Par quoi commencer?

Le moyen le plus simple est de commencer avec un cadre qui a été créé par des experts du secteur et utilisé par des milliers d’organisations. De nombreux cadres de référence incluent des guides de mise en œuvre pour aider les organisations à mettre en place un programme de gouvernance informatique avec moins d’accélérations, dont voici les principaux.

COBIT (Control OBjectives for Information and related Technology) : Publié par l’ISACA, COBIT est un cadre complet de pratiques, outils analytiques et modèles mondialement acceptés, conçu pour la gouvernance et la gestion de l’informatique d’entreprise. Avec ses racines dans l’audit informatique, l’ISACA a élargi la portée de COBIT au fil des ans pour prendre pleinement en charge la gouvernance informatique.

ITIL (Information Technology Infrastructure Library) : ITIL se concentre sur la gestion des services informatiques. Il vise à garantir que les services informatiques prennent en charge les processus de base de l’entreprise. ITIL comprend cinq ensembles de meilleures pratiques de gestion pour la stratégie de service, la conception, la transition (comme la gestion du changement), l’exploitation et l’amélioration continue.

COSO (Committee of Sponsoring Organization for the Threadway Commission) : L’accent de COSO est moins spécifique à l’informatique que les autres cadres, se concentrant davantage sur des aspects commerciaux tels que la gestion des risques d’entreprise (GRE) et la dissuasion de la fraude.

CMMI (Capability Maturity Model Integration) : Développé par le Software Engineering Institute, le CMMI est une approche d’amélioration des performances qui utilise une échelle de 1 à 5 pour évaluer le niveau de maturité des performances, de la qualité et de la rentabilité d’une organisation. Ce système permet l’ajout de mesures pour les risques de nature qualitative.

FAIR (Factor Analysis of Information Risk) : FAIR (et OpenFair) est un modèle relativement nouveau qui aide les organisations à quantifier les risques. L’accent est mis sur la cybersécurité et le risque opérationnel, dans le but de prendre des décisions plus éclairées. Bien qu’il soit plus récent que les autres cadres mentionnés ici, on le voit déjà gagner en popularité auprès des entreprises du Fortune 500.

Choisir le bon cadre de référence

Là où COBIT et COSO sont principalement utilisés pour les risques, ITIL contribue à rationaliser le service et les opérations. Bien que CMMI était à l’origine destiné à l’ingénierie logicielle, il implique désormais des processus de développement de matériel, de prestation de services et d’achat. Comme mentionné précédemment, FAIR sert uniquement à évaluer les risques opérationnels et de cybersécurité.

Lors de l’examen des cadres, il faut tenir compte de la culture d’entreprise. Un cadre ou un modèle devrait normalement s’imposer naturellement pour une organisation. Il devrait résonner avec les parties prenantes.

Cela dit, il est tout à fait possible de ne choisir que les éléments qui nous intéresse dans chacun des cadres de gouvernance. Par exemple, COBIT et ITIL se complètent en ce sens que COBIT explique souvent « pourquoi » quelque chose est fait ou nécessaire là où ITIL fournit le « comment ». Certaines organisations utilisent COBIT et COSO, ainsi que la norme ISO 27001, pour la gestion de la sécurité de l’information.

Les services-conseils stratégiques d’un partenaire de confiance vous permettront d’identifier le cadre de référence optimal pour mettre au point votre programme de gouvernance TI.