«Gouvernance IT et rôle du CIO dans les entreprises luxembourgeoises : Etat des lieux et bonnes pratiques»

Transcription

1 «Gouvernance IT et rôle du CIO dans les entreprises luxembourgeoises : Etat des lieux et bonnes pratiques» ENQUETE Juin 2009 Auteurs : Julien Ciccone Laurence Johannsen Une enquête réalisée en partenariat avec Association des Banques et Banquiers Luxembourgeois

2 2

3 Préface Début 2008 le groupe de travail Fedil-ICT s est interrogé sur le rôle opérationnel et stratégique du Directeur des Systèmes d Information (DSI ou CIO) au sein des entreprises membres, ceci dans le contexte de la mondialisation de l économie et de l accélération des progrès technologiques, ce qui impose aux entreprises un rythme de changements toujours en accélération. Les réflexions et échanges d expériences entre les membres du groupe Fedil-ICT ont vite montré que beaucoup de CIO semblent devoir faire face à un triple paradoxe : a) Création de valeur vs. Réduction des coûts : Les directeurs des départements dans les entreprises exigent de la part des responsables de l informatique (CIO) qu ils contribuent aux objectifs par des systèmes informatiques toujours plus performants, tandis que le directeur financier exerce de la pression pour réduire les budgets informatiques. b) Compétences IT vs. Compétences business : Que le CIO soit un spécialiste dans les technologies de l information et de la communication est considéré comme un acquis. En plus, les CIO doivent également sortir de leur sphère technologique pour parler en termes métier avec les autres directeurs afin de pouvoir les accompagner de manière efficace dans le déploiement de leurs stratégies. Les CIO doivent donc acquérir des compétences plus approfondies de l industrie et du modèle d affaires dans lesquels leurs entreprises opèrent. c) Visionnaire vs. Pragmatique : L IT est considérée comme un agent pour stimuler et faciliter l innovation au sein de l entreprise. Ainsi le CIO est considéré comme visionnaire pouvant amener des solutions innovantes visant à transformer les modèles opérationnels de l entreprise. En même temps les différents départements lui demandent des solutions pragmatiques étant à la foi flexibles, fiables et sécurisées. Sur base de ce constat, les membres du groupe Fedil-ICT ont tendance à dire que le CIO d aujourd hui devrait être un superman qui doit faire plus avec moins (de budget), être bilingue technique/business et avoir la vision court/long terme. Des publications internationales ont fourni des éléments intéressants sur le rôle du CIO et comment le CIO est généralement perçu dans les entreprises. Selon un rapport publié par l Economist Intelligence Unit, les responsabilités du directeur des systèmes d information sont considérées comme stratégiques. Néanmoins les CIO sont souvent mis à l écart des centres de décision, puisque dans seulement 47% des entreprises interrogées le CIO fait partie du comité de direction. 56% des organisations considèrent que l IT est une fonction de support, tandis que 42% considèrent l IT comme stratégique. Un article publié par la Harvard Business Review avec le titre Information Technology and the Board of Directors suggère une méthode pour analyser l impact de l IT en fonction du mode opérationnel de l entreprise. La stratégie informatique et le rôle du CIO dépendent significativement du fonctionnement de l entreprise pouvant varier entre un mode hautement stable et industrialisé, et un mode de transformation de l entreprise vers des processus innovants. Finalement le groupe Fedil-ICT décidait d approfondir la question par une étude représentative, afin d avoir une idée plus précise de la situation des CIO dans les entreprises luxembourgeoises. Les objectifs de cette étude avaient été fixés comme suit : -- Dresser un état des pratiques des entreprises luxembourgeoises en matière de gouvernance informatique et de sécurité; -- Analyser le positionnement du CIO au sein des entreprises luxembourgeoises; -- Identifier les divergences potentielles des perceptions du rôle du CIO vu par le CEO et vu par le CIO lui-même; -- Identifier les freins potentiels qui empêchent les CIO d exécuter pleinement leur rôle; -- En dériver les leviers qui permettent aux CIO de jouer pleinement leur rôle. 3

