Le temps presse car cette réglementation entre en vigueur le 25 Mai 2018. Inutile d’envisager de rediriger les marchés vers l’Asie ou l’Amérique du Nord. Des réglementations similaires, tout aussi contraignantes, y sont déjà appliquées ou en voie de l’être. Il faut donc transformer, dans un délai de 18 mois, les Entreprises pour les rendre conformes aux obligations réglementaires.

Dans notre prochain article, nous vous donnerons quelques pistes pour réussir cette transformation dans les délais en vous appuyant sur des référentiels de Gouvernance et de Management de la Sécurité de l’Information tels que COBIT ou ISO 27001 en vue d’une meilleure protection des données.

N’hésitez pas à nous communiquer vos commentaires et vos questions. Nos experts se feront un plaisir de vous répondre.

Culture et éthique au coeur de l’Entreprise

Pas de création de valeur sans culture et éthique

Ardent défenseur de la bonne gouvernance pour promouvoir les comportements adéquats, en matière de business, je défends depuis longtemps l’idée que les Entreprises doivent comprendre et pratiquer un capitalisme responsable. En ce moment même se déroule un G20 en Chine. C’est le cadre dans lequel deux des plus grands pollueurs de la planète, à savoir les USA et la Chine viennent enfin de ratifier l’accord de la COP21. Cet accord vise à réduire l’émission de gaz à effets de serre. Ces gaz menacent directement la survie même de l’humanité et plus globalement de la Terre. Il est donc désormais clair que le capitalisme responsable est plus que jamais une nécessité vitale. Cela s’appuie, de toute évidence, sur une culture et une éthique d’Entreprise plus exigeantes.

Corporate Culture of a Company and Responsibility

Qu’est-ce que le capitalisme responsable?

Il se trouve que ce concept a été soulevé, il y a quelques semaines par l’Institute of Business Ethics (IBE). L’IBE est une organisation Britannique non gouvernementale créée en 1986. Sa mission consiste à encourager l’adoption de normes de haut niveau en matière de comportement d’affaires au sein des Entreprises. Pour ce faire il est indispensable de s’appuyer sur des valeurs éthiques fortes. Or chacun sait que les Entreprises, par la voix de leur Conseil d’Administration réagissent majoritairement dans deux cas seulement. Elles doivent y être contraintes soit par des obligations légales ou réglementaires, soit par un scandale financier affectant leurs actionnaires. Dans les deux cas, elles réagissent sous la contrainte et sont malheureusement rarement pro-actives.

En juillet, l’IBE a présidé un excellent colloque sur ce que le «capitalisme responsable» signifie aujourd’hui. Cela conforte ce que je préconise depuis longtemps, m’appuyant sur COBIT 5, à mes clients et partenaires. Il est devenu indispensable de créer une culture d’entreprise permettant aux humains d’exploiter les opportunités, et pas l’inverse. Cet objectif se réalise, bien sûr, en encourageant la liberté de produire, de vendre et d’acheter des biens et services afin de créer de la valeur pour la Société, pour le plus grand profit de ses parties prenantes. Mais cela nécessite impérativement d’agir dans un cadre bien défini en matière de comportement d’affaires. C’est un pré-requis à la bonne gouvernance selon COBIT qui propose 6 autres facilitateurs pour la création de Valeur. 

Le rôle du Conseil d’Administration

Il est donc important que les Organisations définissent les comportements business qui sont et ne sont pas autorisés. Il est également vital de définir dans quelle mesure la culture de l’Organisation soutient ou contredit sa position éthique officielle.

Pour illustrer ce propos, prenons, par exemple, le cas de la FIFA (Fédération Internationale du Football Amateur). D’un point de vue éthique, la FIFA a pour mission de promouvoir les opportunités dans le monde du football. Son site Web met en exergue cette orientation. « La mission de la FIFA consiste à développer le football partout et pour tous, à toucher le monde à travers des tournois passionnants et à construire un avenir meilleur grâce au pouvoir du beau jeu ». Or nous avons tous en mémoire les récents scandales affectant la Direction de la FIFA et démontrant la corruption culturelle de cette Organisation. Ceci révèle une énorme différence entre la parole («ce que je dis») et les actes («ce que je fais»). Et cela conduit inévitablement à une faillite complète de l’Organisation et à la destruction de Valeur.

FIFA culture eroded ethics

Les scandales du LIBOR, du FOREX et des assurances emprunteurs PPI dans le secteur financier, la tricherie de Volkswagen sur les émissions de particules et les manipulations financières de Tesco destinées à dissimuler un trou au niveau comptable, sont autant d’exemples où la culture d’entreprise a violé l’éthique. Les Conseils d’Administration se réunissent et prennent note de ces violations. Hélas cela se passe seulement une fois que l’éthique a été violée. En effet, c’est seulement à postériori que les impacts au niveau de l’Entreprise se font sentir. Et c’est donc seulement après coup que le Conseil d’Administration se trouve contraint d’agir. A ce moment là, il est le plus souvent trop tard pour agir.

La création de valeur

Toutes ces Organisations étaient pourtant bien établies. Elles inspiraient suffisamment de confiance en terme de création de valeur. Malheureusement elles ont toutes fini par violer les règles fondamentales de l’éthique. C’est comme si la signification de la valeur avait été déformée. La valeur est la conjonction du profit, de l’optimisation des risques et de l’optimisation des ressources. Aujourd’hui, de nombreuses Entreprises évaluent uniquement la valeur d’un point de vue financier. Valeur devient synonyme de gros profits, gros dividendes et valeur marchande élevée. Elles font souvent fi de l’optimisation des risques liés à un comportement non éthique. De même elles se préoccupent  peu de l’utilisation efficiente des ressources.

Alors même qu’augmente la pression sur les ressources de la planète, et que la législation et la réglementation se concentrent maintenant sur la façon de faire les choses, les entreprises doivent désormais se focaliser sur leur façon de fonctionner, de produire et de servir. Le changement de la façon de faire des affaires favorise une approche éthique. la culture au sein des Organisations et des chaînes d’approvisionnement doit donc également se transformer pour permettre le  passage de la simple «création de richesse» à la notion de «création de bien-être».

Peut-être est-ce là la différence entre une entreprise bâtie sur le «capitalisme» (d’aucuns parlent de capitalisme sauvage) et une entreprise construite sur le «capitalisme responsable». Celui-ci intègre d’autres éléments dans sa définition de la «valeur», tels que les bénéfices sociaux et environnementaux. Le capitalisme responsable prolonge ainsi la «richesse» jusqu’au «bien-être». En d’autres termes, dans ce contexte, la valeur ajoutée est la somme de la richesse (s’appuyant sur le profit, pas seulement financier d’ailleurs) et du bien-être (résultant de l’optimisation des risques et des ressources). Cette création de valeur sera soutenue par l’éthique (objectif à atteindre), et la culture (moyen de la produire).

Peut-on auditer la culture d’une Organisation ?

Maintenant, il est nécessaire de mesurer tout cela. La culture est partout et nulle part dans les entreprises. Elle est partout dans le sens où elle est façonnée et déterminée par toutes les caractéristiques de l’entreprise – son personnel, son organisation, la façon de récompenser les gens, etc; – et nulle part, parce que la culture n’est pas tangible. Ce n’est pas un produit qu’on peut mettre sur une étagère, puis modifier et faire évoluer à volonté. Il est cependant nécessaire d’évaluer l’aptitude de la culture d’une entreprise à créer de la valeur pour l’Entreprise.

Avec quelque chose d’aussi intangible que la culture, où et comment peut-on commencer cette évaluation? Une bonne façon de démarrer une telle évaluation consiste à identifier la  « pression d’entreprise» sur son personnel. C’est cette pression qui va révéler les changements culturels et leur impact sur l’éthique. Cela soulèvera immanquablement des «feux rouges» indiquant que l’Organisation présente un risque important. Ce risque pourra se traduire notamment par un scandale affectant l’image de l’Organisation.

Les indicateurs de risque

Quels sont ces feux rouges? On peu en identifier cinq essentiels :

  • l’existence d’accords salariaux controversés, tels q’une rémunération anormalement élevée des dirigeants favorisant la prise de risques et encourageant uniquement des objectifs à court terme;
  • des structure juridique complexe rendant difficile la transparence, pour les Conseils d’Administration et le Management, sur ce qui se passe à l’intérieur de l’entreprise;
  • une mauvaise réalisation de Fusions / acquisitions conduisant à un mélange de cultures au sein de l’entreprise, avec des «poches» de mauvais comportement qui se développent hors du contrôle du Conseil d’Administration;
  • une discipline financière laxiste (par exemple Northern Rock et RBS avaient un endettement excessif qui a conduit à leurs problèmes) pouvant déclencher une crise;
  • des dirigeants « autocratiques » que le personnel craint de fâcher par crainte de représailles, ce qui signifie que des informations vitales sur les problèmes potentiels risquent de ne jamais atteindre la haute direction et les Conseil d’Administration.

