Home » Posts tagged 'IT Gouvernance'

Tag Archives: IT Gouvernance

Abonnez-vous à ce blog par e-mail.

Saisissez votre adresse e-mail pour vous abonner à ce blog et recevoir une notification de chaque nouvel article par email.

Transformation numérique : les conseils d’administration sont-ils prêts?

Les conseils d’administration (CA) devraient être impliqués dans la direction et le leadership de la transformation numérique de leur organisation, en prenant en considération les scénarios de risque non négligeables associés à cette mutation.

Transformation numérique : les conseils d'administration sont-ils prêts
Crédit © image par rawpixel.com

Le rôle du Conseil d’Administration de toute organisation est de s’assurer pour le compte des parties prenantes de l’Entreprise, de la création de valeur sous forme de bénéfices, tout en optimisant les risques et les ressources. Selon COBIT, le référentiel de Gouvernance publié par l’ISACA, cela passe par trois phases. La première consiste à évaluer les besoins de chacune des parties prenantes. La seconde est de prendre une décision en terme de direction à suivre par le management. Enfin, la troisième étape consiste à surveiller la performance et le progrès réalisé par l’Organisation dans la direction donnée.


«Les conseils d’administration jouent un rôle essentiel dans le processus de transformation numérique en apportant expertise, jugement, scepticisme sain et souci de la valeur à long terme.» (Deloitte)


Malheureusement les conseils d’administration ne sont pas encore prêts à superviser les technologies de l’information.  Ils le sont donc d’autant moins en ce qui concerne la transformation numérique de leur Organisation. En effet, non seulement «plus de 80% des CA pourraient ne pas avoir les compétences et les connaissances nécessaires pour gérer efficacement la technologie des entreprises et réaliser des gains stratégiques et des rendements financiers au niveau de l’entreprise» mais, de plus, les cadres mondiaux de gouvernance d’entreprise (COSO par exemple) ne font encore aucune référence significative au leadership numérique du CA.

La transformation numérique a cependant des impacts extrêmement importants sur le fonctionnement des Organisations. Le degré de focalisation requis pour garantir que la transformation numérique se concrétise comme prévu est donc très  élevé. Quels sont les problèmes à surmonter dans la structure des conseils d’administration si les organisations qu’ils supervisent doivent être durables dans le cadre de la transformation digitale actuelle? Les comités stratégiques IT du CA constituent un moyen clé de mieux superviser et contrôler la transformation numérique.

La gouvernance du SI a encore trop de mal à trouver sa place

Selon une étude du Gartner, jusqu’à 85% des projets en technologies de l’information échouent. Les défaillances informatiques détruisent la valeur pour les actionnaires en gaspillant des ressources. Ces défaillances font échouer des opportunités business et détruisent ainsi la valeur que les services informatiques auraient pu créer. Il ne fait aucun doute que ce taux d’échec continuera, voire augmentera, pour les initiatives de transformation numérique.

Une évolution dans le bon sens depuis dix ans

Le besoin de conseils d’administration ayant des compétences en technologies de l’information s’impose de plus en plus au niveau mondial. Cela leur permet d’atténuer les risques d’échec technologiques. C’est tout particulièrement important lorsque le succès stratégique et la pérennité de l’entreprise dépendent de la réussite de son informatique. La figure suivante illustre l’évolution de la gouvernance du SI ces dernières années.

L'évolution de la gouvernance du SI depuis 10 ans
Crédit © 2018 ISACA

L’exception chez les « gaulois réfractaires »

Cette gouvernance formelle du SI se matérialise de plus en plus par un comité stratégique informatique. C’est une préconisation phare de COBIT, le cadre de Gouvernance du SI publié par l’ISACA en 2012. C’est également une tendance forte dans les très grandes organisations qui ont souvent des comités stratégiques. Du moins dans les pays anglo-saxons…

conseil d'administration : l'exception chez les gaulois réfractaires

Lors d’une récente conférence destinée aux administrateurs au Canada, le consensus a été que les comités stratégiques informatique sont encore largement méconnus dans ce pays. Ils sont également ignorés dans la quasi totalité des pays francophones Européens (France, Belgique, Luxembourg) et encore plus en Afrique. A l’inverse on trouve de plus en plus souvent un comité stratégique IT dans les entreprises des pays anglophones. Est-ce à dire que l’absence de gouvernance du SI est une caractéristique liée à la langue Française? Serait-ce le syndrome du « Gaulois réfractaire » évoqué par le Président Macron récemment? Je ne saurais répondre mais le constat est hélas factuel. C’est d’autant plus inquiétant pour l’avenir économique des ces pays à l’heure de la transformation numérique mondiale.

Les conseils d’administration de l’ère digitale doivent s’adapter

Lors d’un récent congrès d’administrateurs de sociétés, une question des organisateurs portait sur le comité stratégique informatique. De façon très décevante, la réponse quasi-unanime des participants était que ni l’ampleur de leurs dépenses informatiques ni la contribution de l’informatique au risque opérationnel n’avaient été jugées suffisamment importantes pour justifier la création d’un comité stratégique distinct. C’est là une preuve supplémentaire de la totale déconnexion des membres des conseils d’administration de la réalité du changement en cours au niveau mondial. Peut-être est-ce dû au fait que, à ce jour, les conseils d’administration peuvent apparaître comme ayant fait du bon travail de gouvernance dans des entreprises de premier plan sans aucune expertise en TI dans leurs rangs? En tout cas, il y a beaucoup de choses derrière cette réponse totalement inadéquate.

D’autant que ce sont ces mêmes membres du conseil d’administration qui parlent publiquement de la transformation numérique et de l’innovation numérique! Ils sont donc apparemment inconscients de l’impact organisationnel énorme et des risques que comporte une telle mutation, qui, par définition, inclut les TI. Ce risque augmente significativement lorsque les membres du CA ne reconnaissent pas leurs responsabilités dans la gouvernance du SI.

L’évolution nécessaire de la composition du CA

Aux Etats Unis, la plupart des membres des conseils d’administration sont indépendants. C’est là une conséquence directe de la loi Sarbanes-Oxley (SOX) depuis 2002. D’ailleurs, dans le S & P 500, Spencer Stuart constate que 85% des administrateurs sont indépendants depuis 2007. Une autre conclusion intéressante de cette étude porte sur l’âge moyen de ces administrateurs qui était de 63,1 ans en 2017. En France, selon l’AGEFI, l’âge moyen des administrateurs des sociétés du CAC40 est de 58,9 ans en 2017. Il apparaît en légère hausse par rapport à 2016. Seulement 68% des membres des CA du CAC40 sont indépendants selon le même rapport de l’AGEFI en 2017.

Un problème de compétence, mais pas seulement

Une question que le Forum Economique Mondial pose aux administrateurs est de savoir si leur conseil d’administration possède des compétences numériques, multigénérationnelles et une expertise suffisante pour donner des conseils sur des sujets commerciaux et technologiques en évolution rapide. En ce qui concerne la sensibilisation au digital, Mckinsey constate que peu de CA ont une expertise numérique suffisante. Difficile donc d’avoir des échanges significatifs sur ce sujet important avec la direction à l’ère de la transformation digitale. Par ailleurs, avec une moyenne d’âge de 63,1 ans (59,9 ans en France), il est difficile de qualifier le conseil d’administration moyen de multigénérationnel.

 L’âge moyen des membres du conseil d’administration en question

Cela complète les conclusions d’une enquête menée par le Harvard Law School Forum impliquant 860 administrateurs de sociétés publiques. De nombreux membres du conseil d’administration ne sont pas à l’aise avec la supervision informatique car, avec un âge moyen de 63,1 ans:

  • L’expérience professionnelle de la plupart des membres du conseil d’administration est antérieure à l’ère de la transformation digitale des organisations;
  • Très peu d’administrateurs ont simplement des connaissances de base en technologies de l’information.

Ce n’est donc pas que les conseils d’administration en général ne souhaitent pas une gouvernance informatique accrue. C’est plutôt que les administrateurs en place n’ont tout simplement pas les compétences ou l’expérience nécessaires pour comprendre pourquoi ou quand ils ont besoin de gouvernance informatique ou même d’un comité stratégique informatique. Les conseils d’administration peuvent-ils être négligents en n’ayant pas de compétences en informatique à bord et, par conséquent, ne pas être en mesure de poser des questions approfondies de supervision des TI au-delà des questions d’audit générales du comité d’audit? La réponse est «non», les conseils ont le devoir fiduciaire d’avoir un minimum de compétence en informatique.

Le vice-président du Comité d’Hygiène et de Sécurité du CA de Delta Air Lines a bien résumé la situation :


Les conseils d’administration doivent être préparés avec les compétences, la technologie et les processus appropriés. Hélas, la plupart des CA échouent sur la majorité ou la totalité de ces exigences.


Dans le cadre de la transformation digitale de l’économie, il est temps que les actionnaires repensent la façon dont ils votent pour les membres du CA lors de leurs assemblées générales annuelles (AGO).

Le périmètre de la transformation digitale mal compris

L’une des clés pour mieux comprendre l’approche des administrateurs est l’écoute de leurs remarques face aux technologies de l’information. Le mot spécifique qu’ils utilisent le plus souvent, c’est «dépenser» (coût). Or le coût est plus en adéquation avec l’informatique opérationnelle qu’avec la transformation numérique. Cela signifie que les membres des conseils d’administration  semblent voir l’informatique uniquement sous l’angle des coûts opérationnels. Ils n’ont pas une approche incluant aussi les  opportunités. C’est pourquoi ils trouvent acceptable de «gouverner» l’informatique par le biais du comité d’audit. S’appuyant sur les constatations citées à la figure 1, la gestion des TI au sein du comité d’audit n’est pas satisfaisante. C’est d’autant plus vrai lorsque la transformation numérique est un objectif stratégique de l’Entreprise.

Lors d’une discussion récente que j’avais avec un administrateur d’une grande société Française cotée au CAC40 et figurant parmi les leaders mondiaux de son domaine, il me disait « La transformation numérique? C’est juste de la technologie. Et la technologie suivra toujours ». Cela révèle pour le moins une incompréhension du périmètre de la transformation numérique par ceux-là même qui doivent la superviser. Ce n’est clairement pas de bon augure pour les organisations concernées.

Cette approche uniquement basée sur les coûts est aujourd’hui largement dépassée. Elle suggère qu’il n’y a peut-être pas de véritable transformation digitale dans ces organisations. Cela va à l’opposé des commentaires publics apparemment tournés vers l’avenir des membres du conseil d’administration.

Cybersécurité, compétitivité, intégration stratégique et transformation numérique

L’informatique a longtemps été beaucoup plus axée sur la durabilité organisationnelle et le positionnement stratégique que sur le coût de l’automatisation des processus. Bien sûr, le conseil d’administration continue de devoir s’intéresser à la gouvernance. Il est cependant peu probable que de nombreux administrateurs soient en mesure de discerner le rôle de l’informatique dans la réalisation des préoccupations de Deloitte concernant la création de valeur à long terme.

