Home » Posts tagged 'Management'

Tag Archives: Management

Avec COBIT 2019, atteignez vos objectifs de gouvernance

Cela fait maintenant un peu plus de deux mois que l’ISACA a publié les premiers volumes de COBIT 2019. COBIT constitue depuis de nombreuses années le cadre de référence pour la gouvernance de l’information des entreprises. Cette nouvelle version, attendue depuis longtemps (COBIT 5 avait été publié en 2012) est donc un évènement important. Du moins, pour les responsables de la gouvernance des Entreprises, constitue-t-elle un élément majeur. Après seulement deux mois d’utilisation, je peux affirmer sans hésiter que cette dernière version est l’un des meilleurs cadres à ce jour pour la gouvernance et la gestion des TI dans l’entreprise. Dans cet article, je vais vous en montrer quelques éléments clés. Ceux-ci vous aideront sans aucun doute à atteindre les objectifs fixés par la gouvernance de votre organisation.

COBIT 2019 - Atteignez vos objectifs de gouvernance et de management
Crédit © rawpixel.com 2018

Cette version se base sur quatre publications clés, toutes disponibles à ce jour:

  • Framework: Introduction and Methodology, qui décrit la structure du cadre global,
  • Framework: Governance and Management Objectives, qui décrit en détail le modèle de base et ses 40 objectifs de gouvernance et de management,
  • COBIT 2019 Design Guide, qui explique comment utiliser COBIT de manière pratique,
  • COBIT 2019 Implementation Guide, qui est une version actualisée et plus pertinente du Guide de mise en œuvre de COBIT 5.

L’approche COBIT 2019

L’une des choses que j’aime beaucoup dans l’approche de l’ISACA est sa stratégie commerciale. Les deux premières publications sont entièrement GRATUITES, et vous pouvez les télécharger sur le site de l’ISACA. Les deux suivantes sont gratuites pour les membres uniquement.

Vous êtes nombreux à savoir que je suis un grand fan des référentiels de bonnes pratiques. Au fil des années, ils ont été développés et promus pour aider les entreprises à comprendre, concevoir et adopter une gouvernance informatique. COBIT 2019 constitue le cadre de gestion et de gouvernance de l’information et de la technologie (I & T) le plus complet. COBIT continue, au fil des ans, de s’affirmer comme un cadre généralement accepté pour la gouvernance I & T. Mais cette nouvelle version couvre l’ensemble de l’entreprise, c’est-à-dire toute la technologie et le traitement de l’information qu’une entreprise utilise pour atteindre ses objectifs. Il est cependant important de noter que COBIT n’est pas un cadre organisant des processus métier, ni un cadre pour régir et gérer toutes les technologies spécifiques. Il se concentre sur les composants d’I & T nécessaires pour diriger et gérer les informations qu’une entreprise reçoit, traite, stocke et diffuse.

Qu’y a-t-il de vraiment nouveau dans COBIT 2019?

Il y a de nombreuses différences majeures entre COBIT 2019 et son prédécesseur, COBIT 5, parmi lesquelles :

  • Les 5 principes ont été modifiés.
  • De nouvelles zones d’intérêt existent désormais (DevOps, sécurité, …)
  • La création de nouveaux facteurs de conception,
  • La cascade d’objectifs est mise à jour,
  • Les processus ont été améliorés (il y en a maintenant 40 au lieu de 37),
  • La gestion de la performance a été actualisée.
  • L’expression «composants de la gouvernance» remplace les facilitateurs (« enablers ») de COBIT 5.
  • Et ce que je préfère, ce sont les nouveaux objectifs détaillés en matière de gouvernance et de gestion.

Il y a tellement d’améliorations qu’il est difficile de toutes les saisir dans un seul article. Je vais donc me concentrer sur l’interrelation entre les nouveaux composants et les objectifs de gouvernance et de gestion. Mais vous vous demandez peut-être comment les processus s’intègrent à tout cela? Je vais donc y revenir plus en détail.

Focalisons-nous sur les composants de gouvernance

Après notre récent article 10 trucs pour bien démarrer avec COBIT 2019, nous allons nous concentrer sur le coeur du référentiel. Ils s’agit des composants de la gouvernance. Pour atteindre leurs objectifs de gouvernance et de gestion, les entreprises doivent mettre en place un système de gouvernance reposant sur un certain nombre de composants.


«Les composants sont des facteurs qui, individuellement et collectivement, contribuent au bon fonctionnement du système de gouvernance de l’entreprise sur l’I & T.» (COBIT 2019 Framework, Introduction and Methodology – ISACA).


Ces composants comprennent:

  • Les processus
  • Structures organisationnelles
  • Information
  • Aptitudes et compétences
  • Culture et comportement
  • Les politiques et les procédures
  • Services, infrastructure et applications.

Vous les avez peut-être reconnus en tant que facilitateurs (« enablers ») dans COBIT 5. Personnellement, j’aimais énormément ce concept de facilitateurs dans COBIT 5. Cependant, il était très difficile de les mettre en oeuvre dans une entreprise. Ces composants constituent désormais un élément clé du référentiel COBIT 2019 basé sur leur lien avec les objectifs de gouvernance et de management.

Les objectifs de gouvernance et de management

L’un des éléments clés de la valeur ajoutée de l’I & T est de contribuer à la réalisation des objectifs de l’entreprise. Les objectifs IT qui étaient toujours mal compris. Ils sont remplacés par les objectifs d’alignement entre les métiers et les TI, l’objectif final étant la création de valeur.

COBIT 2019 : la nouvelle cascade d'objectifs de gouvernance
Source: De Haes, Steven; W. Van Grembergen; Enterprise Governance of Information Technology: Achieving Alignment and Value,Featuring COBIT 5, 2nd ed., © Springer International Publishing, Switzerland, 2015

Les objectifs de gouvernance et management des TI sont organisés dans les 5 mêmes domaines que ceux que nous avions auparavant dans COBIT 5 :

COBIT 2019 : domaines des objectifs de gouvernance et de management

Chaque domaine contient un ensemble d’objectifs de gouvernance et de management. Un objectif de gouvernance ou de management se rapporte toujours à un processus et aux autres composants nécessaires pour atteindre cet objectif. On retrouve les objectifs de gouvernance associés domaine EDM. Les objectifs de gestion sont pour leur part associés aux domaines APO, BAI, DSS et MEA.

Comme indiqué ci-dessous, il existe 40 objectifs de gouvernance et de gestion.

COBIT 2019 : 40 objectifs de gouvernance et de management
COBIT Core Model, COBIT 2019 Framework, Introduction and Methodology: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

Connu sous le nom de modèle de référence de processus ou PRM (Process Reference Model) dans COBIT 5, COBIT 2019 l’identifie comme étant le modèle central (Core Model) de COBIT. Dans ce modèle, chacun des 40 objectifs de gouvernance et de management est lié à un processus, qui est l’un de nos composants de gouvernance. Nous allons voir maintenant comment tout cela s’organise.

Utilisation d’objectifs de gouvernance et de management avec les composants

Chacun des 40 objectifs de gouvernance et de gestion est atteint grâce à l’exécution d’un processus du modèle central. Il est donc normal que le modèle central compte désormais 40 processus. Et c’est là que le modèle révèle toute sa puissance. Vous vous souvenez qu’un peu plus tôt dans cet article que j’ai mentionné que les facilitateurs (« enablers ») de COBIT 5 étaient difficiles à associer au modèle COBIT? Eh bien, maintenant, chacun de ces composants (« enablers ») constitue un des ingrédients nécessaires à la réalisation de l’objectif.

COBIT 2019 Framework: Governance and Management Objectives, chacun des objectifs de gouvernance et de management, ou processus, est clairement décrit à l’aide des composants de gouvernance, comme illustré ci-dessous.

COBIT 2019 : architecture des composants du modèle de gouvernance et de management

Maintenant que j’ai expliqué l’architecture générale du modèle, nous allons rentrer dans le détail d’un objectif. Nous prendrons l’exemple de APO13 – Managed security. Ainsi nous comprendrons mieux comment se structure chacun des 40 objectifs de gouvernance et de management.

Informations de haut niveau

Une fiche basée sur une structure standard décrit en détail chaque objectif. Les premières informations décrite en haut de la fiche comprennent la zone d’intérêt, le nom de domaine, le nom de l’objectif de gouvernance ou de management, sa description et la déclaration de l’objet de cet objectif.

COBIT 2019 - Objectif de gouvernance APO13 - Part 1
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

La cascade d’objectifs

La cascade d’objectifs relative à cet objectif spécifique est ensuite décrite. Elle inclut les objectifs d’alignement applicables (anciennement objectifs informatiques), les objectifs d’entreprise et des exemples de métriques.

COBIT 2019 - Objectif de management - Part 2
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

Les composants associés

Rappelez-vous, ils sont au nombre de sept. Ce sont les « enablers » de COBIT 5.

1. Processus

Le processus est un composant clé. En effet, c’est grâce au processus que chaque objectif de gouvernance ou de de management est atteint. Dans le composant «Processus», peu de choses ont changé. Nous voyons toujours un ensemble de pratiques de management, d’exemples de métriques et d’activités, ainsi que des conseils connexes. L’un des principaux ajouts à COBIT 2019 est que chaque activité correspond désormais à un niveau d’aptitude.

COBIT 2019 - Objectif de management APO13 - Part 3
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

Des référentiels de bonnes pratiques connexes apparaissent désormais pour CHACUN des composants de gouvernance. Dans le cas des processus, vous les retrouverez pour chacune des pratiques.

COBIT 2019 - Objectif de management - Part 4
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

2. Structures organisationnelles

Les différents niveaux de participation sont divisés en niveaux d’autorité (Accountability) et de responsabilité (Responsibility). Les entreprises doivent examiner les niveaux de responsabilité et de responsabilisation, les consulter et les informer, et mettre à jour les rôles et les structures organisationnelles dans le tableau en fonction du contexte, des priorités et de la terminologie de l’entreprise. COBIT 2019 suggère uniquement des rôles d’autorité et de responsabilité. COBIT 5 incluait des rôles de consulté et d’informé. Or, étant donné que les rôles consultés et informés dépendent essentiellement du contexte et des priorités de l’organisation, ils ne figurent plus dans les nouveaux guides de COBIT.

COBIT 2019 - Objectif de management APO13 - Part 5
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

3. Eléments et flux d’information

Ce composante de gouvernance fournit des indications sur les flux d’information et les éléments liés aux pratiques du processus. Chaque pratique comprend des entrées et des sorties, avec l’indication de l’origine et de la destination.

COBIT 2019 - Objectif de management APO13 - Part 6.1

COBIT 2019 - Objectif de management APO13 - Part 6.1
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

4. Personnes, aptitudes et compétences

Ce composant identifie les ressources humaines et les compétences requises pour atteindre l’objectif correspondant.

