COBIT — Gouvernance IT pratique

Le Design Guide COBIT 2019 recommande 3 à 15 objectifs selon 11 facteurs de conception (taille, criticité de l'IT, sourcing, culture...). Pour une PME de 50-150 personnes, 6-8 objectifs couvrent l'essentiel de la valeur. Sélection typique : APO01 (cadre de management IT), APO07 (RH IT), BAI03 (gestion des solutions), DSS02 (incidents), DSS04 (continuité), MEA01 (performance), MEA03 (conformité externe). Plus un objectif EDM de gouvernance pure (EDM01, cadre de gouvernance, ou EDM02, délivrance de valeur).

EDM (Evaluate, Direct and Monitor) : la gouvernance au sens strict, portée par le conseil et la direction (valeur, risques, ressources, transparence). APO (Align, Plan and Organize) : stratégie IT, architecture, budget, risques, RH. BAI (Build, Acquire and Implement) : projets, développements, acquisitions, changements. DSS (Deliver, Service and Support) : exploitation quotidienne, incidents, continuité, sécurité opérationnelle. MEA (Monitor, Evaluate and Assess) : mesure de la performance, contrôle interne, conformité externe. Une PME n'active que quelques objectifs dans chaque domaine.

COBIT est un framework de gouvernance IT : pourquoi, qui décide, quels KPI, comment mesurer la maturité. ITIL est un framework de gestion des services IT : comment gérer incidents, changements, services. Pour une PME, on utilise COBIT comme chapeau stratégique et ITIL pour les processus opérationnels (si pertinents). Les deux sont complémentaires.

Oui, très largement. COBIT couvre l'essentiel des exigences de gouvernance de NIS2 (art. 20 notamment : approbation par la direction, supervision, formation). Implémenter COBIT allégé rend la conformité NIS2 plus simple : la gouvernance est en place, la RACI existe, le tableau de bord remonte au COMEX. Les briques spécifiques NIS2 (notification 24h, enregistrement Safeonweb@Work, registre des prestataires) s'ajoutent naturellement au dispositif COBIT, et le tout prépare une certification CyFun ou ISO 27001.

Pour une PME de 80-150 personnes, un "COBIT light" bien cadré coûte 25-60 K€ sur 4-6 mois. Ce budget couvre : diagnostic, cadrage des 6-8 objectifs, mise en place du comité IT, rédaction de la politique IT, accompagnement opérationnel. Les gros budgets (300-800 K€) sont l'apanage des cabinets internationaux qui vendent du slideware, pas le coût réel de COBIT.

Non. Une PME peut faire du COBIT avec un DSI temps plein, un DSI fractionnel (externe, 2-5 jours/mois), ou même sans DSI formalisé mais avec un "responsable IT" clairement identifié. L'important est qu'il y ait UN pilote, qu'il ait un mandat clair, et que le comité de pilotage IT fonctionne. COBIT ne crée pas de besoins RH : il clarifie ceux qui existent déjà.

Pour une PME qui vise à terme ISO 27001 : commencer par COBIT light (4-6 mois) pour poser la gouvernance, puis enchaîner ISO 27001 (9-15 mois) pour formaliser le SMSI. COBIT facilite énormément l'ISO 27001 car il donne le cadre et les rôles. L'inverse (ISO puis COBIT) fonctionne aussi mais est moins efficient.

Utile mais pas indispensable. Les certifications ISACA (CGEIT pour la gouvernance, CISA pour l'audit) attestent d'une connaissance approfondie du framework. Pour une PME, l'expérience pratique compte davantage : un consultant qui a déjà implémenté COBIT dans 3-5 PME de taille similaire apporte plus qu'un consultant junior certifié.

COBIT et agile sont parfaitement compatibles. COBIT définit le cadre de gouvernance (décisions, budgets, priorités), agile gère l'exécution produit/IT au sein de ce cadre. Il existe même un "COBIT 2019 for Agile" qui propose des adaptations spécifiques. Les PME tech en Belgique (SaaS, fintechs) combinent de plus en plus les deux avec succès.