Recommandations aux actionnaires et aux membres du CA

La gouvernance du système d’information, pilotée par KING III, ISO / IEC 38500 et COBIT, a été formalisée depuis 2008 au moyen de la norme ISO / IEC 38500. Si l’informatique est simplement opérationnelle dans une organisation, la gouvernance informatique ne doit pas dépasser la charte des coûts du comité d’audit et risque. Mais si l’activité de l’Entreprise dépend de façon stratégique de son informatique, y compris dans un contexte de transformation digitale, alors, conformément à la norme ISO / IEC 38500, le conseil d’administration a trois responsabilités principales:

  • Evaluer continuellement les performances informatiques dans le cadre de la stratégie organisationnelle;
  • Réorienter continuellement l’informatique si ses performances compromettent la stratégie de l’organisation;
  • Surveiller en permanence les performances informatiques pour s’assurer que la stratégie de l’entreprise sera livrée aux actionnaires.

Un outil efficace : le comité stratégique TI

Les problèmes business critiques tels que celui évoqué dans cet article prennent beaucoup de temps pour être résolus. Il est donc nécessaire de réagir efficacement. La création d’un comité stratégique TI est indubitablement un outil efficace pour y remédier. Incontestablement, le sujet des systèmes d’information a depuis longtemps dépassé les domaines d’audit et de risque de base. Des organisations importantes telles que Wallmart en ont tiré les conséquences. Ainsi Wallmart s’est doté d’un comité stratégique TI dédié au niveau du conseil d’administration. Il ne faut surtout pas croire hâtivement qu’un comité stratégique TI est technique. Ce n’est pas du tout le cas. Les responsabilités énumérées dans le paragraphe précédent, ainsi que des sujets tels que la compétitivité, la transformation et la durabilité fondées sur l’informatique, sont clairement stratégiques.

Bien que la gouvernance informatique ait continué à se développer au cours de la dernière décennie et soit devenue la gouvernance du SI, le chemin à parcourir est encore long. Non seulement il n’ya pas de discussion majeure sur le leadership numérique au sein des cadres de gouvernance d’entreprise au niveau mondial, mais les administrateurs ne semblent pas encore avoir les aptitudes et les compétences nécessaires pour gérer correctement les initiatives de transformation numérique.

Une nécessité : le renouvellement des conseils d’administration

Que peut-on faire dans cette situation? En règle générale, les administrateurs sont élus lors de l’assemblée générale annuelle (AGO) par les actionnaires. Dans les organisations où la durée du mandat est limitée, les administrateurs devraient être renouvelés et bénéficier de nouvelles perspectives sur le rôle et les risques. en transformation numérique. Les actionnaires détiennent généralement une partie du pouvoir nécessaire pour remplacer les administrateurs actuels au sein des conseils d’administration. Ils ont par conséquent des moyens d’action sur les membres du CA. Ils peuvent donc s’assurer que les administrateurs possèdent des connaissances de base en informatique.

La question est de savoir si ils le veulent vraiment ou si les facteurs générant des gains à court terme (croissance du prix des actions) sont plus importants que la viabilité à long terme. Ces deux objectifs sont totalement incompatibles. Et c’est là que se situe une partie du problème.

Restons positifs malgré tout

On commence, dans certaines entreprises, à apercevoir une lueur au bout du tunnel. Quelques Organisations, auprès desquelles j’interviens comme conseil, ont unanimement considéré que la durabilité par le biais de la transformation numérique exige plus qu’un simple créneau dans les ordres du jour plus larges des comités d’audit ou des risques.

Au lieu de cela, dans le contexte de la transformation digitale, le service informatique mérite un degré de gouvernance spécialisé qui ne peut lui être accordé que par le biais d’un comité stratégique informatique dédié. C’est une première étape encourageante. Il faut maintenant oeuvrer pour que cela se développe et se généralise. C’est en s’appuyant sur des cadres de gouvernance tels que COBIT ou ISO 38500 qu’on a quelques chances d’y parvenir. Malheureusement cette mutation est très lente. Et pas sûr que les conseils d’administration aient le temps d’évoluer avant que la situation ne devienne critique.

Cybersécurité : rôle et responsabilités du Conseil d’Administration

Les cyber-menaces sont complexes et en constante évolution. Elles peuvent aussi causer d’importants dommages financiers et de réputation à une Organisation. De plus, il n’y a aucun moyen d’être protégé à 100%. C’est pourquoi la cybersécurité ne relève plus uniquement des services informatiques. Les Conseils d’Administration sont les premiers responsables de la survie de leur organisation et, dans le monde interconnecté d’aujourd’hui, la cyber-résilience fait partie intégrante de cette responsabilité. Cela signifie que le Conseil d’Administration à un rôle actif à jouer et doit assurer ses responsabilités en matière de cybersécurité.

Cybersécurité : rôle et responsabilités du Conseil d'Administration
Crédit © image by rawpixel.com

En charge de la Gouvernance de leur Organisation, les Conseils d’Administration s’assurent de l’optimisation des risques et des ressources. Dans un monde en pleine transformation digitale, ils devraient donc considérer le cyber-risque comme prioritaire. Ceci implique qu’ils devraient jouer un rôle de leader en matière de cybersécurité au sein de leur Entreprise. Dans ce cadre, voici donc quelques responsabilités en matière de sécurité informatique qui leur incombent directement.

Principes de base en matière de cyber sécurité

COBIT, référentiel de bonnes pratiques en gouvernance des Entreprises, définit un certain nombre de principes de base pour gouverner une Organisation. Le Manuel de l’Administrateur sur la surveillance des risques lés au cyber espace, publié aux USA par L’Association Nationale des Administrateurs de Sociétés (NACD) définit également le rôle et les responsabilités du C.A. en matière de cybersécurité. Cinq principes se dégagent. Ces principes de base sont universels. Ils s’appliquent à toute Organisation, publique, privée ou même à but non lucratif, quelles que soient sa taille, son domaine d’activité ou sa localisation. Ils devraient donc être pris en considération par  tous les C.A. afin d’améliorer leur surveillance des cyber-risques.

1 – La cybersécurité est une problématique d’Entreprise et non une problèmatique technologique

Les administrateurs doivent comprendre et aborder les questions de la cybersécurité en tant que sujet de gestion des risques à l’échelle de l’entreprise, et pas uniquement en tant que sujet informatique.

Il est toujours aussi surprenant de constater combien d’entreprises associent encore la sécurité des informations ou la cybersécurité à l’informatique. Certes, la plupart des signalements d’incidents de sécurité proviennent de l’informatique, Mais on ne peut pas s’y limiter car les impacts se font sentir à l’échelle de toute l’organisation. Les compétences requises pour gérer les risques et traiter les problèmes doivent donc se situent au niveau global de l’organisation. Le Conseil d’Administration doit comprendre que tout miser sur la technologie est une grave erreur.  C’est d’ailleurs la cause sous-jacente d’un grand nombre de violations majeures.

2 – Comprendre les implications juridiques et réglementaires des cyber-risques

Les administrateurs doivent comprendre les implications légales et réglementaires des cyber-risques dans la mesure où ceux-ci se rapportent au caractère spécifique de leur Organisation.

Avec la fonction vient la responsabilité. La direction et le conseil d’administration sont considérés comme responsables ultimes des cyber-risques. Ces derniers mois, de nombreux piratages importants se sont produits et, dans de nombreux cas, ils ont perdu leur poste. Gregg Steinhafel, Président du Conseil d’Administration et Directeur Général de Target, a été contraint de démissionner de toutes ses fonctions à la suite de la violation massive des données de l’Entreprise en 2013. Et plus récemment, le Directeur Général d’Equifax, Richard Smith, a du démissionner à la suite de l’important piratage informatique qui a compromis les données d’environ 143 millions d’Américains.

3 –  S’appuyer sur l’expertise adéquate et mettre la cybersécurité à l’orde du jour

Les conseils d’administration devraient avoir un accès adéquat à l’expertise en matière de cyber-risques et de cybersécurité. D’autre part, les discussions sur la gestion des risques informatiques devraient faire l’objet d’une point régulier à l’ordre du jour des réunions du conseil. Il est également très important de pouvoir accorder un temps suffisant aux discussions sur ce sujet important. Il est de plus en plus courant de voir des membres du conseil d’administration qui ont un bagage technologique ou en sécurité. Cette expertise peut vraiment aider à sensibiliser les autres administrateurs. C’est la prise de conscience qui permet de gagner la bataille contre les cybercriminels.

4 – Mettre en oeuvre un cadre de sécurité pour l’Entreprise doté de ressources suffisantes

C’est la responsabilité du Conseil d’Administration de s’assurer de la mise en place d’un cadre de gestion des risques au niveau de l’Entreprise. La Direction doit être en charge de sa mise en oeuvre, de sa surveillance et de son suivi. Il est essentiel que le Conseil d’Administration lui donne les ressources nécessaires pour atteindre cet objectif. Ces ressources devront comprendre le personnel adéquat, les budget et les outils et technologies indispensables.

Pour la définition du cadre de risques, il est toujours plus facile d’appuyer sur des référentiels existants et éprouvés. Ainsi aux USA, il sera pertinent de s’appuyer du le référentiel NIST CSF. Ce cadre a été élaboré par le  National Institute of Standards and Technology . Il a pour but de permettre aux organisations – indépendamment de la taille, du degré de cyber-risque ou de la sophistication de la cybersécurité – d’appliquer les principes et les meilleures pratiques de gestion des risques à l’amélioration de la sécurité et de la résilience des infrastructures critiques. En Europe, NIST CSF est quasi inconnu. On pourra utiliser comme base de travail les normes ISO 27001 (Systèmes de management de la sécurité de l’information) et ISO 27005 (Gestion des risques liés à la sécurité de l’information).

Il existe de nombreuses autres sources également très intéressante pour l’élaboration de votre cadre de risque. Parmi celles-ci, vous  pouvez également  vous appuyer sur la publication COBIT for risk de l’ISACA.

Une chose est sûre : il est inutile de réinventer la roue!!!

5 – Identifier les risques, prioriser, définir l’approche et planifier

La discussion du conseil d’administration sur les cyber-risques devrait inclure l’identification des risques à éviter, à accepter, à atténuer ou à transférer par le biais de l’assurance, ainsi que des plans spécifiques associés à chaque approche.

Une gestion efficace du risque de cybersécurité nécessite une compréhension de l’importance relative des actifs de l’entreprise afin de déterminer la fréquence à laquelle ils devront être examinés pour détecter les expositions au risque. Ce n’est pas une tâche simple. Il faut beaucoup de réflexion et d’efforts, ainsi qu’une grande expertise en cybersécurité.

Exigences légales et réglementaires

Les industries les plus matures ont également des directives et des exigences réglementaires sectorielles en ce qui concerne les responsabilités en matière de cybersécurité du conseil d’administration. C’est par exemple  cas du secteur financier et bancaire. Certaines exigences réglementaires et légales sont aussi à l’étude au niveau des états. Parmi ces réglementations présentant des exigences en matière de sécurité des informations, on peut citer le RGPD.

Le RGPD (ou GDPR en Anglais) est la réglementation européenne sur la protection des données personnelles. Elle s’impose à toute Organisation publique ou privée traitant les données personnelles de citoyens européens. Le RGPD comporte plusieurs exigences précises en matière de cybersécurité des données personnelles. Le non respect de cette réglementation expose l’Organisation contrevenante, quelle que soit sa localisation dans le monde à une amende pouvant atteindre 4% de son chiffre d’affaire mondial avec un minimum de 20 millions d’Euros. La conformité réglementaire et légale est une responsabilité de la Gouvernance. Il s’agit donc d’une responsabilité du Conseil d’Administration. Déjà plusieurs Entreprises ont été sanctionnées en France par la CNIL pour non conformité au RGPD. Et, à chaque fois, il s’agissait de problématiques liées à la sécurisation de données dans leur système informatique.

