En bref :
- COBIT est le référentiel de gouvernance informatique publié par l’ISACA, distinct des référentiels de gestion opérationnelle comme ITIL.
- Gouvernance et gestion y forment deux fonctions séparées, portées par des instances différentes de l’entreprise.
- COBIT 2019 organise ses objectifs autour d’un domaine de gouvernance, de quatre domaines de gestion et de six principes.
- Une mise en œuvre réussie part des besoins des parties prenantes et des facteurs de conception propres à l’entreprise, pas d’un calque mécanique du référentiel.
COBIT désigne le référentiel de gouvernance des technologies de l’information publié par l’ISACA (Information Systems Audit and Control Association). Il s’adresse aux directions des systèmes d’information, aux responsables des risques et aux auditeurs qui doivent démontrer comment les décisions technologiques servent la stratégie de l’entreprise. COBIT ne remplace pas les référentiels opérationnels comme ITIL : il se situe à un niveau différent, celui du pilotage et du contrôle.
Qu’est-ce que COBIT ?
COBIT, pour Control Objectives for Information and Related Technologies, est publié par l’ISACA depuis 1996 et régulièrement mis à jour, la version en vigueur étant COBIT 2019. Le référentiel fournit un cadre de gouvernance pour aligner les systèmes d’information sur la stratégie globale, créer de la valeur, gérer les risques et assurer la conformité réglementaire.
Il ne s’agit pas d’un référentiel de processus à reproduire tel quel. COBIT décrit des objectifs de gouvernance et de gestion, pas des procédures : à chaque entreprise de les décliner selon sa taille, son secteur et son niveau de maturité. C’est ce qui explique sa popularité dans les grands groupes et le secteur public, souvent soumis à des exigences d’audit strictes.
Gouvernance ou gestion : les deux piliers de COBIT 2019
Le référentiel distingue nettement deux fonctions que beaucoup d’organisations confondent. La gouvernance évalue les besoins des parties prenantes, fixe la direction par des priorités et des décisions, puis surveille la performance et la conformité. Elle relève du conseil d’administration ou d’un comité de direction.
La gestion planifie, construit, exploite et surveille les activités conformément à la direction fixée par la gouvernance, pour atteindre les objectifs de l’entreprise. Elle relève du management opérationnel, direction informatique comprise. Cette séparation n’est pas un détail théorique : un système de gouvernance confond les deux quand les mêmes instances fixent les priorités et les exécutent, ce qui dilue la responsabilité en cas d’échec.
COBIT et ITIL : deux référentiels complémentaires
COBIT et ITIL répondent à des questions différentes. COBIT aide la direction à répondre à « faisons-nous les bons choix technologiques, et pouvons-nous le prouver ? ». ITIL répond à « comment organisons-nous concrètement la livraison et le support des services informatiques au quotidien ? ». Le premier se concentre sur le pilotage stratégique et le contrôle, le second sur la gestion opérationnelle des services, avec des pratiques détaillées pour le service desk, la gestion des incidents ou la gestion des changements, comme le rappellent les principes directeurs d’ITIL 4.
Les deux référentiels se complètent plus qu’ils ne se concurrencent. Une direction informatique peut s’appuyer sur COBIT pour structurer sa gouvernance et rendre compte aux instances de contrôle, tout en appliquant ITIL pour organiser les processus qui livrent effectivement les services. Associer les deux évite un écueil fréquent : une gouvernance qui fixe des objectifs sans relais opérationnel, ou une organisation ITIL mature sans pilotage stratégique au-dessus.
Les principes et domaines de COBIT 2019
Les domaines de pilotage et de gestion
COBIT 2019 répartit ses objectifs en cinq domaines, un domaine de gouvernance et quatre domaines de gestion.
| Domaine | Fonction | Portée |
|---|---|---|
| EDM (Evaluate, Direct, Monitor) | Gouvernance | Évaluer les options, fixer la direction, surveiller la performance |
| APO (Align, Plan, Organize) | Gestion | Aligner la stratégie informatique, planifier, organiser les ressources |
| BAI (Build, Acquire, Implement) | Gestion | Concevoir, acquérir et mettre en œuvre les solutions |
| DSS (Deliver, Service, Support) | Gestion | Livrer et exploiter les services au quotidien |
| MEA (Monitor, Evaluate, Assess) | Gestion | Mesurer la conformité et la performance des processus |
Chaque domaine regroupe plusieurs objectifs de gouvernance ou de gestion, déclinés en pratiques et en activités que l’entreprise adapte à son contexte.