COBIT 5 comme cadre d’évaluation

L’étape suivante consiste en la définition d’une approche pour examiner et évaluer la culture et l’éthique, en s’appuyant par exemple sur COBIT 5.

facilittaeurs de la création de valeur

Nous pouvons appliquer la publication COBIT 5 for Assurance, pages 139 – 141, à chacun des « feux rouges » identifiés ci-dessus. COBIT 5 examine l’influence sur le comportement par le Leadership selon trois axes, « à travers la communication, l’application et les règles », « au travers des incitations et des récompenses» et «par les actions de sensibilisation». Tous les trois portent sur les questions relatives à la pression de l’Entreprise.

La communication, les règles et leur application influencent les comportements

Cette perspective permettra de découvrir si l’entreprise « prend des raccourcis » ou fait preuve d’une discipline financière laxiste. Elle permettra également de découvrir si le conseil d’administration se concentre sur les mesures à court terme. On s’attachera notamment à ce niveau à étudier l’existence et le contenu des politiques et du système de management.

Les incitations et récompenses soutiennent les comportements souhaités:

Cet axe d’évaluation va révéler comment la rémunération et les récompense réelles correspondent aux schémas officiels de récompenses/pénalités en vérifiant si le personnel s’affranchit des limites, si les managers et le conseil d’administration tolèrent les petites infractions aux politiques et si les pénalités au niveau du salaire sont bien appliquées et encouragent la prise de risque – pour atteindre des objectifs à court terme.

La sensibilisation conditionne les comportements attendus

Cette perspective permet d’identifier si des structures juridiques complexes existent. C’est alors difficile, pour le conseil et la direction, de comprendre ce qui se passe à l’intérieur de l’entreprise. Par exemple, une complexité des structures peut résulter de prises de contrôle, conduisant à un choc de cultures. Cela générera des zones de mauvais comportement allant au-delà de la capacité de supervision du Conseil d’Administration.

En résumé, une évaluation globale basée sur COBIT 5 nous aidera à évaluer si le conseil change de direction s’écartant des pratiques validées sans officiellement modifier ou communiquer sa nouvelle approche.

A quoi sert vraiment COBIT ?

Mais COBIT 5 peut faire encore beaucoup plus pour nous. Il peut, de manière transparente, identifier la fourniture et l’utilisation des développements technologiques, tels que les objets connectés par Internet et le Big Data, et évaluer la réponse d’Entreprise en matière de confidentialité des données et de pratiques de cyber-sécurité. A mesure que les progrès technologiques se combinent de façon plus évidente, imbriquant chaque jour davantage vie professionnelle et vie privée, de nouvelles questions éthiques se posent. C’est l’évaluation continue de la culture et de l’éthique qui soutiendra toutes les opérations et l’obtention des résultats attendus.

Vous voulez découvrir comment COBIT peut vous aider?

AB Consulting, seul organisme de formation accrédité par APMG/ISACA sur l’ensemble des certifications COBIT 5 en Afrique de l’Ouest et du Nord, mais également certifié en matière d’audits sur la base de COBIT 5 vous propose de découvrir comment ce cadre de Gouvernance et de Management qui couvre la totalité de l’Entreprise, bien au delà du département informatique, peut vous aider à créer de la valeur au sein de votre organisation. N’hésitez pas à consulter notre site web pour en savoir davantage ou pour vous inscrire à l’une de nos formations certifiantes.

Des commentaires à faire sur cet article? Un témoignage à nous apporter? Des questions à poser? Surtout n’hésitez pas à poster ci-dessous vos commentaires. Nous vous répondrons avec grand plaisir.

Si vous pensez que ce post peut intéresser d’autres personnes, n’hésitez pas à le partager sur les réseaux sociaux.

La création de valeur pour les nuls

Avis à tous ceux qui croient que rester assis à un bureau, à regarder un écran et à chauffer son fauteuil, ou que marcher autour du bureau toute la journée avec une tasse de café à la main en bavardant et participer à des réunions stériles est synonyme de CRÉATION DE VALEUR et que répartir son temps entre LinkedIn et Facebook correspond à un EQUILIBRE ENTRE TRAVAIL ET VIE SOCIALE, la lecture de l’article suivant risque de paraître un peu douloureuse ……….

création de valeur

Les entreprises existent pour créer de la valeur pour leurs actionnaires et par conséquent, le terme « création de valeur » n’est pas qu’un concept fumeux comme certains l’imaginent. Il y a d’innombrables mesures pro-actives qu’on peut prendre pour y parvenir, parmi lesquelles :

  1. améliorer la qualité et la rapidité des décisions prises
  2. tirer un avantage business des investissements en informatique
  3. améliorer sensiblement l’efficacité opérationnelle
  4. contrôler et améliorer la performance du personnel
  5. réduire les risques métiers, et bien plus encore……..

Quoi qu’il en soit, la réalité c’est que la plupart des DSIs passent l’essentiel de leur temps à essayer vainement de satisfaire les attentes des métiers et seraient bien inspirés de s’attaquer activement à certains points sur lesquels le Business est très impacté tels que

  1. des initiatives ratées de l’informatique et la perception d’une valeur délivrée très faible par rapport aux investissements consentis,
  2. une augmentation exponentielle des dépenses informatiques et une complexité totalement inutile de l’infrastructure,
  3. des problèmes récurrents de fourniture des services IT avec un nombre relativement important d’incidents et des changements fréquemment en échec,
  4. des résultats d’audit interne mettant en évidence des performances médiocres et des services de mauvaise qualité,
  5. une incapacité récurrente à satisfaire aux exigences réglementaires et / ou contractuelles.

Six étapes vers la création de valeur

1. Travailler pour assurer une disponibilité garantie

La première étape, la plus simple, consiste à assurer un temps de fonctionnement maximal de l’infrastructure informatique et à prévenir toute interruption des flux d’information. C’est ce qui permet aux métiers de travailler, au niveau opérationnel, et de créer de la valeur pour l’entreprise. Il faut bien réaliser que la différence entre 99,9% et 99,8% de disponibilité des systèmes critiques et des ressources réseau sur une année représente de 8 heures 45 minutes. C’est suffisant pour générer la perte de dizaines, voire de centaines de milliers d’Euros par le Business, en fonction de la nature de votre entreprise. C’est en gardant cela à l’esprit et en assurant une continuité absolue des services IT que vous apparaîtrez comme un bon fournisseur de services IT au Business.

Toutefois, tant que le département informatique sera considéré seulement comme un fournisseur de services, il demeurera un centre de coûts, une fonction de soutien pur qui rendra des comptes à tout le monde sauf au Comité de Direction et au Conseil d’Administration.

L’objectif du département informatique doit être faire évoluer son rôle de la simple fourniture de services de soutien pour les métiers vers celui de facilitation pour les métiers, puis d’innovation stratégique guidant la transformation du Business grâce à l’acquisition d’un bon niveau d’aptitude pour chacun des « facilitateurs » (« enablers »)  de la création de valeur pour l’Entreprise. Le tableau ci-dessous, bien que non exhaustif, résume les caractéristiques de chacun de ces statuts :

rôle de l'IT dans la création de valeur

2. Améliorer la réactivité de l’IT pour faire face aux demandes du Business

Une fois que le premier objectif est atteint, la seconde étape vers la création de valeur, du point de vue de la production informatique est de bâtir « la réactivité». Quel est notre niveau de réactivité pour satisfaire tous les besoins Business, que ce soit au travers de la Gestion de la demande ou des opérations quotidiennes? Pour commencer son chemin sur la voie de l’amélioration de la réactivité, le département informatique doit se concentrer sur sa transformation organisationnelle vers une structure horizontale permettant l’accélération de la prise de décision, c’est à dire passer d’une organisation centralisée à une organisation fédérale basée sur l’octroi de privilèges d’accès suffisants pour tous les niveaux afin de mieux répartir les responsabilités et de fonctionner plus efficacement. Le côté négatif c’est que ce type de structure est principalement axé sur le «contrôle» plutôt que sur «l’efficacité».

Améliorer la réactivité, c’est d’abord répondre efficacement aux problèmes concernant les stations de travail, les applicatifs, les imprimantes et tous les autres incidents auxquels fait face quotidiennement l’utilisateur final et qui freinent la productivité de l’entreprise. Améliorer globalement les niveaux de service grâce à la mise en oeuvre d’OLAs (Accords de Niveau Opérationnel), de SLAs (Accord sur les Niveaux de Service) ainsi que d’indicateurs clés de performance (KPIs) pour l’équipe IT doit être notre principal objectif.

