Home » Posts tagged 'ISACA'

Tag Archives: ISACA

Abonnez-vous à ce blog par e-mail.

Saisissez votre adresse e-mail pour vous abonner à ce blog et recevoir une notification de chaque nouvel article par email.

Introduction à COBIT 2019

L’ISACA vient de publier les deux premiers volumes de la nouvelle version de son cadre de Gouvernance et de Management de l’information d’Entreprise et des Technologies : COBIT 2019.

COBIT 2019 : le nouveau cadre de gouvernance et de management de l'I & T
© ISACA 2018

Nous vous proposons donc aujourd’hui une introduction à COBIT 2019. Cette introduction se compose de deux parties :

  • une présentation exécutive destinées aux équipes de direction. L’objectif est de mieux comprendre l’intérêt du cadre de gouvernance et de management de l’I & T,
  • les différences essentielles existant avec COBIT 5, la version précédente déjà largement adoptée dans le monde entier.

Concernant l’adoption de COBIT comme cadre de Gouvernance et de Management, mentionnons que la certification COBIT 5 Foundation fait une entrée remarquée dans les certifications qui correspondent aux meilleurs salaires en Europe en prenant cette année la 7ème place.

Présentation de COBIT 2019 et de ses nouveautés

Pour en savoir plus

Pour en savoir plus, nous vous conseillons la lecture de nos deux précédents articles COBIT 2019 – Les nouveautés ainsi que COBIT 2019 – Vos questions, nos réponses.

De plus, 2AB & Associates vous proposera début 2019 deux formations sur COBIT 2019 :

  • Une formation « Bridge » destinée aux certifiés COBIT 5 Foundation. Cette formation se déroulera sur 1 journée. Elle couvrira l’ensemble des différences entre COBIT 5 et COBIT 2019. A l’issue de cette formation, les participants pourront passer l’examen leur permettant d’obtenir la certification COBIT 2019 Foundation.
  • COBIT 2019 Foundation sans prérequis spécifiques. Cette formation d’une durée de 3 jours permet aux participants de comprendre les concepts du cadre de gouvernance et de management de l’I&T d’entreprise. A l’issue de la formation, les stagiaires passeront l’examen de certification COBIT 2019 Foundation.

Enfin, nous proposons également, sur demande, une présentation exécutive destinée aux dirigeants d’entreprises. Cette session est présentée par un de nos experts. Elle permettra donc aux participants d’échanger sur les avantages de la mise en oeuvre de COBIT 2019 dans leur organisation

Enfin, n’hésitez pas à commenter et à poser des questions à nos experts qui vous répondront en ligne. Et si vous aimez nos publications, vous pouvez bien entendu les partager sur les réseaux sociaux ou nous mettre un « like ».

Certifications et compétences qui paient en 2018

Comme chaque année, nous vous proposons un survol des certifications et compétences qui paient le mieux en 2018. Cet article s’appuie sur l’enquête annuelle réalisée par Global Knowledge sur les compétences et les salaires dans le domaine IT.

Les certifications et les compétences les mieux payées en 2018
Crédit © AdobeStock & Gwimages 2018

Notre précédent article sur les 6 certifications qui payaient le mieux en 2017 continue à être l’article plus lu de ce blog. Voici donc la version 2018 avec quelques évolutions notables. On constate un véritable glissement vers de nouvelles certifications et compétences correspondant aux meilleurs salaires. Cependant on peut constater des différences énormes selon les zones géographiques. Elles correspondent totalement à l’économie et aux besoins des entreprises dans chacune des zones. Il reste toutefois clair que les salaires sont dépendants de l’offre de compétences et de la demande régionale.

Vous courrez après les gros salaires? Cet article vous présente les certifications les mieux payées. Cependant il vous indique aussi ce que les employeurs attendent de vous et ce que cela implique. La certification ne suffit pas… C’est, pour un employeur potentiel, une assurance raisonnable quand à vos connaissances dans le cas de certifications courantes et aussi de votre compétence dans le cas des certifications professionnelles. Le recherche trois critères :

  • le savoir (sur la base de vos diplômes académiques et des vos certifications standards),
  • le savoir-faire (sur la base de vos certifications professionnelles et de votre expérience),
  • votre savoir-être sur la base de l’évaluation de votre comportement et de votre attitude (le recruteur ira chercher ces informations sur les réseaux sociaux, auprès de votre entourage professionnel et personnel).

Dans tous les cas, dites-vous que votre futur employeur vérifiera la réalité de ce que vous annoncez dans votre CV. Inutile donc de revendiquer une certification que vous n’avez pas. La vérification auprès de l’organisme émetteur de la certification révèlera immédiatement la supercherie. Cela se retournera contre vous. D’ailleurs, certains organismes de certification n’hésitent pas à porter plainte contre les fraudeurs et réclament des amendes importantes.

Certifications standards vs certifications professionnelles

Lorsqu’on parle de certification, il faut toujours bien faire attention à la signification qu’on donne aux mots. Les certifications standards sont par essence des certifications résultant de la simple réussite à un examen. C’est le cas des certifications ITIL, PRINCE2, VERISM, certaines certifications COBIT, etc. Elles se dénomment souvent Foundation, Practitioner, Intermediate ou encore Advanced. Aucune expérience dans le domaine n’est réclamée et la certification est valide sans limitation de durée.

Dans le cas des certifications professionnelles, à l’inverse, la réussite à l’examen n’est qu’une première étape. Ensuite il est nécessaire de prouver une expérience minimum de 3 à 5 ans dans le domaine concerné. L’organisme de certification effectue donc une vérification auprès des précédents employeurs de du candidat sur la valeur et la durée de son expérience ainsi que sur son attitude et son comportement. Ce n’est que lorsque cette vérification est positive que la certification est délivrée.

En général les certifications professionnelles ont une durée limitée, souvent de 3 ans. Chaque année ou chaque 3 ans, l’organisme exige la preuve que le certifié a bien suivi un nombre minimum d’heures de formation (CPD/CPE/CPU). Le certifié doit également acquitter de nouveau un montant significatif pour le renouvellement de sa certification. L’organisme de certification effectue alors, de façon aléatoire, des contrôles sur l’expérience acquise pendant les 3 ans ainsi que sur le comportement du certifié pendant cette période. A cette occasion la certification peut lui être retirée.

Parmi les certifications professionnelles, on peut citer CISA, CISM, CGEIT, CRISC, PMP, CIA, ISO 27001 Lead Implementer ou ISO 27001 Lead Auditor. Il est bien évident que les certifications professionnelles, plus « sérieuses », sont les plus recherchées par les employeurs. Ce sont donc aussi, logiquement, celles qui correspondent aux meilleurs salaires.

Les compétences les plus recherchées

Les compétences les plus recherchées sont bien naturellement celles qui paient le plus. C’est tout simplement la loi de l’offre et de la demande. Voyons ensemble les 5 domaines de compétences qui suscitent le plus de demandes en 2018. Précisons bien qu’il s’agit là de recherche de professionnels certifiés et pouvant démontrer plusieurs années d’expérience dans le domaine. Donc ce sont des domaines dans lesquels les employeurs recherchent en priorité des détenteurs de certifications professionnelles.

Notons toutefois que parmi ces 5 compétences les plus recherchées, deux certifications sont de niveau Foundation (COBIT 5 Foundation et Six Sigma Green Belt).

La cybersécurité

Comme lors des trois dernières années, les certifications en sécurité tiennent les premières places en matière de rémunération. Lorsque nous élargissons la liste aux 20 premiers, six certifications sont relatives à la sécurité an niveau mondial, y compris les deux premières places: CISSP de (ISC) 2 et CRISC de l’ISACA. Le CISM d’ISACA se classe au sixième rang mondial et au huitième rang en EMEA.

Le CISSP enregistre le salaire global moyen le plus élevé avec 70.177 € en EMEA (100.146 $ aux USA, ce qui représente une différence de plus de 27% entre les deux zones géographiques). Les professionnels de l’informatique possédant des certifications en sécurité ont tendance à avoir des salaires moyens globaux supérieurs de 15% (aux USA) à 63% (dans la région Asie-Pacifique) à la moyenne des autres certifiés.

Pour en savoir plus sur les certifications CISSP et CISM, nous vous invitons à lire notre article CISM vs CISSP : quelle certification choisir?

Le Cloud

Les certifications liées au Cloud, y compris AWS Certified Solutions Architect – Associate, ont des salaires moyens nettement supérieurs à la norme. En Amérique du Nord, le le salaire moyen du personnel informatique certifié AWS est 10% plus élevé que celui des personnels possédant une autre certification dans le Cloud et 29% supérieur au salaire moyen des professionnels IT certifiés dans un autre domaine. Toutefois, l’augmentation du salaire des professionnels certifiés en Cloud computing n’est pas limitée à ceux possédant les certifications AWS.

L’accent mis sur le nuage s’est également étendu à d’autres domaines fonctionnels. Les help-desks et les équipes de support technique recherchent activement des professionnels possédant des certifications dans le cloud computing et les réseaux.

La gestion de projet

Les gestionnaires de projets certifiés en Amérique du Nord ont également des salaires moyens au dessus de la norme. C’est particulièrement vrai pour ceux qui possèdent une certification PMP (103 406 $) par rapport à la moyenne des autres professionnels certifiés en gestion de projet, par exemple PRINCE2  (97 745 $). La tendance est beaucoup moins nette sur la région EMEA. Pour en savoir plus sur ces deux certifications, nous vous invitons à relire notre article PRINCE2 vs PMP : Quelle méthode de gestion de projet choisir?

On voit également émerger cette année une demande croissante pour les chefs de projets certifiés sur une méthode agile. Dans ce contexte c’est la certification Certified ScrumMaster (CSM) avec un salaire moyen de 98 562 $ qui tient la tête.

La gouvernance et le management

L’ISACA est une association indépendante axée sur l’adoption et l’utilisation des meilleures pratiques de gouvernance et de management de l’information et des technologies dans les organisations. L’ISACA possède six certifications dans le top 20 mondial, y compris CGEIT, CISA, CRISC et CISM . Une nette tendance se dégage également avec une demande de plus en plus forte de professionnels certifiés sur COBIT 5. Cela se traduit par un salaire moyen des professionnels certifiés COBIT 5 Foundation qui atteint maintenant 65.000 € dans la région EMEA.

Si vous vous posez des questions sur le CISA, nous vous conseillons trois articles précédemment publiés sur notre blog :

Compétences Six Sigma

La certification Six Sigma Green Belt est parrainée par l’association indépendante IASSC. C’est une certification de base sur un ensemble de techniques et d’outils d’amélioration des processus. Une tendance nette se dégage également en faveur des professionnels possédant une certification Six Sigma Green Belt qui obtiennent un salaire moyen de 99.865 $ en Amérique du Nord et de 69.000 Euros en EMEA soit une différence de 21%, la plus faible du top 20 des certifications.

Le top vingt des salaires par certification en Europe

Les résultats du classement 2018 sont extrêmement intéressants car ils montrent un changement important par rapport à 2017. La grande nouveauté est l’arrivée en force des certifications AWS (Amazon) dans les premières places du classement. A l’inverse les certifications qui monopolisaient les premières places ce dernières années subissent un fort recul (CISA, PMP). On voit également apparaître en 7ème position une certification qui fait sont entrée dans les 10 premières : COBIT 5 Foundation. Il est également à noter que cette année les certifications CISCO disparaissent complètement du classement.

