Le modèle CobiT

Le modèle CobiT

CobiT (Control Objectives for Information and related Technology – Objectifs de contrôle de l’Information et des Technologies Associées) est un modèle de référentiel initié par l'ISACA, pour prendre en charge la gestion des risques liés au domaine informatique. Il fournit les bonnes pratiques au travers d'un cadre de référence par domaine et par processus et présente les activités dans une structure logique et gérable.

Le modèle COBIT permet :

• D’identifier les meilleurs pratiques, processus, rôles et livrables à mettre en place
• D’évaluer le niveau de maturité  d’une DSI
• Définir la gouvernance
• De mettre en place une norme de qualité

Il permet de se poser les bonnes questions entre autre sur:

• La prise de décision : comment sont prises les décisions
• Les responsabilités : qui prend les décisions et qui en est tenu responsable
• L’évaluation de la décision prise : quels sont les indicateur d’évaluation de la décision
• Les risques : quels sont les risques inhérents à cette décision

Le COBIT s’utilise aussi bien par le management (pour savoir qui doit décider des investissements à effectuer pour assurer la sécurité et la maîtrise des SI, et les ajuster suivant les risques de l'environnement),par les auditeurs (pour justifier leur opinion et/ou donner des conseils au management sur les contrôles internes) que par  les utilisateurs (sécurité, mise sous contrôle des services informatiques fournis).

La méthode COBIT se veut le modèle de référence de la gouvernance des DSI.

Il est fondamental de bien comprendre que les pratiques définit dans le référentiel COBIT définissent des objectifs à atteindre et non les solutions pour les atteindre. En d’autres mots ceux sont des QUOI et pas des COMMENT.

Pour chaque pratique de gestion et de gouvernance, CobiT spécifie, d’une part, les informations en sortie de la pratique, avec leur destination et, d’autre part, les informations en entrée de la pratique, avec leur origine.

Il ne faut toutefois pas prendre au pied de la lettre cette question de la circulation de l’information et ne s’engager dans la mise en place d’un processus que si l’information en entrée est disponible, fiable, à jour… car c’est la meilleure manière de créer un système autobloquant.

Auteur : Jérôme Leblanc, Associé Consultissimo