COBIT · Gouvernance IT pratique

Le Design Guide COBIT 2019 aide à retenir les objectifs prioritaires à partir de 11 facteurs de conception (taille, criticité de l’IT, sourcing, profil de risque...). Pour une PME de 50 à 150 personnes, 6 à 8 objectifs couvrent l’essentiel de la valeur. Sélection typique : APO01 (cadre de management IT), APO07 (RH IT), BAI03 (gestion des solutions), DSS02 (incidents), DSS04 (continuité), MEA01 (performance), MEA03 (conformité externe). Plus un objectif EDM de gouvernance pure (EDM01, cadre de gouvernance, ou EDM02, création de valeur).

EDM (Evaluate, Direct and Monitor) : la gouvernance au sens strict, portée par le conseil et la direction (valeur, risques, ressources, transparence). APO (Align, Plan and Organize) : stratégie IT, architecture, budget, risques, RH. BAI (Build, Acquire and Implement) : projets, développements, acquisitions, changements. DSS (Deliver, Service and Support) : exploitation quotidienne, incidents, continuité, sécurité opérationnelle. MEA (Monitor, Evaluate and Assess) : mesure de la performance, contrôle interne, conformité externe. Une PME n’active que quelques objectifs dans chaque domaine.

COBIT est un framework de gouvernance IT : pourquoi, qui décide, quels KPI, comment mesurer la maturité. ITIL est un framework de gestion des services IT : comment gérer incidents, changements, services. Pour une PME, nous recommandons COBIT comme chapeau stratégique et ITIL pour les processus opérationnels (si pertinents). Les deux sont complémentaires.

Oui, très largement. COBIT couvre l’essentiel des exigences de gouvernance de NIS2 (art. 20 notamment : approbation par la direction, supervision, formation). Implémenter COBIT allégé rend la conformité NIS2 plus simple : la gouvernance est en place, la RACI existe, le tableau de bord remonte au COMEX. Les briques spécifiques NIS2 (notification sous 24 h, enregistrement Safeonweb@Work, sécurité de la chaîne d’approvisionnement) s’ajoutent naturellement au dispositif COBIT, et le tout prépare une certification CyFun ou ISO 27001.

Le budget dépend du nombre d’objectifs retenus, de la maturité de départ, de la taille de l’équipe IT et du niveau d’accompagnement souhaité. Pour une PME de 80 à 150 personnes, un « COBIT light » bien cadré se boucle en 4 à 6 mois et couvre : diagnostic, cadrage des 6 à 8 objectifs, mise en place du comité IT, rédaction de la politique IT, accompagnement opérationnel. Les budgets très élevés parfois annoncés correspondent aux tarifs de grands cabinets, pas au coût propre de COBIT. Nous établissons un devis écrit sous 48 h après un premier échange.

Non. Une PME peut faire du COBIT avec un DSI à temps plein, un DSI à temps partagé (externe, 3 à 8 jours par mois), ou même sans DSI formalisé mais avec un « responsable IT » clairement identifié. L’important est qu’il y ait un pilote unique, qu’il ait un mandat clair, et que le comité de pilotage IT fonctionne. COBIT ne crée pas de besoins RH : il clarifie ceux qui existent déjà.

Pour une PME qui vise à terme ISO 27001 : commencer par COBIT light (4 à 6 mois) pour poser la gouvernance, puis enchaîner ISO 27001 (9 à 15 mois) pour formaliser le SMSI. COBIT facilite la démarche ISO 27001, car il pose le cadre et les rôles. L’inverse (ISO puis COBIT) fonctionne aussi mais est moins efficient.

Utile mais pas indispensable. Les certifications ISACA (CGEIT pour la gouvernance, CISA pour l’audit) attestent d’une connaissance approfondie du framework. Pour une PME, l’expérience pratique compte davantage : un consultant qui a déjà implémenté COBIT dans 3 à 5 PME de taille similaire apporte plus qu’un consultant junior certifié.

COBIT et les méthodes agiles sont compatibles. COBIT définit le cadre de gouvernance (décisions, budgets, priorités) et la méthode agile organise l’exécution produit et IT à l’intérieur de ce cadre. ISACA publie d’ailleurs un guide, « COBIT Focus Area: DevOps », qui applique COBIT à ces pratiques. Les PME tech (SaaS, fintechs) peuvent combiner les deux sans difficulté.