COBIT

La gouvernance des Systèmes d'Information (Information Technology (IT) Governance) s'est diffusée au sein des entreprises dans un contexte où d'une part, l'automatisation des fonctions de l'entreprise est devenue une composante essentielle au sein de l'entreprise et d'autre part, les dirigeants ne voient pas comment les SI peuvent apporter de la valeur et de la performance dans l'organisation. Ainsi, on peut parler de gouvernance des SI et donc de normes et certifications permettant cette dernière. C'est également dans un souci de transparence des informations que les SI se sont développés et que leur contrôle est devenu incontournable. Le référentiel principal de gouvernance et d'audit des SI est le COBIT. En résumé le COBIT est un cadre de référence pour maîtriser la gouvernance des SI dans le temps. Il est fondé sur un ensemble de bonnes pratiques collectées auprès d'experts du SI.

COBIT a été développé en 1994 (et publié en 1996) par l'ISACA (Information Systems Audit and Control Association). L'ISACA a été créé en 1967 et est représenté en France depuis 1982 par l'AFAI (Association française de l'audit et du conseil informatiques). C'est un cadre de contrôle qui vise à aider le management à gérer les risques (sécurité, fiabilité, conformité) et les investissements. COBIT a évolué, la version 4 est apparue en France en 2007.

COBIT est une approche orientée processus, qu'il regroupe en quatre domaines (planification, construction, exécution et métrologie, par analogie avec la Roue de Deming), 34 processus distincts qui comprennent en tout 215 activités et un nombre plus important encore de « pratiques de contrôle ». Un volet « évaluation des systèmes d'information », connu sous le nom de Val IT tente de compléter cette approche.

La version 5 de COBIT est disponible depuis avril 2012[1]. COBIT 5 est, à ce jour, le seul référentiel qui est orienté business pour la Gouvernance et la Gestion des Systèmes d'Information de l'entreprise. Il représente une évolution majeure du référentiel.

COBIT 5 peut être adapté pour tous les types de modèles business, d'environnements technologiques, toutes les industries, les lieux géographiques et les cultures d'entreprise. Il peut s'appliquer à :

• La sécurité de l'information ;
• La gestion des risques ;
• La gouvernance et la gestion du système d'information de l'entreprise ;
• Les activités d'audit ;
• La conformité avec la législation et la réglementation ;
• Les opérations financières ou les rapports sur la responsabilité sociale de l'entreprise.

Le référentiel COBIT 5 simplifie les défis de la gouvernance avec seulement cinq principes et sept facilitateurs. Il permet l'intégration avec d'autres approches et normes, incluant TOGAF, PMBOK, PRINCE2, COSO, ISO/CEI 20000, ISO/CEI 27001, ITIL, PCI DSS, Loi Sarbanes-Oxley et Bâle III.

En novembre 2018, l'ISACA a annoncé la sortie progressive de la version 2019 de COBIT[2].

COBIT fournit aux gestionnaires, auditeurs et utilisateurs de TIC (Technologies de l'information et de la communication), des indicateurs, des processus et des bonnes pratiques pour les aider à maximiser les avantages issus du recours à des techniques informatiques et à l'élaboration de la gouvernance et du contrôle d'une entreprise. Il les aide à comprendre leurs systèmes informatiques et à déterminer le niveau de sécurité et de contrôle qui est nécessaire pour protéger leur entreprise, et ceci par le biais du développement d'un modèle de gouvernance des systèmes d'information tel que COBIT. Ainsi, COBIT fournit des indicateurs clés d'objectif, des indicateurs clés de performance et des facteurs clés de succès pour chacun de ses processus. Le modèle COBIT se focalise sur ce que l'entreprise a besoin de faire et non sur la façon dont elle doit le faire.

Le référentiel COBIT constitue une structure de relations et de processus (cadre de référence ou framework) visant à un pilotage et un contrôle des techniques informatiques par le management de l'entreprise pour atteindre ses objectifs, en utilisant ces techniques comme moyen pour améliorer l'activité et répondre aux besoins métiers, besoins consolidés dans le plan stratégique de l'entreprise. Il est basé sur 5 clés principales de la gouvernance et gestion IT :

• Répondre aux besoins des parties prenantes ;
• Couvrir l'entreprise de bout en bout ;
• Appliquer un seul cadre de référence ;
• Séparer la gouvernance et la gestion ;
• Favoriser une approche globale.

Il comprend six publications :

• Executive summary (résumé de la vue d'ensemble de la méthodologie CobiT pour les managers pressés) ;
• Framework (cadre de référence explicatif de la méthode, des domaines et processus) ;
• Control objectives (215 objectifs de contrôle : ces objectifs sont directement orientés vers le management et les équipes responsables des services informatiques) ;
• Audit guidelines (le guide de l'audit) : il s'agit de déceler, d'analyser et expliquer les failles d'un système et les risques qui en découlent ainsi que de leur apporter des solutions ;
• Implementation Tool Set (les outils de la mise en œuvre du CobiT) ;
• Management Guidelines (le guide du management). Celui-ci dispose d'un modèle de maturité pour évaluer, sur une échelle de cinq degrés, le niveau d'évolution de chacun des processus. Ce guide propose un cadre de pilotage de type tableau de bord prospectif (balanced scorecard).