COBIT 2019 - Objectif de management APO12 - Part 7
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

5. Politiques et procédures

Ce composant identifie les politiques et les procédures nécessaires à l’atteinte de l’objectif concerné.

COBIT 2019 - Objectif de management APO13 - Part 8
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

6. Culture, éthique et comportement

Ce composant, essentiel identifie les comportements et les aspects culturels des personnes impliquée dans l’atteinte de l’objectif.

COBIT 2019 - Objectif de management APO13 - Part 9
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

7. Services, infrastructure et applications

Ce composant identifie de façon détaillée les services tiers, les types d’infrastructures et les catégories d’applications pouvant être utilisés pour soutenir la réalisation d’un objectif de gouvernance ou de management. Les instructions sont génériques (pour éviter de nommer des éditeurs, des constructeurs ou des produits spécifiques).

COBIT 2019 - Objectif de management APO13 - Part 10
APO13 – COBIT 2019 Framework, Governance and Management Objectives: 2018 © Information Systems Audit and Control Association, Inc. (ISACA)

Informations connexes

COBIT 2019 identifie les normes, les référentiels et les exigences de conformité applicables pour chaque élément de gouvernance. Il fournit également des références détaillées, le cas échéant, au niveau de chacun des composants. Elles diffèrent cependant de celles de COBIT 5, qui s’appliquaient uniquement au niveau du processus.

Conclusion

C’est grâce à la cascade d’objectifs que vous identifierez les objectifs de gouvernance et de management des TI applicables. Il ne vous reste alors qu’à mettre en oeuvre les composants correspondants aux objectifs sélectionnés. Les objectifs de gouvernance et de management avec leurs composants constituent désormais le noyau de COBIT. Je reviendrai ensuite, dans un prochain article, sur les autres grandes nouveautés de cette version.

N’hésitez pas à commenter cet article pour nous donner votre ressenti sur cette nouvelle version de COBIT. Que pensez-vous des évolutions? Avez-vous un retour d’expérience? C’est grâce à vous que nous pouvons faire vivre ce blog.

 

CISO : Responsabilités et compétences indispensables

Depuis sa création durant les années 90, le rôle du CISO a largement évolué. A l’origine, il était principalement consacré à la correction des vulnérabilités sur le système informatique. Aujourd’hui, le paysage de la sécurité a évolué, avec l’élargissement de la périphérie de l’entreprise, l’explosion du cloud et de la mobilité, avec les mutations des menaces et des risques, et jusqu’aux environnements règlementaires. Le CISO est donc devenu un acteur majeur du management de l’entreprise. Pour assurer ses responsabilités, il doit nécessairement posséder des compétences et des aptitudes très spécifiques.

CISO : Responsabilités et compétences
Crédits © rawpixel.com 2018

Dans cet article je vais essayer de vous expliquer les responsabilités d’un CISO ainsi que les compétences requises. Attention, il ne faut pas confondre CISO et RSSI. En France il y a beaucoup plus de RSSI que de CISO. Malheureusement les entreprises françaises ne comprennent toujours pas que ce rôle est absolument indispensable. Hélas, comme d’habitude au pays des Gaulois réfractaires, c’est le coût qui domine les décisions. Or les bons CISO sont rares sur le marché et donc, ils sont chers. La conséquence est une plus grande vulnérabilité des entreprises Françaises face aux nombreux risques de sécurité.

Qu’est-ce qu’un CISO?

Le Directeur de la Sécurité de l’Information (Chief Information Security Officer : CISO) répond de la sécurité des informations et des données d’une organisation. Par le passé, le rôle était défini assez étroitement dans ce sens. De nos jours, le titre est souvent utilisé de manière interchangeable avec CSO (Directeur de la Sécurité) et VP de la sécurité. Ceci indique un rôle plus étendu dans l’organisation.

Vous êtes un professionnel de la sécurité ambitieux? Vous cherchez à grimper les échelons de votre entreprise? Alors vous pouvez avoir un poste de Directeur de la sécurité informatique dans votre ligne de mire. Examinons ce que vous pouvez faire pour améliorer vos chances de décrocher un rôle de CISO et ce que seront vos responsabilités si vous décrochiez ce poste essentiel. Et si vous cherchez à ajouter un CISO à  votre organisation, vous serez sûrement intéressé par cet article.

Quelles sont les responsabilités d’un CISO?

La meilleure façon de comprendre le travail de CISO est sans doute de se baser ses responsabilités quotidiennes. Elles nous révèlent les compétences nécessaires. Bien qu’il n’existe pas deux cas identiques, Stephen Katz, qui a joué le rôle de CISO chez Citigroup dans les années 90, a décrit les domaines de responsabilité des CISO dans une interview avec MSNBC.

Les 7 domaines de responsabilité du CISO

Il répartit ces responsabilités dans les catégories suivantes:

  • Sécurité opérationnelle : Il analyse en temps réel des menaces immédiates et priorisation en cas de problème
  • Cyber-risque et cyber intelligence : Il se tient au courant des menaces pour la sécurité. Il aide le conseil d’administration à comprendre les problèmes de sécurité potentiels pouvant résulter de fusions, d’acquisitions ou de cessions.
  • Prévention des violations de données et de la fraude : Il s’assure que le personnel interne ne fait aucune mauvaise utilisation ni ne vole des données de l’entreprise
  • Architecture de sécurité : Il planifie, achète et déploie du matériel et des logiciels de sécurité. Il s’assure également que l’infrastructure informatique et réseau est conçue sur la base des meilleures pratiques de sécurité
  • Gestion des identités et des accès : Il s’assure que seules les personnes autorisées ont accès aux données et aux systèmes protégés
  • Gestion de programme : Il doit garder une longueur d’avance sur les besoins de sécurité en mettant en œuvre des programmes ou des projets réduisant les risques. Par exemple, il doit s’assurer du déploiement de correctifs réguliers des systèmes.
  • Enquêtes et expertises légales : Il détermine ce s’est mal passé, collabore avec les responsables, s’ils sont internes, et prévoiT afin d’éviter la répétition d’une crise identique
  • Gouvernance : Il s’assure que toutes les initiatives ci-dessus se déroulent sans heurts et qu’elles reçoivent le financement et les ressources dont elles ont besoin. Il s’assure également que les dirigeants de l’entreprise comprennent bien leur rôle et leur importance dans la sécurité.

Si vous voulez en savoir plus

Pour des informations plus poussées, nous vous conseillons de lire le livre blanc de SANS Institute : « Mixing Technology and Business: The Roles and Responsibilities of the Chief Information Security Officer« .

Quelles sont les exigences pour être CISO?

Que faut-il pour pouvoir postuler à ce poste? D’une manière générale, un CISO doit posséder une base technique solide. Généralement, un candidat doit être titulaire d’une licence en informatique ou dans un domaine connexe. De plus, il doit compter entre 7 et 12 années d’expérience professionnelle (dont au moins cinq ans dans un rôle de direction). Les diplômes de master en sécurité de l’information sont également de plus en plus en vogue.

Des compétences techniques sont nécessaires…

Il existe également une liste exhaustive des compétences techniques attendues. Au-delà des bases de la programmation et de l’administration système que tout dirigeant technique de haut niveau devrait posséder, vous devez également comprendre certaines technologies centrées sur la sécurité, telles que le DNS, le routage, l’authentification, les VPN, etc. services proxy et technologies d’atténuation DDOS; pratiques de codage, piratage éthique et modélisation des menaces; et les protocoles de pare-feu et de détection / prévention des intrusions. Les CISO sont censés contribuer à la conformité réglementaire. Par conséquent, vous devez également connaître en quoi consistent les évaluations de la conformité PCI, HIPAA, NIST, GLBA, GDPR, ISO 27001 et SOX.

… mais elles ne sont qu’une base

Cependant les connaissances techniques ne constituent pas le seul pré-requis requise, ni même le plus important pour décrocher le poste. Une grande partie du travail d’un CISO implique la gestion et la défense de la sécurité au sein de la haute direction de l’entreprise. Larry Ponemon, chercheur en informatique, a déclaré à SecureWorld que « les principaux RSSI ont de bonnes bases techniques mais possèdent souvent une expérience professionnelle, un MBA et les compétences nécessaires pour communiquer avec les autres cadres dirigeants et le conseil d’administration ».

Des compétences de management sont vitales

La combinaison de compétences techniques et non techniques permettant de juger un candidat au poste de RSSI peut varier en fonction de la société qui embauche. De manière générale, les entreprises ayant une portée mondiale ou internationale recherchent des candidats possédant une formation en matière de sécurité globale et fonctionnelle et évaluent les compétences en leadership tout en prenant en compte la progression de carrière et les réalisations passées. D’un autre côté, les entreprises qui ont une activité plus centrée sur le Web et les produits cherchent plutôt des compétences spécifiques orientées vers la sécurité des applications et du Web.

Quelles certifications doit posséder un CISO?

Au fur et à mesure que vous gravissez les échelons, vous pouvez améliorer votre CV avec des certifications. Ces qualifications rafraîchissent la mémoire, invitent à une nouvelle réflexion, augmentent la crédibilité. Et, plus important, elles constituent un élément obligatoire de tout programme de formation interne solide. Il existe beaucoup de certifications en sécurité de l’information. Alors lesquelles choisir? Le top 3 est constitué de :

  • CISM (Certified Information Security Manager) est spécialement indiqué pour ceux qui cherchent à gravir les échelons dans le domaine de la sécurité de l’information et à faire la transition vers le leadership ou la gestion de programme.
  • CISSP (Certified Information Systems Security Professional) est destiné aux professionnels de l’informatique qui souhaitent faire de la sécurité de l’information un objectif de carrière.
  • CEH (Certified Ethical Hacker) est destiné aux professionnels de la sécurité qui souhaitent acquérir une connaissance approfondie des problèmes susceptibles de menacer la sécurité de l’entreprise.

Nous avons, dans un précédent article, comparé les certifications CISM et CISSP. Vous pouvez vous y référer pour plus d’informations.

CISO vs CIO

La sécurité est un rôle au sein d’une entreprise qui s’oppose inévitablement avec les autres dirigeants de l’Entreprise. En effet, l’instinct des professionnels de la sécurité consiste à verrouiller les systèmes et à les rendre plus difficiles à accéder. Ceci peut entrer rapidement en conflit avec la direction informatique. La DSI a, pour sa part, l’objectif de rendre les informations et les applications disponibles sans difficulté. La manière dont tout se joue en haut de l’organigramme est souvent vue comme une bataille CISO contre CIO. On identifie souvent les contours de ce bras de fer grâce aux lignes de reporting au sein de l’organisation.