Classement 2018 des 20 certifications et certifications professionnelles correspondant au meilleurs salaires en euros
Classement établi sur les salaires en région EMEA (Europe, Moyen Orient & Afrique). L’ordre est différent en Amérique du Nord.

L’autre enseignement de ce classement est la différence très importante des salaires entre la région EMEA et l’Amérique du Nord. Les salaires en EMEA sont tirés nettement vers le bas par la zone Afrique ainsi que le montre la carte suivante.

Salaires des professions IT par région du monde
Moyenne des salaires IT par région du monde – Crédit © Global Knowledge 2018

Conclusion

Ces éléments peuvent vous aider à choisir parmi les certifications disponibles celles qui vous conviennent le mieux. Bien sûr le salaire est un critère mais n’oubliez pas que la certification ne garantit pas le niveau de salaire. C’est votre compétences et votre adéquation au marché qui feront la différence.

N’hésitez pas à commenter cet article en y apportant vos témoignages sur votre expérience personnelle. Posez-nous également des questions. Nos experts se feront un plaisir de vous répondre. Si cet article vous a paru intéressant, n’hésitez pas à le partager sur les réseaux sociaux et à nous mettre un « like » si vous le souhaitez.

COBIT 2019 – Vos questions, nos réponses

Depuis la publication de notre article présentant, en avant-première, les nouveautés de COBIT 2019, vous nous avez posé de nombreuses questions. Nous vous apportons quelques réponses. Pour l’heure, nous ne pouvons pas encore tout vous dire. Soyez patients. Nous vous donnerons notre avis détaillé sur cette nouvelle version du cadre de référence en Gouvernance de l’Information dès que les deux premières publications seront disponibles sur le site de l’ISACA.

Cadre de gouvernance COBIT 2019 - Questions réponses
Crédit © rawpixel 2018

L’accélération de la transformation numérique a rendu l’information et la technologie (I&T) cruciales pour le soutien, la croissance et la durabilité des entreprises. Les conseils d’administration et les cadres dirigeants ont pu jadis déléguer, ignorer ou éviter les décisions liées à l’I&T. Cependant ils savent maintenant que cette approche est mal avisée. Ce ne sont pas uniquement les entreprises digitales qui dépendent de l’I&T pour leur survie et leur croissance. La création de valeur par les parties prenantes (c’est-à-dire la réalisation des bénéfices à un coût optimal en ressources tout en optimisant les risques) est également souvent obtenue par la digitalisation de nouveaux modèles d’affaires, grâce à des processus efficaces et à des innovations réussies.

L’I&T est maintenant totalement intégrée à la gestion des risques d’entreprise et de la création de valeur. Un accent particulier a donc été mis sur la gouvernance de l’information d’entreprise et de la technologie (GEIT) au cours des deux dernières décennies. COBIT a reflété cet accent mis sur la GEIT dans ses dernières mises à jour, aboutissant à COBIT 5. Toutefois, une nouvelle édition, dont la sortie est prévue en novembre 2018, étendra et facilitera encore cette tendance.

La nouvelle édition s’appelle COBIT 2019. Les mises à jour de COBIT ne seront dorénavant plus identifiées par des numéros de version. Au lieu de cela, elles porteront  la date de la dernière mise à jour. Cela correspond à un environnement I&T dynamique qui génère des changements à un rythme si rapide qu’il est difficile de les suivre. COBIT 2019 prend en compte ces problèmes et les résout en faisant de COBIT un cadre de gouvernance I&T dynamique pouvant être mis à jour plus rapidement, en appliquant les commentaires des utilisateurs pour qu’ils restent pertinents pour la communauté internationale des professionnels de la gouvernance.

Vos questions, nos réponses

Qu’est-ce que COBIT?

Le processus de mise à jour de COBIT a impliqué des efforts considérables pour mettre en perspective ce qu’il est et ce qu’il n’est pas. Cet article décrit chaque côté de l’équation, en commençant par ce qu’il est.

COBIT 2019 peut être décrit comme un cadre pour la gouvernance et la gestion de l’I&T des entreprises, destiné à l’ensemble de l’organisation. L’I&T d’entreprise fait référence à tous les traitements I&T mis en place par l’entreprise pour atteindre ses objectifs, quel que soit le lieu où cela se produit dans l’organisation. En d’autres termes, l’I&T d’entreprise ne se limite pas au service informatique d’une organisation, mais il est certain qu’elle l’inclut. Elle inclut aussi sans aucun doute d’autres départements tout aussi importants comme les ressources humaines.

COBIT 2019 définit les composants permettant de construire et de maintenir un système de gouvernance : politiques, processus et procédures, structures organisationnelles, flux d’informations, compétences, infrastructure, culture et comportements. Celles-ci étaient appelées «facilitateurs» (« enablers » en anglais) dans COBIT 5. Il définit également les facteurs de conception que l’organisation doit prendre en compte pour créer un système de gouvernance parfaitement adapté.

Il aborde les problèmes de gouvernance en regroupant les composants de gouvernance pertinents dans des domaines prioritaires pouvant être gérés aux niveaux de maturité requis.

Qu’est-ce que COBIT n’est pas?

Après avoir décrit ce qu’est COBIT 2019, il est important de définir ce qu’il n’est pas. Cela implique de tordre définitivement le cou à certaines idées fausses au sujet de COBIT, telles que :

  • COBIT 2019 ne décrit pas complètement l’environnement I&T d’une organisation.
  • Ce n’est pas un cadre pour organiser les processus métier.
  • Ce n’est pas un cadre technique (informatique) pour gérer toutes les technologies.
  • Il ne prend ni ne prescrit aucune décision liée à l’informatique. Par exemple, il ne répond pas aux questions telles que: quelle est la meilleure stratégie informatique? Quelle est la meilleure architecture? Combien devrait coûter l’informatique? Au lieu de cela, il définit tous les composants qui décrivent quelles décisions doivent être prises, comment et par qui elles doivent être prises.

Pourquoi le logo a-t-il changé?

COBIT 5 a été publié en 2012, ce qui fait presque 7 ans. Depuis cette époque, d’autres cadres et les normes ont évolué, créant un paysage différent. L’émergence de nouvelles technologies et les tendances business en matière d’utilisation des technologies de l’information (transformation numérique, DevOps, par exemple) n’étaient pas intégrées dans COBIT 5. Un réalignement était donc nécessaire.

Pour rester pertinent, il est impératif que COBIT continue d’évoluer, ce qui nécessitera des mises à jour plus fréquentes et plus fluides. Dans le nouveau logo, la flèche rouge symbolise cette notion d’évolution continue. De plus, pour assurer un contrôle efficace des versions, toutes les mises à jour futures comporteront l’année correspondant à la publication la plus récente.

Quelles sont les publications de COBIT 2019 et quand seront-elles disponibles?

La famille de produits COBIT 2019 est n’est pas limitée aux produits qui seront prochainement publiés. Le développement de nouvelles orientations, formations et ressources pour soutenir la famille de produits COBIT 2019 sera continuellement évaluée en fonction de la demande du marché. Ce développement sera géré en cohérence avec les autres produits de l’ISACA.

Disponibles le 12 novembre 2018

  • Cadre COBIT 2019: Introduction et méthodologie – Introduction aux concepts clés de COBIT 2019.
  • Cadre COBIT 2019: Objectifs de gouvernance et de gestion. Cette publication décrit de manière exhaustive les 40 objectifs fondamentaux en matière de gouvernance et de gestion, les processus qu’ils contiennent, et d’autres composants connexes. Ce guide fait également référence à d’autres normes et référentiels du marché.

Disponibles le 10 décembre 2018

  • Guide de conception COBIT 2019: Conception d’une solution de gouvernance de l’information et de la technologie. Ce guide explore les facteurs de conception pouvant influencer la gouvernance. Il inclut un flux d’activités afin de planifier un système de gouvernance sur mesure pour l’entreprise.
  • Guide d’implémentation COBIT 2019: Implémentation et optimisation d’une solution de gouvernance de l’information et de la technologie. Ce titre représente une évolution du Guide de mise en œuvre de COBIT 5.  Il propose l’élaboration d’une feuille de route pour l’amélioration continue de la gouvernance. Il peut être utilisé en combinaison avec le Guide de conception COBIT 2019.

Les publications COBIT 2019 seront-elles gratuites pour les membres ISACA?

Dans le cadre de l’engagement de l’ISACA d’apporter une valeur optimale à ses membres, le téléchargement au format PDF des quatre publications principales de COBIT 2019 suivantes seront gratuites pour les membres :

  • Cadre COBIT 2019 : Introduction et méthodologie
  • Cadre COBIT 2019 : Objectifs de gouvernance et de gestion
  • Guide de conception COBIT 2019 : Conception d’une solution de gouvernance de l’information et de la technologie
  • Guide d’implémentation COBIT 2019: Implémentation et optimisation d’une Solution de gouvernance de l’information et de la technologie

De plus, les membres de l’ISACA recevront des réductions exclusives sur l’achat de publications imprimées. Pour en savoir plus, consultez le site de ‘ISACA : http://www.isaca.org/COBIT.

COBIT 2019 est-il aligné avec les autres normes et cadres internationaux?

L’un des principes directeurs appliqués tout au long du développement était de maintenir son positionnement de COBIT 2019 en tant que cadre général de gouvernance. Ainsi, il continue de s’aligner sur un certain nombre de normes, cadres et / ou réglementations pertinents. COBIT 2019 comprend des références et s’aligne sur des concepts provenant d’autres sources. Par exemple COBIT 2019 est aligné, entre autres, sur ITIL, ISO 27001, ISO 20000, DEVOPS, PRINCE2, PMBOK, TOGAF, COSO, SFIA, etc..

Dans ce contexte, l’alignement signifie que :

  • COBIT 2019 ne contredit aucune indication des référentiels et normes correspondants,
  • Le cadre COBIT 2019 ne copie pas le contenu de ces référentiels et normes associés,
  • COBIT 2019 fournit des conseils ou références équivalents aux normes et référentiels correspondants.

Une liste complète des normes et guides pratiques utilisés dans le cadre du développement de COBIT 2019 est fournie dans la présentation PPT intitulée  COBIT® 2019 Overview. Celle-ci, en anglais, est disponible dans la boîte à outils COBIT 2019 sur le site de l’ISACA. Cette liste figure également dans la publication Cadre COBIT 2019 : Introduction et méthodologie.

Y aura-t-il un cursus de formation de certification COBIT 2019?

Un nouveau parcours de formation et de certification sera proposé dès le début 2019. COBIT 2019 est un cadre en évolution continue. En conséquence, l’ISACA continuera en permanence à évaluer le marché et à proposer de nouveaux modules de formation. Les premier modules seront disponibles selon le calendrier suivant :

Janvier 2019 : Atelier de transition COBIT 5 vers COBIT 2019 (1 journée)

Ce cours de transition d’une journée présente les concepts, les modèles et les définitions clés du nouveau cadre en mettant l’accent principalement sur les différences majeures entre COBIT 2019 et COBIT 5.