Responsabilités du Conseil d’Administration

Le Conseil d’Administration assure la responsabilité de Gouvernance de l’Organisation. Gouverner une organisation consiste à s’assurer de la création de bénéfices pour les parties prenantes en optimisant les risques et les ressources. Ceci peut être représenté par le diagramme suivant extrait de COBIT.

Responsabilités de la Gouvernance et du Management - COBIT
Crédit © 2012 ISACA

Le Conseil d’Administration a pour responsabilité d’évaluer les bénéfices attendus, les risques et les ressources nécessaires (Evaluate). Il devra, suite  à cette évaluation, donner l’orientation à suivre (Direct). Il a également la responsabilité de surveiller la performance et les progrès réalisés (Monitor).

Evaluer les besoins, les risques et les ressources

Une évaluation de la posture de la cybersécurité est une première étape utile pour toute organisation qui souhaite identifier sa position actuelle en matière de cybersécurité, ses faiblesses, les risques encourus et ce qu’elle doit entreprendre pour augmenter son niveau de maturité. C’est là une étape importante pour permettre à toute organisation de renforcer ses défenses en matière de cybersécurité. Le Conseil d’Administration pourra dès lors prioriser les risques et fournir une feuille de route concrète à la Direction.

En quoi consiste votre posture de cybersécurité?

Selon le National Institute of Standards and Technology (SP 800-128 de NIST), une posture de cybersécurité se rapporte à «l’état de sécurité des réseaux, informations et systèmes d’une entreprise basé sur des ressources de sécurité de l’information (personnes, matériel, logiciels, stratégies). ) et des capacités en place pour gérer la défense de l’entreprise et réagir à mesure que la situation change ».

En d’autres termes, votre posture de cybersécurité indiquera à quel point votre entreprise est saine et cyber-résiliente. Elle indiquera à quel point l’organisation peut se défendre contre les cyberattaques, les violations et les intrusions. Définir votre posture de cybersécurité est donc important. En effet, cela guidera toute votre stratégie de cybersécurité, déterminera vos projets et influencera vos dépenses en la matière au fil des ans.

Signification des niveaux de maturité

  • Un niveau de maturité faible de la cybersécurité faible signifie généralement des défenses faibles. L’organisation  court donc un risque élevé. Elle nécessite par conséquent des améliorations significatives à plusieurs niveaux pour renforcer sa posture de cybersécurité et protéger ses actifs essentiels contre les violations et les intrusions.
  • Si le niveau de maturité est moyen c’est généralement indicatif de défenses de cybersécurité moyennes. L’organisation a alors pris plusieurs mesures pour sécuriser ses actifs critiques. Elle est cependant toujours en danger et il reste encore beaucoup à faire.
  • Un niveau de maturité élevé indique généralement de solides défenses. Cela signifie que l’organisation a mis en œuvre les stratégies, processus et procédures nécessaires pour optimiser sa posture de cybersécurité. Elle est conscients de ses actifs critiques et est préparée à faire face à des incidents de sécurité en toute confiance.

Donner l’orientation à la haute direction

Le Comité Stratégique IT

Le Conseil d’Administration définit l’orientation concernant l’utilisation de l’informatique par l’Organisation. Le Conseil d’Administration doit approuver le plan stratégique informatique, le programme de sécurité de l’information et les autres politiques liées aux TI. Pour ce faire, le Conseil d’Administration peut créer un  comité stratégique en charge des problématiques IT. Ce Comité Stratégique IT sera présidé par un membre du Conseil et aura notamment les responsabilités suivantes :

  • Examiner et approuver un plan stratégique informatique qui s’aligne sur la stratégie d’entreprise globale;
  • Promouvoir une gouvernance informatique efficace;
  • Superviser les processus d’approbation des fournisseurs tiers de l’organisation;
  • Superviser et recevoir des mises à jour sur les principaux projets informatiques, les budgets informatiques, les priorités informatiques et les performances informatiques globales;
  • Approuver les politiques à appliquer et signaler les incidents de sécurité importants au conseil d’administration;
  • Superviser l’adéquation et l’allocation des ressources informatiques pour le financement et le personnel;
  • Tenir la direction responsable de l’identification, de la mesure et de l’atténuation des risques informatiques;
  • Assurer une couverture d’audit indépendante, complète et efficace des contrôles informatiques.

Le recours à des sous-traitants pour la fournitures de certains services

Le Conseil d’Administration et la haute Direction devraient établir et approuver des politiques fondées sur les risques pour régir le processus d’impartition. Les politiques devraient reconnaître le risque pour l’Organisation d’externaliser les relations. Elles devraient également être adaptées à la taille et à la complexité de l’Organisation. Les facteurs que les Entreprises devraient envisager sont les suivants:

  • S’assurer que chaque relation d’impartition appuie les exigences globales et les plans stratégiques de l’organisation;
  • S’assurer que l’organisation dispose d’une expertise suffisante pour superviser et gérer la relation;
  • Evaluer les prestataires potentiels en fonction de la portée et de la criticité des services externalisés;
  • Adapter le programme de surveillance des prestataires de services à l’échelle de l’entreprise en fonction des évaluations des risques initiales et continues des services externalisés;

Surveiller la performance de l’organisation et les progrès

L’audit

  • Le Conseil dAdministration et la haute direction ont la responsabilité de veiller à ce que le système de contrôle interne de l’établissement fonctionne efficacement;
  • Le Conseil d’Administration devrait s’assurer que des directives écrites pour la conduite des audits informatiques ont été adoptées;
  • Le Comité d’Audit (sous la responsabilité du C.A.) est chargé d’examiner et d’approuver les stratégies d’audit (y compris les politiques et les programmes) et de surveiller l’efficacité de la fonction d’audit.

 

7 raisons de suivre une formation COBIT

Formation COBIT : Pour qui et pourquoi?

Au moment d’adopter COBIT® 5 en tant que cadre pour la Gouvernance et le Management de l’Information, de nombreuses questions se posent. Tout d’abord, l’entreprise comprend-elle parfaitement ce que signifie la gouvernance et la gestion l’Information d’Entreprise et de la Technologie Associée (GEIT)? Les professionnels de la gouvernance de l’entreprise savent-ils comment évaluer efficacement l’état actuel du système d’information de l’entreprise dans le but de déterminer quels aspects de COBIT® 5 mettre en œuvre? L’entreprise est-elle en mesure de réaliser une évaluation pour déterminer l’aptitude d’un processus défini?

7 raisons de suive une formation COBIT

Pourquoi une formation COBIT?

La formation COBIT® 5 constitue, bien évidemment, un aspect important pour pouvoir s’assurer que les professionnels de la Gouvernance du SI ont les réponses à leurs questions et deviennent des professionnels compétents sur COBIT®.

Bien que de nombreux concepts puissent sembler familiers aux personnels du domaine informatique, cette version évolutive intègre les dernières réflexions sur les techniques de Gouvernance et de Gestion de l’Information des Entreprises et fournit des principes, des pratiques, des outils analytiques et des modèles reconnus dans le monde entier.

COBIT 5 porte sur la Gouvernance et le Management du Système d’Information et non sur l’Informatique. L’informatique ne constitue qu’une faible partie du Système d’Information. L’information est partout dans l’Entreprise. Contrairement aux idées reçues, seule une très faible partie est gérée par la technologie. Il est donc essentiel de ne pas se limiter au domaine informatique. La réalisation d’un programme de formation approprié pour les professionnels des métiers de l’Entreprise sur ce qu’est vraiment COBIT et comment il peut être utilisé et mis en œuvre est absolument essentielle. Bien sûr les technologies de l’information sont également concernées mais à moindre titre.

Une formation COBIT pour qui?

La formation COBIT est d’abord destinée aux membres des conseils d’administration et des comités de direction ainsi qu’aux directions métiers. Les auditeurs IT / IS, les auditeurs internes, la sécurité de l’information sont également ciblés. Les consultants et les membres de la direction du SI et des TI, qui ont besoin de connaître la GEIT, en tireront également un grand bénéfice.

7 bénéfices clés d’une formation COBIT

Une formation sur le référentiel COBIT profitera tout autant à l’organisation qu’aux personnes qui auront la chance d’y participer. Examinons 7 de ces bénéfices, en gardant à l’esprit qu’il en existe bien d’autres.

1 – Amélioration de l’efficacité et de la productivité

Une formation COBIT 5 fournit les outils et les connaissances indispensables à l’utilisation de COBIT. Les professionnels comprendront mieux ce que signifie la GEIT et comment ce concept peut être appliqué à leur entreprise. Chaque individu en tirera une appréciation plus pratique de la façon d’appliquer COBIT 5 à des problèmes spécifiques d’entreprise, des points de douleur, des événements déclencheurs et des scénarios de risque. Les rôles et les responsabilités de chacun au sein de l’organisation, en relation avec COBIT, seront clairement définis (facilitateur 3), entraînant un accroissement de productivité et d’efficacité dans l’entreprise. Cette meilleure compréhension des rôles et responsabilités permettra de mieux gérer les ressources et les risques. L’ensemble de ces concepts sont étudiés dans la formation COBIT Foundation qui sert de point d’entrée dans le cursus.

2 – Renforcer la confiance et la valeur créée par les systèmes d’information

Les cours de formation COBIT 5 fournissent aux participants les concepts et les principes clés leur permettant de découvrir comment évaluer l’état actuel de leur système d’information d’entreprise, dans le but de déterminer quels aspects de COBIT 5 seraient les plus prioritaires à mettre en œuvre. La confiance provient du fait que chacun connaîtra son rôle et disposera des outils et des connaissances nécessaires pour mettre en œuvre et évaluer efficacement la Gouvernance et le Management de l’Information dans son Entreprise.

3 – Positionnement spécifique

La connaissance de COBIT par le professionnel de la Gouvernance lui permettra de bien dissocier les activités de Gouvernance des activités de Management. La Gouvernance consiste à Diriger, Evaluer et Surveiller la performance. Le Management Planifie, Construit, Exploite et Contrôle. Les formations COBIT 5 confèrent aux participants une connaissance inégalée en matière de Gouvernance et de Management de l’Information dans l’Entreprise sous la forme de concepts, de principes et de processus. Cette connaissance est cruciale pour l’évaluation de la capacité de l’Entreprise à créer de la valeur. Elle est également indispensable pour mettre en oeuvre un système de Gouvernance et de Management adapté. En outre, COBIT® est évolutif. Une formation accréditée permet ainsi au professionnel d’être à la pointe des connaissances et de la pratique.

4 – Accroissement de la confiance et de la capacité

Une formation COBIT permet aux participants d’affiner leurs compétences et d’améliorer la compréhension des risques IT. Elle permet notamment d’améliorer la prise de décisions éclairées pour réduire les incidents de sécurité de l’information. Cette compréhension et la sensibilisation au risque sont essentielles pour améliorer la prévention, la détection et la résilience aux incidents. Le professionnel COBIT sera capable de fournir des outils à son Organisation pour maintenir des informations de haute qualité lui permettant de prendre les décisions commerciales avisées et de l’aider à respecter les exigences réglementaires, légales ou gouvernementales. Ces connaissances permettront de mettre en place un programme d’amélioration continue en s’appuyant sur la formation COBIT Implementation.