CISO vs RSSI

C’est la raison pour laquelle une entreprise ne peut pas se contenter d’un RSSI. En effet, il est relativement courant que les RSSI soient rattachés aux DSI. Cela limite la capacité du RSSI à s’aligner stratégiquement sur la stratégie de l’Entreprise. En effet, dans ce cas sa vision finit par être subordonnée à la stratégie informatique du DSI. Les RSSI n’acquièrent définitivement de l’influence que lorsqu’ils relèvent directement de la Direction Générale. C’est une pratique de plus en plus courante. Cela impliquera généralement un changement de titre en CISO. Ainsi la CISO se retrouvera sur un « pied d’égalité » avec le CIO (DSI). Cela lui permettra d’avoir des responsabilités en matière de sécurité non liées à la technologie.

Le CISO doit être sur un pied d’égalité avec le CIO

Placer le CIO et le CISO sur un pied d’égalité peut aider à résoudre les conflits. Cela indique notamment à toute l’organisation que la sécurité est importante et n’est pas limitée au domaine informatique. Mais cela signifie également que le CISO ne peut pas simplement être un gardien de l’accès aux initiatives techniques. Piergiorgio Grossi, DSI de Ducati, a déclaré au magazine i-CIO: « Il incombe au CISO d’aider l’équipe informatique à fournir des produits et des services plus robustes au lieu de simplement dire » non « . Cette responsabilité partagée des initiatives stratégiques modifie la dynamique de la relation. Et cela peut faire la différence entre succès et échec pour un nouveau CISO.

La description de poste d’un CISO

Si vous recherchez un CISO prometteur pour votre organisation, cela implique en partie de rédiger une description de poste. Une grande partie de ce que nous avons discuté jusqu’à présent peut vous aider à aborder cette question. Vous devez d’abord décider si vous voulez engager un RSSI ou un CISO. Ensuite vous devrez obtenir les approbations pour le niveau, la structure hiérarchique et le titre officiel du poste. Dans les petites entreprises, le CISO peut être vice-président ou directeur de la sécurité. Vous devez également définir les exigences minimales et les qualifications du rôle. Ensuite vous pouvez décider de recruter en externe ou en interne.

Votre description doit clairement énoncer l’engagement de votre organisation en matière de sécurité. En effet, c’est ainsi que vous allez attirer un candidat de grande qualité. Vous devez indiquer où le nouveau CISO se retrouvera dans l’organigramme et son niveau d’interaction avec le conseil d’administration. Cela clarifiera vraiment sa position et son rôle. Un autre point important est de maintenir à jour la description de poste. Il faut le faire même si vous avez quelqu’un qui occupe actuellement ce poste. Vous ne savez jamais quand cette personne passera à une autre opportunité. C’est un rôle absolument critique et vous ne pouvez pas prendre le risque de vous retrouver sans CISO.

Quel salaire pour un CISO?

CISO est un poste de haut niveau et les CISO ont donc une rémunération en conséquence. La prévision des salaires est bien plus un art qu’une science. Mais on admet généralement qu’aux USA des salaires supérieurs à 100 000 dollars sont la règle. A ce jour voici les moyennes de salaire constatées aux USA

  • ZipRecruiter annonce une moyenne nationale de 153 117 $
  • Salary.com positionne la fourchette standard encore plus haut, entre 192 000 et 254 000 dollars.

Si vous consultez Glassdoor, vous pouvez consulter les fourchettes de salaire des offres d’emploi actuelles de CISO. Ceci peut vous aider à déterminer les secteurs qui paient le plus ou le moins. Par exemple, au moment de la rédaction de cet article, le poste de chef de la sécurité publique au sein du gouvernement fédéral américain rapporte entre 164 000 et 178 000 dollars, et le poste de CISO à l’Université d’Utah, entre 230 000 et 251 000 dollars.

Toujours sur Glassdoor, vous pouvez consulter le salaire des offres d’emploi en France pour un RSSI. Il se situe en moyenne entre 50 K€ et 80 K€. On voit tout de suite la différence! Malheureusement cela traduit bien le niveau de maturité des entreprises Françaises en 2019. C’est un mauvais présage de l’aptitude des entreprises Françaises à faire face aux challenges de la transition numérique.

Vous êtes un CISO en poste et vous souhaitez nous faire part de votre expérience? Vous voulez évoluer vers un rôle de CISO? N’hésitez pas à échanger grâce à vos commentaires.

 

10 trucs pour bien démarrer avec COBIT 2019

Il y a quelques semaines que la nouvelle version du référentiel de Gouvernance et de Management de l’information : COBIT 2019 a été publiée sous la forme des 4 premiers volumes. Nous nous sommes donc posé la question de comment bien démarrer avec COBIT 2019. Voici nos 10 conseils.

COBIT 2019 - 10 trucs pour bien démarrer votre initiative de gouvernance
Crédit © rawpixel.com 2018

Petit rappel historique : de Cobit à COBIT® 2019

Vous avez sûrement déjà entendu parler de COBIT. COBIT existe depuis un moment maintenant. Si tel est le cas, vous vous souviendrez peut-être que COBIT était un cadre dirigé vers des pratiques en matière d’audit. Vous vous souvenez peut-être aussi de l’ancien nom: CobiT. C’était alors un acronyme signifiant littéralement «Objectifs de contrôle pour l’information et les technologies connexes». Son nom traduisait clairement ses racines basées sur l’audit. Tout cela, c’était il y bien longtemps. En tout cas, c’était avant 2012.

Mais maintenant c’est simplement devenu COBIT®, un nom commercial  sans signification spéciale. À l’instar d’ITIL, l’acronyme a été remplacé en 2012 avec la version COBIT® 5 traduisant une ambition beaucoup plus grande. COBIT 5 est devenu LE cadre de gouvernance et de management de l’information des entreprises, incluant la technologie associée. Il s’agit donc depuis 2012 d’un référentiel de gouvernance et de management couvrant toute l’entreprise. Ce n’est plus un cadre d’audit limité au domaine informatique.

Avec COBIT 2019, l’ISACA va encore plus loin en simplifiant COBIT 5 et en y rajoutant des outils de design ainsi que des niveaux de maturité pour chacun des objectifs. Les processus et les « enablers » ont quitté le premier plan du modèle principal, remplacés par les objectifs.

Démarrer avec COBIT

Comme pour beaucoup de choses dans la vie, et pas uniquement dans les TI, il y a rarement une seule approche universelle. Au lieu de cela, vous devez trouver l’équilibre entre ce que vous devez réaliser, vos priorités clés et les limites organisationnelles sur lesquelles vous souhaitez appliquer le changement.

Alors, prenez les 10 conseils suivants dans l’esprit dans lequel ils vous sont proposés. Considérez-les et conservez seulement ceux qui sont pertinents pour votre organisation.

1. Comprenez d’abord à quoi sert COBIT

Cela peut vous paraître étrange de prime abord. Mais je vous rappellerai l’évolution de COBIT que j’ai décrite en introduction. COBIT 2019 est aujourd’hui décrit comme un «cadre de gouvernance et de gestion de l’information et de la technologie (I & T)». On est très loin de sa vocation d’origine. Il est également important de bien comprendre que ce n’est pas un cadre de gestion des services informatiques comme l’est ITIL par exemple. Il s’adresse à toute l’organisation prise dans son ensemble. Ce n’est donc pas quelque chose destiné au DSI. Un programme de mise en oeuvre couvre toute l’entreprise, c’est à dire toutes les directions : métiers, finances, RH, risques, sécurité, etc.

2. Comprenez ce que le mot « gouvernance » signifie pour votre organisation

C’est peut-être le conseil le plus important. Pour tirer le meilleur parti de COBIT 2019, il est primordial de «mettre tout le monde sur la même longueur d’onde» en ce qui concerne la gouvernance (et la gestion bien sûr). Sinon, vous aurez probablement autant de définitions internes de la gouvernance que d’employés. D’ailleurs il n’est pas du tout certain que votre haute direction ait une vision claire à ce sujet. En effet, la notion de gouvernance dans les pays francophones est assez mal comprise. Sans doute est-ce dû à l’histoire et à la culture « monarchique » française. Elle est très éloignée de la gouvernance comprise par les anglophones. Nous y reviendrons dans un prochain article sur la structure de gouvernance et de management des organisations. Alors si besoin, n’hésitez pas à faire suivre aux membres de votre direction une formation d’introduction. 2AB & Associates propose également des présentations destinées aux exécutifs que nous réalisons sur 1h30 à 3h pour l’ensemble de Comité de Direction

3. Reconnaissez que COBIT 2019 n’est pas seulement un ensemble de 40 processus

De nombreuses approches ITSM se concentrent sur les processus d’amélioration. COBIT 2019 inclut aussi 40 processus mais il ne sont que des composantes des 40 objectifs de gouvernance et de management. Les 40 objectifs se répartissent dans 5 domaines:

  • 1 domaine pour la Gouvernance
    • EDM : Evaluer, Diriger et Surveiller
  • 4 domaines pour le management
    • APO : Aligner, Planifier et Organiser
    • BAI : Bâtir, Acquérir et Implémenter
    • DSS : Délivrer, Servir et Supporter
    • MEA : Surveiller, Evaluer et Contrôler.

Chaque objectif repose sur 7 composants (qui s’appelaient les « enablers » dans la version précédente) pour être atteint :

  • un processus
  • structures organisationnelles
  • flux d’informations et d’éléments
  • personnes, des aptitudes et des compétences
  • politiques et des procédures
  • culture, éthique et comportement
  • services, infrastructure et applications.

Les objectifs sont déterminés en utilisant la cascade d’objectifs qui était au coeur de COBIT 5. De la sorte, vous vous focaliserez sur les objectifs prioritaires de votre organisation.

4. Obtenez l’implication forte de la haute direction pour la mise en oeuvre

Un facteur clé du succès de COBIT 5 a toujours été la haute direction, qui fournit la direction, le mandat et son engagement continu pour l’initiative. C’est encore plus vrai avec la version 2019. Il s’agit de mettre en oeuvre des pratiques de gouvernance et de management. C’est donc une responsabilité qui se situe au plus haut niveau de l’organisation. Sans une implication forte de haute direction, l’échec de votre programme est quasiment assuré.

5. Justifiez formellement l’investissement dans COBIT 2019

Ne démarrez pas cela comme «une bonne chose à faire» en vue de s’améliorer. Ces types d’initiatives tendent à être les premières à être arrêtées lorsque des pressions budgétaires entrent en jeu. Il s’agit là d’un programme d’envergure au niveau de votre entreprise. La justification grâce à des business cases appropriés est donc impérative. Réalisez une analyse de rentabilité pour chaque projet contenu dans le programme définissant la portée, les bénéfices attendus et, surtout, décrivant un mécanisme permettant de mesurer les progrès et les succès.