Janvier 2019 : Formation et certification COBIT 2019 Foundation (3 jours)

Développée pour préparer les participants à l’examen de certification COBIT 2019 Foundation, cette formation plongera dans le contexte, les composants, les avantages et les principales raisons pour lesquelles utiliser COBIT en tant cadre de gouvernance de l’information et des technologies en entreprise.

Avril 2019 : Formation et certification COBIT 2019 Conception et mise en oeuvre (3 jours)

Cette formation de 3 jours prépare les participants à l’examen de certification COBIT 2019 Design and Implementation. Les participants apprendront comment concevoir un système de gouvernance parfaitement adapté au contexte de leur entreprise en s’appuyant sur le cadre de gouvernance de l’ISACA.

Où puis-je me former et passer les certifications?

La formation ainsi que les examens de certification seront disponibles à partir de janvier 2019. Vous pourrez y accéder via les canaux suivants:

  • Centres de formation accrédités par ISACA (via APMG ou Peoplecert);
  • Chapitres ISACA;
  • Conférences ISACA et ateliers pré-conférence;
  • Programme de formation sur site d’ISACA.

Pour ce qui nous concerne, 2AB & Associates sera accrédité par l’ISACA dès le lancement des modules de formation. Nous avons d’ores et déjà commencé le développement des trois modules initiaux prévus par ISACA. Les premières sessions COBIT 2019 Bridge et COBIT 2019 Foundation sont déjà à notre calendrier dès janvier 2019. Nous proposons également pour les personnes déjà certifiées COBIT 5 Foundation un atelier d’une journée leur permettant de faire la transition de leur certification actuelle vers la nouvelle version.

Nous organisons également, à la demande, des présentations d’une demi-journée destinées aux dirigeants des entreprises. N’hésitez pas à consulter le site www.2abassociates.fr ou www.2abassociates.ca pour en savoir plus.

Les programmes de formation COBIT 2019 remplaceront-il les formations COBIT 5?

ISACA continuera à soutenir l’accréditation et la délivrance de la formation et du cursus de certification COBIT 5. Ainsi, la formation COBIT 5 continuera à cohabiter avec la formation COBIT 2019. Il ne serait donc par judicieux de remettre votre formation COBIT à plus tard en attendant le nouveau cursus de formation/certification. Tout au contraire, nous vous invitons à profiter de notre offre promotionnelle sous forme de package Formation et certification COBIT 5 Foundation + atelier de transition vers COBIT 2019.

Les publications COBIT 5 resteront-elles disponibles en 2019?

L’ISACA continuera de soutenir les nombreuses organisations gouvernementales et  non gouvernementales qui, depuis 2012, ont mis en oeuvre COBIT 5. Tous les guides COBIT 5 (et produits dérivés) vont donc rester disponibles pour téléchargement ou achat en ligne. De plus, tous les produits, ressources et programmes de formation COBIT 5 resteront disponibles (parallèlement à COBIT 2019).

Quelles sont les différences entre COBIT 2019 et COBIT 5?

COBIT 2019 offre une plus grande flexibilité et une plus grande ouverture pour améliorer la pertinence dans le temps de COBIT.

  • L’introduction de nouveaux concepts tels que les domaines de focalisation et les facteurs de conception permet de proposer des bonnes pratiques pour adapter un système de gouvernance aux besoins de l’entreprise.
  • La mise à jour de l’alignement sur les normes, les cadres et les meilleures pratiques améliore la pertinence de COBIT.
  • Un modèle de type «open source» permettra à la communauté mondiale de la gouvernance de contribuer aux futures mises à jour  en apportant des commentaires, en partageant des applications et en proposant des améliorations au
    cadre et aux produits dérivés en temps réel. De la sorte, de nouvelles évolutions de COBIT pourront être publiées sur une base cyclique.
  • De nouvelles orientations et de nouveaux outils soutiennent l’élaboration d’un système de gouvernance optimal. Cela rend donc COBIT 2019 plus prescriptif.

COBIT 2019 : les nouveautés

A quelques jours seulement du lancement de COBIT 2019, prévu pour le 12 novembre 2018, nous vous livrons, en avant-première, quelques informations sur cette nouvelle version du référentiel de gouvernance de l’ISACA. Bien sûr nous reviendrons plus longuement sur les aspects majeurs de COBIT 2019 dans de prochains articles.

COBIT 2019 - Les nouveautés attendues
Crédit © ISACA 2019

COBIT, reconnu internationalement comme la référence en matière de bonnes pratiques de gouvernance efficace et stratégique de l’information d’entreprise et des technologies associées (GEIT),vient d’être mis à jour avec de nouvelles publications et guides pratiques facilitant une mise en œuvre sur mesure simplifiée.

Les nouveautés attendues de COBIT 2019

Une gouvernance efficace de l’information et de la technologie est essentielle pour succès commercial de toute organisation. Cette nouvelle version cimente encore davantage le rôle continu de COBIT en tant que moteur important de l’innovation et de la transformation des entreprises.

COBIT 2019 est une évolution de la version précédente du cadre de gouvernance de l’ISACA. Construire sur les bases de COBIT 5, elle intègre les derniers développements affectant l’information d’entreprise et la technologie. Mais ce n’est pas tout.

En plus de la mise à jour du référentiel, COBIT offre maintenant davantage de ressources de mise en œuvre, des conseils pratiques plus avancés, ainsi qu’un cursus de formation complet. COBIT 2019 aide entreprises à mieux gouverner et gérer l’information et la technologie là où elle se trouve.

Une opportunité de positionnement des entreprises

COBIT 2019 offre une opportunité de mieux positionner toute entreprise en favorisant sa réussite future :

  • Nouveaux processus, tous essentiels à une entreprise, offrant une couverture étendue des données, des projets et de la conformité; mises à jour de domaines tels que cybersécurité et la protection de la vie privée; liens actualisés avec les normes, directives, réglementations et meilleures pratiques. COBIT reste le cadre de référence pour toutes les activités de gouvernance de votre entreprise.
  • Un modèle «open source» est en cours d’adaptation à partir de COBIT 2019. Il permettra à la communauté internationale de la gouvernance de proposer en temps réel des commentaires et des améliorations. Ceux-ci se combineront aux autres évolutions de COBIT. Celles-ci seront publiées sur une base continue et incorporées dans le cadre de base et dans les produits dérivés. Ainsi, vos connaissances permettront la mise à jour du référentiel, lui permettant d’évoluer avec le temps. Il ne sera donc plus nécessaire de redéfinir, ré-implémenter ou redémarrer vos efforts de gouvernance à un certain moment en vous appuyant sur un modèle ou un cadre différent.
  • La mise en œuvre de COBIT 2019 est désormais plus flexible. Elle propose de nouvelles utilisations du référentiel à la fois ciblées sur la base de projets pour des situations spécifiques de résolution de problèmes ou globales pour l’adoption à l’échelle de l’entreprise dans le cadre de la transformation numérique des organisations. COBIT permet de personnaliser une solution de gouvernance adaptée aux besoins spécifiques de chaque entreprise.
  • Le nouveau cursus de formation de COBIT 2019 vous garantit un retour sur investissement maximal de votre programme de gouvernance. Il complète ainsi les formations précédentes sur COBIT 5. Il étend désormais vos activités de gouvernance à la stratégie et aux efforts d’innovation clés pour la transformation de l’entreprise. En raison de la nature évolutive de COBIT 2019, votre formation ne deviendra jamais obsolète. Par conséquent, la formation COBIT 2019 devient un investissement qui pérennise sa valeur, tout en ouvrant des voies à l’innovation. Il n’a jamais été aussi nécessaire de suivre une formation COBITL’information et la technologie constituent les « joyaux de la couronne » de toute organisation cherchant à accroître et stimuler la croissance, à créer des avantages concurrentiels et se renforcer face aux menaces et aux risques.

Les publications constituant le noyau de COBIT 2019

Le cadre de gouvernance COBIT 2019 va bien au-delà des technologies de l’information et fonctions du service informatique. La bonne gouvernance est un élément vital pour la formulation de la stratégie et succès de la transformation de l’entreprise. COBIT 2019 peut vous aider à tracer la voie du succès pour votre entreprise ainsi que pour votre carrière et votre apprentissage.

Le noyau de COBIT 2019 incluant le cadre de référence ainsi que des guides pratiques est constitué des quatre publications.

Référentiel COBIT 2019 : Introduction et méthodologie

COBIT 2019 Introduction et méthodologieLe coeur du référentiel COBIT 2019 intègre une définition élargie de la gouvernance. Il met à jour les principes COBIT tout en établissant la structure du cadre général. Les nouveaux concepts sont introduits et la terminologie est expliquée. Le modèle central COBIT et ses 40 objectifs de gestion fournissent le socle permettant d’établir votre programme de gouvernance. Le système de gestion de la performance est mis à jour. Plus flexible, il permet désormais d’utiliser à la fois des mesures de maturité et des mesures d’aptitude.  L’introduction aux facteurs de conception et aux domaines d’intervention propose des conseils pratiques supplémentaires en vue d’une adoption flexible de COBIT 2019, que ce soit pour des projets spécifiques ou pour une mise en œuvre complète. Publication annoncée pour le 12 novembre 2018.

Référentiel COBIT 2019 : Objectifs de gouvernance et de gestion

COBIT 2019 - Objectifs de gouvernance et de gestionCette publication contient la description détaillée du modèle central COBIT. Elle décrit ses 40 mesures de gouvernance et de gestion. Chaque mesure de gouvernance ou de gestion ainsi que son objet sont définis puis mis en correspondance avec les processus, les objectifs d’alignement et les objectifs d’entreprise. De fait on y retrouve les éléments essentiels de la cascade d’objectifs.

Les informations présentées ici peuvent être utilisée de la façon similaire à celles du guide COBIT 5 – Enabling processes. Publication annoncée pour le 12 novembre 2018.

 

Guide de conception COBIT 2019

COBIT 2019 - Guide de conceptionUne question m’est régulièrement posée à l’issue des formations COBIT 5 que j’anime : comment mettre COBIT en pratique? C’est la question à laquelle réponds cette nouvelle publication. Elle propose ainsi une approche prescriptive pour l’utilisateur. Vous y trouverez des conseils pratiques sur comment adapter un système de gouvernance à des circonstances et à un contexte uniques de l’entreprise. Elle définit et énumère les divers facteurs de conception et leur lien avec les nouveaux concepts COBIT 2019.  L’impact potentiel chaque facteur de conception sur la mise en œuvre d’un système de gouvernance est analysé et des recommandations de workflows pour créer le design adapté à votre organisatione sont proposées. Publication annoncée pour le 10 décembre 2018.

Guide de mise en oeuvre de COBIT 2019

COBIT 2019 - Guide de mise en oeuvreCe guide est la mise à jour de l’ancien guide d’implémentation COBIT 5. Il adopte donc une approche similaire pour la mise en œuvre. Cependant, la nouvelle terminologie et concepts de COBIT 2019, y compris les facteurs de conception, sont intégrés à ce guide. Grâce à ce guide, la mise en oeuvre de COBIT apparaît sous un angle pratique. Elle est plus adaptable aux exigences spécifiques de gouvernance de chaque organisation. Publication annoncée pour le 10 décembre 2018.