3. Se focaliser sur la création de valeur grâce aux projets

Le passage du statut de gestionnaire des opérations informatiques à celui de réalisateur d’initiatives innovantes se mesure à la façon dont les projets du département IT réussissent et permettent aux métiers de l’Entreprise d’atteindre leurs objectifs, contribuant, de ce fait, à créer de la valeur. L’échec des initiatives informatiques peut être dû à une mauvaise définition des besoins, au non respect des délais correspondant au «time to market», à des critères mal définis de validation de la solution livrée par les utilisateurs et à bien d’autres raisons encore. Le but ici est de décrire ce que nous réalisons avec nos investissements informatiques et un bon point de départ serait d’avoir un processus permettant de mieux sélectionner les projets s’appuyant sur la mise en place d’un Comité Stratégique incluant à la fois le Business et le management informatique et capable d’examiner les avantages et les inconvénients de chaque initiative en prenant en compte le calcul du ROI et du TCO notamment.

Tous le monde s’accorde sur la nécessité pour l’informatique de changer son approche en évitant de se focaliser sur la technique et les coûts pour mettre en avant la valeur créée par ses initiatives.

Pour parvenir à cela, il existe des techniques de gestion de budget informatique parmi lesquelles :

  • le benchmarking des dépenses informatiques avec des entreprises similaires, du même secteur d’activité, afin d’en tirer une évaluation raisonnable de ce que devraient être le revenu brut et les charges d’exploitation de l’informatique
  • la décomposition le budget en trois parts : support, croissance et transformation.

4. Etre prudent vis à vis des nouveautés technologiques

En l’absence de véritable innovation, le département informatique peut créer de la valeur en réalisant une analyse complète des tendances technologiques actuelles, des possibilités offertes pour résoudre des problèmes Business ou pour améliorer les processus et participer à l’adoption rapide de ces solutions pour faire que, grâce à la technologie, les métiers acquièrent un avantage concurrentiel sur leur marché. Dans cet objectif, il est vital que les DSIs restent en phase avec les innovations technologiques au travers de la lecture de publications et de bulletins importants, qu’ils assistent régulièrement à des conférences / séminaires et rencontrent d’autres dirigeants d’Entreprises.

Une maxime Anglaise qui s’applique parfaitement à l’évolution rapide de la technologie dit que « l’oiseau qui arrive le premier attrape le ver, mais la souris qui arrive juste après mangera le fromage ». Ceci se vérifie complètement dans le cas de l’adoption précoce d’une nouvelle technologie qui va se traduire par un risque relativement élevé et c’est la raison pour laquelle certains préfèrent choisir d’attendre et de voir.

Mettre en avant la création de valeur, en vue de résoudre des problèmatiques métiers, nécessite une compréhension en profondeur des processus business et du flux d’information associé. Afin d’atteindre cet objectif, le management informatique et les membres de leurs équipes vont devoir entreprendre leur «retour sur terre » et aller « sur le terrain » pour comprendre les véritables défis business auxquels les employés et les clients de l’Entreprise font face. Cet exercice aidera le personnel informatique à obtenir, non seulement une pause bienvenue de son travail quotidien, mais aussi l’aidera à réaliser l’importance vitale de sa contribution au Business.

Certains dirigeants considèrent que c’est le fait d’exhiber un classeur rempli de politiques et procédures qui constitue « une bonne gouvernance » et « crée de la valeur », mais dans la réalité, cela ne fera, au mieux, que soutenir ce qui existe déjà.

5. Gérer la performance du département informatique

La gestion de la performance est un composant clé de la gouvernance. C’est une exigence de vérification dans la plupart des organisations où il faut effectuer régulièrement des auto-évaluations et des rapports de performance basés sur des KPIs. Toutes les activités liées à la performance doivent être rapportées et revues sur une base annuelle. La transparence est clé pour une bonne gouvernance.

6. Rester à l’écoute des métiers. Ce n’est jamais l’informatique qui décide

Dernier point mais non le moindre, être à l’écoute du Business et / ou du feedback des clients et agir en conséquence, c’est cela qui crée réellement de la valeur. Nous avons trop tendance à penser que c’est notre point de vue qui est juste. C’est ce que Microsoft a fait avec Windows 8, puis « foiré » encore davantage avec Windows 8.1, avant de corriger le tir (ou presque) avec Windows 10.

En quoi consistent les « facilitateurs » de la création de valeur?

Les facilitateurs sont des facteurs qui, individuellement ou collectivement, influencent la réussite d’une activité, dans le cas présent, la gouvernance et le management du SI de l’entreprise, en vue de créer de valeur. Les facilitateurs sont influencés par la cascade d’objectifs, c’est à dire que des objectifs de plus haut niveau liés au SI définissent ce que les différents facilitateurs devraient permettre d’atteindre.

facilittaeurs de la création de valeur

Le schéma ci-dessus, extrait du référentiel COBIT® 5 montre qu’il y a sept facilitateurs à implémenter et à améliorer en permanence pour créer de la valeur pour l’Entreprise :

  • Les principes, les politiques et les systèmes de management représentent le mécanisme, sous forme de chaîne, permettant de traduire les exigences des actionnaires en orientations pratiques pour la gestion quotidienne.
  • Les processus décrivent un ensemble organisé de pratiques et d’activités requises pour atteindre des objectifs et pour produire un ensemble de résultats permettant la réalisation des objectifs globaux. Les processus constituent la mise en oeuvre pratique des politiques.
  • Les structures organisationnelles sont les principales entités de décision dans l’entreprise. Ce sont elles qui décident d’implémenter les processus.
  • La culture, l’éthique et le comportement des individus et de l’entreprise sont très souvent sous-estimés en tant que facteurs de réussite dans les activités de gouvernance et de gestion. Ce sont les personnes qui composent les structures organisationnelles et qui implémentent et exécutent les processus.
  • L’information est omniprésente dans toute organisation. Elle comprend toute l’information produite et utilisée par l’entreprise. L’information est nécessaire pour prendre les décisions stratégiques et maintenir l’organisation fonctionnelle et bien gouvernée, mais au niveau opérationnel, elle est souvent le produit phare de l’entreprise elle-même.
  • Les services, l’infrastructure et les applications comprennent l’infrastructure, la technologie et les applications qui fournissent à l’entreprise les traitements et les services en matière de technologies de l’information. Il s’agit bien sûr de l’informatique et des télécommunications qui stockent, traitent et communiquent les informations.
  • Le personnel, les aptitudes et les compétences sont liés aux individus et sont nécessaires pour la réussite de toutes les activités ainsi que pour la prise de décisions éclairées et de mesures correctives. Il est vital, pour pouvoir créer de la valeur, de disposer du nombre approprié de ressources humaines possédant des aptitudes de savoir-être et de savoir-faire correspondant à ce qui est décrit dans les 6 autres facilitateurs.

Y a-t-il des référentiels sur ce sujet?

COBIT® 5, le référentiel de Gouvernance et de Management du SI, publié par l’ISACA en 2012 définit la création de valeur comme étant l’objectif de la Gouvernance et décrit les mécanismes à mettre en oeuvre pour y arriver.

Si vous souhaitez aller plus loin, AB Consulting, seul Organisme de Formation officiellement accrédité par ISACA et APMG en Afrique de l’Ouest et seul habilité à délivrer les formations correspondantes et à organiser les examens de certification, vous propose les formations suivantes :

COBIT® Foundation sur 3 jours

COBIT® 5 Implementation sur 3 jours

COBIT® 5 Assessor sur 3 jours

sans oublier nos « bootcamps » :

COBIT® 5 Implémentation Boot Camp (Foundation + Implementation) sur 5 jours

COBIT® 5 Assessor Boot Camp (Foundation + Assessor) sur 5 jours

Pour plus d’information ou pour vous abonner à notre Newsletter, merci de compléter le formulaire de contact :

 

 

De l’importance d’une stratégie informatique

Pour poursuivre sur le sujet de l’importance de la gouvernance du SI dans les grandes entreprises et afin d’encourager son adoption par les petites et moyennes entreprises, je voudrais présenter ici une approche pragmatique d’élaboration d’une stratégie informatique.

Elaboration de la stratégie informatique

Je m’aperçois souvent lorsque je pose, durant mes formations, la question de la définition de ce qu’est une stratégie, que la plupart de mes étudiants ne comprennent pas vraiment de quoi il s’agit.

La Stratégie informatique, de quoi s’agit-il?

Alors, quel est le but d’une stratégie informatique? S’agit-il de partir de l’état actuel de l’informatique et de planifier son évolution future? Ou bien s’agit-il de fournir au business la vision technologique du département informatique dont l’objectif n’est pas uniquement de répondre au besoins exprimés par les métiers? Ou bien encore, s’agit-il d’élaborer conjointement avec les autres entités business de l’Entreprise des solutions qui permettront de satisfaire les besoins exprimés par les parties prenantes au travers du Conseil d’Administration?