6. Commencez de façon ciblée pour obtenir un accord

En particulier, identifiez les «points de douleur» spécifiques. COBIT 2019 peut vous aider à les traiter (et à les résoudre) au lieu de simplement commencer par une liste d’actions. Cela vous aidera non seulement à rester concentré, mais aussi à promouvoir les succès obtenus. Cela vous permettra également de mieux convaincre la haute direction et de transformer un sentiment de besoin diffus en nécessité absolue de mise en oeuvre. C’est ainsi que vous déclencherez le désir du changement sans lequel rien n’est possible.

7. Mettez en oeuvre « votre » programme et n’essayez pas de copier-coller le contenu de COBIT 2019

Comme pour les autres cadres de bonnes pratiques, il est nécessaire d’adopter et d’adapter COBIT 2019 aux besoins et au contexte spécifiques de votre organisation. Ne considérez surtout pas la publication de l’ISACA comme un évangile et le seul moyen de bien faire les choses. Il s’agit simplement de lignes directrices vous permettant de comprendre comment procéder. Vous devez vous en inspirer pour créer votre propre cadre de gouvernance et de management de l’I&T, spécifique à votre organisation. Il convient également de cibler les objectifs qui sont prioritaires dans votre cas particulier. N’oubliez jamais que les ressources mises à votre disposition ne sont pas illimitées.

8. Assurez-vous que le langage que vous employez est compris et accepté de tous

Votre organisation n’est sans doute pas nouvelle. Elle a sans doute adopté un langage ou un lexique commun en interne afin de garantir la clarté de la communication. Il convient de faire en sorte que tout le monde ait une compréhension commune des choses. Donc, lorsque vous démarrez avec COBIT 2019, ne changez pas les habitudes. Utilisez le langage interne connu et compris de tout le monde connaît. Tant pis si ce n’est pas le langage utilisé dans les publications officielles. Le programme de mise en oeuvre ou d’amélioration de la gouvernance et du management de l’I&T est complexe. Ne le compliquez pas encore plus avec l’utilisation de termes que les gens ne comprennent pas. Cela risquerait d’aboutir au rejet pur et simple de votre initiative et à son échec. Ne courrez pas ce risque.

9. Démarrez doucement avec les choses simples et visibles

Comme pour chaque nouveauté introduite dans l’environnement professionnel, il est important de mettre l’accent sur les «gains rapides» (Quick Wins). Cette astuce se reflète dans la hiérarchisation des améliorations les plus bénéfiques dans le contexte de la facilité de réalisation. Cette atteinte rapide des objectifs et la réalisation des premiers bénéfices contribuera à renforcer la crédibilité et la confiance. Elle renforcera ainsi l’investissement continu en temps et en argent, ainsi que la motivation des personnes impliquées dans le changement.

10. Assurez-vous de mettre en place dès le début des mesures du succès

Comme déjà mentionné dans le conseil n ° 5, il doit exister un mécanisme permettant d’évaluer et de rendre compte des améliorations. Il est important de noter qu’il ne s’agit pas seulement de mesurer  la phase « projet ». Il convient aussi et surtout  de réaliser l’évaluation continue des performances et la progression des opportunités d’amélioration. Et surtout ne trichez pas. Soyez transparent et communiquez les résultats des mesures réelles. Si les cibles ne sont pas atteintes, c’est peut-être que vous avez été trop ambitieux. Alors expliquez- et adaptez vos cibles pour qu’elles soient atteignables et faites les progresser dans le temps. Il vaut toujours mieux commencer avec des résultats modestes mais en constante amélioration qu’avec des résultats incroyablement bons mais faux…

Voici donc nos 10 conseils pour bien démarrer avec COBIT 2019. Vous n’êtes pas d’accord? Vous pensez que vous pouvez en rajouter d’autres? Vos commentaires sont les bienvenus. N’hésitez pas à ouvrir le débat.

Introduction à COBIT 2019

L’ISACA vient de publier les deux premiers volumes de la nouvelle version de son cadre de Gouvernance et de Management de l’information d’Entreprise et des Technologies : COBIT 2019.

COBIT 2019 : le nouveau cadre de gouvernance et de management de l'I & T
© ISACA 2018

Nous vous proposons donc aujourd’hui une introduction à COBIT 2019. Cette introduction se compose de deux parties :

  • une présentation exécutive destinées aux équipes de direction. L’objectif est de mieux comprendre l’intérêt du cadre de gouvernance et de management de l’I & T,
  • les différences essentielles existant avec COBIT 5, la version précédente déjà largement adoptée dans le monde entier.

Concernant l’adoption de COBIT comme cadre de Gouvernance et de Management, mentionnons que la certification COBIT 5 Foundation fait une entrée remarquée dans les certifications qui correspondent aux meilleurs salaires en Europe en prenant cette année la 7ème place.

Présentation de COBIT 2019 et de ses nouveautés

Pour en savoir plus

Pour en savoir plus, nous vous conseillons la lecture de nos deux précédents articles COBIT 2019 – Les nouveautés ainsi que COBIT 2019 – Vos questions, nos réponses.

De plus, 2AB & Associates vous proposera début 2019 deux formations sur COBIT 2019 :

  • Une formation « Bridge » destinée aux certifiés COBIT 5 Foundation. Cette formation se déroulera sur 1 journée. Elle couvrira l’ensemble des différences entre COBIT 5 et COBIT 2019. A l’issue de cette formation, les participants pourront passer l’examen leur permettant d’obtenir la certification COBIT 2019 Foundation.
  • COBIT 2019 Foundation sans prérequis spécifiques. Cette formation d’une durée de 3 jours permet aux participants de comprendre les concepts du cadre de gouvernance et de management de l’I&T d’entreprise. A l’issue de la formation, les stagiaires passeront l’examen de certification COBIT 2019 Foundation.

Enfin, nous proposons également, sur demande, une présentation exécutive destinée aux dirigeants d’entreprises. Cette session est présentée par un de nos experts. Elle permettra donc aux participants d’échanger sur les avantages de la mise en oeuvre de COBIT 2019 dans leur organisation

Enfin, n’hésitez pas à commenter et à poser des questions à nos experts qui vous répondront en ligne. Et si vous aimez nos publications, vous pouvez bien entendu les partager sur les réseaux sociaux ou nous mettre un « like ».

Certifications et compétences qui paient en 2018

Comme chaque année, nous vous proposons un survol des certifications et compétences qui paient le mieux en 2018. Cet article s’appuie sur l’enquête annuelle réalisée par Global Knowledge sur les compétences et les salaires dans le domaine IT.

Les certifications et les compétences les mieux payées en 2018
Crédit © AdobeStock & Gwimages 2018

Notre précédent article sur les 6 certifications qui payaient le mieux en 2017 continue à être l’article plus lu de ce blog. Voici donc la version 2018 avec quelques évolutions notables. On constate un véritable glissement vers de nouvelles certifications et compétences correspondant aux meilleurs salaires. Cependant on peut constater des différences énormes selon les zones géographiques. Elles correspondent totalement à l’économie et aux besoins des entreprises dans chacune des zones. Il reste toutefois clair que les salaires sont dépendants de l’offre de compétences et de la demande régionale.

Vous courrez après les gros salaires? Cet article vous présente les certifications les mieux payées. Cependant il vous indique aussi ce que les employeurs attendent de vous et ce que cela implique. La certification ne suffit pas… C’est, pour un employeur potentiel, une assurance raisonnable quand à vos connaissances dans le cas de certifications courantes et aussi de votre compétence dans le cas des certifications professionnelles. Le recherche trois critères :

  • le savoir (sur la base de vos diplômes académiques et des vos certifications standards),
  • le savoir-faire (sur la base de vos certifications professionnelles et de votre expérience),
  • votre savoir-être sur la base de l’évaluation de votre comportement et de votre attitude (le recruteur ira chercher ces informations sur les réseaux sociaux, auprès de votre entourage professionnel et personnel).

Dans tous les cas, dites-vous que votre futur employeur vérifiera la réalité de ce que vous annoncez dans votre CV. Inutile donc de revendiquer une certification que vous n’avez pas. La vérification auprès de l’organisme émetteur de la certification révèlera immédiatement la supercherie. Cela se retournera contre vous. D’ailleurs, certains organismes de certification n’hésitent pas à porter plainte contre les fraudeurs et réclament des amendes importantes.

Certifications standards vs certifications professionnelles

Lorsqu’on parle de certification, il faut toujours bien faire attention à la signification qu’on donne aux mots. Les certifications standards sont par essence des certifications résultant de la simple réussite à un examen. C’est le cas des certifications ITIL, PRINCE2, VERISM, certaines certifications COBIT, etc. Elles se dénomment souvent Foundation, Practitioner, Intermediate ou encore Advanced. Aucune expérience dans le domaine n’est réclamée et la certification est valide sans limitation de durée.

Dans le cas des certifications professionnelles, à l’inverse, la réussite à l’examen n’est qu’une première étape. Ensuite il est nécessaire de prouver une expérience minimum de 3 à 5 ans dans le domaine concerné. L’organisme de certification effectue donc une vérification auprès des précédents employeurs de du candidat sur la valeur et la durée de son expérience ainsi que sur son attitude et son comportement. Ce n’est que lorsque cette vérification est positive que la certification est délivrée.

En général les certifications professionnelles ont une durée limitée, souvent de 3 ans. Chaque année ou chaque 3 ans, l’organisme exige la preuve que le certifié a bien suivi un nombre minimum d’heures de formation (CPD/CPE/CPU). Le certifié doit également acquitter de nouveau un montant significatif pour le renouvellement de sa certification. L’organisme de certification effectue alors, de façon aléatoire, des contrôles sur l’expérience acquise pendant les 3 ans ainsi que sur le comportement du certifié pendant cette période. A cette occasion la certification peut lui être retirée.

Parmi les certifications professionnelles, on peut citer CISA, CISM, CGEIT, CRISC, PMP, CIA, ISO 27001 Lead Implementer ou ISO 27001 Lead Auditor. Il est bien évident que les certifications professionnelles, plus « sérieuses », sont les plus recherchées par les employeurs. Ce sont donc aussi, logiquement, celles qui correspondent aux meilleurs salaires.

Les compétences les plus recherchées

Les compétences les plus recherchées sont bien naturellement celles qui paient le plus. C’est tout simplement la loi de l’offre et de la demande. Voyons ensemble les 5 domaines de compétences qui suscitent le plus de demandes en 2018. Précisons bien qu’il s’agit là de recherche de professionnels certifiés et pouvant démontrer plusieurs années d’expérience dans le domaine. Donc ce sont des domaines dans lesquels les employeurs recherchent en priorité des détenteurs de certifications professionnelles.

Notons toutefois que parmi ces 5 compétences les plus recherchées, deux certifications sont de niveau Foundation (COBIT 5 Foundation et Six Sigma Green Belt).