Cybersécurité : rôle et responsabilités du Conseil d’Administration

Les cyber-menaces sont complexes et en constante évolution. Elles peuvent aussi causer d’importants dommages financiers et de réputation à une Organisation. De plus, il n’y a aucun moyen d’être protégé à 100%. C’est pourquoi la cybersécurité ne relève plus uniquement des services informatiques. Les Conseils d’Administration sont les premiers responsables de la survie de leur organisation et, dans le monde interconnecté d’aujourd’hui, la cyber-résilience fait partie intégrante de cette responsabilité. Cela signifie que le Conseil d’Administration à un rôle actif à jouer et doit assurer ses responsabilités en matière de cybersécurité.

Cybersécurité : rôle et responsabilités du Conseil d'Administration
Crédit © image by rawpixel.com

En charge de la Gouvernance de leur Organisation, les Conseils d’Administration s’assurent de l’optimisation des risques et des ressources. Dans un monde en pleine transformation digitale, ils devraient donc considérer le cyber-risque comme prioritaire. Ceci implique qu’ils devraient jouer un rôle de leader en matière de cybersécurité au sein de leur Entreprise. Dans ce cadre, voici donc quelques responsabilités en matière de sécurité informatique qui leur incombent directement.

Principes de base en matière de cyber sécurité

COBIT, référentiel de bonnes pratiques en gouvernance des Entreprises, définit un certain nombre de principes de base pour gouverner une Organisation. Le Manuel de l’Administrateur sur la surveillance des risques lés au cyber espace, publié aux USA par L’Association Nationale des Administrateurs de Sociétés (NACD) définit également le rôle et les responsabilités du C.A. en matière de cybersécurité. Cinq principes se dégagent. Ces principes de base sont universels. Ils s’appliquent à toute Organisation, publique, privée ou même à but non lucratif, quelles que soient sa taille, son domaine d’activité ou sa localisation. Ils devraient donc être pris en considération par  tous les C.A. afin d’améliorer leur surveillance des cyber-risques.

1 – La cybersécurité est une problématique d’Entreprise et non une problèmatique technologique

Les administrateurs doivent comprendre et aborder les questions de la cybersécurité en tant que sujet de gestion des risques à l’échelle de l’entreprise, et pas uniquement en tant que sujet informatique.

Il est toujours aussi surprenant de constater combien d’entreprises associent encore la sécurité des informations ou la cybersécurité à l’informatique. Certes, la plupart des signalements d’incidents de sécurité proviennent de l’informatique, Mais on ne peut pas s’y limiter car les impacts se font sentir à l’échelle de toute l’organisation. Les compétences requises pour gérer les risques et traiter les problèmes doivent donc se situent au niveau global de l’organisation. Le Conseil d’Administration doit comprendre que tout miser sur la technologie est une grave erreur.  C’est d’ailleurs la cause sous-jacente d’un grand nombre de violations majeures.

2 – Comprendre les implications juridiques et réglementaires des cyber-risques

Les administrateurs doivent comprendre les implications légales et réglementaires des cyber-risques dans la mesure où ceux-ci se rapportent au caractère spécifique de leur Organisation.

Avec la fonction vient la responsabilité. La direction et le conseil d’administration sont considérés comme responsables ultimes des cyber-risques. Ces derniers mois, de nombreux piratages importants se sont produits et, dans de nombreux cas, ils ont perdu leur poste. Gregg Steinhafel, Président du Conseil d’Administration et Directeur Général de Target, a été contraint de démissionner de toutes ses fonctions à la suite de la violation massive des données de l’Entreprise en 2013. Et plus récemment, le Directeur Général d’Equifax, Richard Smith, a du démissionner à la suite de l’important piratage informatique qui a compromis les données d’environ 143 millions d’Américains.

3 –  S’appuyer sur l’expertise adéquate et mettre la cybersécurité à l’orde du jour

Les conseils d’administration devraient avoir un accès adéquat à l’expertise en matière de cyber-risques et de cybersécurité. D’autre part, les discussions sur la gestion des risques informatiques devraient faire l’objet d’une point régulier à l’ordre du jour des réunions du conseil. Il est également très important de pouvoir accorder un temps suffisant aux discussions sur ce sujet important. Il est de plus en plus courant de voir des membres du conseil d’administration qui ont un bagage technologique ou en sécurité. Cette expertise peut vraiment aider à sensibiliser les autres administrateurs. C’est la prise de conscience qui permet de gagner la bataille contre les cybercriminels.

4 – Mettre en oeuvre un cadre de sécurité pour l’Entreprise doté de ressources suffisantes

C’est la responsabilité du Conseil d’Administration de s’assurer de la mise en place d’un cadre de gestion des risques au niveau de l’Entreprise. La Direction doit être en charge de sa mise en oeuvre, de sa surveillance et de son suivi. Il est essentiel que le Conseil d’Administration lui donne les ressources nécessaires pour atteindre cet objectif. Ces ressources devront comprendre le personnel adéquat, les budget et les outils et technologies indispensables.

Pour la définition du cadre de risques, il est toujours plus facile d’appuyer sur des référentiels existants et éprouvés. Ainsi aux USA, il sera pertinent de s’appuyer du le référentiel NIST CSF. Ce cadre a été élaboré par le  National Institute of Standards and Technology . Il a pour but de permettre aux organisations – indépendamment de la taille, du degré de cyber-risque ou de la sophistication de la cybersécurité – d’appliquer les principes et les meilleures pratiques de gestion des risques à l’amélioration de la sécurité et de la résilience des infrastructures critiques. En Europe, NIST CSF est quasi inconnu. On pourra utiliser comme base de travail les normes ISO 27001 (Systèmes de management de la sécurité de l’information) et ISO 27005 (Gestion des risques liés à la sécurité de l’information).

Il existe de nombreuses autres sources également très intéressante pour l’élaboration de votre cadre de risque. Parmi celles-ci, vous  pouvez également  vous appuyer sur la publication COBIT for risk de l’ISACA.

Une chose est sûre : il est inutile de réinventer la roue!!!

5 – Identifier les risques, prioriser, définir l’approche et planifier

La discussion du conseil d’administration sur les cyber-risques devrait inclure l’identification des risques à éviter, à accepter, à atténuer ou à transférer par le biais de l’assurance, ainsi que des plans spécifiques associés à chaque approche.

Une gestion efficace du risque de cybersécurité nécessite une compréhension de l’importance relative des actifs de l’entreprise afin de déterminer la fréquence à laquelle ils devront être examinés pour détecter les expositions au risque. Ce n’est pas une tâche simple. Il faut beaucoup de réflexion et d’efforts, ainsi qu’une grande expertise en cybersécurité.

Exigences légales et réglementaires

Les industries les plus matures ont également des directives et des exigences réglementaires sectorielles en ce qui concerne les responsabilités en matière de cybersécurité du conseil d’administration. C’est par exemple  cas du secteur financier et bancaire. Certaines exigences réglementaires et légales sont aussi à l’étude au niveau des états. Parmi ces réglementations présentant des exigences en matière de sécurité des informations, on peut citer le RGPD.

Le RGPD (ou GDPR en Anglais) est la réglementation européenne sur la protection des données personnelles. Elle s’impose à toute Organisation publique ou privée traitant les données personnelles de citoyens européens. Le RGPD comporte plusieurs exigences précises en matière de cybersécurité des données personnelles. Le non respect de cette réglementation expose l’Organisation contrevenante, quelle que soit sa localisation dans le monde à une amende pouvant atteindre 4% de son chiffre d’affaire mondial avec un minimum de 20 millions d’Euros. La conformité réglementaire et légale est une responsabilité de la Gouvernance. Il s’agit donc d’une responsabilité du Conseil d’Administration. Déjà plusieurs Entreprises ont été sanctionnées en France par la CNIL pour non conformité au RGPD. Et, à chaque fois, il s’agissait de problématiques liées à la sécurisation de données dans leur système informatique.

Responsabilités du Conseil d’Administration

Le Conseil d’Administration assure la responsabilité de Gouvernance de l’Organisation. Gouverner une organisation consiste à s’assurer de la création de bénéfices pour les parties prenantes en optimisant les risques et les ressources. Ceci peut être représenté par le diagramme suivant extrait de COBIT.

Responsabilités de la Gouvernance et du Management - COBIT
Crédit © 2012 ISACA

Le Conseil d’Administration a pour responsabilité d’évaluer les bénéfices attendus, les risques et les ressources nécessaires (Evaluate). Il devra, suite  à cette évaluation, donner l’orientation à suivre (Direct). Il a également la responsabilité de surveiller la performance et les progrès réalisés (Monitor).

Evaluer les besoins, les risques et les ressources

Une évaluation de la posture de la cybersécurité est une première étape utile pour toute organisation qui souhaite identifier sa position actuelle en matière de cybersécurité, ses faiblesses, les risques encourus et ce qu’elle doit entreprendre pour augmenter son niveau de maturité. C’est là une étape importante pour permettre à toute organisation de renforcer ses défenses en matière de cybersécurité. Le Conseil d’Administration pourra dès lors prioriser les risques et fournir une feuille de route concrète à la Direction.

En quoi consiste votre posture de cybersécurité?

Selon le National Institute of Standards and Technology (SP 800-128 de NIST), une posture de cybersécurité se rapporte à «l’état de sécurité des réseaux, informations et systèmes d’une entreprise basé sur des ressources de sécurité de l’information (personnes, matériel, logiciels, stratégies). ) et des capacités en place pour gérer la défense de l’entreprise et réagir à mesure que la situation change ».

En d’autres termes, votre posture de cybersécurité indiquera à quel point votre entreprise est saine et cyber-résiliente. Elle indiquera à quel point l’organisation peut se défendre contre les cyberattaques, les violations et les intrusions. Définir votre posture de cybersécurité est donc important. En effet, cela guidera toute votre stratégie de cybersécurité, déterminera vos projets et influencera vos dépenses en la matière au fil des ans.

Signification des niveaux de maturité

  • Un niveau de maturité faible de la cybersécurité faible signifie généralement des défenses faibles. L’organisation  court donc un risque élevé. Elle nécessite par conséquent des améliorations significatives à plusieurs niveaux pour renforcer sa posture de cybersécurité et protéger ses actifs essentiels contre les violations et les intrusions.
  • Si le niveau de maturité est moyen c’est généralement indicatif de défenses de cybersécurité moyennes. L’organisation a alors pris plusieurs mesures pour sécuriser ses actifs critiques. Elle est cependant toujours en danger et il reste encore beaucoup à faire.
  • Un niveau de maturité élevé indique généralement de solides défenses. Cela signifie que l’organisation a mis en œuvre les stratégies, processus et procédures nécessaires pour optimiser sa posture de cybersécurité. Elle est conscients de ses actifs critiques et est préparée à faire face à des incidents de sécurité en toute confiance.