5 – Crédibilité

Les organismes de formation COBIT accrédités par l’ISACA qui offrent des formations et des examens de certification doivent d’abord passer un processus d’agrément méticuleux. Les formateurs accrédités sont évalués régulièrement au travers d’audits sur site de leur compétence et de leur pédagogie. Les participants à une formation auprès d’un organisme de formation accrédité sont donc certains de la qualité de la formation qu’elles reçoivent. Les entreprises peuvent vérifier que l’organisme de formation auquel ils font appel est bien accrédité par APMG ou par Peoplecert. Les examens sont rigoureux, stimulants et cohérents, et, en conséquence, les participants peuvent être fiers de leur réussite. En outre, les employeurs peuvent vérifier auprès de l’ISACA si leurs employés sont vraiment titulaires d’une certification COBIT.

6 – Alignement de la sécurité de l’information avec la stratégie de l’organisation

La cascade d’objectifs est un outil essentiel pour aligner les objectifs de l’informatique avec les objectifs de l’Entreprise. Les participants à une formation COBIT apprendront à maîtriser cet outil très puissant. Ils seront ainsi en mesure d’assurer que la sécurité de l’information est bien alignée à la stratégie de l’Entreprise. Ceci leur permettra de s’assurer que la tolérance au risque de l’Organisation est bien respectée tout en maximisant les bénéfices et en optimisant les ressources. Ainsi, il leur sera plus facile de prendre les bonnes décisions tout en économisant les ressources et les budgets. Grâce à cette connaissance, la sécurité ne sera plus un sujet exclusivement technique. Selon une étude d’IBM, 95% des attaques réussies sur les données ne proviennent pas de l’informatique. Il est donc primordial de ne pas laisser ce sujet entre les mains des informaticiens.

7 – Assurance de l’aptitude de l’organisation à créer de la valeur

Grâce à la méthode d’évaluation d’aptitude des processus basée sur la norme ISO 15504, les auditeurs internes participant à une formation COBIT apprendront à s’assurer de l’aptitude de l’Entreprise à créer de la valeur. Il s’agit là d’un élément très important. Le programme d’évaluation de COBIT 5 se focalise sur l’aptitude plutôt que sur la maturité. C’est une approche radicalement différente de la plupart des autres cadres d’audit. La maturité correspond à la façon dont une organisation travaille. Ce qui est audité c’est l’application de processus formalisés au sein de l’Organisation. A l’inverse, l’aptitude fait référence à la qualité des processus et à leur capacité à délivrer de la valeur. C’est une autre approche extrêmement importante qui sera approfondie dans la formation COBIT Assessor.

Il sera ainsi possible d’auditer l’aptitude, par exemple, du processus de gestion des ressources humaines. Cela permettra également d’évaluer la qualité du système de Management de l’Entreprise. Une autre évaluation possible pourra concerner les risques, par exemple en matière d’éthique.

En savoir plus et échanger avec nos experts

Pour en savoir plus ou échanger avec nos experts, n’hésitez pas à nous laisser un commentaire. Nous vous répondrons alors avec grand plaisir. Si vous avez suivi une formation COBIT 5 ou si vous utilisez COBIT 5 dans votre entreprise, n’hésitez pas à nous laisser votre témoignage. Nous serons heureux de le relayer.

 

La version Française du Guide de mise en oeuvre COBIT 5 est disponible

Ca y est enfin!! Le guide « COBIT 5 Mise en oeuvre » est désormais disponible en Français. De longues semaines d’investissement personnel de l’équipe de traduction auront été nécessaires. Il n’est jamais simple de traduire un guide de bonnes pratiques ou de mise en oeuvre. L’Anglais est une langue typiquement orientée « business » et donc assez rigoureuse. A l’opposé, le Français est une langue plus orientée vers la littérature ou la diplomatie et dans laquelle, soit les termes anglais n’ont pas d’équivalent ou, pire encore, sont le plus souvent traduits par des termes erronés (les fameux faux-amis sur lesquels tous les élèves ont trébuché pendant leur parcours scolaire).

COBIT 5 Mise en Oeuvre

Bon, en ce qui concerne cette publication, l’honnêteté nous impose d’admettre que ce n’est pas réellement une version Française. C’est plutôt une version Québécoise, car réalisée par l’équipe du chapitre (tiens, encore un mot qui n’a pas d’équivalent direct en Français) ISACA de Québec, avec seulement deux contributions externes, l’une d’un expert en Gouvernance de Montréal (toujours au Québec) et l’autre de votre serviteur, seul Français (encore que résident en Côte d’Ivoire) à avoir participé à la préparation de cette version Française.

Les raisons d’une absence totale de la France

Mais pourquoi donc une version Française dans laquelle aucun Français (de France) ne s’implique? La question mérite d’être posée. Les réponses sont multiples et malheureusement assez désespérantes:

  • Une incompréhension totale, en France de ce que sont la Gouvernance et le Management, et donc un intérêt très faible pour le sujet,
  • Une mauvaise interprétation de la notion de création de valeur, comprise uniquement comme une valeur financière et focalisée majoritairement sur une réduction des coûts,
  • Un contexte légal basé sur un modèle hérité à la fois de systèmes monarchiques et « communistes » qui conduit irrémédiablement à la destruction de valeur au lieu de la création, qui ne favorise pas l’adoption du cadre COBIT,
  • Des structures organisationnelles et gouvernementales ne permettant pas de séparer la gouvernance du management,
  • Une culture, une éthique et des comportements inadéquats (particulièrement visibles en France en cette période électorale),
  • Une gouvernance et une gestion anarchique de l’information conduisant à des excès et induisant des conséquences catastrophiques,
  • Une technologie mal utilisée et mal exploitée pour la création de valeur et laissée entre les mains de techniciens et d’ingénieurs,
  • Un modèle éducatif et une gestion de la formation continue déconnectés des réalités et des besoins des organisations.

Nous reviendrons plus en détail sur ces raisons avec un autre article dans les prochains jours. Cependant les lecteurs connaissant COBIT® 5 auront reconnu là des faiblesses au niveau des facilitateurs (en Anglais on les nomme « enablers » ce qui est beaucoup plus fort que  facilitateur mais n’a pas de traduction littérale) d’une bonne gouvernance et d’un management efficaces qui manquent cruellement à la France.

A cela, il faut bien rajouter, mais peut-on encore leur en vouloir après ce que nous venons de dire, une absence totale de volonté de l’AFAI (chapitre Français de l’ISACA) de s’investir de quelque façon que ce soit dans la promotion de COBIT® 5 qui n’assure pas, aujourd’hui, compte tenu du modèle économique imposé par ISACA HQ, un bénéfice suffisant pour les membres Français. Or, en France, il est d’usage que la création de valeur s’évalue au niveau personnel et non au niveau d’une organisation. En d’autres termes, si je participe à ces travaux, qu’est-ce que j’y gagne personnellement?

Le marché pour une version Française des bonnes pratiques

La Francophonie compte aujourd’hui un peu moins de 280 millions de personnes dans le monde, réparties de la façon suivante (source: organisation internationale de la Francophonie)

  • environ 8% en Amérique du Nord (majoritairement au Canada)
  • 37% en Europe (majoritairement en France)
  • près de 54% en Afrique (où la culture et les institutions sont calquées sur la France, héritage de la colonisation)
  • autour de 1% dans le reste du monde.

Qu’est-ce qui fait la différence entre le Canada (ou plus précisément le Québec) et les pays francophones européens et africains? J’apporterai deux réponses:

  • La culture nord-américaine fortement ancrée au Canada, intégrant les bonnes pratiques de Gouvernance et de Management largement répandues dans cette partie du monde,
  • Des lois imposant l’usage de modèles intégralement francisés dans les organisations Québécoises, ce qui n’est pas le cas en Europe, ni en Afrique francophone.

Il est donc clair que l’environnement légal favorise l’adoption des bonnes pratiques décrites par COBIT 5 au Canada et qu’au contraire l’environnement local défavorise et décourage les bonnes pratiques basées sur COBIT 5 en Europe et en Afrique Francophones.

Il apparaît ainsi clairement que le marché pour une traduction Française du cadre COBIT 5 et de son guide de mise en oeuvre se situe majoritairement en Amérique du Nord. C’est donc fort logiquement que ce sont les Québécois qui font l’effort. Malheureusement, cela décourage encore un peu plus les Français d’adopter COBIT 5 et de s’appuyer sur le guide de mise en oeuvre pour lancer des initiatives d’amélioration de la Gouvernance et du Management car ils voient ces pratiques comme étant issues de la culture Américaine. De plus ils considèrent que le Québécois n’est pas le Français tel qu’il est parlé en Europe et en Afrique. Et ce n’est pas faux…

 COBIT 5 Mise en Oeuvre – Juste une référence indispensable

La publication de la version française du guide de mise en oeuvre vient complèter le référentiel et le modèle de référence des processus COBIT 5 déjà traduits par la même équipe qu’il convient de féliciter pour leur excellent travail.

Toutefois, il faut bien rappeler que ce guide ne décrit pas la mise en oeuvre du cadre de gouvernance et de management COBIT 5 mais la mise en oeuvre des sept facilitateurs soutenant la gouvernance et management de l’information dans l’Entreprise. Il s’agit en fait de la méthodologie extrêmement efficace et efficiente de gestion d’un programme de mise en oeuvre ou d’amélioration continue, décrite par COBIT et basée sur trois composants hérités des normes et bonnes pratiques du marché :

  1. l’amélioration continue en sept étapes (similaire à ITIL)
  2. la facilitation du changement (héritée des bonnes pratiques de Change Management)
  3. la gestion de programme et de projets (issue de PRINCE2, PMBok et M_o_P)

Gageons que la version Française du guide de mise en oeuvre sera une aide efficace pour les utilisateurs francophones et sera un réel succès.

CISA 12 trucs utiles pour l’examen

Les 12 astuces pour réussir votre CISA

Ca y est vous vous êtes décidé à passer l’examen pour obtenir la certification CISA? Vous savez pourtant que le taux de réussite à l’examen n’est pas très haut alors que le tarif, lui, est plutôt élevé. Malgré cela, l’attrait de cette certification qui figure parmi les plus recherchées par les Entreprises et parmi les 6 certifications les plus rémunératrices vous a convaincu. Bienvenue au club!!! Maintenant vous voilà pris au piège. De plus vous êtes condamné à réussir l’examen pour ne pas perdre vos frais d’inscription. Nous allons essayer de vous aider avec quelques conseils pratiques.

12 trucs pour passer le CISA
Crédits © STUDIO GRAND OUEST

Pourquoi tenter le CISA?

Le monde de l’audit des systèmes d’information s’est développé à une vitesse vertigineuse ces dernières années. Par conséquent la demande pour les auditeurs des SI et des professionnels de la sécurité a explosé. Récemment, le champ d’application pour les professionnels certifiés CISA s’est élargi, encourageant un plus grand nombre de professionnels de la sécurité à passer l’examen CISA. Il en résulte donc une demande en forte hausse pour les détenteurs de certification CISA.