C’est un peu tout cela à la fois et ce que nous allons essayer d’expliquer au travers de cet article.

Une stratégie peut généralement couvrir des aspects aussi divers que la complexité de votre infrastructure informatique et les exigences de votre entreprise et devrait permettre d’atteindre entre autres résultats:

  1. Capacité à faire plus… avec moins…
  2. Améliorer la capacité du Business à créer de la valeur pour l’Entreprise en leur permettant de se connecter et d’accéder aux informations de partout et à tout moment
  3. Trouver un juste équilibre entre la prévisibilité et l’innovation du modèle opérationnel
  4. Fournir des données de meilleure qualité pour permettre à l’Enterprise de prendre de meilleures décisions
  5. Externaliser la gestion des systèmes de back-office et réaffecter les ressources sur le support aux besoins clés du Business
  6. Faire du sourcing stratégique tel que migrer vers une solution de cloud hybride, faire appel temporairement à des compétences externes,
  7. Et beaucoup plus encore…

La définition de la stratégie informatique n’est donc pas un exercice solitaire réalisé par le DSI, mais fait partie d’un travail de groupe réalisé par l’ensemble des membres du Comité de Direction qui, sur la base de l’orientation donnée par le Conseil d’Administration vont avoir à proposer à ce dernier un plan permettant de réaliser les objectifs spécifiés par les parties prenantes (actionnaires ou propriétaires, état pour la conformité légale, organisations externes pour les réglementations, etc.). Chaque membre du Comité de Direction (Business Executives, DAF, DRH, Directeur des Opérations, DSI, … etc.) va donc avoir à proposer le plan correspondant à son propre domaine. La stratégie globale de l’Organisation consistera, par conséquent, en une consolidation de l’ensemble des ces plans stratégiques élaborés par chaque entité. Le département informatique aura, bien entendu, son rôle à jouer pour supporter les autres entités dans l’atteinte des objectifs de l’Entreprise. La stratégie de l’Entreprise sera présentée par le CEO (Directeur Général) et approuvée par le Conseil d’Administration. Chaque Exécutif deviendra dès lors responsable de l’atteinte des objectifs de sa propre stratégie et contribuera donc à l’atteinte des objectifs de l’Entreprise.

Qu’implique la définition d’une bonne stratégie?

Strategy IT sur une page
Template fourni par CEB

Un coup d’œil sur les stratégies IT des grandes entreprises vous donnera une idée sur leur contenu et leur forme. La taille moyenne d’un document de stratégie informatique est de l’ordre de 35 pages rédigées dans un langage simple et compréhensible par tous. L’illustration visuelle de la stratégie, généralement présentée dans le résumé, correspond à ce que j’appellerai une feuille de route dont le but est de donner un aperçu des résultats attendus de l’organisation l’informatique sur les prochaines années.

La stratégie informatique est destinée au Conseil d’Administration et au Comité de Direction. Ces deux instances sont composées de personnes ayant une vision business de l’Entreprise et en aucun cas une vison technique. Il est donc indispensable que la présentation de votre stratégie IT soit adaptée à votre auditoire et demeure concise et non technique. N’oubliez pas qu’il s’agit de dire ce qu’on va entreprendre et non comment on va s’y prendre. C’est là que, le plus souvent, les DSI vont échouer car le profil-type d’un DSi doit donc être celui d’un Exécutif Business dont les compétences sont adaptées à cet exercice et en aucun cas celui d’un « informaticien » en fin de carrière le plus souvent. Hélas, en l’absence de stratégie informatique claire, le département informatique ne sera pas en mesure de soutenir les objectifs de l’Entreprise et l’innovation nécessaire pour lui permettre de créer de la valeur pour ses parties-prenantes. L’informatique deviendra donc, de facto, un centre de coûts, dans un contexte économique où on cherche en permanence à éliminer les coûts superflus. Il est donc indispensable que la stratégie informatique soit alignée sur les besoins de l’Entreprise et qu’elle soit entre les mains de personnes possédant les compétences adéquates.

Il est nécessaire pour les petites entreprises d’avoir une stratégie informatique qui peut être résumée sur une simple page.

L’alignement stratégique est clé

Cascade d'objectifs COBIT 5Comme nous l’avons indiqué précédemment,  l’ensemble des stratégies des entités de l’Entreprise doivent être alignées pour créer de la valeur pour ses parties prenantes. Dès que le département informatique a identifié ses besoins urgents et les possibilités d’amélioration de son efficacité et de son efficience, et placé le tout dans un plan stratégique, il doit alors s’assurer que sa stratégie est bien alignée avec la plupart, sinon la totalité, des objectifs business dans le but de satisfaire ensemble la direction fixée par le CA. La cascade d »objectifs, décrite par COBIT 5, permet de réaliser l’alignement et l’outil généralement utilisé par les instances de Gouvernance et de Management pour contrôler les progrès au niveau de l’entreprise sera un tableau de bord équilibré (Balance ScoreCard).

Quelques questions / réponses sur la stratégie IT

  1. Qui est responsable et qui participe à la définition de la stratégie IT?

RACI gestion de la stratégieLà encore, COBIT 5 nous aide, grâce au RACI du processus APO02 : Gestion de la stratégie.

2. Quel est le périmètre d’une stratégie IT? Est-ce pour une Business Unit, un pays ou la totalité de l’organisation à travers le monde?

La meilleure réponse est que cela dépend de chaque Organisation, et est fonction de sa taille et de ses besoins. Ce qui est clair ici c’est que la stratégie de chaque Business Unit doit être alignée avec la stratégie d’entreprise ce qui rendra l’alignement de l’informatique avec chacune d’entre elles plus facile.

3. Comment fixe-t-on la stratégie? A quelle fréquence doit-elle être revue?

Une durée acceptable pour un plan stratégique pourrait aller jusqu’à 3 ou 4 ans compte tenu de l’évolution permanente du business et de la technologie dans le contexte de mondialisation actuel. Ce plan stratégique devrait ensuite être décomposé en plusieurs plans tactiques dont la durée optimale serait de l’ordre de six mois et ne devrait jamais excéder une année. Il faut bien garder en mémoire que plus la durée d’un projet est longue et moins il est susceptible d’être couronné de succès. Par conséquent, il est préférable de décomposer les grands projets en portions digestibles qui peuvent entrer dans vos plans tactiques.

Comment se familiariser avec ces concepts?

Le référentiel COBIT® 5 publié par l’ISACA en 2012 est un modèle très intéressant à adopter pour la Gouvernance et le Management du SI, dans la mesure où il couvre la totalité de l’Entreprise et assure l’alignement de l’IT avec les autres fonctions en partant du besoin des parties prenantes pour réaliser la cascade des objectifs en s’appuyant sur 7 facilitateurs :

COBIT 5 - Les 7 facilitateurs

  1. Principes, politiques et référentiel
  2. Processus
  3. Structures organisationnelles
  4. Culture, éthique et comportement
  5. Les informations
  6. Services, applications et infrastructures
  7. Personnels, compétences et aptitudes

Pour en savoir plus et vous familiariser avec ces concepts, AB Consulting organise régulièrement des sessions sur-mesure, en Français et en Anglais, de sensibilisation destinées au membres des Conseils d’Administration et des Comités de Direction ainsi que des formations certifiantes pour les managers : COBIT® 5 Foundation et COBIT® 5 Implémentation. Nous proposons aussi l’évaluation de l’aptitude de vos processus IT afin de vous assurer de leur alignement avec les politiques et la stratégie d’entreprise, basée sur COBIT® 5.

Pour plus d’informations ou pour vous abonner à notre newsletter, merci de remplir le formulaire de contact :

COBIT® is a trademark of ISACA® registered in the United States and other countries.
ITIL® is a registered trade mark of AXELOS Limited.
PRINCE2® is a registered trade mark of AXELOS Limited.

De l’importance de la Gouvernance du SI

Beaucoup pensent que la Gouvernance du Système d’Information (en anglais GEIT) est un sujet complexe. Les mots qui viennent immédiatement à l’esprit sont «Aride, Ennuyeux, Vague, Irréaliste ». Ceci est essentiellement dû à l’utilisation intensive de jargon comme « alignement stratégique, transformation organisationnelle, création de valeur, création de synergie », d’énoncés compliqués de vision et de mission, que le commun des mortels trouve difficile à comprendre.

éviter les mauvaises surprises IT

Le résultat est que la gouvernance du SI est aussi mal adoptée que la gouvernance des entreprises en raison de l’absence de compréhension de son rôle vis à vis d’une Organisation.

La Gouvernance du SI? C’est quoi?