Donner l’orientation à la haute direction

Le Comité Stratégique IT

Le Conseil d’Administration définit l’orientation concernant l’utilisation de l’informatique par l’Organisation. Le Conseil d’Administration doit approuver le plan stratégique informatique, le programme de sécurité de l’information et les autres politiques liées aux TI. Pour ce faire, le Conseil d’Administration peut créer un  comité stratégique en charge des problématiques IT. Ce Comité Stratégique IT sera présidé par un membre du Conseil et aura notamment les responsabilités suivantes :

  • Examiner et approuver un plan stratégique informatique qui s’aligne sur la stratégie d’entreprise globale;
  • Promouvoir une gouvernance informatique efficace;
  • Superviser les processus d’approbation des fournisseurs tiers de l’organisation;
  • Superviser et recevoir des mises à jour sur les principaux projets informatiques, les budgets informatiques, les priorités informatiques et les performances informatiques globales;
  • Approuver les politiques à appliquer et signaler les incidents de sécurité importants au conseil d’administration;
  • Superviser l’adéquation et l’allocation des ressources informatiques pour le financement et le personnel;
  • Tenir la direction responsable de l’identification, de la mesure et de l’atténuation des risques informatiques;
  • Assurer une couverture d’audit indépendante, complète et efficace des contrôles informatiques.

Le recours à des sous-traitants pour la fournitures de certains services

Le Conseil d’Administration et la haute Direction devraient établir et approuver des politiques fondées sur les risques pour régir le processus d’impartition. Les politiques devraient reconnaître le risque pour l’Organisation d’externaliser les relations. Elles devraient également être adaptées à la taille et à la complexité de l’Organisation. Les facteurs que les Entreprises devraient envisager sont les suivants:

  • S’assurer que chaque relation d’impartition appuie les exigences globales et les plans stratégiques de l’organisation;
  • S’assurer que l’organisation dispose d’une expertise suffisante pour superviser et gérer la relation;
  • Evaluer les prestataires potentiels en fonction de la portée et de la criticité des services externalisés;
  • Adapter le programme de surveillance des prestataires de services à l’échelle de l’entreprise en fonction des évaluations des risques initiales et continues des services externalisés;

Surveiller la performance de l’organisation et les progrès

L’audit

  • Le Conseil dAdministration et la haute direction ont la responsabilité de veiller à ce que le système de contrôle interne de l’établissement fonctionne efficacement;
  • Le Conseil d’Administration devrait s’assurer que des directives écrites pour la conduite des audits informatiques ont été adoptées;
  • Le Comité d’Audit (sous la responsabilité du C.A.) est chargé d’examiner et d’approuver les stratégies d’audit (y compris les politiques et les programmes) et de surveiller l’efficacité de la fonction d’audit.

 

CISA vs CIA – Infographie

Beaucoup d’auditeurs se posent la question du cursus le plus adapté pour favoriser leur évolution professionnelle : CISA ou bien CIA. Notre article CISA vs CIA : Quel choix pour un auditeur? mettait en perspective les deux certifications professionnelles, Alors, pour mieux fixer les idées, vous proposons aujourd’hui une infographie résumant  les particularités de chacune. Les deux certifications ont leurs partisans et leur opposants. Le CIA, proposé par l’IIA (The Institute of Internal Auditors) est largement préféré par les auditeurs internes. Le CISA, proposé par l’ISACA (The Information Systems Audit and Control Association), est pour sa part largement plébiscité par les informaticiens.

Notre infographie CISA vs CIA

CISA vs CIA Infographie
© 2018 2AB & Associates

Pour en savoir plus

Vous souhaitez en savoir plus? Nous vous proposons d’approfondir avec quelques articles associés publiés sur notre blog :

Si vous avez déjà passé l’une de ces certifications, n’hésitez pas à nous faire part de vos commentaires qui aideront également les lecteurs à se faire leur propre opinion.

Nos experts se tiennent également à votre disposition pour répondre à toutes vos questions.

CISA vs CIA : quel choix pour un auditeur?

La progression dans sa carrière professionnelle est une préoccupation pour chacun et chacune d’entre nous. Que ce soit pour des raisons financières ou d’intérêt du travail ou d’avancement, voire pour changer d’emploi. Ce sont des pensées qui traversent l’esprit. Souvent, on pense certification comme un sésame vers un meilleur poste, une meilleure rémunération ou un accroissement des responsabilités. Cependant, une certification professionnelles exige beaucoup d’investissement tant en apprentissage que dans le domaine financier. Il est donc nécessaire de bien réfléchir avant de faire un choix qui conditionnera notre avenir. .Alors lorsqu’on est un auditeur interne ou externe il est normal de se trouver face au choix cornélien du choix de la certification professionnelle qui sera la meilleure pour notre avenir : CISA ou CIA?

CISA versus CIA : Quel choix pour un auditeur?

Les deux certifications, proposées par deux associations professionnelles internationales d’auditeurs, l’ISACA et l’IIA, ont toutes les deux leurs avantages. Nous allons essayer dans cet article de vous aider à faire votre choix.

La première chose importante à conserver à l’esprit c’est que les deux sont des certifications professionnelles. Les deux exigent de votre part une connaissance vaste et surtout une compétence, basée sur l’expérience de plusieurs années. Inutile donc de vous lancer si vous n’avez pas déjà une expérience de quelques années dans l’audit. Vous ne pourrez tout simplement obtenir la certifications car votre compétence sera vérifiée auprès de vos précédents employeurs. Et surtout gardez bien à l’esprit que ce n’est pas la certification qui fait un bon auditeur.

Le CISA (Certified Information System Auditor)

La certification CISA (Certified Information Systems Auditor) est délivrée par l’ISACA (Information System for Audit and Control Association). Lancé en 1978, le CISA a été délivré à plus de 140.000 auditeurs professionnels dans le monde en 40 ans. Le CISA est reconnu mondialement dans les domaines de  l’audit, du contrôle et de la sécurité des systèmes d’information. Les critères de certification sont constants et représentent un niveau de compétence élevé dans le domaine de l’audit informatique, de la sécurité informatique, de la gouvernance informatique et de la gestion des risques.

Le CISA est souvent exigé dans le cadre de recrutements dans ces secteurs. En effet, la certification aide les employeurs dans la sélection de vérificateurs hautement qualifiés destinés à évaluer et mesurer les contrôles informatiques. Elle atteste également que le candidat possède des connaissances solides ainsi qu’un ensemble de compétences vérifiées en matière d’audit.

L’examen du CISA

Le taux d’échec associé à cet examen est assez élevé. Pour obtenir la certification, le candidat doit réussir l’examen qui comprend des sections sur les cinq domaines suivants:

  • Processus d’audit des systèmes d’information (21%);
  • Gouvernance et management des systèmes d’information (16%);
  • Acquisition, conception et mise en oeuvre des SI (18%);
  • Exploitation, maintenance et support des SI (20%);
  • Protection des actifs informationnels (25%).

L’examen se présente sous la forme d’un QCM de 150 questions sur 4 heures, au format électronique. L’examen ne peut être passé que sur rendez-vous dans un centre PSI. Il est proposé dans différentes langues dont le Français et l’Anglais.

Admissibilité au CISA

Le candidat est éligible à la certification s’il a réussi l’examen et s’il possède une expérience dans ces domaines. L’expérience minimale requise est de cinq ans. Chaque expérience sera méticuleusement vérifiée par l’ISACA auprès des précédents employeurs du candidat. De plus, le candidat doit signer et s’engager à respecter les conditions associées au Code de déontologie professionnelle de  l’ISACA.

Le CIA (Certified Internal Auditor)

La mission de l’IIA (The Institute of Internal Auditors) est d’offrir un leadership dynamique à l’échelle mondiale dans le domaine de l’audit interne. La certification CIA est reconnue au niveau mondial et démontre les compétences et le professionnalisme des auditeurs internes. Le CIA atteste des aptitudes des auditeurs internes à jouer un rôle important dans leur organisation. Durant toute la préparation, l’accent est mis sur les normes internationales pour les praticiens. L’auditeur interne doit faire preuve de professionnalisme et a une obligation de conseil dans le cadre des « International Standards for the Professional Practice of Internal Auditing » de l’IIA. Tout au long du parcours, l’accent est mis sur la gestion du projet d’audit interne et se conclut par des concepts liés aux risques internes, au contrôle, à la gouvernance et à la technologie. Le CIA vous permettra de :

  • prouver votre maîtrise de l’audit interne et votre professionnalisme;
  • renforcer votre crédibilité au sein la profession et dans votre organisation;
  • accéder à de nouvelles opportunités de carrière;
  • vous distinguer de vos pairs;
  • développer vos connaissances des meilleures pratiques;
  • poser les fondements de l’amélioration continue de vos compétences et de votre promotion;
  • faire reconnaître vos compétences;

Les examens du CIA

L’obtention du CIA se base sur la réussite à 3 examens sous forme de QCM en Anglais :

  • Partie 1 : Les concepts de base de l’audit interne
    • 125 questions en 2h30
  • Partie 2 : La pratique de l’audit interne
    • 100 questions en 2h00
  • Partie 3 : Les éléments de l’audit interne
    • 100 questions en 2h00

Admissibilité au CIA

Outre la réussite aux trois examens, les candidats doivent satisfaire aux conditions d’admissibilité suivantes :

  • Détenir un diplôme d’enseignement supérieur équivalent à Bac+3 (master) ou son équivalent d’une université agréée;
  • Avoir exercer pendant au moins 24 mois en tant qu’auditeur interne (ou équivalent). Les candidats peuvent postuler au programme de la certification CIA et passer l’examen avant de satisfaire aux conditions requises en matière d’expérience, mais ils ne seront pas certifiés avant d’avoir rempli toutes les conditions du programme;
  • Faire preuve d’un comportement professionnel et d’un jugement exemplaire, et s’engager à respecter le Code de déontologie établi par l’IIA;
  • Présenter des références irréprochables et vérifiables.

Quelques critères de choix

La question qui m’est fréquemment posée parmi les candidats est celle de savoir s’ils doivent opter pour le CIA ou le CISA. La différence entre CISA et CIA  peut être résumée, car le CISA s’adresse aux spécialistes IT alors que le CIA est destinée aux auditeurs internes généralistes. Les deux cours ont leurs limites et leurs qualités. La certification de la CIA coûte environ 1 500 dollars ou plus. Alors que la certification CISA coûte environ 1000 $. Des coûts supplémentaires peuvent survenir pendant la formation en raison des livres à acquérir et des cours de préparation à suivre.

Alors comment choisir? CISA ou CIA?

La question demeure, quelle certification serait-it préférable d’obtenir? Le CISA ou le CIA? Si vous planifiez de passer les deux, alors laquelle doit être passée en premier?

La certification CISA se situe à un haut niveau pour les auditeurs informatiques. Il est nécessaire que vous possédiez parfaitement les bases de l’audit et que vous ayez  une bonne connaissance de l’informatique. Les auditeurs informatiques obtiennent la certification pour pratiquer le terrain, alors que les auditeurs non-it la choisissent pour passer à l’audit informatique. Le CISA comprend 1 examen qui comprend 1 an d’adhésion à l’ISACA. Avec une connaissance et une expérience solides, on peut préparer et obtenir la certification dans un délai de six mois à un an. Ce qui en fait un bon retour sur investissement.