La plupart des Banques Centrales et des instituts financiers à travers le monde ont commencé à embaucher des professionnels certifiés CISA pour réaliser des audits de sécurité efficaces. Cela s’accompagne d’une hausse des salaires correspondant. Les salaires des titulaires du CISA se situent parmi les plus élevés dans le domaine de la sécurité. C’est également vrai sur l’ensemble du secteur de l’informatique en général.

Aujourd’hui, plus de 125.000 professionnels dans le monde ont réussi cette certification. Parmi eux, près de 3.000 sont membres d’un comité de direction (DG, DAF ou équivalent). Le CISA est exigé comme pré-requis pour être embauché par les plus grands cabinets d’audit internationaux. Peut-être sont-ce ces raisons qui ont influencé votre décision? Par contre, inutile de vous leurrer, votre probabilité de réussite à l’examen, sans préparation préalable, reste extrêmement faible.

CISA, une certification difficile à obtenir

L’examen CISA est connu pour être difficile. De ce fait, il présente un taux de réussite assez faible. L’ISACA, organisme qui administre l’examen, a cessé de publier des informations sur les taux de réussite au cours des dernières années. Toutefois, les retours des candidats, après réception de leurs résultats, laissent apparaître un taux global de réussite d’environ 40 à 50%. Ce taux dépend également des régions du monde.

Qu’est-ce qui rend l’examen et la certification si difficiles?

La question revient souvent : pourquoi l’examen du CISA est-il aussi coriace? Voici quelques éléments de réponse:

  1. Le CISA est désormais un examen au format électronique. Il comporte 150 questions, souvent basées sur un mini-scénario. Contrairement à la plupart des examens de certification spécifiques d’autres fournisseurs (ITIL, PRINCE2, DEVOPS, ISO 27001, etc.) la nature même du CISA fait que les candidats avec peu ou pas d’expérience sont rapidement mis en difficulté.
  2. Aucun pré-requis explicite n’est exigé par l’ISACA pour passer l’examen. Cela signifie que de nombreux candidats « occasionnels » issus d’une grande variété de milieux (informaticiens, comptables, auditeurs, professionnels de la sécurité et bien d’autres encore) s’inscrivent à l’examen, créant de ce fait une concurrence artificielle.
  3. La formulation des questions est souvent ambiguë et subjective. De nombreux candidats se plaignent des exemples de questions proposés par ISACA. Ils les trouvent trop vagues et pas toujours pertinents comparativement à l’examen écrit réel. C’est là une caractéristique de l’ISACA. Il faut se mettre dans le mode de raisonnement des auteurs de l’examen.
  4. L’accent est souvent mis sur l’apprentissage par cœur et la mémorisation. Une remarque récurrente des candidats porte sur ce point. Les questions d’examen CISA requièrent la connaissance parfaite du vocabulaire spécifique en matière de sécurité du SI.

Pourquoi un taux d’échec aussi important?

L’examen est bien moins difficile que cela n’est habituellement perçu. Pourtant des milliers de candidats échouent à leur première tentative. Les experts identifient tout un ensemble de raisons.

  • Les candidats ayant une formation technique ou technologique se heurtent souvent aux concepts de gouvernance et d’audit. Bien que le savoir-faire technique soit important, la capacité à auditer et gérer les processus de sécurité est absolument fondamentale pour le CISA.
  • A l’opposé, les candidats issus du monde de l’audit et de la comptabilité ont du mal avec les aspects techniques de l’examen. Les étudiants issus de ces domaines devraient mieux comprendre les concepts et les objectifs de base du programme d’étude.
  • Beaucoup de candidats expérimentés s’obstinent à utiliser leur propre approche pour aborder les questions et les scénarios difficiles de l’examen, refusant l’approche standard prescrite par l’ISACA.

Alors, comment se prépare-t-on à l’examen CISA?

Passons maintenant aux conseils pratiques. Voici les points les plus importants à garder à l’esprit avant de commencer votre préparation à l’examen CISA.

1. Etudier religieusement le CISA Review Manual

Manuel de préparation au CISAISACA propose le CISA Review Manual (CRM) qui sert de guide unique et complet pour l’examen. C’est l’ouvrage de référence conçu pour guider les candidats au CISA, Il fournit tous les détails relatifs à l’examen ainsi que la définition des rôles et des responsabilités d’un auditeur des systèmes d’information. Globalement, ce manuel est le meilleur guide d’auto-apprentissage pour les aspirants CISA. Il est recommandé de le lire de façon exhaustive au moins deux fois avant de se présenter à l’examen. A noter toutefois sa taille (plus de 500 pages) et sa présentation pour le moins austère. Si vous êtes un amateur de bandes dessinées, vous vous êtes clairement trompé de rayon! Ce manuel existe dans plusieurs langues dont l’Anglais et le Français.

2. Pratiquer intensivement les question de la base de données de préparation

Pratiquer les questions de révision est absolument obligatoire si vous voulez réussir l’examen. La base de données des questions d’examen proposée par ISACA est une ressource en ligne interactive et complète de 1000 questions pratiques avec les réponses et les explications. L’accès pendant 12 mois à la base de données est disponible au prix de 185 $ (pour les membres) et 225 $ (pour les non-membres). Attention cependant, il n’existe pas de version en Français.

Les futurs candidats peuvent utiliser les questions et les réponses de l’échantillon pour mieux comprendre les concepts et les sujets difficiles afin d’améliorer le niveau de leur préparation. Ces questions et réponses d’examen sont conçus pour offrir une vue d’ensemble de l’examen CISA. La base de données  de questions et réponses est mise à jour en alignement avec l’évolution du monde de l’audit de sécurité.

 3. Pensez comme le ferait un auditeur ou un comptable

La nature même de l’examen exige que vous pensiez comme un auditeur informatique ou même un comptable. Ne réfléchissez pas comme un candidat à un examen. La raison? Parce que l’accent est mis sur les applications du monde réel, vous devez mettre en avant vos aptitudes à prendre les bonnes décisions sur la base de scénarios. Face à des problèmes hypothétiques, vous devez apprendre à gérer, évaluer et prioriser des tâches multiples en vue de créer un bénéfice.

4. Utilisez au mieux les ressources gratuites de l’ISACA

Le site Web de l’ISACA offre une diversité de ressources libres de droit, utiles pour préparer le passage de l’examen. En voici quelques unes avec les liens pour y accéder.

5. Mettez les blogs et articles relatifs au CISA sur votre liste de lectures

Les candidats peuvent également tirer profit d’autres blogs et d’un grand nombre d’articles disponibles en ligne. Ils peuvent aider les candidats à mieux aborder les questions des domaines de connaissances récemment mises à jour. Certains blogs tenus par des contributeurs réguliers constituent également un ensemble de ressources à ne pas négliger. Parmi ceux-ci citons les blogs de l’ISACA et celui de Risk3sixty.

Si vous trouvez un site particulièrement intéressant pour les candidats, vous pouvez le partager en nous adressant un commentaire que nous publierons avec grand plaisir.

6. Une expérience pratique de l’audit est importante

Pour réussir votre certification CISA, une expérience pratique dans le domaine de la Sécurité IT est un plus extrêmement utile. Bien que similaires à des audits financiers ou des actifs, les audits IT ont une portée très différente. Ils traitent principalement des informations. Un candidat au CISA doit avoir une idée précise des processus business. Il doit, de plus, être familier avec la définition du périmètre, la planification de la vérification et les rapports d’audit.

Une simple expérience des processus de Sécurité de l’Information sera une aide importante. Dans la mesure du possible, rapprochez-vous des professionnels de l’audit informatique ou du département sécurité de l’information dans votre organisation actuelle. Profitez-en pour vous familiariser avec les rôles, les responsabilités et les activités quotidiennes concernées par le CISA. N’oubliez pas également de vous informer sur les autres activités en matière de sécurité.

7. Planifiez sérieusement votre préparation

La gestion de votre temps d’apprentissage et une bonne répartition du temps par domaine sont essentielles pour réussir l’examen. Vous êtes un professionnel du domaine? Alors prévoyez de démarrer votre préparation 3 à 5 mois avant l’examen. Prévoyez de consacrer au moins 1 à 2 heures d’étude sur une base régulière (quotidiennement ou 3 fois par semaine).

En outre, nous vous recommandons d’adapter votre préparation en fonction de votre parcours professionnel et de votre niveau d’expérience:

  •  Auditeur IT avec beaucoup d’expérience : 30 à 45 jours de préparation en vous appuyant sur le manuel de préparation au CISA et les questions d’examen avec réponses et explications. Prévoyez de revoir la totalité des domaines.
  • Professionnel de l’audit avec un peu d’expérience : prévoyez au moins 90 jours de préparation en vous appuyant sur le manuel de préparation au CISA et les questions d’examen avec réponses et explications. Mettez l’accent sur les domaines relatifs à la technologie.
  • Candidat sans réelle expérience des domaines couverts par le CISA : prévoyez au minimum 180 jours de préparation en vous appuyant sur l’ensemble des ressources disponibles. Ne négligez aucun des domaines.

Nos formateurs expérimentés sur le CISA vous conseillent de décomposer votre temps de préparation de la façon suivante :

  • 35 à 45% sur le manuel,
  • 15 à 20% sur le coaching,
  • et enfin 35 à 40% sur les examens de simulation et des tests pratiques.

8. Soyez adaptable, gardez l’esprit ouvert

Dans le cadre du CISA, si je devais vous donner un seul conseil, ce serait de désapprendre ce que vous avez appris. C’est presque aussi important que l’apprentissage du contenu même des concepts à retenir pour l’examen. L’industrie informatique est dynamique et en constante évolution. Par conséquent, il en va de même des principes et des techniques d’audit des systèmes d’information.

Lors de la préparation et lors du passage de l’examen, il est vital de garder un esprit ouvert, réceptif aux idées nouvelles et novatrices, et une position neutre sur des développements qui semblent aller à l’encontre de la norme établie. Le manuel CISA est maintenu à jour avec tous ces changements. Par conséquent, l’étude approfondie du manuel constitue une première étape incontournable de votre préparation.

9. Apprenez à gérer votre temps à l’examen

Comme dans le cas des autres examens, la réussite au CISA est également dépendante de la façon et de l’efficacité à gérer votre temps. Un commentaire courant  des candidats ayant échoué à l’examen porte un manque de temps pour terminer l’ensemble des questions. Cela traduit une mauvaise gestion du temps pour répondre à toutes les questions.. En examinant les documents de questions des années précédentes et les examens blancs, vous devez concevoir une stratégie de passage avec des estimations sur la quantité de temps à passer par question et par domaine, de façon à pouvoir répondre à la totalité des questions.

Après tout, ce qu’on attend d’un certifié CISA c’est bien d’être capable de prendre des décisions rapides, pragmatiques et efficaces. La gestion de votre temps à l’examen pour maximiser votre score constitue la première pierre de l’édifice.

CISA - Astuce pro

 10. Participez à des groupes de discussion et des forums

Les candidats peuvent se joindre à des groupes de discussion et des forums pour interagir avec d’autres candidats et certifiés. Il existe plusieurs forums de discussion sur la certification CISA sur le web. Ces plates-formes peuvent vous apporter des connaissances à la fois théoriques et pratiques sur l’audit du SI. Elles contribuent à améliorer la compréhension des concepts et leur application dans le monde réel.