Bien évidemment, elle est sans importance pour les start-ups et les entreprises nouvellement créées au moins durant leurs premières années d’activité, jusqu’à ce qu’elles atteignent un certain niveau de maturité et une taille critique qui les amèneront à se doter d’un conseil d’administration, lequel aura besoin d’un cadre de gouvernance. Ce cadre met en place des politiques de haut niveau, nécessite un alignement de l’entreprise sur les attentes de ses parties-prenantes (actionnaires et/ou propriétaires, partenaires d’affaires, clients, état), un grand niveau de transparence dans le fonctionnement de l’entreprise, des méthodes pour en mesurer la performance et, plus important, se conformer aux lois, règlementations et accords contractuels.

Supposons que nous n’avons pas l’obligation de fournir des rapports au conseil d’administration et que nous ne sommes pas non plus obligés de respecter la conformité à des lois telles que SOX qui nous oblige à considérer la gouvernance comme une pratique incontournable.

L’objectif de cet article est donc simplement d’étudier dans quelle mesure une initiative d’implémentation de gouvernance du SI peut bénéficier à des petites et moyennes entreprises (PME).

Voici quelques raisons :

  1. Tirer un avantage business concurrentiel grâce à l’innovation ou à l’adoption précoce d’une technologie nouvelle.
  2. S’aligner sur les stratégies et les objectifs de l’Organisation et aider ses métiers à les atteindre.
  3. Déplacer la focalisation de l’informatique vers les résultats business plutôt que sur des aspects technologiques.
  4. Définir les structures et les processus qui assurent un retour sur l’investissement informatique grâce aux avantages business apportés et permettent d’assurer la transparence des dépenses informatiques.
  5. Gérer les risques de l’entreprise liés aux technologies de l’information.
  6. Permettre de répondre dans des délais courts aux besoins changeants de l’entreprise, du marché ou des facteurs environnementaux.
  7. Gérer l’augmentation exponentielle des coûts informatiques qui ne génère aucune augmentation directe de la valeur au niveau de l’entreprise.
  8. Couvrir le besoin de sécurité de l’information, des processus, des infrastructures et des applications.
  9. Empêcher l’IT de devenir un goulot d’étranglement pour l’Entreprise lorsque la demande de ressources informatiques croît de façon exponentielle.
  10. Atteindre l’excellence opérationnelle à travers l’utilisation fiable, efficace de la technologie.
  11. Améliorer globalement l’expérience d’engagement du business avec l’IT et ses services.
  12. Transformer les données en informations de qualité nécessaires à la prise de décisions business

COBIT, encore un autre référentiel?

Le référentiel COBIT®, publié par l’ISACA, est aujourd’hui le standard de l’industrie et cadre le plus largement adopté en matière de Gouvernance du SI. Depuis sa création en 1996, il a évolué d’une grille d’audit informatique vers un cadre de contrôle et finalement un cadre de gouvernance du SI avec la publication de COBIT® 5 en 2012. COBIT® 5 est un référentiel complet en termes de couverture, qui doit être adapté à chaque entreprise, en tenant compte de la nature de ses activités et de ses besoins spécifiques, du caractère unique de sa fonction informatique et de divers facteurs internes et externes.

COBIT® 5 a été conçu pour s’aligner avec les autres normes, cadres, méthodologies et meilleures pratiques du marché tels que ITIL®, TOGAF, PRINCE2® / PMBOK, ISO31000, ISO 27001, etc. Ses 37 processus se recouvrent avec ceux définis dans les autres normes et référentiels et fait de COBIT® 5 un cadre dominant l’entreprise de façon globale, de bout en bout.

OK, mais on a déjà implémenté ITIL ! Et ISO 27001 !!

L’adoption de cadres de bonnes pratiques par les départements informatiques a pour but de fournir, de façon plus efficace et efficiente, des services IT aux entités business en fonction de leur demande. Quand l’IT démarre son périple en vue de mieux soutenir le Business, une chaîne d’événements va s’enclencher qui exige d’adopter des normes et des bonnes pratiques qui répondant aux besoins de services des métiers de la façon suivante :

  1. Le besoin initial de fournir une qualité de service de soutien au quotidien nous amène souvent à adopter les meilleures pratiques dans la gestion des services IT, à savoir ITIL®.
  2. Pour répondre aux besoins urgents de sécurité, on entreprend l’implémentation d’un SMSI (système de management de la sécurité de l’information) basé sur la norme ISO27001.
  3. Une augmentation ultérieure des investissements informatiques amène à l’adoption de référentiels de gestion de portefeuille, de programme et gestion de projet et, par exemple, à l’adoption de PRINCE2® / PMBOK.
  4. Les investissements continuels dans l’IT résultent en une infrastructure informatique très complexe qui nécessite d’envisager sérieusement des modèles d’architecture d’entreprise tels que TOGAF.

… et ainsi de suite…

Dans quel ordre on procède?

L’ordre d’adoption des différentes normes et référentiels peut varier d’une Organisation à l’autre, mais pour superviser et coordonner tout cela, à un moment donné, la nécessité d’un cadre global de gouvernance s’impose.

processus de gouvernance du SICOBIT® 5 se base sur 5 principes, 7 facilitateurs (Enablers) et 37 processus répartis sur 5 domaines. Afin de rester concis, concentrons-nous, dans cet article, sur les 37 processus illustrés dans le schéma ci-dessous et sur leur alignement avec les autres normes et référentiels de bonnes pratiques.

 Pour mieux comprendre et apprécier la manière dont toutes les normes / cadres / méthodologies / bonnes pratiques cohabitent dans le modèle de référence des processus COBIT 5 et vous présenter de façon simple une information qui est par ailleurs difficile à trouver, j’ai réalisé un petit tableau, non exhaustif, qui cartographie diverses aspects de COBIT® 5 par rapport aux autres normes et référentiels existant.

Alors, pas besoin de tout jeter?

Si l’on a mis en œuvre certaines des normes et bonnes pratiques ci-dessus au cours du cycle de croissance de l’entreprise, alors il n’est pas nécessaire d’implémenter l’ensemble des processus de COBIT 5. Ces normes et bonnes pratiques peuvent être mappées aux processus correspondants dans COBIT® 5 pour permettre la gouvernance de ces activités à l’aide d’un seul tableau de bord.

Par exemple, une organisation qui a adopté les processus et les orientations de l’ITIL® pour sa gestion des services peut mapper ses processus existants avec les processus COBIT® 5 correspondants. Les avantages de cette cartographie sont de permettre à l’Organisation d’utiliser directement les objectifs des processus COBIT® 5 recommandés ainsi que les mesures de succès associées et les suggestions de rôles et responsabilités proposées par le digramme RACI. COBIT® 5 assure la transparence pour les parties prenantes en définissant la relation entre les objectifs de l’IT et les objectifs de l’entreprise, une traçabilité non fournie par ITIL.

Un point important qu’il convient de souligner : les normes et référentiels de bonnes pratiques tels que COBIT, ITIL et quelques autres définissent CE QU’IL FAUT FAIRE mais pas comment cela devrait être fait. Par conséquent, un grand nombre d’implémentations sont basées sur les connaissances individuelles des acteurs du projet et leurs expériences passées dans différentes organisations, et ne sont pas nécessairement universellement reconnues comme des meilleures pratiques.

Et si on a besoin d’aide?

Ainsi, dans le choix du meilleur professionnel de la Gouvernance du SI susceptible de vous accompagner, une connaissance globale de l’ensemble des normes et référentiels de bonnes pratiques sera un critère important car cela permettra de pouvoir les associer et les combiner pour obtenir le meilleur cadre, adapté à votre Organisation, en vue de la fourniture de services IT aux métiers.

Pour un DSI, il est recommandé d’équilibrer son temps entre la gestion des personnes, des processus et de la technologie qui sont les trois pierres angulaires d’une bonne gouvernance. Par conséquent, si l’on veut mettre l’accent sur les processus pour améliorer la qualité globale du service plutôt que d’implanter sans cesse des nouvelles couches technologiques, on peut envisager de réexaminer la mise en œuvre des normes et bonnes pratiques du marché et d’en mesurer les avantages.

Il existe, par conséquent, de multiples façons de mettre en œuvre la gouvernance du SI.

Cela peut résulter en un débat sans fin mais à travers cette série d’articles, je vais essayer de vous aider à vous concentrer sur l’objectif principal et déterminer la valeur réelle créée. Quelle que soit la taille de votre entreprise, une certaine forme de gouvernance du SI doit faire partie de votre organisation.

Pour plus d’informations ou pour vous abonner à notre newsletter, merci de remplir le formulaire de contact : 

Cyber-sécurité: une demande forte pour un profil rare

 

L’actuelle pénurie de professionnels qualifiés en cyber-sécurité continue de constituer un problème majeur pour toutes les industries aux Etats-Unis, en Europe, mais aussi dans le reste du monde.

professionnel en cyber-sécurité

James Trainor, directeur adjoint par intérim de la Division Cyber du FBI, a récemment déclaré que l’industrie de la cyber-sécurité doit absolument « doubler ou tripler » ses effectifs pour être en mesure de répondre à l’augmentation des violations en matière des sécurité des informations.

