COBIT, du référentiel à la preuve
Évaluez la capacité de vos objectifs de gouvernance et de gestion des SI, priorisez les améliorations et présentez-les au conseil, chiffres à l’appui.
COBIT en bref, et ce qu’on va vous demander
COBIT est le référentiel de l’ISACA pour la gouvernance et la gestion de l’information et des technologies d’une organisation. Il sépare ce que décide le conseil (gouvernance) de ce qu’exécute la direction des SI (gestion), et structure le tout en 40 objectifs répartis sur cinq domaines.
Auditeurs internes et externes, conseils d’administration et superviseurs l’exigent pour savoir si l’informatique est maîtrisée et alignée sur le métier. L’organisation n’est pas certifiée : on mesure la capacité de chaque objectif, de 0 à 5, face à un niveau cible que vous fixez.
- Éditeur
- ISACA
- Version
- COBIT 2019
- Structure
- 40 objectifs de gouvernance et de gestion en 5 domaines
- Mesure
- Niveaux de capacité de 0 à 5 par processus
- Certification
- Pour les personnes, pas pour les organisations
1
Facteurs de conception
Stratégie, risques, taille et contexte déterminent les objectifs qui comptent le plus.
2
Objectifs prioritaires
Vous choisissez les objectifs à traiter et leur niveau de capacité cible.
3
Évaluation
Vous mesurez la capacité actuelle de chaque processus à partir de ses activités et de ses preuves.
4
Plan d’amélioration
Les écarts deviennent des actions et l’avancement remonte au conseil.
Les cinq domaines
EDM
Évaluer, diriger et surveiller
La gouvernance : ce que le conseil décide et contrôle.
APO
Aligner, planifier et organiser
Stratégie, architecture, risques et fournisseurs.
BAI
Bâtir, acquérir et implanter
Projets, changements, actifs et configuration.
DSS
Livrer, servir et soutenir
Exploitation, incidents, continuité et sécurité.
MEA
Surveiller, évaluer et mesurer
Performance, contrôle interne et conformité.
Gouvernez votre SI avec COBIT dans GlobalSuite®
Objectifs, capacité, actions et rapports au même endroit, chaque processus relié à son responsable et à ses preuves.
Conformité›COBIT 2019›Objectifs
Objectifs prioritaires12 objectifs sur 40 dans le périmètre
CodeObjectifResponsableCible
EDM03
Optimisation du risque assurée
Gouvernance
ConseilNiveau 3APO12
Risque géré
Aligner, planifier et organiser
CRONiveau 3BAI06
Changements informatiques gérés
Bâtir, acquérir et implanter
DSINiveau 3DSS05
Services de sécurité gérés
Livrer, servir et soutenir
RSSINiveau 4Conformité›COBIT 2019›Évaluation de la capacité
5
Cible atteinte
6
En dessous
1
Non évalué
CodeObjectifCapacité / cibleNiveau
EDM03Optimisation du risque assurée3
APO12Risque géré2
APO13Sécurité gérée2
BAI06Changements informatiques gérés3
DSS05Services de sécurité gérés2
Conformité›COBIT 2019›Plan d’amélioration
Plan d’amélioration18 actions · 9 clôturées
ActionResponsableÉchéanceStatut
Appétence au risque informatique validée par le conseilCRC. Ruiz20 nov.En cours
Comité des changements avec procès-verbaux archivésJOJ. Ortega12 nov.Clôturée
Revue périodique des accès à privilègesPMP. Molina30 nov.Ouverte
Indicateurs de sécurité dans le tableau de bordALA. León5 déc.En cours
Rapports›COBIT 2019›Conseil
Rapports au conseilProchain comité d’audit : décembre
RapportStatutGénéré
État de la gouvernance des SI · T3Envoyé2 sem.
Écarts de capacité par domaineÀ jouraujourd’hui
Suivi du plan d’améliorationBrouillon3 j
Constats d’audit interne ouvertsÀ jour1 sem.
Un contrôle, plusieurs normes
Reliez vos objectifs COBIT aux contrôles ISO 27001, ISO 20000 ou NIS2. Une seule preuve sert pour tous.
Le risque informatique à sa place
APO12 s’appuie sur le module de risques : scénarios, évaluation et traitement selon votre méthodologie.
Audit interne inclus
Planifiez les revues des objectifs, enregistrez les constats et suivez leur clôture au même endroit.
COBIT s’intègre à ce que vous faites déjà
COBIT
Objectifs de gouvernance et de gestion des SI, capacité, plan d’amélioration et rapports.
Vous êtes iciISO 27001
La sécurité de l’information que COBIT demande de gouverner, avec son propre système de management.
Voir la solution →ISO 20000
La gestion des services informatiques, certifiable, qui couvre une bonne partie des domaines BAI et DSS.
Voir la solution →Gestion des risques
Le module de risques de GlobalSuite®, socle d’APO12 et d’EDM03.
Voir la solution →
Questions fréquentes sur COBIT
Une entreprise peut-elle être certifiée COBIT ?
Non. COBIT est un référentiel, pas une norme certifiable pour les organisations. Il existe en revanche des certifications pour les personnes, délivrées par l’ISACA. Ce qu’une organisation peut démontrer, c’est le niveau de capacité de ses processus, en général face à l’audit interne ou externe.
Quelle différence entre gouvernance et gestion ?
La gouvernance revient au conseil : il évalue, oriente et surveille (domaine EDM). La gestion revient à la direction : elle planifie, construit, exploite et surveille l’informatique selon ces décisions (domaines APO, BAI, DSS et MEA).
Qu’est-ce qu’un niveau de capacité ?
C’est la mesure du bon fonctionnement d’un processus, de 0 (incomplet) à 5 (en amélioration continue). Dans COBIT 2019, chaque activité d’un processus est associée à un niveau, et le processus atteint ce niveau lorsqu’il la réalise.
Dois-je traiter les 40 objectifs ?
Non. Les facteurs de conception (stratégie, profil de risque, taille, contexte) servent justement à prioriser les objectifs qui comptent le plus pour votre organisation et à fixer pour chacun un niveau cible réaliste.
COBIT remplace-t-il ISO 27001 ou ITIL ?
Non, ils se complètent. COBIT dit ce qu’il faut gouverner et gérer dans l’informatique. ISO 27001 et ITIL précisent comment le faire pour la sécurité et les services. Beaucoup d’organisations utilisent COBIT comme cadre global et les autres normes pour l’opérationnel.
Par où commencer ?
Par les facteurs de conception et une première évaluation des objectifs prioritaires.
COBIT® est une marque déposée de l’ISACA.
Une gouvernance des SI
enfin mesurable.
Nous vous montrons votre évaluation COBIT dans GlobalSuite®.