{"id":10474,"date":"2019-09-04T14:29:36","date_gmt":"2019-09-04T12:29:36","guid":{"rendered":"http:\/\/www.ab-consulting.fr\/blog?p=10474"},"modified":"2021-07-20T18:49:20","modified_gmt":"2021-07-20T16:49:20","slug":"cobit-2019-systeme-de-management","status":"publish","type":"post","link":"http:\/\/www.ab-consulting.fr\/blog\/gouvernance\/cobit-2019-systeme-de-management","title":{"rendered":"Avec COBIT 2019, d\u00e9marrez votre syst\u00e8me de management"},"content":{"rendered":"\n

Le contexte \u00e9conomique actuel tr\u00e8s dynamique exige des entreprises qu’elles fassent preuve d’agilit\u00e9. Il est alors facile de perdre de vue certains principes fondamentaux pouvant \u00eatre consid\u00e9r\u00e9s comme lourds ou contraignants. Soyez tr\u00e8s prudent, car des principes de gouvernance garantissent un juste \u00e9quilibre entre performances et conformit\u00e9 lors de la r\u00e9alisation des objectifs de l’entreprise. Si votre organisation ignore vos contr\u00f4les internes essentiels, il peut en r\u00e9sulter des vuln\u00e9rabilit\u00e9s qui n\u2019ont pas \u00e9t\u00e9 pr\u00e9vues. Ces vuln\u00e9rabilit\u00e9s peuvent ensuite vous exposer \u00e0 des sc\u00e9narios de risque susceptibles d’entraver la r\u00e9alisation de vos objectifs commerciaux. Les politiques sont l\u2019un des \u00e9l\u00e9ments cl\u00e9s de votre syst\u00e8me de gouvernance. Cet article est le r\u00e9sultat de mes r\u00e9flexions et de mon exp\u00e9rience dans ce domaine. Je m’appuie ici sur le contenu de COBIT 2019, la mise \u00e0 jour r\u00e9cemment publi\u00e9e par l’ISACA de son cadre de gouvernance et de management de l’I & T.<\/em><\/p><\/blockquote>\n\n\n\n

\"Ma\u00eetrisez<\/figure><\/div>\n\n\n\n

Pr\u00eats ou pas, la transformation num\u00e9rique ne vous attendra pas<\/h2>\n\n\n\n

La quatri\u00e8me r\u00e9volution industrielle, souvent qualifi\u00e9e d\u2019\u00e8re de \u00abtransformation num\u00e9rique\u00bb, est d\u00e9j\u00e0 l\u00e0. Que vous ayez embarqu\u00e9 ou non, votre entreprise va s\u00fbrement \u00eatre concern\u00e9e tr\u00e8s rapidement. Le passage au num\u00e9rique est au centre des pr\u00e9occupations de presque toutes les entreprises et de tous les leaders technologiques. Le terme lui-m\u00eame diff\u00e8re selon les secteurs et les organisations. Mais ce qui est s\u00fbr, c’est que vous devez au moins d\u00e9finir sa valeur en termes commerciaux. Bien entendu, il est impossible pour les dirigeants d’entreprise et les responsables informatiques d’\u00e9laborer et de poursuivre une strat\u00e9gie de transformation num\u00e9rique efficace sans une compr\u00e9hension solide du terme lui-m\u00eame. Voici la d\u00e9finition qu’en donne Mark Thomas, une des r\u00e9f\u00e9rences en mati\u00e8re de gouvernance de l’information et de la technologie:<\/p>\n\n\n\n

\u00ab\u00a0La transformation num\u00e9rique consiste \u00e0 investir dans des technologies innovantes, des mod\u00e8les commerciaux et des flux de valeur qui am\u00e9liorent l’exp\u00e9rience des clients et des utilisateurs, ce qui permet \u00e0 une entreprise d’obtenir un avantage concurrentiel dans une \u00e9conomie num\u00e9rique en pleine \u00e9volution.\u00a0\u00bb (Mark Thomas)<\/p><\/blockquote>\n\n\n\n

La transformation num\u00e9rique est difficile \u00e0 mettre en oeuvre<\/h3>\n\n\n\n