Selon le Rapport 2015 sur la situation mondiale en matière de cyber-sécurité publié en Janvier par l’ISACA, 86% des entreprises et des professionnels de l’informatique sont conscients de la pénurie de professionnels de la cyber-sécurité et 37% prévoient d’embaucher de nouveaux spécialistes de la cyber-sécurité en 2015. 53% des entreprises interrogées prévoient également d’accroître, en 2015, la sensibilisation de leurs équipes grâce à des formations de sensibilisation, à la lumière des évènements récents publiés dans les médias.

Il n’y a jamais eu de meilleur moment pour entrer sur ce marché en plein essor. Voici quelques raisons de plus à considérer pour le développement de votre carrière.

Vous serez sans aucun doute la cible de chasseurs de têtes.

Le Bureau of Labor Statistics (BLS) a constaté qu’il y a actuellement « plus de 209.000 offres d’emplois non pourvues en matière de cyber-sécurité aux Etats-Unis, et les recrutements sont en hausse de 74 pour cent au cours des cinq dernières années ». En France, le nombre de postes non pourvus par manque de candidats est certes moins impressionnant mais d’ores et déjà, on en compte plus d’un millier depuis le début 2015.

Le BLS estime également que le marché de l’emploi pour les analystes de la sécurité de l’information – qui comprend les professionnels de la cyber-sécurité – va croître de 37% d’ici 2022.

Le rapport de sécurité annuel 2014 de Cisco estime, pour sa part, qu’il y a une pénurie mondiale d’un million de professionnels de la sécurité de l’information.

Les salaires sont élevés

Comme la concurrence pour le personnel qualifié augmente, les salaires sont inévitablement à la hausse pour attirer les meilleurs candidats – souvent bien au-delà des niveaux que les entreprises les plus petites peuvent se permettre – provoquant des taux anormalement élevés de turn-over et l’instabilité du secteur.

salaire cyber-sécuritéAux Etats Unis, les salaires annuels des professionnels de la sécurité dans les technologies de l’information vont de 60.000 $ à 70.000 $ pour les emplois de premier échelon. Le BLS estime le salaire médian à 86.170 $. Les 10 pour cent ayant les plus bas salaires ont gagné moins de 49.960 $, le top 10 pour cent a pour sa part gagné plus de 135.600 $ en moyenne l’an dernier. En France, les revenus moyens en début de carrière sont généralement de l’ordre de 35 à 40 k€ annuels, peuvent atteindre plus de 80 k€ pour un consultant senior.

James Stanger, Senior Director du groupe produits pour CompTIA (un des leaders mondiaux en matière de certifications dans le domaine IT), a déclaré :« le truc pour être un professionnel compétitif en sécurité, c’est d’avoir un diplôme d’études supérieures, une certification en cyber-sécurité, et de l’expérience».

« J’ai vu des gens possédant seulement une certification mais pas de diplôme d’enseignement supérieur s’en sortir parfaitement, bien que n’ayant pas encore d’expertise professionnelle. Mais, en général, vous avez besoin des trois », a déclaré Stanger.

Vous aurez un emploi à vie. Aussi longtemps que l’Internet sera présent dans nos vies professionnelles et personnelles, vous serez incontournable.

Les cyber-menaces se multiplient en permanence, notre dépendance à l’Internet continue d’augmenter chaque jour, et, comme l’internet des objets décolle, le nombre d’appareils connectés à l’Internet explose (automobiles, appareils électro-ménagers, puces d’identification RFID dans les cartes et badges, contrôle à distance des équipements domotique…). Il va donc de soi que le nombre d’emplois en cyber-sécurité continuera d’augmenter de façon de plus en plus rapide.

La pénurie va continuer et même augmenter

La plupart des organisations qui ont été la cible d’attaques de sécurité ces dernières années ont perdu des informations extrêmement sensibles. Même si ces informations perdues ne mettent pas nécessairement les personnes et les biens (incluant les aspects financiers) en péril direct, cela conduit le plus souvent à des dommages irréversibles en termes d’image et de réputation de l’Entreprise victime. Les clients et prospects perdent toute confiance dans une organisation qui n’est pas capable de conserver leurs informations confidentielles et sécurisées. Le nombre de procès intentés au Organisations concernées par les personnes auxquelles les données volées ou perdues appartenaient augmente de façon spectaculaire. La conséquence est que pour éviter ces impacts majeurs, beaucoup d’Entreprises victimes de cyber-attaques ne communiquent pas sur ces incidents.

Cela a conduit, sous la pression des clients et utilisateurs de la société de l’information, les organismes internationaux de régulation ainsi que les états à adopter des lois et réglementations très sévères à l’image du Royaume Uni où la législation prévoit une amende infligée par l’ICO (Information Commissioner’s Office) allant jusqu’à 100.000 £ pour toute violation de données. De son côté, la Communauté Européenne, au travers de la Directive Européenne de Protection des Données, prévoit d’imposer désormais aux Entreprises de communiquer publiquement sur les vols de données dont elles auraient été victimes. Cette nouvelle directive prévoit aussi des amendes allant jusqu’à 100 millions d’Euros ou 5% du chiffre d’affaires pour les Organisations qui ne respecteraient pas la législation en la matière.

Cette directive devrait entrer en vigueur fin 2015. Il est clair que les conséquences vont être importantes au niveau des Entreprises Européennes qui vont être contraintes d’appliquer la directive et donc recruter plus de spécialistes en matière de cyber-sécurité et de cyber-résilience.

Une qualification en cyber-sécurité et/ou en cyber-résilience pour démarrer votre carrière

Il existe actuellement plusieurs qualifications disponibles pour les candidats potentiels à des postes en cyber-sécurité et en cyber-résilience.

ISO 27001 : La norme internationale

iso 27001En 2005, la première norme en matière de cyber-sécurité à la fois globale, exhaustive et par dessus tout internationale voyait le jour : ISO 27001. Aujourd’hui il s’agit de la norme de certification des systèmes de management de la sécurité des informations la plus implémentée dans le monde. La certification ISO 27001 devient même une exigence de conformité réglementaire pour certains types d’Entreprises dans des pays importants dans le monde.

En obtenant une qualification ISO 27001 vous démontrez à vos employeurs actuels et futurs que vous prenez au sérieux la sécurité des informations et que vous êtes familier avec les meilleures pratiques en cyber-sécurité.

Il y a trois qualifications principales disponibles:

Novice sur la norme ISO 27001? Suivez le cours de 3 jours ISO 27001 Foundation et développez votre compréhension de la norme et de ses exigences.

Impliqué(e) dans la mise en œuvre de la norme ISO 27001? Suivez le cours ISO 27001 Practitioner pour comprendre pleinement comment planifier, mettre en œuvre et maintenir un ISMS conforme aux exigences d’ISO 27001.

Vous devez réaliser des audits ISO 27001? Suivez le cours ISO 27001 Auditor vous permettant d’obtenir la qualification nécessaire pour planifier et exécuter des audits de conformité de systèmes de management de la sécurité de l’information (ISMS) à ISO 27001.

RESILIA: les bonnes pratiques en cyber-résilience

cyber-résilience résiliaUn nouveau référentiel de bonnes pratiques couvrant l’ensemble du domaine de la cyber-résilience vient de voir le jour au Royaume Uni. Il s’agit de RESILIA, publié par AXELOS®, l’Organisation possédant la propriété intellectuelle de l’ensemble du portefeuille des bonnes pratiques du domaine public britannique incluant en particulier ITIL® et PRINCE2® . La cyber-résilience intègre la cyber-sécurité mais son périmètre est plus large et couvre notamment les aspects de récupération de son aptitude à créer de la valeur par l’Entreprise après avoir subi une cyber-attaque. RESILIA complémente de façon très efficace ITIL® en intégrant les éléments relatifs à la cyber résilience aux cinq phases du cycle de vie des services (stratégie, conception, transition, exploitation et amélioration continue).

Pour l’heure trois cours et deux qualifications RESILIA sont disponibles :

RESILIA Awareness : cours d’une journée destiné aux membres des comités de direction et à l’ensemble du personnel métier des Entreprises afin de les sensibiliser sur les risques, les moyens de s’en protéger et sur la manière de réagir en cas de cyber-attaque afin de permettre à l’Entreprise de minimiser les impacts sur son image, sa réputation et bien sûr sur son activité opérationnelle. Ce cours ne conduit pas à une certification.

RESILIA Foundation : cours de trois jours couvrant les principes fondamentaux et les cinq phases du cycle de vie, destiné à l’ensemble du personnel informatique et des membres des équipes métiers, aboutissant à la certification RESILIA Foundation.