Alors que la CIA est une certification plus large et est associée à 3 examens. La certification couvre l’audit et l’informatique à un niveau plus large. Contrairement au CISA, le CIA est plus lié à l’audit général qu’à l’informatique. Il est obligatoire que vous réussissiez les 3 examens dans les 4 ans à compter du premier examen. Le passage des 3 examens du CIA prend généralement 1 à 2 ans. Le CIA est plus respecté que le CISA en raison de son étendue plus large. L’examen du CIA est plus difficile que celui du CISA. En outre, une chose à considérer est que les auditeurs informatiques sont généralement mieux payés que les auditeurs non informatiques.

Les plus du CIA

Le CIA est une bonne option si vous souhaitez être un auditeur interne mais que vous n’êtes pas certain de la spécialisation, du domaine ou de vos préférences en matière de gestion ou encore du  rôle général de l’audit interne au sein d’une société. Si le CIA est jumelé à un CPA (Certified Public Accountant), vous disposerez d’une excellente combinaison pour viser un poste de haut niveau en tant que CAE (Chief audit Executive) ou responsable de l’audit interne. Le CISA n’est bénéfique que si vous envisagez une carrière dans l’audit informatique. La durée totale du cours de certification en 3 parties de la CIA est de 1 à 2 ans.

Les points-clés du CISA

La certification CISA est garante de normes élevées d’audit informatique. Si vous vous intéressez davantage à  l’audit informatique et que vous considérez que l’avenir de l’audit est davantage lié aux technologie qu’à l’analyse, alors le CISA est un bon choix. Son champ d’application est plus restreint et l’examen ne comprend qu’une partie. L’avantage pratique de passer une certification en CISA est qu’il est moins difficile et que le processus d’examen est plus rapide que pour le CIA. Un candidat peut achever sa préparation en 6 mois voire même en 2 mois s’il est déjà impliqué dans des missions d’audit informatique. Le cours de préparation dure généralement une semaine et il est conseillé de lire d’abord les manuels avant de le suivre.

Si vous envisagez les deux certifications?

La valeur du CIA et la spécialisation du CISA ont toutes deux une grande valeur. Cependant, les efforts requis pour les examens de la CIA sont très élevés. L’examen CISA nécessite moins d’efforts que celui du CIA. Vous devriez assez facilement réussir le  CISA si possédez déjà le CIA.

Cependant, il est moins utile de suivre le chemin inverse. Si vous voulez être un auditeur informatique et que vous choisissez le CISA,  l’ajout d’un certification CIA ultérieure n’apportera pas beaucoup de valeur à votre profil.

Les opportunités de carrière – CISA vs CIA

La certification joue le rôle de garantie des normes professionnelles auprès de recruteurs. Elle permet donc d’améliorer la fiabilité des recrutements. Une certification de qualité peut ainsi constituer un avantage concurrentiel pour un auditeur. Le détenteur du certificat est plus susceptible  de contribuer à la création de valeur par l’organisation. Et donc, de fait, un auditeur titulaire d’un CISA ou d’un CIA est a de grandes chances d’obtenir un salaire plus élevé. Cependant, un titulaire du CISA a tendance à gagner plus qu’un demandeur d’emploi titulaire d’un CIA.

Selon le baromètre annuel des salaires publié chaque année par le site payscale.com un auditeur interne possédant un CIA toucherait un salaire annuel entre 50.000$ et 116.000$ avec une moyenne de rémunération annuelle de 85.000$. De son côté, un auditeur titulaire d’un CISA aurait une rémunération se situant entre 60.000$ et 124.000$ avec une moyenne de 98.000$.

Il est cependant clair que le salaire et la place dépendent largement de l’industrie, de l’entreprise, de la localisation géographique et de votre rôle.

COBIT et VeriSM : la recette du succès

Le modèle VeriSM récemment lancé, semble être un complément intéressant à COBIT. VeriSM, bien que très récent, a suscité beaucoup d’intérêt et de discussions dans les équipes de gestion des services. Déjà de nombreuses organisations envisagent et évaluent cette approche.

COBIT et VeriSM : La recette du succès
Crédit : © Dreamstime

Des idées clés au cœur de VeriSM

Quelques idées fortes sont au coeur même du modèle VeriSM :

  • Dans un monde de services numériques, gouverner les services devient une préoccupation importante pour l’ensemble de toute organisation. Ce n’est plus le problème de l’informatique uniquement,
  • Le « département informatique » est simplement une aptitude organisationnelle comme toutes les autres (par exemple les RH, les ventes, le marketing). Il doit donc travailler en étroite collaboration avec toutes les autres capacités de conception, de construction et de gestion des services numériques,
  • Toutes les organisations doivent prendre conscience de leur environnement, des ressources et capacités disponibles (à la fois en interne et en externe) lors de la conception, du développement et de la fourniture de services numériques. C’est le concept de réseau de management ou de management maillé,
  • Des principes de gestion des services clairement définis devraient servir de guide pour tout nouveau service. Ceci, afin de garantir que ce sont bien les bons «muscles» du maillage qui sont sollicités au fur et à mesure du développement du service et pendant toute la durée de son cycle de vie.

VeriSM n’est pas en soi un cadre, un référentiel ou une méthodologie. VeriSM est, en fait, un modèle préconisant l’évaluation et l’utilisation flexible des pratiques de gestion. Ces pratiques sont décrites dans VeriSM au travers des éléments du management maillé (« Management Mesh« ).

COBIT 5 est l’un de ces cadres de meilleures pratiques en matière de gouvernance et de management de l »information. Il présente donc une grande synergie avec VeriSM. De ce fait COBIT 5 aidera les organisations à adopter une approche VeriSM et à établir et exploiter efficacement un maillage du management.

LE CONCEPT DE MANAGEMENT MAILLE DE VeriSM

VeriSM - Le management maillé
Crédits © Van Haren 2017

COBIT 5 pour la Gouvernance

Le modèle VeriSM repose sur l’établissement d’une gouvernance efficace des services gestion de l’information et de la prestation de services informatiques performants.

COBIT 5 est un cadre reconnu en matière de gouvernance de l’Entreprise. Il définit un référentiel unique de gouvernance qui couvre de façon transparente l’ensemble de l’Entreprise, de manière globale et de bout en bout. Il s’agit là de trois des cinq principes clés de COBIT.

COBIT 5 : LES 5 PRINCIPES

COBIT : les 5 principes
Crédits : © ISACA 2012 – Tous droits réservés

Les principes de gestion des services VeriSM doivent refléter les besoins et les moteurs de l’organisation et de ses parties prenantes traduits en objectifs de l’entreprise. Ils constituent donc une composante clé de la gouvernance.

La cascade d’objectifs de COBIT 5

Les besoins des parties prenantes de l’Entreprise doivent être traduits en actions stratégiques pour être mise en oeuvre. La cascade d’objectifs de COBIT 5 représente le mécanisme de traduction des besoins des parties prenantes en objectifs d’entreprise précis, réalisables et personnalisés, puis en objectifs liés aux TI et en objectifs pour chacun des facilitateurs. Cette traduction permet de fixer des objectifs précis à tous les niveaux. De plus, ces objectifs couvrent tous les domaines de l’entreprise. Ils viennent ainsi en appui aux objectifs généraux et aux exigences des parties prenantes. Ils permettent donc de soutenir efficacement l’alignement entre les besoins de l’entreprise et les solutions et services informatiques.

LA CASCADE D’OBJECTIFS DE COBIT 5

La cascade d'objectifs de COBIT 5
Crédit : © ISACA 2012 – Tous droits réservés

COBIT 5 fournit de plus une matrice permettant de faire correspondre les principales préoccupations des parties prenantes avec 17 objectifs génériques de toute Entreprise. Grâce à une seconde matrice, ces 17 objectifs d’Entreprise peuvent ensuite être  mis en correspondance avec 17 objectifs pour le département TI. Par exemple, l’objectif de transparence financière de l’Entreprise  pourra être mis en correspondance avec l’objectif TI de « transparence des coûts, des bénéfices et des risques IT ». Enfin, une troisième matrice permet de faire correspondre ces objectifs TI avec les processus à mettre en oeuvre ou à améliorer. Les processus constituent une des 7 catégories de facilitateurs. La relation n’est pas univoque. Un processus de bas niveau peut ainsi supporter plusieurs objectifs d’entreprise. Toutefois grâce à cette cascade d’objectifs, il est aisé d’identifier les principaux processus soutenant chacun des objectifs stratégiques de l’Entreprise.

Bien sûr chaque entreprise est différente. Ces matrices sont donc fournies à titre d’exemples et doivent être adaptées à chaque organisation spécifique.

Le management maillé de VeriSM

Les organisations définiront leur maillage de gestion de différentes manières qui leur seront propres. Comme indiqué ci-dessus, les éléments du maillage sont nombreux et variés. COBIT 5 encourage également une approche holistique pour comprendre et rassembler les différentes ressources et capacités de gestion des services.

COBIT 5 définit 7 catégories de facilitateurs (« enablers ») :

Les 7 facilitateurs de COBIT 5
Crédit © ISACA 2012 – Tous droits réservés

À l’heure actuelle, l’ISACA n’a publié des guides de référence détaillés que pour les facilitateurs « processus » et « information« . Cependant ils fournissent des indications importantes et suffisantes sur la documentation et la classification des éléments clés de tout maillage de gestion.

La mise en œuvre de VeriSM en Entreprise

Les organisations qui adoptent d’abord une approche VeriSM considéreront / évalueront très probablement COBIT 5 comme une manière d’ajouter une valeur significative au maillage de gestion. A l’opposé, les organisations qui utilisent déjà COBIT 5 y trouveront un avantage significatif lors de l’adoption d’une approche VeriSM. Quel que soit le modèle proposé en premier, le cycle de vie de mise en oeuvre inclus dans COBIT 5 est une excellente démarche pour répondre à la complexité et aux défis généralement rencontrés lors de tout projet de transformation.

L’approche de programme de transformation de COBIT 5

COBIT 5 : Le modèle de mise en oeuvre
Crédit © ISACA 2012 – Tous droits réservés

Le diagramme ci-dessus décrit avec une extrême précision le modèle de mise en oeuvre de tout projet de transformation.  Expliqué en détail dans le Guide de mise en œuvre  de COBIT 5 (ISACA) et soutenu par une qualification professionnelle, l’approche selon le cycle de vie détaille une démarche holistique en 7 étapes pour parvenir à un changement durable en se focalisant sur trois axes :

  • Amélioration continue : Permettre et soutenir le changement organisationnel pour offrir des avantages durables en veillant à ce que les améliorations soient intégrées dans la structure de l’organisation,
  • Facilitation du changement : Le programme est conçu pour soutenir le besoin d’amélioration continue, avec des changements apportés dans des itérations hiérarchisées et gérables, garantissant que les avantages sont fournis à un rythme de changement auquel l’organisation peut faire face,
  • Gestion de programme : appliquer des techniques formelles de gestion de programme et de projet (analyse de rentabilisation formelle, objectifs bien définis et bien définis, parrainage de cadres) pour garantir que les avantages sont réalisés

L’importance de la facilitation du changement

On estime jusqu’à 70% le taux d’échec des projets de transformation. Bien sûr, il y a de nombreuses raisons à cela. Cependant,  parmi celles-ci, les principales sont liées aux personnes et en particulier à la résistance au changement.

