COBIT : La Gouvernance IT au Service de la Stratégie d'Entreprise

Qu’est-ce que COBIT ?

COBIT (Control Objectives for Information and Related Technologies) est un framework de gouvernance et de gestion des technologies de l’information développé par l’ISACA (Information Systems Audit and Control Association), une organisation internationale d’auditeurs IT fondée en 1969.

Actuellement à sa version COBIT 2019, COBIT est utilisé dans plus de 180 pays et est considéré comme le standard de référence pour la gouvernance IT, particulièrement dans les secteurs réglementés (finance, santé, gouvernement).

Alors qu’ITIL se concentre sur la gestion opérationnelle des services IT (comment bien faire fonctionner l’IT au quotidien), COBIT se concentre sur la gouvernance stratégique (comment s’assurer que l’IT crée de la valeur et que les risques sont gérés).

Les 6 Principes de COBIT 2019

Pour le système de gouvernance :

1. Fournir de la valeur aux parties prenantes : l’IT existe pour créer de la valeur, pas pour elle-même.
2. Approche holistique : la gouvernance n’est pas une série de contrôles isolés, c’est un système interconnecté.
3. Système dynamique : la gouvernance s’adapte au contexte changeant de l’organisation.

Pour le framework de gouvernance : 4. Distinguer gouvernance et management : la gouvernance définit les objectifs et évalue les options, le management planifie et exécute. 5. Adapté aux besoins de l’entreprise : COBIT est un guide, pas une prescription. Il s’adapte selon la taille, le secteur et le niveau de maturité. 6. Système de gouvernance de bout en bout : couvre tout le périmètre IT et ses parties prenantes.

Les 40 Objectifs de Gouvernance et de Gestion

COBIT 2019 définit 40 objectifs répartis en 2 domaines principaux :

Domaine Gouvernance (5 objectifs, préfixe EDM) :

• EDM01 : Assurer la mise en place et le maintien du cadre de gouvernance
• EDM02 : Assurer la réalisation des bénéfices
• EDM03 : Assurer l’optimisation des risques
• EDM04 : Assurer l’optimisation des ressources
• EDM05 : Assurer la transparence pour les parties prenantes

Domaine Management (35 objectifs, préfixes APO, BAI, DSS, MEA) :

• APO (Align, Plan and Organise) : alignement stratégique et planification
• BAI (Build, Acquire and Implement) : construction et implémentation des solutions IT
• DSS (Deliver, Service and Support) : livraison et support des services
• MEA (Monitor, Evaluate and Assess) : monitoring et évaluation

Le Modèle de Maturité COBIT

COBIT utilise un modèle de maturité sur 5 niveaux pour évaluer la performance de chaque objectif :

• 0 - Incomplet : le processus n’est pas implémenté
• 1 - Initial : le processus atteint ses objectifs de façon imprévisible
• 2 - Géré : le processus est planifié et suivi
• 3 - Défini : le processus est standardisé et documenté
• 4 - Quantitativement géré : le processus est mesuré statistiquement
• 5 - Optimisé : le processus s’améliore continuellement

COBIT et la Conformité Réglementaire

COBIT est particulièrement précieux pour les organisations soumises à des réglementations IT strictes :

• SOX (Sarbanes-Oxley) : contrôles IT sur les systèmes financiers
• GDPR : protection des données personnelles
• PCI-DSS : sécurité des données de cartes de paiement
• ISO 27001 : management de la sécurité de l’information
• Basel III/IV : gestion des risques opérationnels bancaires

COBIT fournit une structure qui adresse simultanément plusieurs référentiels réglementaires, réduisant la charge de conformité.

COBIT et Sinra

Pour les équipes de développement, COBIT s’interface avec Sinra au niveau de la gouvernance des projets. Les releases de Sinra doivent s’aligner sur les objectifs de gouvernance IT de l’organisation. Les capabilities doivent être évaluées selon leur contribution à la valeur business et leur exposition au risque.

Les pages de Sinra peuvent documenter les politiques et contrôles IT requis par COBIT pour chaque objectif pertinent.

COBIT vs ITIL vs ISO 27001

Ces frameworks sont complémentaires, pas concurrents. Les grandes organisations les utilisent souvent ensemble.

Conclusion

COBIT n’est pas un framework pour les équipes de développement au quotidien. C’est un outil de gouvernance pour les DSI, les auditeurs et les directions générales. Mais tout développeur qui travaille dans une organisation réglementée, ou qui aspire à des responsabilités de management IT, doit comprendre les principes de COBIT. La question « l’IT crée-t-elle vraiment de la valeur pour l’entreprise ? » est fondamentale, et COBIT fournit les outils pour y répondre.