Les six principes du système de gouvernance
COBIT 2019 repose sur six principes qui encadrent toute mise en place du référentiel : répondre aux besoins des parties prenantes, couvrir l’entreprise de bout en bout, s’appuyer sur un cadre unique et intégré, retenir une approche holistique, distinguer clairement la gouvernance de la gestion, et adapter le système aux besoins réels de l’entreprise plutôt qu’à un modèle générique.
Mettre en œuvre COBIT dans l’entreprise
Une mise en œuvre de COBIT part rarement d’un atelier consacré au cadre de travail. Elle commence par un cas d’usage métier clair : les dirigeants s’accordent sur ce qui doit s’améliorer, qu’il s’agisse de la surveillance de la cybersécurité, de la fiabilité des services, de la transparence des investissements informatiques ou de la préparation aux audits. Cette étape évite de bâtir une gouvernance qui ne répond à aucun besoin identifié, un écart que l’Enterprise Service Management cherche justement à combler en reliant les services informatiques aux attentes métier.
Vient ensuite l’évaluation de la situation actuelle, pour définir un nombre restreint de priorités que les parties prenantes reconnaissent. L’entreprise sélectionne alors les objectifs de gouvernance et de gestion pertinents, les décline en pratiques concrètes, puis maintient le dispositif dans la durée malgré les changements d’organisation, de technologie ou de réglementation.
Les facteurs de conception à prendre en compte
COBIT 2019 a introduit les facteurs de conception, qui permettent d’adapter le référentiel plutôt que de l’appliquer uniformément. Ils incluent la stratégie de l’entreprise, son profil de risque, les enjeux informatiques propres au secteur, le paysage des menaces, les exigences de conformité, le rôle de l’informatique dans le modèle économique et les méthodes de mise en œuvre retenues.
Qui utilise COBIT et pour quels objectifs
COBIT est surtout mobilisé par les directions des systèmes d’information, les fonctions d’audit interne et de gestion des risques, dans les grandes entreprises et les organisations soumises à des obligations réglementaires fortes, secteur public compris. Ces profils s’en servent pour démontrer que les décisions technologiques sont tracées, justifiées et contrôlées, une préoccupation proche de celle traitée dans la comparaison entre l’ESM et l’ITSM.
Dans la pratique, COBIT est fréquemment associé à TOGAF pour la partie architecture d’entreprise et à ITIL pour la partie opérationnelle, formant un ensemble cohérent qui couvre la gouvernance, l’architecture et la gestion des services.
Questions fréquentes
Qu'est-ce que COBIT et à quoi sert-il ?
COBIT est le référentiel de gouvernance des technologies de l’information publié par l’ISACA. Il fournit un cadre pour aligner les systèmes d’information sur la stratégie de l’entreprise, créer de la valeur, maîtriser les risques et répondre aux exigences de conformité. Il ne décrit pas comment exploiter les services informatiques au quotidien, mais comment la direction pilote et contrôle l’informatique.
Quelle est la différence entre COBIT et ITIL ?
COBIT se situe au niveau de la gouvernance et du contrôle : il aide la direction à fixer des objectifs, à mesurer la performance et à rendre des comptes. ITIL se situe au niveau de la gestion opérationnelle : il décrit comment organiser le service desk, traiter les incidents ou gérer les changements. Les deux référentiels sont complémentaires et peuvent être combinés dans la même organisation.
Quels sont les domaines et principes de COBIT 2019 ?
COBIT 2019 répartit ses objectifs en un domaine de gouvernance et quatre domaines de gestion. Il s’appuie sur six principes, dont la distinction entre gouvernance et gestion, une couverture de bout en bout de l’entreprise et une adaptation aux besoins propres de chaque organisation.
Qui utilise COBIT dans l'entreprise ?
COBIT est surtout mobilisé par les directions des systèmes d’information, les fonctions d’audit interne et de gestion des risques, ainsi que les organisations soumises à des exigences réglementaires fortes. Il est fréquemment associé à TOGAF pour la partie architecture d’entreprise et à ITIL pour la partie opérationnelle.
Qu'est-ce qui a changé avec la version 2019 de COBIT ?
COBIT 2019 a introduit les facteurs de conception, qui permettent d’adapter le référentiel au contexte réel de l’entreprise plutôt que de l’appliquer tel quel. Il a également actualisé les domaines et objectifs de contrôle et clarifié la séparation entre gouvernance et gestion.