Introduction générale au COBIT.

Il est un fait avéré que les grandes entreprises misent toutes désormais sur la qualité de leur Système d’Information pour prospérer.

Dans ce contexte de dépendance croissante vis-à-vis des Technologies de l’Information (TI), l’alignement des TI avec les objectifs et la stratégie de l’entreprise est devenu un facteur crucial de succès.

COBIT (Common Objectives for Business Information Technology) est un puissant outil d’harmonisation et de mise en cohérence des TI avec la stratégie business.

COBIT est un référentiel général de gouvernance des SI, évolutif et fédérateur, issu des meilleures pratiques de contrôle des TI.

COBIT se positionne comme un référentiel à la fois d’audit et de gouvernance, aligné sur les métiers et la stratégie de l’entreprise ; (la gouvernance regroupant quant à elle l’ensemble des processus et des procédures organisationnelles de pilotage des TI.)

COBIT participe à la gouvernance des SI en garantissant :

• L’alignement du SI sur le métier de l’entreprise ;
• La maximisation des avantages issus du recours aux TI ;
• L’optimisation des dépenses informatiques ;
• La maîtrise et l’évaluation des risques et des bénéfices ;
• La fourniture de métriques de référence.
  

1. Historique

COBIT est le fruit des travaux collectifs de spécialistes et d’auditeurs internes ou externes regroupés au sein de l’ISACA (Information System Audit and Control Association).

Cette association mondiale établie aux Etats-Unis possède des représentations nationales telles qu’en France l’AFAI (Association française pour l’audit et le conseil en informatique).

Inspiré du référentiel COSO (Comittee of Sponsoring Organizations of the Treadway Commission) publié en 1992 et dont il reprend les concepts d’évaluation et d’amélioration du système de contrôle interne, COBIT se positionne d’emblée et dès 1996 comme un référentiel de contrôle.

COBIT est devenu au fil du temps un standard de facto répondant à la double exigence de conformation aux critères du COSO et surtout d’uniformisation des plans d’audit, le tout grâce à une structure établie en domaines, processus et objectifs de contrôle spécifiques.

La montée en puissance de notions telles que la gouvernance des systèmes d’information en tant que facteurs clés de succès pour le business ont conduit en 1998 à la création de l’ITGI (Information Technology Governance Institute), dont les travaux de réflexion donneront lieu en 2000 à la publication de la version 3 du référentiel.

Dans un contexte général de renforcement du contrôle des processus financiers à la suite des scandales du début des années 2000, et le vote dès 2002 de lois telles que Sarbanes-Oxley (SOX) aux Etats-Unis puis à sa généralisation, COBIT  s’impose rapidement comme un standard conforme aux nouvelles exigences réglementaires en termes de contrôle et de gouvernance.

Finalement, les versions 4 et 4.1 du référentiel COBIT seront publiées respectivement en 2005 et 2007, réunissant les aspects de contrôle et de management des SI/TI.

2. A qui s’adresse COBIT  ?

COBIT fût initialement développé par et pour les auditeurs des systèmes d’information à qui l’ISACA propose d’ailleurs depuis plus de 10 ans une certification mondiale (CISA, Certified Information Systems Auditor).

Mais COBIT peut aussi servir d’outil de médiation et de facilitateur du dialogue entre les parties prenantes au sein d’une entreprise,  notamment grâce à l’emploi d’un langage commun non technique :

• Directions générales – Optimisation de l’investissement en contrôles en fonction des risques associés.
• Directions métiers – Assurances sur la gestion et le contrôle des services informatiques fournis en interne ou par des tiers,
• Directions informatiques – Fourniture, contrôle et gestion des services informatiques à destination des métiers conformément à la stratégie de l'entreprise.
• Auditeurs et consultants –Conseils au management sur les contrôles internes et la gouvernance des SI.
  

Enfin, le standard COBIT peut servir de maître étalon pour l’établissement d’un modèle de gouvernance des systèmes d’information interne permettant d'identifier les pistes de progrès que le management doit prendre en charge :

• Adéquation des compétences aux enjeux ;
• Allocation des ressources ;
• Définition claire des processus ou réduction des risques en matière de sécurité des systèmes d'information.
  

3. Description générale

COBIT s’appuie sur un framework de 34 processus organisés autour de quatre grands domaines correspondant au cycle de vie des SI donnant ainsi une vision complète de l’activité informatique :

• Planifier et organiser (PO) – Stratégie et gouvernance des TI.
• Acquérir et Implémenter (AI) – Ressources : projets et mise en production.
• Délivrer et Supporter (DS) – Services destinés aux clients de la DSI.
• Surveiller et Evaluer (SE) – Contrôle, audit et surveillance.

COBIT répond au besoin des dirigeants de disposer d'objectifs de contrôle et de mesure pour garantir le succès des objectifs, prévenir et gérer les risques, et identifier les points d'amélioration possibles par la mise en oeuvre de :

• Tests comparatifs de la capacité des processus informatiques présentés sous forme de modèles de maturité inspirés du Capability Maturity Model ;
• Objectifs et métriques des processus informatiques pour définir et mesurer leurs résultats et leurs performances ;
• Objectifs des activités pour mettre ces processus sous contrôle en se basant sur des objectifs de contrôle détaillés.

La structuration en processus selon le standard COBIT concourt à :

• La clarification et la simplification des processus de gestion.
• Une meilleure visibilité en ce qui concerne la valeur ajoutée des SI.
• L’optimisation des investissements et des choix technologiques.

Les modèles de maturité de COBIT permettent à l’entreprise de :

• Réaliser des benchmarks intra ou inter entreprises ;
• Définir et évaluer ses propres standards de gouvernance des SI ;
• Mettre en évidence les défauts de capacité et en faire la démonstration au management.
  

Le modèle COBIT est transposable quelque soient le secteur d’activité, les spécificités culturelles et l’état d’avancement au plan technologique de l’environnement cible.

4. Pour conclure

COBIT est à la fois un cadre de référence global et une démarche de management structurée pour l'alignement des ressources informatiques avec les objectifs stratégiques de l'entreprise.

COBIT est un outil fédérateur qui associe au sein même de sa démarche les apports d'autres référentiels comme ISO 9000, ITIL, CMMi et les spécificités propres à chaque entreprise.

Entre autres avantages à l'adoption de COBIT comme cadre de gouvernance, retenons :

• Une cohésion renforcée entre l'informatique et les métiers ;
• Une meilleure perception par le management des apports de l'informatique ;
• Un gain en terme de réputation auprès des tiers et des organismes de contrôle ;
• Une meilleure compréhension de toutes les parties prenantes grâce à un langage commun.