La cybersécurité

Comme lors des trois dernières années, les certifications en sécurité tiennent les premières places en matière de rémunération. Lorsque nous élargissons la liste aux 20 premiers, six certifications sont relatives à la sécurité an niveau mondial, y compris les deux premières places: CISSP de (ISC) 2 et CRISC de l’ISACA. Le CISM d’ISACA se classe au sixième rang mondial et au huitième rang en EMEA.

Le CISSP enregistre le salaire global moyen le plus élevé avec 70.177 € en EMEA (100.146 $ aux USA, ce qui représente une différence de plus de 27% entre les deux zones géographiques). Les professionnels de l’informatique possédant des certifications en sécurité ont tendance à avoir des salaires moyens globaux supérieurs de 15% (aux USA) à 63% (dans la région Asie-Pacifique) à la moyenne des autres certifiés.

Pour en savoir plus sur les certifications CISSP et CISM, nous vous invitons à lire notre article CISM vs CISSP : quelle certification choisir?

Le Cloud

Les certifications liées au Cloud, y compris AWS Certified Solutions Architect – Associate, ont des salaires moyens nettement supérieurs à la norme. En Amérique du Nord, le le salaire moyen du personnel informatique certifié AWS est 10% plus élevé que celui des personnels possédant une autre certification dans le Cloud et 29% supérieur au salaire moyen des professionnels IT certifiés dans un autre domaine. Toutefois, l’augmentation du salaire des professionnels certifiés en Cloud computing n’est pas limitée à ceux possédant les certifications AWS.

L’accent mis sur le nuage s’est également étendu à d’autres domaines fonctionnels. Les help-desks et les équipes de support technique recherchent activement des professionnels possédant des certifications dans le cloud computing et les réseaux.

La gestion de projet

Les gestionnaires de projets certifiés en Amérique du Nord ont également des salaires moyens au dessus de la norme. C’est particulièrement vrai pour ceux qui possèdent une certification PMP (103 406 $) par rapport à la moyenne des autres professionnels certifiés en gestion de projet, par exemple PRINCE2  (97 745 $). La tendance est beaucoup moins nette sur la région EMEA. Pour en savoir plus sur ces deux certifications, nous vous invitons à relire notre article PRINCE2 vs PMP : Quelle méthode de gestion de projet choisir?

On voit également émerger cette année une demande croissante pour les chefs de projets certifiés sur une méthode agile. Dans ce contexte c’est la certification Certified ScrumMaster (CSM) avec un salaire moyen de 98 562 $ qui tient la tête.

La gouvernance et le management

L’ISACA est une association indépendante axée sur l’adoption et l’utilisation des meilleures pratiques de gouvernance et de management de l’information et des technologies dans les organisations. L’ISACA possède six certifications dans le top 20 mondial, y compris CGEIT, CISA, CRISC et CISM . Une nette tendance se dégage également avec une demande de plus en plus forte de professionnels certifiés sur COBIT 5. Cela se traduit par un salaire moyen des professionnels certifiés COBIT 5 Foundation qui atteint maintenant 65.000 € dans la région EMEA.

Si vous vous posez des questions sur le CISA, nous vous conseillons trois articles précédemment publiés sur notre blog :

Compétences Six Sigma

La certification Six Sigma Green Belt est parrainée par l’association indépendante IASSC. C’est une certification de base sur un ensemble de techniques et d’outils d’amélioration des processus. Une tendance nette se dégage également en faveur des professionnels possédant une certification Six Sigma Green Belt qui obtiennent un salaire moyen de 99.865 $ en Amérique du Nord et de 69.000 Euros en EMEA soit une différence de 21%, la plus faible du top 20 des certifications.

Le top vingt des salaires par certification en Europe

Les résultats du classement 2018 sont extrêmement intéressants car ils montrent un changement important par rapport à 2017. La grande nouveauté est l’arrivée en force des certifications AWS (Amazon) dans les premières places du classement. A l’inverse les certifications qui monopolisaient les premières places ce dernières années subissent un fort recul (CISA, PMP). On voit également apparaître en 7ème position une certification qui fait sont entrée dans les 10 premières : COBIT 5 Foundation. Il est également à noter que cette année les certifications CISCO disparaissent complètement du classement.

Classement 2018 des 20 certifications et certifications professionnelles correspondant au meilleurs salaires en euros
Classement établi sur les salaires en région EMEA (Europe, Moyen Orient & Afrique). L’ordre est différent en Amérique du Nord.

L’autre enseignement de ce classement est la différence très importante des salaires entre la région EMEA et l’Amérique du Nord. Les salaires en EMEA sont tirés nettement vers le bas par la zone Afrique ainsi que le montre la carte suivante.

Salaires des professions IT par région du monde
Moyenne des salaires IT par région du monde – Crédit © Global Knowledge 2018

Conclusion

Ces éléments peuvent vous aider à choisir parmi les certifications disponibles celles qui vous conviennent le mieux. Bien sûr le salaire est un critère mais n’oubliez pas que la certification ne garantit pas le niveau de salaire. C’est votre compétences et votre adéquation au marché qui feront la différence.

N’hésitez pas à commenter cet article en y apportant vos témoignages sur votre expérience personnelle. Posez-nous également des questions. Nos experts se feront un plaisir de vous répondre. Si cet article vous a paru intéressant, n’hésitez pas à le partager sur les réseaux sociaux et à nous mettre un « like » si vous le souhaitez.

COBIT – La gouvernance, clé du succès de l’entreprise

Le RGPD (Règlement Général sur la Protection des Données) est entré en vigueur le 25 mai 2018, exigeant une bonne gouvernance des données pour toutes les entreprises et collectivités, indépendamment de la juridiction, sur le traitement des données personnelles associées aux citoyens de l’UE et de l’EEE. Dans un précédent article, j’ai montré comment COBIT 5 pouvait aider tout projet de mise en conformité au RGPD. Si le RGPD a été vraiment pris au sérieux, nos organisations sont aujourd’hui en mesure de mieux gérer leurs données. De fait, cela facilite leur tâche de gestion quotidienne de l’Entreprise.

COBIT Gouvernance, la clé du succès en entreprise
Crédits © weerapat1003

Grâce à une bonne gouvernance, nous pouvons aborder avec confiance des problèmatiques actuellement encore ignorées par la pensée dominante. Elles sont pourtant désormais très pertinentes et constitueront un facteur de succès ou d’échec pour les prochains mois et les prochaines années. Parmi les problèmes dominants affectant les Entreprises, on peut citer :

  • L’adaptation de la main-d’œuvre du troisième millénaire,
  • La transformation digitale de l’économie,
  • Après le RGPD, le règlement sur la protection de la vie privée ,
  • Le BREXIT,
  • Les géants du web, notre nouveau risque systémique,
  • L’insécurité intégrée…

Le thème central, commun à tous ces sujets, est celui des systèmes d’information. L’activité stratégique et opérationnelle doit désormais adopter une approche plus «entrepreneuriale» que «mature» pour exploiter les opportunités au fur et à mesure qu’elles se présentent. Les cadres de gouvernance doivent encourager l’innovation et gérer simultanément les risques associés au moyen de politiques, de procédures et de pratiques adaptées. Une approche collaborative est nécessaire pour anticiper et répondre rapidement au changement.

COBIT 5 : le cadre de Gouvernance d’Entreprise publié par l’ISACA

Le cadre COBIT 5 de l’ISACA permet d’avoir un aperçu de la gouvernance d’entreprise. La famille de publications comprend «COBIT 5, a Business Framework for the Governance and Management of Enterprise IT». Ce document de 94 pages fournit un guide complet sur où et comment rechercher des opportunités d’évolution et d’innovation dans votre entreprise.

COBIT 5 : un mythe tenace

Malheureusement la traduction Française de cette publication n’est pas très pertinente. Elle semble faire plus de cas de l’informatique que des métiers de l’Entreprise, seuls créateurs de valeur. Le titre lui-même a été traduit par « COBIT 5, un référentiel orienté affaires pour la gouvernance et la gestion des TI de l’entreprise ». Le titre original, en Anglais, ne fait pas référence aux TI mais à « l’information de l’entreprise et aux technologies associées ». C’est beaucoup plus vaste et cela couvre la totalité des métiers au lieu de la seule informatique. Pour COBIT, l’informatique n’est seulement qu’un « outil » au service des métiers de l’Entreprise (on parlera du 6ème « enabler »). COBIT n’est aucune un référentiel destiné à l’IT. C’est un référentiel de Gouvernance et de Management de l’Entreprise.

Le périmètre de COBIT 5 : La gouvernance et le management de l’entreprise

Cela inclut bien évidemment l’IT, mais seulement comme un composant de l’Entreprise.

Vous pouvez accéder au périmètre des publications COBIT 5 sur le site de l’ISACA. COBIT a la particularité d’être composé de publications permettant au lecteur d’accéder au contenu du cadre au travers des filtres. L’accès au cadre de référence complet est totalement gratuit. Certains autres documents, tels que le modèle de référence des processus ou le guide de mise en oeuvre sont gratuits pour les membres de l’ISACA. Enfin, d’autres documents, notamment les guides professionnels, sont payants mais avec une remise substantielles pour les membres.

Publications COBIT
Source © ISACA

COBIT 5 : quelques cas réussis de mise en oeuvre dans le monde

Chacun des cas présentés ici correspond à la liste des problèmes dominants identifiés au début de cet article. Il n’ont souvent qu’un lien très lointain avec les technologies de l’information. Vous y trouverez des liens utiles présentant le contexte et la façon dont  COBIT 5 a permis relever ces défis organisationnels.

Adaptation de la main d’oeuvre du 3ème millénaire – Cas PWC

PWC, tout comme DELOITTE et d’autres grands cabinets internationaux exigent un engagement intensif de leurs salariés dès le début. Des récompenses en matière d’évolutions de carrière, telles que des partenariats, sont appelées à venir plus tard. Ces entreprises sont actuellement confrontées à un turnover croissant de jeunes, essentiellement nés entre 1980 et 1995. Il s’agit de ceux qu’on qualifie généralement d’enfants du millénaire. Ceux de la génération Z, nés après 1995, commencent à peine à arriver sur le marché de l’emploi. PWC et DELOITTE ont constaté que la main-d’œuvre entrante avait des attentes différentes de celle des générations précédentes. Les jeunes souhaitent désormais une approche flexible pour travailler. Ils attendent des récompenses pour de bonnes performances dès le début ainsi que tout au long de leur carrière.

COBIT 5 via son approche de cascade des objectifs se focalise sur l’identification besoins des parties prenantes. Ceux-ci sont alors traduits en objectifs de l’entreprise liant les attentes internes et externes des parties prenantes avec celles de l’entreprise.Une fois identifiés, les changements appropriés peuvent être apportés aux politiques et aux pratiques.