Tout effort de transformation num\u00e9rique doit \u00eatre ax\u00e9 sur la cr\u00e9ation de valeur. Un facteur majeur de cette transformation est de s’appuyer sur des technologies nouvelles et innovantes qui am\u00e9liorent les exp\u00e9riences des utilisateurs et des clients. Cependant, \u00e0 mesure que nous \u00e9tendons nos capacit\u00e9s num\u00e9riques, nous devrions \u00e9galement tenir compte de notre structure de gouvernance, de risque et de conformit\u00e9. A d\u00e9faut, une catastrophe a de grands risques de survenir. Alors n’attendez pas pour vous poser la question : Maintenant que nous avons \u00e9volu\u00e9 num\u00e9riquement\u2026 pourquoi n\u2019avons-nous pas non plus modifi\u00e9 nos structures de gouvernance?<\/em><\/p>\n\n\n\n

\"Des
Cr\u00e9dit : \u00a9 Rawpixel.com 2019<\/em><\/figcaption><\/figure><\/div>\n\n\n\n

Bien entendu, il existe des obstacles inh\u00e9rents au succ\u00e8s : besoins en ressources, nouvelles vuln\u00e9rabilit\u00e9s, silos organisationnels, penser qu’il s’agit d’une responsabilit\u00e9 informatique uniquement, pr\u00e9occupations concernant les capacit\u00e9s informatiques et impossibilit\u00e9 de prendre en compte l’exp\u00e9rience client \/ utilisateur (CX \/ UX). Vous pouvez att\u00e9nuer tous ce probl\u00e8mes en mettant \u00e0 jour votre syst\u00e8me de gouvernance. Celui-ci mettra l’accent sur la valeur r\u00e9sultant de la g\u00e9n\u00e9ration de b\u00e9n\u00e9fices tout en optimisant les risques et les ressources. C’est la d\u00e9finition de la cr\u00e9ation de valeur que vous retrouvez dans COBIT 2019.<\/p>\n\n\n\n

Examinons votre syst\u00e8me de gouvernance<\/h2>\n\n\n\n

Il est indispensable de commencer par examiner comment votre syst\u00e8me de gouvernance prend en compte les informations et la technologie d’entreprise.<\/p>\n\n\n\n

Les entreprises dites num\u00e9riques d\u00e9pendent de plus en plus de l’Information et des technologies (I & T) pour leur survie et leur croissance. Compte tenu de l’importance de l’I & T pour permettre \u00e0 l’entreprise d’atteindre ses objectifs, la gouvernance de l’information et de la technologie de l’entreprise (EGIT) doit faire partie int\u00e9grante de tout cadre de gouvernance. Reportons-nous \u00e0 la derni\u00e8re version du cadre COBIT, COBIT 2019. Un syst\u00e8me de gouvernance devrait comprendre les composants de gouvernance suivants:<\/p>\n\n\n\n

\"Les
Composants d’un syst\u00e8me de gouvernance \u00a9 ISACA COBIT 2019<\/figcaption><\/figure><\/div>\n\n\n\n

Si vous \u00eates d\u00e9j\u00e0 familier de COBIT 5, vous reconna\u00eetrez sans doute ces composants comme les facilitateurs (ou \u00ab\u00a0enablers\u00a0\u00bb en anglais). Mais lors de mes formations ou de mes interventions chez les clients, j’ai pu constater que ceux-ci avaient beaucoup de mal \u00e0 appr\u00e9hender concr\u00e8tement comment mettre en oeuvre ces facilitateurs . Ils les jugeaient comme \u00e9tant trop abstraits. COBIT 2019 met l’accent sur les composants de gouvernance qui obtiennent enfin toute l\u2019attention qu\u2019ils m\u00e9ritent.<\/p>\n\n\n\n