11. Suivez un atelier de préparation à l’examen CISA

Un certain nombre d’organismes de formation accrédités proposent des ateliers de préparation au CISA sous forme de sessions en présentiel ou de cours en ligne. L’inscription et la participation à un cours de formation bien structuré et complet est fortement recommandée. Une session de formation se compose de présentations par des experts et de discussions en classe. L’interaction avec des professionnels de la sécurité expérimentés, venant de diverses parties du monde, constitue un atout exceptionnel pour vous mener à la réussite.

Leader de la formation professionnelle certifiante dans les domaines de la Gouvernance, du Management et de la  Sécurité en Afrique, AB Consulting vous propose des sessions de préparation au CISA en présentiel, alignées avec les exigences de l’examen. Elles sont toujours animées par des professionnels internationalement reconnus. Pour en savoir plus, visitez la page CISA – Atelier de préparation sur le site de AB Consulting.

L’ISACA propose également des cours de révision pour les candidats qui se sont inscrits à l’examen. Si vous trouvez l’apprentissage individuel difficile compte tenu de vos contraintes professionnelles et personnelles, vous pouvez participer à une session de révision proposée par un des chapitres de l’ISACA. Pour plus d’informations, visitez le site web de l’ISACA.

 12. Adaptez votre raisonnement au mode de pensée de l’ISACA

En particulier pour les candidats qui passent l’examen CISA dans une langue autre que leur langue maternelle, certaines questions peuvent être déroutantes. Les QCM à composition non limitée et l’étude de cas présentent généralement des choix subjectifs. Ils font souvent appel à un raisonnement verbal pour en déduire les attentes et arriver aux bonnes réponses. Vous sentez que vos compétences en raisonnement verbal ne sont pas tout à fait à la hauteur? Alors vous gagnerez sans aucun doute à suivre un atelier de préparation à l’examen.

CISA - Astuce Pro

En conclusion

Il s’agit clairement d’un examen difficile. Mais, grâce à une bonne planification, un travail acharné et de bons conseils, la réussite à la première tentative est tout à fait possible. Si vous suivez les conseils présentés dans cet article et concevez un plan de préparation adapté à vos propres besoins spécifiques, l’examen est à votre portée.

Et vous, comment avez-vous préparé votre examen? Avez-vous éprouvé des difficultés? Quels conseils donneriez-vous aux nouveaux candidats? Comment jugez-vous cette certification? Merci de nous donner votre avis en commentaire. Cela aidera sûrement beaucoup de candidats à mieux se préparer.

Vous avez réussi votre CISA? N’hésitez pas à partager la bonne nouvelle sur ce blog. Vous serez peut-être alors sollicité(e) pour partager votre expérience avec les autres candidats…

La création de valeur pour les nuls

Avis à tous ceux qui croient que rester assis à un bureau, à regarder un écran et à chauffer son fauteuil, ou que marcher autour du bureau toute la journée avec une tasse de café à la main en bavardant et participer à des réunions stériles est synonyme de CRÉATION DE VALEUR et que répartir son temps entre LinkedIn et Facebook correspond à un EQUILIBRE ENTRE TRAVAIL ET VIE SOCIALE, la lecture de l’article suivant risque de paraître un peu douloureuse ……….

création de valeur

Les entreprises existent pour créer de la valeur pour leurs actionnaires et par conséquent, le terme « création de valeur » n’est pas qu’un concept fumeux comme certains l’imaginent. Il y a d’innombrables mesures pro-actives qu’on peut prendre pour y parvenir, parmi lesquelles :

  1. améliorer la qualité et la rapidité des décisions prises
  2. tirer un avantage business des investissements en informatique
  3. améliorer sensiblement l’efficacité opérationnelle
  4. contrôler et améliorer la performance du personnel
  5. réduire les risques métiers, et bien plus encore……..

Quoi qu’il en soit, la réalité c’est que la plupart des DSIs passent l’essentiel de leur temps à essayer vainement de satisfaire les attentes des métiers et seraient bien inspirés de s’attaquer activement à certains points sur lesquels le Business est très impacté tels que

  1. des initiatives ratées de l’informatique et la perception d’une valeur délivrée très faible par rapport aux investissements consentis,
  2. une augmentation exponentielle des dépenses informatiques et une complexité totalement inutile de l’infrastructure,
  3. des problèmes récurrents de fourniture des services IT avec un nombre relativement important d’incidents et des changements fréquemment en échec,
  4. des résultats d’audit interne mettant en évidence des performances médiocres et des services de mauvaise qualité,
  5. une incapacité récurrente à satisfaire aux exigences réglementaires et / ou contractuelles.

Six étapes vers la création de valeur

1. Travailler pour assurer une disponibilité garantie

La première étape, la plus simple, consiste à assurer un temps de fonctionnement maximal de l’infrastructure informatique et à prévenir toute interruption des flux d’information. C’est ce qui permet aux métiers de travailler, au niveau opérationnel, et de créer de la valeur pour l’entreprise. Il faut bien réaliser que la différence entre 99,9% et 99,8% de disponibilité des systèmes critiques et des ressources réseau sur une année représente de 8 heures 45 minutes. C’est suffisant pour générer la perte de dizaines, voire de centaines de milliers d’Euros par le Business, en fonction de la nature de votre entreprise. C’est en gardant cela à l’esprit et en assurant une continuité absolue des services IT que vous apparaîtrez comme un bon fournisseur de services IT au Business.

Toutefois, tant que le département informatique sera considéré seulement comme un fournisseur de services, il demeurera un centre de coûts, une fonction de soutien pur qui rendra des comptes à tout le monde sauf au Comité de Direction et au Conseil d’Administration.

L’objectif du département informatique doit être faire évoluer son rôle de la simple fourniture de services de soutien pour les métiers vers celui de facilitation pour les métiers, puis d’innovation stratégique guidant la transformation du Business grâce à l’acquisition d’un bon niveau d’aptitude pour chacun des « facilitateurs » (« enablers »)  de la création de valeur pour l’Entreprise. Le tableau ci-dessous, bien que non exhaustif, résume les caractéristiques de chacun de ces statuts :

rôle de l'IT dans la création de valeur

2. Améliorer la réactivité de l’IT pour faire face aux demandes du Business

Une fois que le premier objectif est atteint, la seconde étape vers la création de valeur, du point de vue de la production informatique est de bâtir « la réactivité». Quel est notre niveau de réactivité pour satisfaire tous les besoins Business, que ce soit au travers de la Gestion de la demande ou des opérations quotidiennes? Pour commencer son chemin sur la voie de l’amélioration de la réactivité, le département informatique doit se concentrer sur sa transformation organisationnelle vers une structure horizontale permettant l’accélération de la prise de décision, c’est à dire passer d’une organisation centralisée à une organisation fédérale basée sur l’octroi de privilèges d’accès suffisants pour tous les niveaux afin de mieux répartir les responsabilités et de fonctionner plus efficacement. Le côté négatif c’est que ce type de structure est principalement axé sur le «contrôle» plutôt que sur «l’efficacité».

Améliorer la réactivité, c’est d’abord répondre efficacement aux problèmes concernant les stations de travail, les applicatifs, les imprimantes et tous les autres incidents auxquels fait face quotidiennement l’utilisateur final et qui freinent la productivité de l’entreprise. Améliorer globalement les niveaux de service grâce à la mise en oeuvre d’OLAs (Accords de Niveau Opérationnel), de SLAs (Accord sur les Niveaux de Service) ainsi que d’indicateurs clés de performance (KPIs) pour l’équipe IT doit être notre principal objectif.

3. Se focaliser sur la création de valeur grâce aux projets

Le passage du statut de gestionnaire des opérations informatiques à celui de réalisateur d’initiatives innovantes se mesure à la façon dont les projets du département IT réussissent et permettent aux métiers de l’Entreprise d’atteindre leurs objectifs, contribuant, de ce fait, à créer de la valeur. L’échec des initiatives informatiques peut être dû à une mauvaise définition des besoins, au non respect des délais correspondant au «time to market», à des critères mal définis de validation de la solution livrée par les utilisateurs et à bien d’autres raisons encore. Le but ici est de décrire ce que nous réalisons avec nos investissements informatiques et un bon point de départ serait d’avoir un processus permettant de mieux sélectionner les projets s’appuyant sur la mise en place d’un Comité Stratégique incluant à la fois le Business et le management informatique et capable d’examiner les avantages et les inconvénients de chaque initiative en prenant en compte le calcul du ROI et du TCO notamment.

Tous le monde s’accorde sur la nécessité pour l’informatique de changer son approche en évitant de se focaliser sur la technique et les coûts pour mettre en avant la valeur créée par ses initiatives.

Pour parvenir à cela, il existe des techniques de gestion de budget informatique parmi lesquelles :

  • le benchmarking des dépenses informatiques avec des entreprises similaires, du même secteur d’activité, afin d’en tirer une évaluation raisonnable de ce que devraient être le revenu brut et les charges d’exploitation de l’informatique
  • la décomposition le budget en trois parts : support, croissance et transformation.

4. Etre prudent vis à vis des nouveautés technologiques

En l’absence de véritable innovation, le département informatique peut créer de la valeur en réalisant une analyse complète des tendances technologiques actuelles, des possibilités offertes pour résoudre des problèmes Business ou pour améliorer les processus et participer à l’adoption rapide de ces solutions pour faire que, grâce à la technologie, les métiers acquièrent un avantage concurrentiel sur leur marché. Dans cet objectif, il est vital que les DSIs restent en phase avec les innovations technologiques au travers de la lecture de publications et de bulletins importants, qu’ils assistent régulièrement à des conférences / séminaires et rencontrent d’autres dirigeants d’Entreprises.

Une maxime Anglaise qui s’applique parfaitement à l’évolution rapide de la technologie dit que « l’oiseau qui arrive le premier attrape le ver, mais la souris qui arrive juste après mangera le fromage ». Ceci se vérifie complètement dans le cas de l’adoption précoce d’une nouvelle technologie qui va se traduire par un risque relativement élevé et c’est la raison pour laquelle certains préfèrent choisir d’attendre et de voir.

Mettre en avant la création de valeur, en vue de résoudre des problèmatiques métiers, nécessite une compréhension en profondeur des processus business et du flux d’information associé. Afin d’atteindre cet objectif, le management informatique et les membres de leurs équipes vont devoir entreprendre leur «retour sur terre » et aller « sur le terrain » pour comprendre les véritables défis business auxquels les employés et les clients de l’Entreprise font face. Cet exercice aidera le personnel informatique à obtenir, non seulement une pause bienvenue de son travail quotidien, mais aussi l’aidera à réaliser l’importance vitale de sa contribution au Business.

Certains dirigeants considèrent que c’est le fait d’exhiber un classeur rempli de politiques et procédures qui constitue « une bonne gouvernance » et « crée de la valeur », mais dans la réalité, cela ne fera, au mieux, que soutenir ce qui existe déjà.

5. Gérer la performance du département informatique

La gestion de la performance est un composant clé de la gouvernance. C’est une exigence de vérification dans la plupart des organisations où il faut effectuer régulièrement des auto-évaluations et des rapports de performance basés sur des KPIs. Toutes les activités liées à la performance doivent être rapportées et revues sur une base annuelle. La transparence est clé pour une bonne gouvernance.