Kotter reconnaît cela dans son modèle de changement en huit étapes, dont la première étape critique est de créer un sentiment d’urgence. Cela se reflète dans l’étape 1 de l’anneau de facilitation du changement. En clair, cela signifie être capable de répondre à la question suivante :


Il y a un million et une chose que nous pourrions faire,

Pourquoi cela doit-il se produire et pourquoi cela doit-il arriver maintenant?


Si cela ne peut pas être clairement expliqué, d’une manière qui ait du sens et soit convaincante pour l’ensemble de l’organisation, la réponse est probablement : « ça ne marchera pas!« .

Encore une fois, la cascade des objectifs est utile ici. Il devrait y avoir une cascade claire entre les objectifs du programme et la réalisation des objectifs de l’Entreprise. Certes, la réalisation d’objectifs d’entreprise de haut niveau, bien qu’ils soient clairement pertinents pour tous les employés, n’est peut-être pas ce qui nous fait sortir du lit le matin. Cependant, c’est ce qui excite les plus hauts niveaux du management organisationnel et de la gouvernance. C’est donc ce qui assurera le parrainage de la direction qui est si crucial pour la réussite de tout programme.

Les services numériques au coeur du besoin de transformation des entreprises

Il existe de nombreuses définitions différentes du terme service numérique. La mienne serait : un service numérique est un service qui permet aux consommateurs de traiter avec l’entreprise par voie électronique à un moment et à un endroit qui leur conviennent, sans qu’une interaction humaine soit nécessaire. Amazon, Uber, Airbnb sont tous des exemples de fournisseurs de services numériques. La demande des consommateur est en croissance exponentielle. Déjà aujourd’hui on voit les consommateurs aller voir et toucher les produits qu’ils souhaitent acheter dans des magasins. Ensuite ils rentrent les commander en ligne sur un site de vente en ligne tel qu’Amazon. Demain cela concernera 90% des Entreprises dans tous les domaines (banques, assurance, hôtellerie, etc.). Toutes ces Entreprises vont devoir se transformer pour survivre.

 

Crédits : Mark Flynn et blog de l’APMG

Ce n’est pas le CISA qui fait un bon auditeur

Je suis toujours très étonné de constater que les pages les plus consultées sur ce blog sont celles qui font référence au CISA, à la certification PMP et aux certifications qui correspondent aux meilleurs salaires. C’est un peu comme si le fait de posséder une certification garantissait un niveau de rémunération. D’ailleurs une des pages les plus populaires de ce blog est celle qui liste les 6 certifications les mieux payées.

Le CISA ne fait pas un auditeur
Crédit © Bakhtiarzein

Le CISA est une certification professionnelle, pas un label

En France et dans la majorité des pays francophones, on cultive une vénération totalement incohérente pour les diplômes et les certifications de tout type. Ainsi, un de mes clients, en Afrique de l’Ouest, membre de l’élite dirigeante, me confiait :


Aux Etats-Unis, quand tu recherches un emploi, le recruteur te demande: « Pourquoi voulez-vous travailler pour nous et qu’est-ce que vous pouvez nous apporter? ». En France le recruteur te demande: « Quels diplômes et quelles certifications possédez-vous? ». En Afrique, le recruteur te pose la question suivante: « Qui est-ce qui t’envoie? ».


Tout est résumé dans cette approche. La France est obsédée par les certifications et les diplômes. Dès lors il n’est pas étonnant de voir que l’intérêt des personnes se porte sur les certifications. Et le CISA figurant parmi les certifications qui, statistiquement, sont détenues par des  personnes considérées comme les mieux rémunérées, le raccourci est assez facile. CISA devient synonyme de forte rémunération.

Comment est structuré le CISA?

Essayons d’abord de replacer le CISA dans son contexte. C’est une certification professionnelle, proposée par l’ISACA et destinée à reconnaître les compétences d’auditeurs TI expérimentés. A ce titre, il est composé de deux parties. La première partie est un examen – difficile -de 150 questions destinées à vérifier les connaissances des auditeurs. Il porte sur 5 domaines de connaissances  que devraient posséder à minima tous les auditeurs TI pour accomplir leur mission :

  • Le processus d’audit des SI (représente 21% des connaissances testées)
  • La gouvernance et le management des TI (16% sur l’organisation, les rôles et responsabilités et surtout le système de management de l’entreprise)
  • Acquisition, développement et mise en oeuvre des SI (18% sur l’audit des projets dans le domaine des TI)
  • Exploitation, maintenance et gestion des services (20% sur la production informatique)
  • Protection des actifs informationnels (25% sur la sécurité des systèmes d’information)

Bien évidemment, cela n’est en aucun cas suffisant pour prétendre être un bon auditeur TI. Vous pouvez toujours apprendre par coeur les contenu des manuels, cela ne prouvera jamais que vous êtes compétent. Tout au plus cela prouvera que vous avez « une mémoire de cheval »… Et clairement, vous ne serez pas le profil dont ont besoin les entreprises pour se développer. C’est juste un minuscule premier pas vers la compétence. Pour pouvoir se développer sur leur marché, les entreprises ont besoin de personnels compétents.

La compétence de l’auditeur, dès lors qu’il a acquis les connaissances de base, se mesure à son aptitude à réaliser des missions d’audit. La compétence intègre donc une composante importante liée à l’expérience et au comportement des personnes. C’est ce qui constitue la seconde partie du CISA : la vérification de l’expérience et de l’attitude des candidats sur une durée totale de 5 ans durant les 10 dernières années écoulées.

Comment s’effectue la vérification de la compétence des postulants au CISA?

Chaque postulant à la certification CISA doit remplir des documents listant ses expériences passées dans le domaine de l’audit et du contrôle interne des TI. Chaque document doit ensuite être signé par un (ex-) manager qui pourra attester de la véracité de vos compétences d’auditeur. Lorsque vous avez atteint la durée cumulée de 5 années durant lesquelles il existe des preuves de votre expérience, vous pourrez alors renvoyer votre dossier à l’ISACA. A ce moment, un comité de certification évaluera votre dossier et vérifiera vos compétences. Le plus souvent il s’agit de revoir votre dossier de candidature et de vérifier sa cohérence par rapport au cinq domaines de compétences.

De façon aléatoire et/ou en fonction du résultat de cette revue, ISACA contacte les personnes qui vous ont servi de référence. Elles seront interviewées par un membre de l’ISACA qui vérifiera que le document reçu représente bien la vérité. Ensuite le comité de certification, après délibération, vous attribuera, ou pas, la certification CISA.

Dès lors que l’ISACA reçoit votre dossier complet, le processus  prend environ de 4 à 8 semaines.

Et après l’obtention du certificat?

Ce n’est que lorsque vous recevez le certificat final, à l’issue du processus complet que vous pourrez revendiquer votre certification sur votre CV et sur les réseaux sociaux. Tant que vous n’avez réussi que l’examen seulement, vous n’êtes pas certifié CISA. Dans ce cas, il est d’ailleurs mentionné clairement par l’ISACA que vous ne pouvez en aucune façon le mentionner. Vous ne pouvez revendiquer votre certification qu’en mentionnant votre numéro de certificat. Il est à noter que l’ISACA audite régulièrement les réseaux sociaux afin d’éliminer et de sanctionner les « fraudeurs ».

Il est également important de noter que le CISA étant une certification professionnelle destinée aux auditeurs IT, elle n’est valable que pour une durée de 3 ans. A l’issue de ces trois ans vous serez nudité par le Comité de Certification. Celui-ci déterminera si votre CISA vous est attribué pour 3 années supplémentaires.

Comment maintenir son CISA dans le temps?

Dès l’obtention du CISA, vous serez soumis à des obligations pour pouvoir le conserver. Parmi ces obligations, figure celle d’adhérer au code d’éthique de l’ISACA et de le respecter en toute circonstance. En cas de manquement avéré votre CISA vous sera retiré immédiatement et définitivement. Il vous sera également demandé d’être adhérent à l’ISACA et de maintenir votre adhésion chaque année.

De plus, le métier d’auditeur évoluant en permanence, vous serez obligé, chaque année, de fournir des preuves que vous êtes dans un processus d’amélioration de vos compétences. Cela se fait en suivant des formations, en participant activement à des publications ou encore en participant à des conférences. Chacune de ces activités vous rapportera des CPE (Continual Professional Education). En moyenne, un CPE équivaut à 50 minutes de formation ou d’activité reconnue. Chaque année vous devez communiquer à l’ISACA le nombre de CPE acquis dans l’année écoulée. Vous devez en produire un minimum de 20 par année avec un minimum cumulé de 120 sur 3 ans.

A la fin de chaque période de 3 ans, votre certification est évaluée par le comité de certification et vos CPE peuvent être audités pour s’assurer qu’ils sont bien justifiés. Vous devrez donc conserver précieusement les preuves des CPE que vous revendiquez. Si l’ISACA découvre que vous revendiquez des CPE non valides ou si vous n’atteignez pas le minimum requis sur les 3 ans, votre certificat vous sera immédiatement retiré. Vous devrez alors retirer immédiatement la mention de votre CISA sur vos cartes de visite, vos CV et sur les réseaux sociaux. Le retrait du CISA est définitif. Dans le cas où vous souhaiteriez l’obtenir de nouveau, vous devrez repasser l’examen et suivre de nouveau le processus complet de certification.

Le CISA fait-il de vous un bon auditeur?

Comme vous pouvez le comprendre, le CISA ne fait pas de vous un bon auditeur. Au contraire, c’est si vous êtes déjà un bon auditeur que vous pourrez espérer obtenir le CISA. Ensuite pour le conserver, vous devrez démontrer durant toute votre vie professionnelles que vous restez parmi les meilleurs. C’est ce qui explique la valeur de cette certification et les salaires élevés qui lui sont associés. Les Entreprises sont toujours prêtes à bien rémunérer des personnes compétentes qui leurs apportent de la valeur. Elles n’ont aucun intérêt à rémunérer le savoir. Il est dans ce cas plus simple d’acheter une bonne base de connaissances auprès d’un éditeur. Ce n’est donc pas le CISA qui fait la rémunération. C’est la satisfaction des conditions exigées des auditeurs pour conserver leur CISA qui justifie leur rémunération élevée.

Y a-t-il de mauvais auditeurs parmi les détenteurs du CISA?

Malgré toutes les précautions prises par l’ISACA, il existe bien sûr des cas de personnes qui passent au travers « des mailles du filet ». L’ISACA est une association professionnelle dont l’effectif salarié est d’environ une centaine de personnes au niveau mondial. L’association n’a donc pas les moyens de vérifier en détail tous les dossiers. Elle procède donc par échantillonnage. N’oublions pas que nous avons affaire à des auditeurs. Il existe donc des personnes qui arrivent à obtenir leur certification en n’ayant pas les qualités requises. Mais l’audit réalisé tous les trois ans pour maintenir la certification aide à les éliminer sur le long terme. Il y a aussi des fraudeurs qui obtiennent des références de complaisance. Dans ce cas l’interview des références par les membres de l’ISACA a tôt fait de mettre au jour la fraude. Mais là encore, ces interviews ne sont pas systématiques et elles sont réalisées par échantillonnage.

Cependant, dans l’ensemble, une gros effort est fait pour maintenir la crédibilité de cette certification. Et c’est bien ce qui en garantit toute la valeur auprès des Entreprises et des recruteurs.