Pour mieux comprendre comment vous appuyer sur COBIT pour résoudre cette problématique, nous vous proposons les liens suivants :

Transformation digitale de l’économie – Cas Domino’s

La transformation digitale pousse les entreprises à adapter leurs modèles commerciaux et à se concentrer. Domino’s a réalisé qu’ils devaient passer d’un service de restauration rapide à un service digital. En utilisant l’analyse de données pour personnaliser les offres marketing auprès des clients, les clients sont attirés par un service correspondant à leur style de vie.

COBIT 5, au travers des conseils sur les services, l’infrastructure et les applications, aide les entreprises à évaluer le potentiel de la transformation numérique sur l’organisation. Cette orientation élargit la réflexion, de la définition d’une solution unique jusqu’à la mise en œuvre d’un actif holistique, intégrale et soutenant les objectifs de l’entreprise.

Si vous souhaitez mieux comprendre comment COBIT a permis à Domino’s de réussir sa transformation digitale : https://www.bernardmarr.com/default.asp?contentID=1264.

Mise en conformité au futur règlement Européen sur la protection de la vie privée – Cas WhatsApp

Le règlement sur la vie privée et les communications électroniques, qui devrait être adopté par l’UE à la fin de 2018, constitue un ajout subtil au RGPD couvrant les communications électroniques.Des consentements explicites supplémentaires seront nécessaires. L’infrastructure de communication intelligente transporte, génère, utilise et stocke des données personnelles et corporatives identifiables. Donc, de fait, les principaux services de communication tels que WhatsApp sont inclus. C’est aussi le cas des fournisseurs de cookies, d’appareils IoT et de marketing direct et e-marketing.

COBIT 5 fournit des conseils sur la façon dont les entreprises, incluant leur IT, doivent se conformer aux exigences réglementaires. COBIT peut donc aider à révéler où des consentements explicites pourraient être nécessaires.

Voici quelques liens qui peuvent vous permettre de mieux comprendre comment COBIT aide à mieux protéger la vie privée :

Le BREXIT – Cas Currency Cloud

La situation sur le BREXIT restant assez imprévisible à l’heure actuelle, les entreprises doivent donc définir des plans d’urgence afin de minimiser les impacts d’un accord non favorable. Même si une organisation n’a aucun contact avec l’UE, elle doit vérifier comment le BREXIT affecte sa chaîne d’approvisionnement et sa banque. Pour certains, comme la plateforme d’échanges financiers Currency Cloud, «pas d’accord» avec l’UE serait synonyme de devoir mettre en place une présence européenne pour obtenir leur licence opérationnelle européenne, au cas où.

COBIT 5 couvre les exigences de conformité aux réglementations, lois et autres normes. Cela aide à identifier le point de départ et les processus sur lesquels se focaliser. COBIT inclut des sections sur la continuité des opérations, couvrant la prévention, l’atténuation et le retour à la normale en cas de perturbation pour aider à identifier les possibles zones de friction.

Pour mieux comprendre comment COBIT peut aider les entreprises britanniques à affronter le BREXIT : https://www.ibtimes.co.uk/why-neither-brexit-nor-loss-passporting-will-stop-uks-fintech-momentum-1659410.

Les géants du web, nouveau risque systémique – Cas des GAFAM

Chaque entreprise est dans un marché pour acheter et vendre. Pour opérer de manière efficace et efficiente, beaucoup d’entre nous se tournent vers l’infrastructure informatique et les fournisseurs de communication offrant des solutions «guichet unique» faciles à utiliser, telles que Google, Apple, Facebook, Amazon et Microsoft. Mais c’est une épée à trois tranchants.

Le grand avantage, qui les rend si attrayants, est qu’ils devient facile d’accéder à des structures de communication et de stockage avec la sécurité et l’échelle nécessaires. Les principaux inconvénients sont :

  1. avec peu d’acteurs dominants, le contrôle sur les marchés n’est pas entre nos mains
  2. et si l’un d’eux échoue, techniquement ou commercialement, l’impact négatif sur les affaires et la vie privée sera énorme.

COBIT 5 peut aider à définir une nouvelle approche pour traiter un point de défaillance systémique. Il existe également une liste de contrôles utiles sur les questions à poser aux parties prenantes externes.

L’insécurité intégrée – Cas Expedia

Un sous-produit de la construction l’efficacité de l’entreprise de construction est de jeter les bases de l’insécurité par inadvertance. Expedia a découvert qu’une de ses filiales avait laisser fuiter des données sur ses clients. Le partage et la gestion des données, même au sein d’un même groupe, sont difficiles à contrôler car les exigences et la responsabilité sont diluées, obscurcies ou réinterprétées par le partenaire en charge du traitement des données.

Pour en savoir plus sur le cas Expedia : https://www.cnbc.com/2018/03/20/an-expedia-subsidiary-says-a-security-breach-affected-880000-cards.html.

COBIT 5 est derrière chaque entrepreneur pour l’aider

COBIT 5 est là pour nous aider à mieux réfléchir à la manière dont nous gérons et opérons. Tant de choses sont demandées aux entreprises, il est facile de rater les choses auxquelles nous devrions penser. La technologie détermine à la fois le rythme et la façon dont nous travaillons. Une bonne gouvernance est essentielle pour assurer la prospérité des entreprises.COBIT 5 est essentiel p our bien gouverner.

Pour mieux comprendre pourquoi une formation COBIT vous est indispensable : http://www.ab-consulting.fr/blog/geit/cobit-5/formation-cobit-7-raisons.

Vous aussi vous avez un cas particulier, hors du domaine IT, d’utilisation réussie de COBIT 5 dans un contexte particulier? N’hésitez pas à nous laisser votre commentaire.

ITIL : renaissance ou dernier soupir?

ITIL, le référentiel phare en matière de gestion des services informatiques commence à prendre de l’âge. Aucune évolution notable n’a été publiée depuis 2011. Et encore, la version 2011 n’était elle-même qu’une révision cosmétique (en anglais « refresh ») de la version ITIL V3 publiée en 2007. Cela fait donc dix ans que rien de vraiment nouveau n’a été publié. A l’occasion du salon ITSMF Fusion 2017, AXELOS a levé le voile sur l’avenir d’ITIL en 2018.

ITIL: renaissance en 2018?
Crédits: © AXELOS

On peut comprendre qu’une méthodologie n’évolue pas beaucoup. Mais justement le problème d’ITIL c’est qu’il ne s’agit aucunement d’une méthodologie. ITIL est un cadre de bonnes pratiques pour améliorer les services informatiques délivrés aux métiers. Or, durant ces dix dernières années, les Entreprises et leurs métiers ont subi une transformation radicale. Il est donc clair que leurs besoins de services informatiques ont également énormément changé. Les attentes des affaires sont très différentes aujourd’hui de ce qu’elles étaient il y a dix ans. Les risques auxquels tout service TI est exposé ont également évolué. L’environnement technologique a subi un bouleversement encore jamais vu auparavant.

L’annonce faite par AXELOS

Selon AXELOS, propriétaire du référentiel, ITIL® est «l’approche la plus largement utilisée pour la gestion des services informatiques dans le monde». La société indique qu’il existe des millions de praticiens d’ITIL dans le monde. Elle indique également que le référentiel est utilisé par la majorité des grandes organisations pour gérer leurs  opérations informatiques.

Il aurait donc été naturel que l’annonce d’une mise à jour d’ITIL suscite de nombreux commentaires. Cependant, comme vous l’avez sûrement constaté, tant la presse que les réseaux sociaux ne s’y sont guère intéressés.

La raison de ce manque d’intérêt est la raison même pour laquelle AXELOS veut faire cette mise à jour. ITIL a désormais atteint un point de non pertinence dans un monde économique dynamique et agile. L’environnement économique est aujourd’hui très différent de celui dans lequel ITIL a été développé.

De nouveaux modèles d’architecture, de nouvelles approches de management et, plus généralement, la transformation numérique des organisations ont relégué ITIL au stade de relique du passé.

Pourtant, des investissements substantiels ont été réalisés par nombre d’organisations dans le monde. Il s’agit notamment de la certification de leurs collaborateurs. Le grand nombre de fournisseurs de technologie qui ont vu le jour autour de ce framework et le vaste réseau de consultants et de sociétés de formation qui ont bâti leurs offres autour d’ITIL suggèrent que ce référentiel ne disparaîtra pas tranquillement du jour au lendemain.

Mais cette mise à jour annoncée sera-t-elle suffisante pour une renaissance d’ITIL en 2018? Ou marquera-t-elle son dernier soupir?

ITIL est-il en core pertinent dans un monde qui change?

Lors de l’annonce faite à ITSMF Fusion 2017, Margo Leach, Chef de produit chez AXELOS a admis la nécessité de faire évoluer ITIL pour pouvoir s’aligner sur un monde en pleine évolution tout en revendiquant sa pertinence au jour d’aujourd’hui.


« Les principes fondamentaux d’ITIL sont valables et restent essentiels pour permettre aux entreprises de se transformer et d’évoluer », a déclaré M. Leach. « Mais nous devons ajouter un élément supplémentaire au cœur d’TIL: la rapidité de mise sur le marché et l’agilité, c’est-à-dire la capacité d’une entreprise à répondre aux menaces commerciales, aux demandes et aux opportunités du marché. »


AXELOS a également reconnu que d’autres approches, (DevOps, …) traitent déjà de ces problèmes. « Le nouvel ITIL doit inclure des conseils pratiques et explicites sur la façon d’intégrer les principes des nouvelles méthodes de travail contemporaines« , a déclaré Margo Leach.

L’évolution rapide des technologies basées sur le cloud, les nouvelles approches telles que DevOps et l’enracinement des méthodologies agiles ont remis en question bon nombre de méthodes, apparemment rigides et bureaucratiques, souvent associées à ITIL.

En conséquence, et en dépit de leurs investissements importants dans le référentiel sous la forme de formation et d’outils, de nombreuses Organisations mettent maintenant l’accent sur la nécessité d’investissement futur sur de nouveaux cadres plus pertinents.

Alors n’est-il pas trop tard pour un nouvel ITIL?

La mise à jour d’ITIL ne devrait donc pas surprendre. Même si l’éditeur a affirmé il y a plusieurs années qu’il n’y aurait plus d’autres mises à jour. Néanmoins, le manque de pertinence perçu s’est également traduit par la perte de position dominante comme en témoigne l’arrivée d’une approche de gestion de service et d’un programme de certification concurrents, appelé VeriSM.

VeriSM prétend également représenter une approche moderne de «Gestion des services pour l’ère numérique». Le nombre de leaders de l’industrie et d’organisations qui le soutiennent est éloquent. A tout le moins, c’est la reconnaissance évidente par l’industrie que le domaine traditionnel de la gestion des services est en train de perdre son sens original et risque de ne plus être pertinent.