RESILIA Practitioner : cours de deux jours, couvrant les aspects de pratique au quotidien des activité de cyber résilience. A l’issue des ces deux journées, un examen de certification RESILIA Practitioner permet aux participants, généralement issus des équipes informatiques et des équipes en charge de gérer la sécurité de l’information d’obtenir la qualification internationale de Praticien RESILIA.

COBIT® 5 : la Gouvernance et le Management de la sécurité

COBIT 5 NIST ImplementationImplementing NIST cybersecurity framework using COBIT 5 : cours de trois jours, focalisé sur l’Implémentation du référentiel de cyber-sécurité du NIST, basé sur les 7 étapes d’implémentation de COBIT® 5 conduisant à la certification Implementing NIST CSF using COBIT® 5

COBIT® 5 Assessor for Security : cours de trois jours, accessible aux titulaires de la qualification COBIT® 5 Foundation, fournissant les bases pour évaluer l’aptitude des processus de cyber-sécurité d’une organisation par rapport au modèle d’évaluation (PAM) de COBIT® 5. Ce cours permet d’obtenir la qualification COBIT® 5 Assessor for Security.

COBIT® 5 for Information Security : ce cours de deux jours s’adresse aux professionnels de la sécurité et offre une couverture globale et pratique de tous les aspects de COBIT® 5 dans le cadre spécifique de la sécurité de l‘information, y compris ses composantes, les facilitateurs et les conseils de mise en œuvre.

7 thèmes pour un projet PRINCE2

Qu’est-ce que PRINCE2®?

structure prince2PRINCE2® est une méthodologie générique de management de projet qui fournit un cadre de gestion de tous les aspects de la performance des projets, d’une façon contrôlée. Par générique, nous entendons qu’elle peut être utilisée pour gérer n’importe quel type de projet, indépendamment de sa taille, sa complexité, du domaine technique, etc.

PRINCE2® comprend un ensemble de principes, de thèmes de contrôle, de processus et des conseils pour faire correspondre la méthode avec l’environnement du projet.

Les thèmes de PRINCE2®

Les thèmes PRINCE2 sont les aspects de la gestion de projet qui permettent de contrôler le projet. Ils doivent être traités de façon continue tout au long du cycle de vie du projet. Ils fournissent des conseils et expliques la façon dont le processus doit être suivi. Ils sont au nombre de sept: le cas d’affaire, l’organisation, la gestion de la qualité, la planification, la gestion des risques, la gestion des changements, et le contrôle de la progression.

Le cas d’affaire

C’est un document élaboré dès le début du projet, montrant comment une idée est développée dans une proposition d’investissement viable pour l’entreprise et se reconsidéré tout au long du déroulement du projet afin de vérifier que le projet reste toujours viable et justifiable pour l’Organisation. Le cas d’affaire est un document de référence permettant de prendre des décisions tout au long du projet. Il doit d’abord aligner les objectifs du projet avec ceux du programme ou de la stratégie de l’entreprise pour que chaque progrès du projet apporte des éléments positifs à l’entité de l’entreprise concernée. Les liens entre les bénéfices attendus, les résultats et les produits réalisés doivent être clairement définis dans le cas d’affaire. Chaque projet devrait avoir une Justification d’Affaire en Continu. Cela signifie qu’entreprendre le projet doit créer de la valeur pour l’Organisation. Dans PRINCE2® les bénéfices attendus du projet seront documentés dans le Cas d’Affaire. Si un projet ne dispose pas d’un Cas d’Affaire valide, il ne doit pas être démarré et si la justification et la viabilité du projet sont remises en cause pendant sa réalisation, celui-ci doit être arrêté.

L’organisation du projet

Le thème Organisation décrit les rôles et responsabilités requis pour une gestion efficace du projet. Vous devez savoir quels rôles sont nécessaires pour votre projet et qui sera responsable de quoi dans le projet. Le Thème Organisation aborde la structure de l’Équipe de Projet. Cela vous permet de vous assurer que tous les intérêts du projet sont représentés et permet de clarifier les responsabilités dans le projet. La communication est essentielle dans un environnement de projet et le thème de Organisation explique également comment vous communiquerez à l’intérieur du projet, mais aussi avec d’autres parties prenantes à l’extérieur de l’équipe de projet.

La Qualité

Le thème Qualité explique l’approche PRINCE2 par rapport à la qualité dans un environnement de projet. Le Thème de la Qualité soutient le Principe PRINCE2 de la Focalisation sur les Produits de sorte que si vous voulez réussir votre projet vous devez livrer un produit qui est adapté à l’usage. Tout d’abord vous devez savoir ce que le client désire réellement et alors livrer au niveau attendu de qualité.

Le Thème Qualité indique aussi que vous devriez capturer et appliquer des leçons au cours du projet. Ceci contribue à soutenir le principe de PRINCE2 des Retours d’Expérience.

Les Plans

Le thème Plan décrit les étapes nécessaires pour développer le planning, ainsi que l’approche produit de la planification et les techniques associées. Après avoir pensé à ce que vous allez livrer, vous devez décider comment vous allez le livrer : combien cela coûtera pour le livrer et la date à laquelle il doit être livré. Nous avons besoin de plans en place pour répondre à ces questions. Ceci vous amène à vous focaliser sur comment et quand ces produits devront être livrés, ce qui souligne le Principe de la Focalisation sur les Produits.

Le Thème des Plans prévoit une procédure de planification et discute également des différents niveaux de plans pour les trois niveaux du management dans l’équipe de projet. Cela aide à soutenir le Principe PRINCE2 du Management par Exception.

Le Thème des Plans indique aussi que vous devez diviser le projet en séquences de travail gérables. Il ne sert à rien d’avoir un plan détaillé pour ce que vous espérez faire dans trois ans ! En divisant le projet en séquences vous respectez l’application du Principe du Management par Séquences.

Les risques

Le thème Risques montre comment le management de projet gère les incertitudes dans la planification et dans l’environnement du projet. Le risque est inévitable dans un projet. Le minimum a mettre en place est une procédure efficace du Management des Risques pour identifier, évaluer et maîtriser les risques liés à votre projet.

Le Thème des Risques couvre tout cela. Si vous identifiez correctement les risques, PRINCE2 vous permettra de prendre des décisions éclairées sur les projets à lancer, les projets à terminer, etc.

Les changements

Le thème Changement décrit comment le management de projet étudie les points qui ont un impact potentiel sur les estimations initiales du projet. Cela peut correspondre à des problèmes ou soucis non anticipés, des demandes de changements, ou encore des hors-spécification. Les clients changent d’avis, les fournisseurs ne livrent pas ce qu’ils auraient dû ou ce sont simplement des problèmes qui se produisent: ce sont les incidences du projet. Le Thème Changement traite de ce que nous devons faire lorsque des incidences surviennent.

Il explique également comment contrôler efficacement le changement. Tout ceci renforce la Focalisation sur les Produits et permet la création, la maintenance et les changements maîtrisés des produits de votre projet.

La progression

Le thème Progression vérifie en permanence la fiabilité de la planification. Il explique le processus de décision pour l’approbation du planning, le suivi des actions réalisées, les actions correctives à envisager et le processus d’escalade lorsque les tolérances sont dépassées. Le Thème Progression explique comment surveiller et contrôler le projet

Pour ce faire, le Thème Progression traite de l’utilisation des tolérances comme un support pour le Management par Exception, l’utilisation des Séquences de Management pour le contrôle par le Comité de Pilotage de Projet pour consolider le Management par Séquences et la Justification d’Affaire en Continu. Le Thème de la Progression explique également comment vous pourriez utiliser les Produits de Management (par exemple, le Rapport d’Incidence, les Rapports de Progression, etc.) pour surveiller et contrôler les progrès.


La méthode PRINCE2 impose la mise en pratique de tous les thèmes. Ceux-ci doivent être non seulement appliqués tout au long du projet, mais aussi adaptés aux différents contextes d’un projet. En effet, c’est la mise en oeuvre de ces bonnes pratiques qui garantit les chances de succès de votre projet. Pour en savoir plus sur le cursus de formation et les certifications PRINCE2® rendez-vous sur  le site de AB Consulting.

Cyber-sécurité vs cyber-résilience

On entend de plus en plus parler de cyber-sécurité et de cyber-résilience. Mais au final, qu’est-ce qui se cache derrière ces termes compliqués pour le commun des mortels ? C’est ce que nous allons essayer d’expliquer au travers de cet article.


cyber-curité vs cyber-résilience

Sécurité ou Résilience ? De quoi parlons-nous ?

Sous l’administration Obama, les décisions prises par la Maison Blanche en matière de sécurité nationale portent le nom de Directives Politiques Présidentielles (Presidential Policy Directives – PPD). La PPD 21 publiée en 2013 porte sur la sécurité et la résilience des infrastructures critiques et définit les contraintes à respecter dans ce domaine par l’ensemble des acteurs impactant la société américaine.