 

COBIT – La gouvernance, clé du succès de l’entreprise

Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur le 25 mai 2018, exigeant une bonne gouvernance des données pour toutes les entreprises et collectivités, indépendamment de la juridiction, sur le traitement des données personnelles associées aux citoyens de l’UE et de l’EEE. Dans un précédent article, j’ai montré comment COBIT 5 pouvait aider tout projet de mise en conformité au RGPD. Si le RGPD a été vraiment pris au sérieux, nos organisations sont aujourd’hui en mesure de mieux gérer leurs données. De fait, cela facilite leur tâche de gestion quotidienne de l’Entreprise.

COBIT Gouvernance, la clé du succès en entreprise
Crédits © weerapat1003

Grâce à une bonne gouvernance, nous pouvons aborder avec confiance des problèmatiques actuellement encore ignorées par la pensée dominante. Elles sont pourtant désormais très pertinentes et constitueront un facteur de succès ou d’échec pour les prochains mois et les prochaines années. Parmi les problèmes dominants affectant les Entreprises, on peut citer :

  • L’adaptation de la main-d’œuvre du troisième millénaire,
  • La transformation digitale de l’économie,
  • Après le RGPD, le règlement sur la protection de la vie privée ,
  • Le BREXIT,
  • Les géants du web, notre nouveau risque systémique,
  • L’insécurité intégrée…

Le thème central, commun à tous ces sujets, est celui des systèmes d’information. L’activité stratégique et opérationnelle doit désormais adopter une approche plus «entrepreneuriale» que «mature» pour exploiter les opportunités au fur et à mesure qu’elles se présentent. Les cadres de gouvernance doivent encourager l’innovation et gérer simultanément les risques associés au moyen de politiques, de procédures et de pratiques adaptées. Une approche collaborative est nécessaire pour anticiper et répondre rapidement au changement.

COBIT 5 : le cadre de Gouvernance d’Entreprise publié par l’ISACA

Le cadre COBIT 5 de l’ISACA permet d’avoir un aperçu de la gouvernance d’entreprise. La famille de publications comprend «COBIT 5, a Business Framework for the Governance and Management of Enterprise IT». Ce document de 94 pages fournit un guide complet sur où et comment rechercher des opportunités d’évolution et d’innovation dans votre entreprise.

COBIT 5 : un mythe tenace

Malheureusement la traduction Française de cette publication n’est pas très pertinente. Elle semble faire plus de cas de l’informatique que des métiers de l’Entreprise, seuls créateurs de valeur. Le titre lui-même a été traduit par « COBIT 5, un référentiel orienté affaires pour la gouvernance et la gestion des TI de l’entreprise ». Le titre original, en Anglais, ne fait pas référence aux TI mais à « l’information de l’entreprise et aux technologies associées ». C’est beaucoup plus vaste et cela couvre la totalité des métiers au lieu de la seule informatique. Pour COBIT, l’informatique n’est seulement qu’un « outil » au service des métiers de l’Entreprise (on parlera du 6ème « enabler »). COBIT n’est aucune un référentiel destiné à l’IT. C’est un référentiel de Gouvernance et de Management de l’Entreprise.

Le périmètre de COBIT 5 : La gouvernance et le management de l’entreprise

Cela inclut bien évidemment l’IT, mais seulement comme un composant de l’Entreprise.

Vous pouvez accéder au périmètre des publications COBIT 5 sur le site de l’ISACA. COBIT a la particularité d’être composé de publications permettant au lecteur d’accéder au contenu du cadre au travers des filtres. L’accès au cadre de référence complet est totalement gratuit. Certains autres documents, tels que le modèle de référence des processus ou le guide de mise en oeuvre sont gratuits pour les membres de l’ISACA. Enfin, d’autres documents, notamment les guides professionnels, sont payants mais avec une remise substantielles pour les membres.

Publications COBIT
Source © ISACA

COBIT 5 : quelques cas réussis de mise en oeuvre dans le monde

Chacun des cas présentés ici correspond à la liste des problèmes dominants identifiés au début de cet article. Il n’ont souvent qu’un lien très lointain avec les technologies de l’information. Vous y trouverez des liens utiles présentant le contexte et la façon dont  COBIT 5 a permis relever ces défis organisationnels.

Adaptation de la main d’oeuvre du 3ème millénaire – Cas PWC

PWC, tout comme DELOITTE et d’autres grands cabinets internationaux exigent un engagement intensif de leurs salariés dès le début. Des récompenses en matière d’évolutions de carrière, telles que des partenariats, sont appelées à venir plus tard. Ces entreprises sont actuellement confrontées à un turnover croissant de jeunes, essentiellement nés entre 1980 et 1995. Il s’agit de ceux qu’on qualifie généralement d’enfants du millénaire. Ceux de la génération Z, nés après 1995, commencent à peine à arriver sur le marché de l’emploi. PWC et DELOITTE ont constaté que la main-d’œuvre entrante avait des attentes différentes de celle des générations précédentes. Les jeunes souhaitent désormais une approche flexible pour travailler. Ils attendent des récompenses pour de bonnes performances dès le début ainsi que tout au long de leur carrière.

COBIT 5 via son approche de cascade des objectifs se focalise sur l’identification besoins des parties prenantes. Ceux-ci sont alors traduits en objectifs de l’entreprise liant les attentes internes et externes des parties prenantes avec celles de l’entreprise.Une fois identifiés, les changements appropriés peuvent être apportés aux politiques et aux pratiques.

Pour mieux comprendre comment vous appuyer sur COBIT pour résoudre cette problématique, nous vous proposons les liens suivants :

Transformation digitale de l’économie – Cas Domino’s

La transformation digitale pousse les entreprises à adapter leurs modèles commerciaux et à se concentrer. Domino’s a réalisé qu’ils devaient passer d’un service de restauration rapide à un service digital. En utilisant l’analyse de données pour personnaliser les offres marketing auprès des clients, les clients sont attirés par un service correspondant à leur style de vie.

COBIT 5, au travers des conseils sur les services, l’infrastructure et les applications, aide les entreprises à évaluer le potentiel de la transformation numérique sur l’organisation. Cette orientation élargit la réflexion, de la définition d’une solution unique jusqu’à la mise en œuvre d’un actif holistique, intégrale et soutenant les objectifs de l’entreprise.

Si vous souhaitez mieux comprendre comment COBIT a permis à Domino’s de réussir sa transformation digitale : https://www.bernardmarr.com/default.asp?contentID=1264.

Mise en conformité au futur règlement Européen sur la protection de la vie privée – Cas WhatsApp

Le règlement sur la vie privée et les communications électroniques, qui devrait être adopté par l’UE à la fin de 2018, constitue un ajout subtil au RGPD couvrant les communications électroniques.Des consentements explicites supplémentaires seront nécessaires. L’infrastructure de communication intelligente transporte, génère, utilise et stocke des données personnelles et corporatives identifiables. Donc, de fait, les principaux services de communication tels que WhatsApp sont inclus. C’est aussi le cas des fournisseurs de cookies, d’appareils IoT et de marketing direct et e-marketing.

COBIT 5 fournit des conseils sur la façon dont les entreprises, incluant leur IT, doivent se conformer aux exigences réglementaires. COBIT peut donc aider à révéler où des consentements explicites pourraient être nécessaires.

Voici quelques liens qui peuvent vous permettre de mieux comprendre comment COBIT aide à mieux protéger la vie privée :

Le BREXIT – Cas Currency Cloud

La situation sur le BREXIT restant assez imprévisible à l’heure actuelle, les entreprises doivent donc définir des plans d’urgence afin de minimiser les impacts d’un accord non favorable. Même si une organisation n’a aucun contact avec l’UE, elle doit vérifier comment le BREXIT affecte sa chaîne d’approvisionnement et sa banque. Pour certains, comme la plateforme d’échanges financiers Currency Cloud, «pas d’accord» avec l’UE serait synonyme de devoir mettre en place une présence européenne pour obtenir leur licence opérationnelle européenne, au cas où.

COBIT 5 couvre les exigences de conformité aux réglementations, lois et autres normes. Cela aide à identifier le point de départ et les processus sur lesquels se focaliser. COBIT inclut des sections sur la continuité des opérations, couvrant la prévention, l’atténuation et le retour à la normale en cas de perturbation pour aider à identifier les possibles zones de friction.

Pour mieux comprendre comment COBIT peut aider les entreprises britanniques à affronter le BREXIT : https://www.ibtimes.co.uk/why-neither-brexit-nor-loss-passporting-will-stop-uks-fintech-momentum-1659410.

Les géants du web, nouveau risque systémique – Cas des GAFAM

Chaque entreprise est dans un marché pour acheter et vendre. Pour opérer de manière efficace et efficiente, beaucoup d’entre nous se tournent vers l’infrastructure informatique et les fournisseurs de communication offrant des solutions «guichet unique» faciles à utiliser, telles que Google, Apple, Facebook, Amazon et Microsoft. Mais c’est une épée à trois tranchants.

Le grand avantage, qui les rend si attrayants, est qu’ils devient facile d’accéder à des structures de communication et de stockage avec la sécurité et l’échelle nécessaires. Les principaux inconvénients sont :

  1. avec peu d’acteurs dominants, le contrôle sur les marchés n’est pas entre nos mains
  2. et si l’un d’eux échoue, techniquement ou commercialement, l’impact négatif sur les affaires et la vie privée sera énorme.

COBIT 5 peut aider à définir une nouvelle approche pour traiter un point de défaillance systémique. Il existe également une liste de contrôles utiles sur les questions à poser aux parties prenantes externes.

L’insécurité intégrée – Cas Expedia

Un sous-produit de la construction l’efficacité de l’entreprise de construction est de jeter les bases de l’insécurité par inadvertance. Expedia a découvert qu’une de ses filiales avait laisser fuiter des données sur ses clients. Le partage et la gestion des données, même au sein d’un même groupe, sont difficiles à contrôler car les exigences et la responsabilité sont diluées, obscurcies ou réinterprétées par le partenaire en charge du traitement des données.

Pour en savoir plus sur le cas Expedia : https://www.cnbc.com/2018/03/20/an-expedia-subsidiary-says-a-security-breach-affected-880000-cards.html.

COBIT 5 est derrière chaque entrepreneur pour l’aider

COBIT 5 est là pour nous aider à mieux réfléchir à la manière dont nous gérons et opérons. Tant de choses sont demandées aux entreprises, il est facile de rater les choses auxquelles nous devrions penser. La technologie détermine à la fois le rythme et la façon dont nous travaillons. Une bonne gouvernance est essentielle pour assurer la prospérité des entreprises.COBIT 5 est essentiel p our bien gouverner.

Pour mieux comprendre pourquoi une formation COBIT vous est indispensable : http://www.ab-consulting.fr/blog/geit/cobit-5/formation-cobit-7-raisons.

Vous aussi vous avez un cas particulier, hors du domaine IT, d’utilisation réussie de COBIT 5 dans un contexte particulier? N’hésitez pas à nous laisser votre commentaire.

Catégories

Archives

Calendrier

décembre 2018
L M M J V S D
« Nov    
 12
3456789
10111213141516
17181920212223
24252627282930
31  
%d blogueurs aiment cette page :