L'objectif est d'assurer l'adéquation durable entre les technologies, les processus métiers et la stratégie de l'entreprise.

Cette rubrique va intéresser la direction générale en indiquant ce que l'implantation d'un processus donné va apporter sur les informations (par exemple sur l'information décisionnelle). Ces critères sont :

• efficacité : qualité et pertinence de l'information, distribution cohérente ;
• efficience : rapidité de délivrance ;
• confidentialité : protection contre la divulgation ;
• intégrité : exactitude de l'information ;
• disponibilité : accessibilité à la demande et protection (sauvegarde) ;
• conformité : respect des règles et lois ;
• fiabilité : exactitudes des informations transmises par le management.

En améliorant l'information selon ces critères, l'organisation pourra atteindre plus facilement ses objectifs, cela ouvrira des nouvelles opportunités et améliorera la rentabilité.

Cette partie concerne plus le directeur des systèmes d'informations (DSI) ou responsable des systèmes d'informations (RSI), pour l'informer des ressources qui vont être impactées par le processus. Les différentes ressources sont :

• les compétences : le personnel, efficacité des collaborateurs (internes et externes) ;
• les applications : ensemble des procédures de traitement ;
• l'infrastructure : ensemble des installations, Data Center, … ;
• les données : informations au sens global (format, structure, …) ;
• les techniques : équipement, logiciels, bases de données, réseaux, …

Destinés à l'attention du gestionnaire de processus, ils vont définir la structure des domaines, des processus et des tâches. Il faut savoir qu'un processus se définit comme un ensemble de tâches. Par exemple, le processus « comptable » intervient dans le domaine « administratif et financier » et se divise en activités telles que « la saisie de factures, l'édition de balance… ». CobiT propose un modèle de maturité pour chaque processus afin de le situer par rapport aux meilleures pratiques du marché. Le modèle comprend 6 niveaux (0 à 5).

Les facteurs clés de succès définissent les actions les plus importantes à entreprendre pour maîtriser les processus. Les indicateurs clés d'objectif permettent de savoir a posteriori si un processus a répondu aux objectifs (en ce qui concerne les critères d'information). Enfin, les indicateurs clés de performance déterminent la qualité de fonctionnement d'un processus (capacité à atteindre les objectifs).

Cette version simplifiée de CobiT s'adresse principalement aux PME pour lesquelles les techniques informatiques ne représentent pas un enjeu stratégique mais simplement un levier dans leur stratégie de croissance. Elle se repose sur les hypothèses suivantes :

• l'infrastructure informatique n'est pas complexe ;
• du fait de la taille de l'entreprise, le système d'information et l'activité sont bien alignés ;
• les tâches les plus complexes sont externalisées ;
• la tolérance aux risques est relativement élevée ;
• l'éventail des contrôles est peu étendu ;
• la structure de commandement est simple.

Cette version conserve de COBIT 30 processus sur les 34, et 62 objectifs de contrôle sur les 318.

La mise en œuvre Quickstart comprend six étapes :

• Évaluer le bien-fondé c'est-à-dire déterminer si cette version est adaptée à l'entreprise ;
• Évaluer la situation actuelle à partir de collectes d'informations auprès des personnes clé et de rapports d'audit ;
• Déterminer la cible avec la définition de l'activité, des contraintes légales, et de la dépendance de l'entreprise vis-à-vis de la technologie ;
• Analyser les écarts par l'examen des pratiques de contrôle et des facteurs clés de succès ;
• Définir les projets d'amélioration des processus
• Élaborer un programme intégré de mise en place de la gouvernance en tenant compte des besoins immédiats de l'entreprise, des interdépendances entre les projets et des ressources disponibles.

Selon Georges Épinette, administrateur du CIGREF, la démarche d'appréhension de ce référentiel doit se faire intelligemment, notamment lorsqu'il s'agit du cycle de vie de la relation client-fournisseur. En effet, CobiT présente une relative indigence en matière :

• d'alignement du système d'information ;
• de gestion des risques et de sécurité[4].

En particulier, CobiT repose sur une approche très fonctionnelle de l'organisation. Sur ce modèle, le Système d'information opère en parallèle de l'organisation réelle - et d'une certaine manière, déconnecté de celle-ci - car il se base sur l'agencement nominal des fonctions[5]. Dans ce contexte, l'alignement du système d'information consiste à réconcilier, souvent de façon ponctuelle, la réalité des opérations avec une vision idéalisée de l'organisation. D'autres approches, qui mêlent de façon dynamique Système d'information et Organisation selon des modélisations qui étendent le modèle fonctionnel évitent cet écueil : c'est le cas, par exemple, de l'Analyse décisionnelle des systèmes complexes inspirée des travaux de l'école socio-technique et du courant cybernétique.

Un groupe de travail du club des maîtres d'ouvrage des systèmes d'information a publié en 2006 une étude sur CobiT, dans laquelle figurent un certain nombre de remarques sur les apports et les limites de CobiT[6].