La transformation digitale entraîne un changement d’orientation

Ce que je crains, c’est que la prochaine mise à jour ITIL et la nouvelle approche VeriSM passent à côté de ce qui se passe réellement. A mon sens, la transformation numérique ne concerne pas vraiment la technologie ni son utilisation particulière. Il s’agit de la transformation des modèles d’affaires et d’opérations. Cela se traduit par un transfert fondamental de pouvoir de l’Entreprise vers le Client. En d’autres termes il ne s’agit pas d’une transformation technologique. Il s’agit plutôt d’une transformation de la société.

En tant que tel, le paradigme organisationnel de l’organisation doit passer de l’optimisation et de l’efficacité à l’expérience client et à facilitation pour l’utilisateur tout au long de son parcours. Le problème est que l’accent principal, tant pour ITIL que pour la gestion des services au sein des organisations, est entièrement basé sur l’efficacité et l’optimisation des opérations (informatiques ou autres).

De plus, les adoptions de la gestion des services TI sont largement basées sur des processus linéaires. A l’opposé, le monde libre-service et centré sur le client crée une abondance d’interactions client asynchrones et asymétriques avec l’organisation et la technologie qui doit les supporter.

Le résultat net est un cadre de bonnes pratiques de plus en plus déconnecté des besoins réels des Entreprises qu’il soutient. C’est d’ailleurs aussi le cas pour un secteur industriel tout entier.

Y a-t-il un avenir pour ITIL?

Je rencontre quotidiennement des dirigeants d’entreprises et des DSI. Nous discutons des défis auxquels ils sont confrontés et des stratégies qu’ils utilisent pour y répondre. L’accent est alors systématiquement mis sur l’efficacité et l’optimisation. Ce sont là les facteurs de valeur traditionnels de la gestion des services informatiques (ITSM).

Mais la priorité est aujourd’hui ailleurs. C’est l’agilité, l’adaptabilité et l’amélioration de l’expérience client qui sont la clé des affaires en 2018. L’objectif pour toute Organisation est de créer un avantage compétitif sur le marché. Ce sont là des moteurs qu’AXELOS a correctement identifiés. L’efficacité demeure bien sûr une préoccupation quotidienne. Pour ce faire, les entreprises se tournent de plus en plus vers les services et l’automatisation basés sur le cloud pour optimiser leurs opérations.

ITIL, VeriSM ou tout autre cadre ou approche de gestion de service souhaite reste pertinent? Alors leur objectif doit être la prise en compte des nouvelles priorités des Organisations. Leur axe principal doit donc être de réorienter les organisations vers l’expérience client et de les éloigner des modèles centrés sur les systèmes ou centrés sur le service.

Les praticiens de la gestion des services IT vous diront que cela a toujours été l’objectif principal. Je ne les contredis pas. Mais il est temps de reconnaître que, dans la pratique, ce n’est pas ce qui s’est passé. Si ITIL doit rester pertinent en 2018, cela doit changer radicalement. Il n’y aura d’avenir pour ITIL qu’à cette condition.

Vous avez sûrement un avis. N’hésitez pas à nous laisser votre commentaire…

10 clés pour décrocher un emploi

Vous postulez à un emploi et vous avez particulièrement bien réussi un entretien avec un recruteur. Vous en êtes convaincu(e), ça y est le poste est à vous! En plus c’est vraiment le job de vos rêves! Puis le temps passe… Au bout de deux semaines vous appelez pour savoir où en est votre candidature. Et on vous informe que finalement vous n’avez pas été retenu(e). C’est inadmissible!! C’est sans doute parce que quelqu’un s’est fait pistonner alors que vous ne connaissiez personne susceptible de vous appuyer. Ou alors, c’est ce manager, plus jeune que vous, qui avait peur que vous ne lui fassiez de l’ombre. A moins que ce ne soit parce que vous êtes tout simplement surdimensionné(e) pour le poste. Et si vous en profitiez pour prendre un peu de recul et essayer de comprendre les raisons de votre échec afin de ne pas le reproduire à l’avenir?…

10 clés pour décrocher un emploi
Crédits : © Momius

Tout commence par votre candidature. Un simple nom mentionné sans aucune information en commentaire à un réseau social tel que Linkedin par exemple ne suffit bien évidemment pas. Un commentaire stipulant « pour en savoir plus consultez mon profil » est évidemment aussi insuffisant. De même un message du type « merci de me contacter » en mentionnant une adresse email ou un numéro de téléphone est absurde. Cela signifie simplement que les personnes n’ont pas compris les enjeux. N’oubliez jamais que l’Entreprise qui recrute cherche trois éléments importants :

  1. Trouver le candidat idéal qui lui permettra de générer le bénéfice maximal pour ses actionnaires, qu’il s’agisse d’une entreprise privée, d’une association ou d’un service public. Le bénéfice n’est pas nécessairement calculé financièrement.
  2. Réduire les risques associés à ce recrutement et ensuite à la participation de la personne recrutée aux objectifs de l’Organisation.
  3. Optimiser ses ressources et s’assurer d’avoir les meilleurs employés, alignés sur la stratégie de l’Entreprise en optimisant les coûts.

Votre candidature doit répondre à ces trois objectifs. Dans le cas contraire, elle ne sera même pas étudiée. Rechercher un nouvel emploi est un véritable projet et doit donc être mené comme tel par les candidats. Ceci signifie qu’une recherche d’emploi nécessite beaucoup d’investissement personnel. Cet investissement personnel doit être évident sur la durée.

Suivez notre wébinaire gratuit du 29 Novembre à 11h UTC

Nos experts vous proposent un wébinaire gratuit le 29 Novembre à 11 heures UTC pour découvrir les 10 clés de bases pour pouvoir décrocher un emploi. A l’issue de ce wébinaire vous pourrez poser vos questions auxquelles nous répondrons avec grand plaisir.

Inscrivez-vous vite, il ne reste que quelques places.

7 raisons de suivre une formation COBIT

Formation COBIT : Pour qui et pourquoi?

Au moment d’adopter COBIT® 5 en tant que cadre pour la Gouvernance et le Management de l’Information, de nombreuses questions se posent. Tout d’abord, l’entreprise comprend-elle parfaitement ce que signifie la gouvernance et la gestion l’Information d’Entreprise et de la Technologie Associée (GEIT)? Les professionnels de la gouvernance de l’entreprise savent-ils comment évaluer efficacement l’état actuel du système d’information de l’entreprise dans le but de déterminer quels aspects de COBIT® 5 mettre en œuvre? L’entreprise est-elle en mesure de réaliser une évaluation pour déterminer l’aptitude d’un processus défini?

7 raisons de suive une formation COBIT

Pourquoi une formation COBIT?

La formation COBIT® 5 constitue, bien évidemment, un aspect important pour pouvoir s’assurer que les professionnels de la Gouvernance du SI ont les réponses à leurs questions et deviennent des professionnels compétents sur COBIT®.

Bien que de nombreux concepts puissent sembler familiers aux personnels du domaine informatique, cette version évolutive intègre les dernières réflexions sur les techniques de Gouvernance et de Gestion de l’Information des Entreprises et fournit des principes, des pratiques, des outils analytiques et des modèles reconnus dans le monde entier.

COBIT 5 porte sur la Gouvernance et le Management du Système d’Information et non sur l’Informatique. L’informatique ne constitue qu’une faible partie du Système d’Information. L’information est partout dans l’Entreprise. Contrairement aux idées reçues, seule une très faible partie est gérée par la technologie. Il est donc essentiel de ne pas se limiter au domaine informatique. La réalisation d’un programme de formation approprié pour les professionnels des métiers de l’Entreprise sur ce qu’est vraiment COBIT et comment il peut être utilisé et mis en œuvre est absolument essentielle. Bien sûr les technologies de l’information sont également concernées mais à moindre titre.

Une formation COBIT pour qui?

La formation COBIT est d’abord destinée aux membres des conseils d’administration et des comités de direction ainsi qu’aux directions métiers. Les auditeurs IT / IS, les auditeurs internes, la sécurité de l’information sont également ciblés. Les consultants et les membres de la direction du SI et des TI, qui ont besoin de connaître la GEIT, en tireront également un grand bénéfice.

7 bénéfices clés d’une formation COBIT

Une formation sur le référentiel COBIT profitera tout autant à l’organisation qu’aux personnes qui auront la chance d’y participer. Examinons 7 de ces bénéfices, en gardant à l’esprit qu’il en existe bien d’autres.

1 – Amélioration de l’efficacité et de la productivité

Une formation COBIT 5 fournit les outils et les connaissances indispensables à l’utilisation de COBIT. Les professionnels comprendront mieux ce que signifie la GEIT et comment ce concept peut être appliqué à leur entreprise. Chaque individu en tirera une appréciation plus pratique de la façon d’appliquer COBIT 5 à des problèmes spécifiques d’entreprise, des points de douleur, des événements déclencheurs et des scénarios de risque. Les rôles et les responsabilités de chacun au sein de l’organisation, en relation avec COBIT, seront clairement définis (facilitateur 3), entraînant un accroissement de productivité et d’efficacité dans l’entreprise. Cette meilleure compréhension des rôles et responsabilités permettra de mieux gérer les ressources et les risques. L’ensemble de ces concepts sont étudiés dans la formation COBIT Foundation qui sert de point d’entrée dans le cursus.

2 – Renforcer la confiance et la valeur créée par les systèmes d’information

Les cours de formation COBIT 5 fournissent aux participants les concepts et les principes clés leur permettant de découvrir comment évaluer l’état actuel de leur système d’information d’entreprise, dans le but de déterminer quels aspects de COBIT 5 seraient les plus prioritaires à mettre en œuvre. La confiance provient du fait que chacun connaîtra son rôle et disposera des outils et des connaissances nécessaires pour mettre en œuvre et évaluer efficacement la Gouvernance et le Management de l’Information dans son Entreprise.

3 – Positionnement spécifique

La connaissance de COBIT par le professionnel de la Gouvernance lui permettra de bien dissocier les activités de Gouvernance des activités de Management. La Gouvernance consiste à Diriger, Evaluer et Surveiller la performance. Le Management Planifie, Construit, Exploite et Contrôle. Les formations COBIT 5 confèrent aux participants une connaissance inégalée en matière de Gouvernance et de Management de l’Information dans l’Entreprise sous la forme de concepts, de principes et de processus. Cette connaissance est cruciale pour l’évaluation de la capacité de l’Entreprise à créer de la valeur. Elle est également indispensable pour mettre en oeuvre un système de Gouvernance et de Management adapté. En outre, COBIT® est évolutif. Une formation accréditée permet ainsi au professionnel d’être à la pointe des connaissances et de la pratique.