Cette directive, qui peut être vue comme une référence en la matière définit les termes suivants :

La sécurité consiste à réduire le risque pour les infrastructures par des moyens physiques ou mesures de cyber-défense à des intrusions, les attaques ou les effets des catastrophes naturelles ou causées par l’homme.

Exemples de mesures de sécurité:

  • Badge aux portes d’entrée
  • Utiliser un logiciel antivirus
  • Clôture autour des bâtiments
  • Verrouillage des écrans d’ordinateur

La résilience est la capacité à préparer et à s’adapter à des conditions changeantes, de résister et de récupérer rapidement suite à des perturbations subies. La résilience comprend la capacité de résister et de se remettre d’attaques délibérées, d’accidents, ou de catastrophes naturelles ou encore d’incidents.

Exemples de mesures de résilience:

  • Élaboration d’un plan de continuité d’activité
  • Prévoir un générateur électrique de secours
  • Utilisation de matériaux de construction durables

Le préfixe Cyber, pour sa part fait référence à toutes les techniques liées à la société du numérique et notamment à l’informatique et à l’internet.

On pourrait donc résumer de la façon suivante :

la cyber-sécurité consiste à réduire les risques d’intrusion, d’attaques ou les effets de catastrophes naturelles ou causées par l’homme dans le cadre de l’utilisation des moyens informatiques et de communication,

alors que

la cyber-résilience est la capacité à se préparer et s’adapter à des conditions en perpétuelle évolution ainsi qu’à récupérer rapidement ses capacités suite à des attaques délibérées, des accidents, des catastrophes naturelles ou encore des incidents dans le cadre de l’utilisation de moyens informatiques et de communication.

 Des différences essentielles

Il résulte de ces deux définitions que le périmètre de cyber-sécurité couvre essentiellement la réduction des risques et la résolution des incidents de sécurité de l’information alors que la cyber-résilience est beaucoup plus large et couvre à la fois la préparation à subir des attaques (prévention) et par dessus tout à pouvoir continuer et reprendre une activité business normale (correction) très rapidement suite à une attaque, une catastrophe naturelle ou des incidents liés à la sécurité de l’information.

La sécurité n’est-elle donc pas suffisante en soi?

La réponse est clairement négative. La sécurité vise à prévenir les incidents de sécurité et à gérer ces incidents mais ne prépare pas l’Organisation à faire face aux conséquences d’une cyber-attaque et à récupérer ses aptitudes à créer de la valeur après en avoir été la victime.

Pouvons-nous utiliser les mêmes référentiels et normes ?

Là encore la réponse est négative, du moins en partie. La cyber-sécurité pouvant être vue comme un sous ensemble de la cyber-résilience, il est clair que les référentiels et normes en matière de sécurité constitueront une première étape mais il convient d’élargir très sensiblement le périmètre pour couvrir les aspects de cyber-résilience.

Quelques exemples des normes et de référentiels :


Sécurité :

  • ISO 27001 – Systèmes de Management de la sécurité de l’information – Exigences
  • ISO 27002 – Code de bonne pratique pour le management de la sécurité de l’information

Cyber-résilience :

  • RESILIA – Bonnes pratiques de Cyber-Résilience
  • ISO 22301 – Systèmes de management de la continuité d’activité – Exigences

Cyber-résilience: un enjeu majeur pour les organisations

La cyber-résilience vise à gérer la sécurité en adoptant une approche globale impliquant à la fois les individus, les processus et la technologie. Elle impose une méthodologie à la fois solide et évolutive de gestion, d’analyse et d’optimisation des risques. Elle se pose comme le meilleur garant du capital informationnel des entreprises, organisations, états et individus. La cyber-résilience s’appuie sur cinq piliers que sont la préparation/ l’identification, la protection, la détection, la résolution des problèmes et la récupération. Dans cette approche, il est donc essentiel de se poser les bonnes questions, d’adopter les bonnes mesures et de les réévaluer à un rythme régulier et de façon pragmatique, afin de gérer au mieux les cyber-risques.

Dès lors que les entreprises ont compris que les cyber-attaques les affecteront tôt ou tard, indépendamment des efforts de prévention qu’elles auront mis en oeuvre et seront couronnées de succès, elles peuvent passer à l’étape suivante: la conception et l’implémentation d’un Programme de Cyber-Résilience (PCR). Un PCR englobe bien sûr les concepts de défense et de prévention, mais va au-delà de ces mesures pour mettre l’accent sur la réponse et la résilience de l’organisation dans les moments de crise.

Un PCR robuste implique:

  • La définition des risques d’entreprise. Oubliez la « liste de contrôle de conformité ». Oubliez les règlementations qui régissent votre secteur d’activité pendant un moment. Il suffit de regarder votre entreprise. Au lieu de vous concentrer sur les entrées, focalisez votre attention sur les résultats. Dans le cas d’une cyber-attaque, quelles conséquences seront supportables par l’Organisation? Qu’est-ce qui vous tuera? Cela vous indiquera ce que vos «joyaux de la couronne » sont … et où vous avez besoin d’investir du temps et des ressources.
  • Le développement d’une politique de sécurité. Comme nous le disions, la cyber–résilience inclut la cyber-sécurité. Mais la sécurité se concentre désormais très directement sur les menaces pesant sur vos actifs clés (y compris les personnes, les processus et la technologie qui sont connectés à, ou ont accès à ces actifs), et sur les contrôles qui peuvent atténuer ces menaces.
  • Délimiter un plan de cyber-relance. Que ferez-vous pour assurer la priorisation, l’agilité et l’adaptabilité face à une cyber-attaque réussie? Votre plan doit être précis, complet et rigoureux. Lorsque l’attaque aura eu lieu, il sera beaucoup trop tard pour y penser.
  • La détermination d’un programme régulier de test. C’est la pratique qui rend parfait … donc mettez régulièrement votre plan de cyber-reprise à l’épreuve pour vous assurer que vous avez bien mis en place et pouvez compter sur la cyber-résilience dont vous avez besoin. Et testez bien vos comportements de sécurité au fur et à mesure que l’environnement évolue. Ils doivent suivre cette évolution.

Les entreprises doivent absolument accepter ce changement de paradigme qui consiste à passer de la cyber-sécurité à la cyber-résilience et d’en tirer des avantages stratégiques. Cela signifie focaliser l’énergie et des ressources sur les cyber-risques qui vraiment pourraient générer un impact sur l’entreprise, et sur les mesures qui fourniront des idées et des avertissements au sujet de ces risques.

L’impact business de la cyber-résilience

Passer d’une vision purement basée sur la cyber-sécurité à une vision de cyber-résilience exige trois changements clés dans l’entreprise:

  • Perspective. Passer du « Comment ? » au « Quoi ? ». Au lieu de se demander: «Avons-nous telle ou telle mesure de sécurité en place? », Les chefs d’entreprise ont besoin d’en savoir davantage sur leurs actifs et la façon dont ils sont protégés.
  • Budget. Trouver le bon équilibre entre le coût et les risques. Traiter tous les actifs et tous les risques à égalité n’est jamais rentable. Les chefs d’entreprise ont besoin de pondérer des budgets informatiques limités pour protéger leurs actifs les plus importants avec la plus grande rigueur.
  • Attentes. Les temps où on demandait des niveaux de 100% en matière de cyber-sécurité sont révolus. Les chefs d’entreprise ont besoin d’être préparés, d’anticiper les failles et les attaques, et d’avoir un plan pour limiter les impacts sur la la réputation, les finances et les opérations de l’Organisation.

Cette évolution permettra d’aligner les dépenses liées à la cyber-résilience avec les priorités des entreprises, de maximiser le retour sur investissement et de réduire les risques ciblés.

Des partenariats sont absolument nécessaires

Les entreprises trouveront difficile de faire la transition vers la cyber-résilience par elles-mêmes. Un consultant indépendant qui peut tirer parti d’une expérience terrain auprès d’autres Organisations et des meilleures pratiques du marché peut être un atout précieux. Un tel partenaire stratégique peut alors agir comme une extension de votre équipe informatique et de sécurité, en s’appuyant sur des processus et des outils avancés pour assurer à la fois la cyber-sécurité et la résilience contre la cybercriminalité.

Avec un partenaire de confiance, vous serez dans une position forte pour créer une stratégie et un plan exécutable qui vous permettront d’améliorer votre sécurité. Mais n’acceptez jamais des solutions toutes faites sorties d’un catalogue et soyez exigeant sur les références et accréditation par des organisations internationales de vos partenaires. Ils doivent vous apporter des conseils fiables et objectifs pour établir une relation de confiance et réduire votre risque.

Catégories

Archives

Calendrier

janvier 2018
L M M J V S D
« Déc    
1234567
891011121314
15161718192021
22232425262728
293031  
%d blogueurs aiment cette page :