6. Rester à l’écoute des métiers. Ce n’est jamais l’informatique qui décide

Dernier point mais non le moindre, être à l’écoute du Business et / ou du feedback des clients et agir en conséquence, c’est cela qui crée réellement de la valeur. Nous avons trop tendance à penser que c’est notre point de vue qui est juste. C’est ce que Microsoft a fait avec Windows 8, puis « foiré » encore davantage avec Windows 8.1, avant de corriger le tir (ou presque) avec Windows 10.

En quoi consistent les « facilitateurs » de la création de valeur?

Les facilitateurs sont des facteurs qui, individuellement ou collectivement, influencent la réussite d’une activité, dans le cas présent, la gouvernance et le management du SI de l’entreprise, en vue de créer de valeur. Les facilitateurs sont influencés par la cascade d’objectifs, c’est à dire que des objectifs de plus haut niveau liés au SI définissent ce que les différents facilitateurs devraient permettre d’atteindre.

facilittaeurs de la création de valeur

Le schéma ci-dessus, extrait du référentiel COBIT® 5 montre qu’il y a sept facilitateurs à implémenter et à améliorer en permanence pour créer de la valeur pour l’Entreprise :

  • Les principes, les politiques et les systèmes de management représentent le mécanisme, sous forme de chaîne, permettant de traduire les exigences des actionnaires en orientations pratiques pour la gestion quotidienne.
  • Les processus décrivent un ensemble organisé de pratiques et d’activités requises pour atteindre des objectifs et pour produire un ensemble de résultats permettant la réalisation des objectifs globaux. Les processus constituent la mise en oeuvre pratique des politiques.
  • Les structures organisationnelles sont les principales entités de décision dans l’entreprise. Ce sont elles qui décident d’implémenter les processus.
  • La culture, l’éthique et le comportement des individus et de l’entreprise sont très souvent sous-estimés en tant que facteurs de réussite dans les activités de gouvernance et de gestion. Ce sont les personnes qui composent les structures organisationnelles et qui implémentent et exécutent les processus.
  • L’information est omniprésente dans toute organisation. Elle comprend toute l’information produite et utilisée par l’entreprise. L’information est nécessaire pour prendre les décisions stratégiques et maintenir l’organisation fonctionnelle et bien gouvernée, mais au niveau opérationnel, elle est souvent le produit phare de l’entreprise elle-même.
  • Les services, l’infrastructure et les applications comprennent l’infrastructure, la technologie et les applications qui fournissent à l’entreprise les traitements et les services en matière de technologies de l’information. Il s’agit bien sûr de l’informatique et des télécommunications qui stockent, traitent et communiquent les informations.
  • Le personnel, les aptitudes et les compétences sont liés aux individus et sont nécessaires pour la réussite de toutes les activités ainsi que pour la prise de décisions éclairées et de mesures correctives. Il est vital, pour pouvoir créer de la valeur, de disposer du nombre approprié de ressources humaines possédant des aptitudes de savoir-être et de savoir-faire correspondant à ce qui est décrit dans les 6 autres facilitateurs.

Y a-t-il des référentiels sur ce sujet?

COBIT® 5, le référentiel de Gouvernance et de Management du SI, publié par l’ISACA en 2012 définit la création de valeur comme étant l’objectif de la Gouvernance et décrit les mécanismes à mettre en oeuvre pour y arriver.

Si vous souhaitez aller plus loin, AB Consulting, seul Organisme de Formation officiellement accrédité par ISACA et APMG en Afrique de l’Ouest et seul habilité à délivrer les formations correspondantes et à organiser les examens de certification, vous propose les formations suivantes :

COBIT® Foundation sur 3 jours

COBIT® 5 Implementation sur 3 jours

COBIT® 5 Assessor sur 3 jours

sans oublier nos « bootcamps » :

COBIT® 5 Implémentation Boot Camp (Foundation + Implementation) sur 5 jours

COBIT® 5 Assessor Boot Camp (Foundation + Assessor) sur 5 jours

Pour plus d’information ou pour vous abonner à notre Newsletter, merci de compléter le formulaire de contact :

 

 

De l’importance d’une stratégie informatique

Pour poursuivre sur le sujet de l’importance de la gouvernance du SI dans les grandes entreprises et afin d’encourager son adoption par les petites et moyennes entreprises, je voudrais présenter ici une approche pragmatique d’élaboration d’une stratégie informatique.

Elaboration de la stratégie informatique

Je m’aperçois souvent lorsque je pose, durant mes formations, la question de la définition de ce qu’est une stratégie, que la plupart de mes étudiants ne comprennent pas vraiment de quoi il s’agit.

La Stratégie informatique, de quoi s’agit-il?

Alors, quel est le but d’une stratégie informatique? S’agit-il de partir de l’état actuel de l’informatique et de planifier son évolution future? Ou bien s’agit-il de fournir au business la vision technologique du département informatique dont l’objectif n’est pas uniquement de répondre au besoins exprimés par les métiers? Ou bien encore, s’agit-il d’élaborer conjointement avec les autres entités business de l’Entreprise des solutions qui permettront de satisfaire les besoins exprimés par les parties prenantes au travers du Conseil d’Administration?

C’est un peu tout cela à la fois et ce que nous allons essayer d’expliquer au travers de cet article.

Une stratégie peut généralement couvrir des aspects aussi divers que la complexité de votre infrastructure informatique et les exigences de votre entreprise et devrait permettre d’atteindre entre autres résultats:

  1. Capacité à faire plus… avec moins…
  2. Améliorer la capacité du Business à créer de la valeur pour l’Entreprise en leur permettant de se connecter et d’accéder aux informations de partout et à tout moment
  3. Trouver un juste équilibre entre la prévisibilité et l’innovation du modèle opérationnel
  4. Fournir des données de meilleure qualité pour permettre à l’Enterprise de prendre de meilleures décisions
  5. Externaliser la gestion des systèmes de back-office et réaffecter les ressources sur le support aux besoins clés du Business
  6. Faire du sourcing stratégique tel que migrer vers une solution de cloud hybride, faire appel temporairement à des compétences externes,
  7. Et beaucoup plus encore…

La définition de la stratégie informatique n’est donc pas un exercice solitaire réalisé par le DSI, mais fait partie d’un travail de groupe réalisé par l’ensemble des membres du Comité de Direction qui, sur la base de l’orientation donnée par le Conseil d’Administration vont avoir à proposer à ce dernier un plan permettant de réaliser les objectifs spécifiés par les parties prenantes (actionnaires ou propriétaires, état pour la conformité légale, organisations externes pour les réglementations, etc.). Chaque membre du Comité de Direction (Business Executives, DAF, DRH, Directeur des Opérations, DSI, … etc.) va donc avoir à proposer le plan correspondant à son propre domaine. La stratégie globale de l’Organisation consistera, par conséquent, en une consolidation de l’ensemble des ces plans stratégiques élaborés par chaque entité. Le département informatique aura, bien entendu, son rôle à jouer pour supporter les autres entités dans l’atteinte des objectifs de l’Entreprise. La stratégie de l’Entreprise sera présentée par le CEO (Directeur Général) et approuvée par le Conseil d’Administration. Chaque Exécutif deviendra dès lors responsable de l’atteinte des objectifs de sa propre stratégie et contribuera donc à l’atteinte des objectifs de l’Entreprise.

Qu’implique la définition d’une bonne stratégie?

Strategy IT sur une page
Template fourni par CEB

Un coup d’œil sur les stratégies IT des grandes entreprises vous donnera une idée sur leur contenu et leur forme. La taille moyenne d’un document de stratégie informatique est de l’ordre de 35 pages rédigées dans un langage simple et compréhensible par tous. L’illustration visuelle de la stratégie, généralement présentée dans le résumé, correspond à ce que j’appellerai une feuille de route dont le but est de donner un aperçu des résultats attendus de l’organisation l’informatique sur les prochaines années.

La stratégie informatique est destinée au Conseil d’Administration et au Comité de Direction. Ces deux instances sont composées de personnes ayant une vision business de l’Entreprise et en aucun cas une vison technique. Il est donc indispensable que la présentation de votre stratégie IT soit adaptée à votre auditoire et demeure concise et non technique. N’oubliez pas qu’il s’agit de dire ce qu’on va entreprendre et non comment on va s’y prendre. C’est là que, le plus souvent, les DSI vont échouer car le profil-type d’un DSi doit donc être celui d’un Exécutif Business dont les compétences sont adaptées à cet exercice et en aucun cas celui d’un « informaticien » en fin de carrière le plus souvent. Hélas, en l’absence de stratégie informatique claire, le département informatique ne sera pas en mesure de soutenir les objectifs de l’Entreprise et l’innovation nécessaire pour lui permettre de créer de la valeur pour ses parties-prenantes. L’informatique deviendra donc, de facto, un centre de coûts, dans un contexte économique où on cherche en permanence à éliminer les coûts superflus. Il est donc indispensable que la stratégie informatique soit alignée sur les besoins de l’Entreprise et qu’elle soit entre les mains de personnes possédant les compétences adéquates.

Il est nécessaire pour les petites entreprises d’avoir une stratégie informatique qui peut être résumée sur une simple page.

L’alignement stratégique est clé

Cascade d'objectifs COBIT 5Comme nous l’avons indiqué précédemment,  l’ensemble des stratégies des entités de l’Entreprise doivent être alignées pour créer de la valeur pour ses parties prenantes. Dès que le département informatique a identifié ses besoins urgents et les possibilités d’amélioration de son efficacité et de son efficience, et placé le tout dans un plan stratégique, il doit alors s’assurer que sa stratégie est bien alignée avec la plupart, sinon la totalité, des objectifs business dans le but de satisfaire ensemble la direction fixée par le CA. La cascade d »objectifs, décrite par COBIT 5, permet de réaliser l’alignement et l’outil généralement utilisé par les instances de Gouvernance et de Management pour contrôler les progrès au niveau de l’entreprise sera un tableau de bord équilibré (Balance ScoreCard).

Quelques questions / réponses sur la stratégie IT

  1. Qui est responsable et qui participe à la définition de la stratégie IT?

RACI gestion de la stratégieLà encore, COBIT 5 nous aide, grâce au RACI du processus APO02 : Gestion de la stratégie.

2. Quel est le périmètre d’une stratégie IT? Est-ce pour une Business Unit, un pays ou la totalité de l’organisation à travers le monde?

La meilleure réponse est que cela dépend de chaque Organisation, et est fonction de sa taille et de ses besoins. Ce qui est clair ici c’est que la stratégie de chaque Business Unit doit être alignée avec la stratégie d’entreprise ce qui rendra l’alignement de l’informatique avec chacune d’entre elles plus facile.

3. Comment fixe-t-on la stratégie? A quelle fréquence doit-elle être revue?

Une durée acceptable pour un plan stratégique pourrait aller jusqu’à 3 ou 4 ans compte tenu de l’évolution permanente du business et de la technologie dans le contexte de mondialisation actuel. Ce plan stratégique devrait ensuite être décomposé en plusieurs plans tactiques dont la durée optimale serait de l’ordre de six mois et ne devrait jamais excéder une année. Il faut bien garder en mémoire que plus la durée d’un projet est longue et moins il est susceptible d’être couronné de succès. Par conséquent, il est préférable de décomposer les grands projets en portions digestibles qui peuvent entrer dans vos plans tactiques.