4 – Accroissement de la confiance et de la capacité

Une formation COBIT permet aux participants d’affiner leurs compétences et d’améliorer la compréhension des risques IT. Elle permet notamment d’améliorer la prise de décisions éclairées pour réduire les incidents de sécurité de l’information. Cette compréhension et la sensibilisation au risque sont essentielles pour améliorer la prévention, la détection et la résilience aux incidents. Le professionnel COBIT sera capable de fournir des outils à son Organisation pour maintenir des informations de haute qualité lui permettant de prendre les décisions commerciales avisées et de l’aider à respecter les exigences réglementaires, légales ou gouvernementales. Ces connaissances permettront de mettre en place un programme d’amélioration continue en s’appuyant sur la formation COBIT Implementation.

5 – Crédibilité

Les organismes de formation COBIT accrédités par l’ISACA qui offrent des formations et des examens de certification doivent d’abord passer un processus d’agrément méticuleux. Les formateurs accrédités sont évalués régulièrement au travers d’audits sur site de leur compétence et de leur pédagogie. Les participants à une formation auprès d’un organisme de formation accrédité sont donc certains de la qualité de la formation qu’elles reçoivent. Les entreprises peuvent vérifier que l’organisme de formation auquel ils font appel est bien accrédité par APMG ou par Peoplecert. Les examens sont rigoureux, stimulants et cohérents, et, en conséquence, les participants peuvent être fiers de leur réussite. En outre, les employeurs peuvent vérifier auprès de l’ISACA si leurs employés sont vraiment titulaires d’une certification COBIT.

6 – Alignement de la sécurité de l’information avec la stratégie de l’organisation

La cascade d’objectifs est un outil essentiel pour aligner les objectifs de l’informatique avec les objectifs de l’Entreprise. Les participants à une formation COBIT apprendront à maîtriser cet outil très puissant. Ils seront ainsi en mesure d’assurer que la sécurité de l’information est bien alignée à la stratégie de l’Entreprise. Ceci leur permettra de s’assurer que la tolérance au risque de l’Organisation est bien respectée tout en maximisant les bénéfices et en optimisant les ressources. Ainsi, il leur sera plus facile de prendre les bonnes décisions tout en économisant les ressources et les budgets. Grâce à cette connaissance, la sécurité ne sera plus un sujet exclusivement technique. Selon une étude d’IBM, 95% des attaques réussies sur les données ne proviennent pas de l’informatique. Il est donc primordial de ne pas laisser ce sujet entre les mains des informaticiens.

7 – Assurance de l’aptitude de l’organisation à créer de la valeur

Grâce à la méthode d’évaluation d’aptitude des processus basée sur la norme ISO 15504, les auditeurs internes participant à une formation COBIT apprendront à s’assurer de l’aptitude de l’Entreprise à créer de la valeur. Il s’agit là d’un élément très important. Le programme d’évaluation de COBIT 5 se focalise sur l’aptitude plutôt que sur la maturité. C’est une approche radicalement différente de la plupart des autres cadres d’audit. La maturité correspond à la façon dont une organisation travaille. Ce qui est audité c’est l’application de processus formalisés au sein de l’Organisation. A l’inverse, l’aptitude fait référence à la qualité des processus et à leur capacité à délivrer de la valeur. C’est une autre approche extrêmement importante qui sera approfondie dans la formation COBIT Assessor.

Il sera ainsi possible d’auditer l’aptitude, par exemple, du processus de gestion des ressources humaines. Cela permettra également d’évaluer la qualité du système de Management de l’Entreprise. Une autre évaluation possible pourra concerner les risques, par exemple en matière d’éthique.

En savoir plus et échanger avec nos experts

Pour en savoir plus ou échanger avec nos experts, n’hésitez pas à nous laisser un commentaire. Nous vous répondrons alors avec grand plaisir. Si vous avez suivi une formation COBIT 5 ou si vous utilisez COBIT 5 dans votre entreprise, n’hésitez pas à nous laisser votre témoignage. Nous serons heureux de le relayer.

 

La version Française du Guide de mise en oeuvre COBIT 5 est disponible

Ca y est enfin!! Le guide « COBIT 5 Mise en oeuvre » est désormais disponible en Français. De longues semaines d’investissement personnel de l’équipe de traduction auront été nécessaires. Il n’est jamais simple de traduire un guide de bonnes pratiques ou de mise en oeuvre. L’Anglais est une langue typiquement orientée « business » et donc assez rigoureuse. A l’opposé, le Français est une langue plus orientée vers la littérature ou la diplomatie et dans laquelle, soit les termes anglais n’ont pas d’équivalent ou, pire encore, sont le plus souvent traduits par des termes erronés (les fameux faux-amis sur lesquels tous les élèves ont trébuché pendant leur parcours scolaire).

COBIT 5 Mise en Oeuvre

Bon, en ce qui concerne cette publication, l’honnêteté nous impose d’admettre que ce n’est pas réellement une version Française. C’est plutôt une version Québécoise, car réalisée par l’équipe du chapitre (tiens, encore un mot qui n’a pas d’équivalent direct en Français) ISACA de Québec, avec seulement deux contributions externes, l’une d’un expert en Gouvernance de Montréal (toujours au Québec) et l’autre de votre serviteur, seul Français (encore que résident en Côte d’Ivoire) à avoir participé à la préparation de cette version Française.

Les raisons d’une absence totale de la France

Mais pourquoi donc une version Française dans laquelle aucun Français (de France) ne s’implique? La question mérite d’être posée. Les réponses sont multiples et malheureusement assez désespérantes:

  • Une incompréhension totale, en France de ce que sont la Gouvernance et le Management, et donc un intérêt très faible pour le sujet,
  • Une mauvaise interprétation de la notion de création de valeur, comprise uniquement comme une valeur financière et focalisée majoritairement sur une réduction des coûts,
  • Un contexte légal basé sur un modèle hérité à la fois de systèmes monarchiques et « communistes » qui conduit irrémédiablement à la destruction de valeur au lieu de la création, qui ne favorise pas l’adoption du cadre COBIT,
  • Des structures organisationnelles et gouvernementales ne permettant pas de séparer la gouvernance du management,
  • Une culture, une éthique et des comportements inadéquats (particulièrement visibles en France en cette période électorale),
  • Une gouvernance et une gestion anarchique de l’information conduisant à des excès et induisant des conséquences catastrophiques,
  • Une technologie mal utilisée et mal exploitée pour la création de valeur et laissée entre les mains de techniciens et d’ingénieurs,
  • Un modèle éducatif et une gestion de la formation continue déconnectés des réalités et des besoins des organisations.

Nous reviendrons plus en détail sur ces raisons avec un autre article dans les prochains jours. Cependant les lecteurs connaissant COBIT® 5 auront reconnu là des faiblesses au niveau des facilitateurs (en Anglais on les nomme « enablers » ce qui est beaucoup plus fort que  facilitateur mais n’a pas de traduction littérale) d’une bonne gouvernance et d’un management efficaces qui manquent cruellement à la France.

A cela, il faut bien rajouter, mais peut-on encore leur en vouloir après ce que nous venons de dire, une absence totale de volonté de l’AFAI (chapitre Français de l’ISACA) de s’investir de quelque façon que ce soit dans la promotion de COBIT® 5 qui n’assure pas, aujourd’hui, compte tenu du modèle économique imposé par ISACA HQ, un bénéfice suffisant pour les membres Français. Or, en France, il est d’usage que la création de valeur s’évalue au niveau personnel et non au niveau d’une organisation. En d’autres termes, si je participe à ces travaux, qu’est-ce que j’y gagne personnellement?

Le marché pour une version Française des bonnes pratiques

La Francophonie compte aujourd’hui un peu moins de 280 millions de personnes dans le monde, réparties de la façon suivante (source: organisation internationale de la Francophonie)

  • environ 8% en Amérique du Nord (majoritairement au Canada)
  • 37% en Europe (majoritairement en France)
  • près de 54% en Afrique (où la culture et les institutions sont calquées sur la France, héritage de la colonisation)
  • autour de 1% dans le reste du monde.

Qu’est-ce qui fait la différence entre le Canada (ou plus précisément le Québec) et les pays francophones européens et africains? J’apporterai deux réponses:

  • La culture nord-américaine fortement ancrée au Canada, intégrant les bonnes pratiques de Gouvernance et de Management largement répandues dans cette partie du monde,
  • Des lois imposant l’usage de modèles intégralement francisés dans les organisations Québécoises, ce qui n’est pas le cas en Europe, ni en Afrique francophone.

Il est donc clair que l’environnement légal favorise l’adoption des bonnes pratiques décrites par COBIT 5 au Canada et qu’au contraire l’environnement local défavorise et décourage les bonnes pratiques basées sur COBIT 5 en Europe et en Afrique Francophones.

Il apparaît ainsi clairement que le marché pour une traduction Française du cadre COBIT 5 et de son guide de mise en oeuvre se situe majoritairement en Amérique du Nord. C’est donc fort logiquement que ce sont les Québécois qui font l’effort. Malheureusement, cela décourage encore un peu plus les Français d’adopter COBIT 5 et de s’appuyer sur le guide de mise en oeuvre pour lancer des initiatives d’amélioration de la Gouvernance et du Management car ils voient ces pratiques comme étant issues de la culture Américaine. De plus ils considèrent que le Québécois n’est pas le Français tel qu’il est parlé en Europe et en Afrique. Et ce n’est pas faux…

 COBIT 5 Mise en Oeuvre – Juste une référence indispensable

La publication de la version française du guide de mise en oeuvre vient complèter le référentiel et le modèle de référence des processus COBIT 5 déjà traduits par la même équipe qu’il convient de féliciter pour leur excellent travail.

Toutefois, il faut bien rappeler que ce guide ne décrit pas la mise en oeuvre du cadre de gouvernance et de management COBIT 5 mais la mise en oeuvre des sept facilitateurs soutenant la gouvernance et management de l’information dans l’Entreprise. Il s’agit en fait de la méthodologie extrêmement efficace et efficiente de gestion d’un programme de mise en oeuvre ou d’amélioration continue, décrite par COBIT et basée sur trois composants hérités des normes et bonnes pratiques du marché :

  1. l’amélioration continue en sept étapes (similaire à ITIL)
  2. la facilitation du changement (héritée des bonnes pratiques de Change Management)
  3. la gestion de programme et de projets (issue de PRINCE2, PMBok et M_o_P)

Gageons que la version Française du guide de mise en oeuvre sera une aide efficace pour les utilisateurs francophones et sera un réel succès.

Catégories

Archives

Calendrier

février 2019
L M M J V S D
« Jan    
 123
45678910
11121314151617
18192021222324
25262728  
%d blogueurs aiment cette page :