Pensez \u00e0 ces composants comme aux ingr\u00e9dients d’un syst\u00e8me de gouvernance. Il est possible de les traiter ind\u00e9pendamment, mais ils constituent un ensemble d’exigences interconnect\u00e9es. Cela aide \u00e0 comprendre pleinement comment les organisations technologiques peuvent atteindre leurs diff\u00e9rents objectifs de gouvernance ou de management pour prendre en charge un syst\u00e8me de gouvernance. Ces interconnexions complexes entre composants peuvent invalider vos efforts si vous ne comprenez pas leurs connexions et leurs d\u00e9pendances. Par exemple, si vous apportez un changement majeur \u00e0 un PROCESSUS, vous devez \u00e9galement examiner les effets sur les autres composants.<\/p>\n\n\n\n

Prenons l’exemple, malheureusement v\u00e9cu, d’un client qui n’avait pas compris le fonctionnement de cet \u00e9cosyst\u00e8me.<\/p>\n\n\n\n

L’existence des politiques<\/h3>\n\n\n\n

R\u00e9cemment, j’ai r\u00e9alis\u00e9 un audit de la s\u00e9curit\u00e9 de l’information pour un organisme d’\u00e9tat. Il s’agissait de faire une \u00e9valuation de conformit\u00e9 avec une r\u00e9glementation internationale. Ma toute premi\u00e8re requ\u00eate concernait l’existence d’une politique de s\u00e9curit\u00e9 de l’information au sein de l’organisation. Je d\u00e9couvris qu’il n’en existait pas. Pire, le DSI m’expliqua qu’il ne voyait pas l’int\u00e9r\u00eat d’une telle politique. Selon lui, une politique ne servait \u00e0 rien et n’\u00e9tait que du \u00ab\u00a0bla-bla dont le seul objectif consisterait \u00e0 mettre des contraintes d\u00e9finies par des gens qui ne savent m\u00eame pas comment on travaille<\/em>\u00ab\u00a0.<\/p>\n\n\n\n

Finalement apr\u00e8s un argumentaire d\u00e9taill\u00e9 sur la n\u00e9cessit\u00e9 d’avoir une politique de s\u00e9curit\u00e9 pour l’organisation, j’obtins l’accord pour la r\u00e9daction de la politique. Imm\u00e9diatement la direction me demanda de la r\u00e9diger moi-m\u00eame sous le pr\u00e9texte : \u00ab\u00a0vous pouvez nous le faire, vous avez l’habitude et vous avez bien s\u00fbr des mod\u00e8les que nous pourrons reprendre<\/em>. Par cons\u00e9quent on vous ach\u00e8te trois jours d’intervention \u00e0 cet effet<\/em>\u00ab\u00a0. Bien entendu, je d\u00e9clinais en leur expliquant qu’une politique doit s’aligner sur la strat\u00e9gie de l’organisation et \u00eatre applicable \u00e0 tous les niveaux de l’organisation. De plus, r\u00e9diger une politique de la s\u00e9curit\u00e9 de l’information de fa\u00e7on s\u00e9rieuse n\u00e9cessite beaucoup plus que trois journ\u00e9e de conseil. Enfin mon statut d’auditeur m’emp\u00eachait d’intervenir comme conseil sur le domaine que je devais auditer. Il fut donc d\u00e9cid\u00e9 que ce serait le client qui r\u00e9digerait politique. <\/p>\n\n\n\n

Quelques semaines plus tard, on m’appela pour m’indiquer que la politique de s\u00e9curit\u00e9 \u00e9tait maintenant disponible. C’est un cabinet local mandat\u00e9 \u00e0 cet effet qui l’avait r\u00e9dig\u00e9e. Je pouvais donc d\u00e9sormais l’auditer. La structure du document \u00e9tait plut\u00f4t bonne mais le document ne r\u00e9sistait pas \u00e0 une \u00e9valuation un peu plus fine. A l’\u00e9vidence, ce n’\u00e9tait qu’une copie d’un document-type, r\u00e9cup\u00e9r\u00e9 sur internet et vaguement adapt\u00e9 \u00e0 l’organisation. <\/p>\n\n\n\n

Chaque politique est un \u00e9l\u00e9ment d’un puzzle et doit donc prendre en compte les autres composants<\/h3>\n\n\n\n

Je mis donc en \u00e9vidence trois gros probl\u00e8mes au niveau des cons\u00e9quences de l’application de cette politique :<\/p>\n\n\n\n