Comment se familiariser avec ces concepts?

Le référentiel COBIT® 5 publié par l’ISACA en 2012 est un modèle très intéressant à adopter pour la Gouvernance et le Management du SI, dans la mesure où il couvre la totalité de l’Entreprise et assure l’alignement de l’IT avec les autres fonctions en partant du besoin des parties prenantes pour réaliser la cascade des objectifs en s’appuyant sur 7 facilitateurs :

COBIT 5 - Les 7 facilitateurs

  1. Principes, politiques et référentiel
  2. Processus
  3. Structures organisationnelles
  4. Culture, éthique et comportement
  5. Les informations
  6. Services, applications et infrastructures
  7. Personnels, compétences et aptitudes

Pour en savoir plus et vous familiariser avec ces concepts, AB Consulting organise régulièrement des sessions sur-mesure, en Français et en Anglais, de sensibilisation destinées au membres des Conseils d’Administration et des Comités de Direction ainsi que des formations certifiantes pour les managers : COBIT® 5 Foundation et COBIT® 5 Implémentation. Nous proposons aussi l’évaluation de l’aptitude de vos processus IT afin de vous assurer de leur alignement avec les politiques et la stratégie d’entreprise, basée sur COBIT® 5.

Pour plus d’informations ou pour vous abonner à notre newsletter, merci de remplir le formulaire de contact :

COBIT® is a trademark of ISACA® registered in the United States and other countries.
ITIL® is a registered trade mark of AXELOS Limited.
PRINCE2® is a registered trade mark of AXELOS Limited.

De l’importance de la Gouvernance du SI

Beaucoup pensent que la Gouvernance du Système d’Information (en anglais GEIT) est un sujet complexe. Les mots qui viennent immédiatement à l’esprit sont «Aride, Ennuyeux, Vague, Irréaliste ». Ceci est essentiellement dû à l’utilisation intensive de jargon comme « alignement stratégique, transformation organisationnelle, création de valeur, création de synergie », d’énoncés compliqués de vision et de mission, que le commun des mortels trouve difficile à comprendre.

éviter les mauvaises surprises IT

Le résultat est que la gouvernance du SI est aussi mal adoptée que la gouvernance des entreprises en raison de l’absence de compréhension de son rôle vis à vis d’une Organisation.

La Gouvernance du SI? C’est quoi?

Bien évidemment, elle est sans importance pour les start-ups et les entreprises nouvellement créées au moins durant leurs premières années d’activité, jusqu’à ce qu’elles atteignent un certain niveau de maturité et une taille critique qui les amèneront à se doter d’un conseil d’administration, lequel aura besoin d’un cadre de gouvernance. Ce cadre met en place des politiques de haut niveau, nécessite un alignement de l’entreprise sur les attentes de ses parties-prenantes (actionnaires et/ou propriétaires, partenaires d’affaires, clients, état), un grand niveau de transparence dans le fonctionnement de l’entreprise, des méthodes pour en mesurer la performance et, plus important, se conformer aux lois, règlementations et accords contractuels.

Supposons que nous n’avons pas l’obligation de fournir des rapports au conseil d’administration et que nous ne sommes pas non plus obligés de respecter la conformité à des lois telles que SOX qui nous oblige à considérer la gouvernance comme une pratique incontournable.

L’objectif de cet article est donc simplement d’étudier dans quelle mesure une initiative d’implémentation de gouvernance du SI peut bénéficier à des petites et moyennes entreprises (PME).

Voici quelques raisons :

  1. Tirer un avantage business concurrentiel grâce à l’innovation ou à l’adoption précoce d’une technologie nouvelle.
  2. S’aligner sur les stratégies et les objectifs de l’Organisation et aider ses métiers à les atteindre.
  3. Déplacer la focalisation de l’informatique vers les résultats business plutôt que sur des aspects technologiques.
  4. Définir les structures et les processus qui assurent un retour sur l’investissement informatique grâce aux avantages business apportés et permettent d’assurer la transparence des dépenses informatiques.
  5. Gérer les risques de l’entreprise liés aux technologies de l’information.
  6. Permettre de répondre dans des délais courts aux besoins changeants de l’entreprise, du marché ou des facteurs environnementaux.
  7. Gérer l’augmentation exponentielle des coûts informatiques qui ne génère aucune augmentation directe de la valeur au niveau de l’entreprise.
  8. Couvrir le besoin de sécurité de l’information, des processus, des infrastructures et des applications.
  9. Empêcher l’IT de devenir un goulot d’étranglement pour l’Entreprise lorsque la demande de ressources informatiques croît de façon exponentielle.
  10. Atteindre l’excellence opérationnelle à travers l’utilisation fiable, efficace de la technologie.
  11. Améliorer globalement l’expérience d’engagement du business avec l’IT et ses services.
  12. Transformer les données en informations de qualité nécessaires à la prise de décisions business

COBIT, encore un autre référentiel?

Le référentiel COBIT®, publié par l’ISACA, est aujourd’hui le standard de l’industrie et cadre le plus largement adopté en matière de Gouvernance du SI. Depuis sa création en 1996, il a évolué d’une grille d’audit informatique vers un cadre de contrôle et finalement un cadre de gouvernance du SI avec la publication de COBIT® 5 en 2012. COBIT® 5 est un référentiel complet en termes de couverture, qui doit être adapté à chaque entreprise, en tenant compte de la nature de ses activités et de ses besoins spécifiques, du caractère unique de sa fonction informatique et de divers facteurs internes et externes.

COBIT® 5 a été conçu pour s’aligner avec les autres normes, cadres, méthodologies et meilleures pratiques du marché tels que ITIL®, TOGAF, PRINCE2® / PMBOK, ISO31000, ISO 27001, etc. Ses 37 processus se recouvrent avec ceux définis dans les autres normes et référentiels et fait de COBIT® 5 un cadre dominant l’entreprise de façon globale, de bout en bout.

OK, mais on a déjà implémenté ITIL ! Et ISO 27001 !!

L’adoption de cadres de bonnes pratiques par les départements informatiques a pour but de fournir, de façon plus efficace et efficiente, des services IT aux entités business en fonction de leur demande. Quand l’IT démarre son périple en vue de mieux soutenir le Business, une chaîne d’événements va s’enclencher qui exige d’adopter des normes et des bonnes pratiques qui répondant aux besoins de services des métiers de la façon suivante :

  1. Le besoin initial de fournir une qualité de service de soutien au quotidien nous amène souvent à adopter les meilleures pratiques dans la gestion des services IT, à savoir ITIL®.
  2. Pour répondre aux besoins urgents de sécurité, on entreprend l’implémentation d’un SMSI (système de management de la sécurité de l’information) basé sur la norme ISO27001.
  3. Une augmentation ultérieure des investissements informatiques amène à l’adoption de référentiels de gestion de portefeuille, de programme et gestion de projet et, par exemple, à l’adoption de PRINCE2® / PMBOK.
  4. Les investissements continuels dans l’IT résultent en une infrastructure informatique très complexe qui nécessite d’envisager sérieusement des modèles d’architecture d’entreprise tels que TOGAF.

… et ainsi de suite…

Dans quel ordre on procède?

L’ordre d’adoption des différentes normes et référentiels peut varier d’une Organisation à l’autre, mais pour superviser et coordonner tout cela, à un moment donné, la nécessité d’un cadre global de gouvernance s’impose.

processus de gouvernance du SICOBIT® 5 se base sur 5 principes, 7 facilitateurs (Enablers) et 37 processus répartis sur 5 domaines. Afin de rester concis, concentrons-nous, dans cet article, sur les 37 processus illustrés dans le schéma ci-dessous et sur leur alignement avec les autres normes et référentiels de bonnes pratiques.

 Pour mieux comprendre et apprécier la manière dont toutes les normes / cadres / méthodologies / bonnes pratiques cohabitent dans le modèle de référence des processus COBIT 5 et vous présenter de façon simple une information qui est par ailleurs difficile à trouver, j’ai réalisé un petit tableau, non exhaustif, qui cartographie diverses aspects de COBIT® 5 par rapport aux autres normes et référentiels existant.

Alors, pas besoin de tout jeter?

Si l’on a mis en œuvre certaines des normes et bonnes pratiques ci-dessus au cours du cycle de croissance de l’entreprise, alors il n’est pas nécessaire d’implémenter l’ensemble des processus de COBIT 5. Ces normes et bonnes pratiques peuvent être mappées aux processus correspondants dans COBIT® 5 pour permettre la gouvernance de ces activités à l’aide d’un seul tableau de bord.

Par exemple, une organisation qui a adopté les processus et les orientations de l’ITIL® pour sa gestion des services peut mapper ses processus existants avec les processus COBIT® 5 correspondants. Les avantages de cette cartographie sont de permettre à l’Organisation d’utiliser directement les objectifs des processus COBIT® 5 recommandés ainsi que les mesures de succès associées et les suggestions de rôles et responsabilités proposées par le digramme RACI. COBIT® 5 assure la transparence pour les parties prenantes en définissant la relation entre les objectifs de l’IT et les objectifs de l’entreprise, une traçabilité non fournie par ITIL.

Un point important qu’il convient de souligner : les normes et référentiels de bonnes pratiques tels que COBIT, ITIL et quelques autres définissent CE QU’IL FAUT FAIRE mais pas comment cela devrait être fait. Par conséquent, un grand nombre d’implémentations sont basées sur les connaissances individuelles des acteurs du projet et leurs expériences passées dans différentes organisations, et ne sont pas nécessairement universellement reconnues comme des meilleures pratiques.

Et si on a besoin d’aide?

Ainsi, dans le choix du meilleur professionnel de la Gouvernance du SI susceptible de vous accompagner, une connaissance globale de l’ensemble des normes et référentiels de bonnes pratiques sera un critère important car cela permettra de pouvoir les associer et les combiner pour obtenir le meilleur cadre, adapté à votre Organisation, en vue de la fourniture de services IT aux métiers.

Pour un DSI, il est recommandé d’équilibrer son temps entre la gestion des personnes, des processus et de la technologie qui sont les trois pierres angulaires d’une bonne gouvernance. Par conséquent, si l’on veut mettre l’accent sur les processus pour améliorer la qualité globale du service plutôt que d’implanter sans cesse des nouvelles couches technologiques, on peut envisager de réexaminer la mise en œuvre des normes et bonnes pratiques du marché et d’en mesurer les avantages.

Il existe, par conséquent, de multiples façons de mettre en œuvre la gouvernance du SI.

Cela peut résulter en un débat sans fin mais à travers cette série d’articles, je vais essayer de vous aider à vous concentrer sur l’objectif principal et déterminer la valeur réelle créée. Quelle que soit la taille de votre entreprise, une certaine forme de gouvernance du SI doit faire partie de votre organisation.

Pour plus d’informations ou pour vous abonner à notre newsletter, merci de remplir le formulaire de contact : 

Catégories

Archives

Calendrier

octobre 2018
L M M J V S D
« Sep    
1234567
891011121314
15161718192021
22232425262728
293031  
%d blogueurs aiment cette page :