4 Vu l importance du secteur financier pour l économie luxembourgeoise, et surtout vu la criticité des systèmes informatiques pour les entreprises de ce secteur, la Fedil s est jointe à l ABBL pour réaliser une étude commune du rôle du CIO. Mais cette étude ne devrait pas rester un but en soi. Les conclusions de l étude devraient servir dans une deuxième phase à faire des recommandations à l adresse des directions des entreprises afin de créer plus de valeur à travers l utilisation des Technologies de l Information et de la Communication. Le but final devrait consister à permettre aux CIO de mieux contribuer aux objectifs stratégiques et aux résultats de l entreprise par : un meilleur alignement entre les objectifs business et les moyens informatiques; une gouvernance informatique qui favorise la création de valeur; -- une prise de conscience du CEO du potentiel apport des systèmes d information. L évaluation des résultats de l enquête a montré une forte cohérence dans les réponses fournies, d un côté, par les CEO et, de l autre côté, par les CIO. Les résultats eux-mêmes montrent que la situation des CIO au Luxembourg n est pas fondamentalement différente de celle des CIO à l étranger. Le déploiement des stratégies d une entreprise a généralement besoin d être accompagné par l implémentation de nouveaux systèmes informatiques qui facilitent ces stratégies. Les compétences du CIO sont donc critiques pour la mise en œuvre de nouvelles solutions dans une entreprise. Ainsi c est surprenant de lire que le CIO ne participe que dans 56% des cas aux réunions du comité exécutif pour la formulation des stratégiques. L étude a également montré que ce chiffre est significativement plus élevé dans le secteur bancaire. Les dirigeants des entreprises des secteurs non-bancaires pourraient donc plus bénéficier des compétences de leurs CIO en les incluant dès le début dans les processus de décision. Un autre chiffre intéressant est que seulement 40% des CIO sont systématiquement conviés aux réunions du comité exécutif. Est-ce que les CIO ne devraient pas être membres permanents des comités de direction afin de pouvoir contribuer plus systématiquement à la création de valeur par les moyens des technologies de l information et de la communication? Les chefs d entreprises, s ils veulent innover leurs produits, services, méthodes de production ou processus opérationnels, doivent prendre conscience du potentiel apport des systèmes d information à travers les compétences et la créativité des CIO. C est la raison pour laquelle ils devraient accorder aux CIO la position appropriée dans les organes de décision. A l adresse des CIO il faut souligner qu il existe un écart entre les contributions attendues par les CEO et les contributions perçues des systèmes d information. L étude fournit même des explications quant aux facteurs qui ont créé cet écart. Certainement la situation est différente dans chacune des entreprises, mais il semble important que le CIO en fasse l analyse et développe une gouvernance informatique qui réduit ces écarts et favorise la création de valeur. Pour réaliser leurs missions et pour mieux satisfaire les attentes des comités exécutifs, les CIO doivent développer des compétences qui vont au-delà des compétences techniques. CEO et CIO expriment à travers l étude en premier lieu un besoin en formation dans les méthodes d accompagnement du changement. Ceci n est pas surprenant à une époque où le changement est très souvent introduit par les outils informatiques. Afin que les CIO se positionnent dans l entreprise comme décideurs en matière de stratégies informatiques et conseillers des comités exécutifs, ils doivent acquérir des compétences business leur permettant de traduire des contextes technologiques dans un langage compris par les métiers. Alors l entreprise en bénéficiera par un meilleur alignement entre les objectifs business et les moyens informatiques. Marcel Origer Président du groupe de travail Etude CIO Gérard Hoffmann Président Fedil-ICT 4

5 Executive summary Sur les soixante-et-onze entreprises ayant participé à cette enquête, 77% font partie du secteur des services. Les parts de marché de 68% de ces entreprises sont en augmentation. La moitié des entreprises dispose d un responsable informatique et un quart d entre elles d un CIO. Celui-ci est associé au comité exécutif pour la formulation des stratégies dans 56% des entreprises. Dans deux tiers des entreprises, il rapporte directement au directeur général. Les attentes du CEO et du CIO envers le SI de l entreprise divergent. Les CIO attendent du système d information (SI) de l entreprise qu il contribue en priorité à améliorer l exécution des tâches de gestion, l efficacité des processus opératoires et du service au client. Alors que les attentes du CEO envers le SI consistent d abord à réduire les coûts, fournir des indicateurs de pilotage et permettre la réalisation de synergies. CEO et CIO jugent la contribution réelle du SI à ces missions inférieure à leurs attentes. Ils expliquent cet écart par le manque de compétences ou ressources, par la traduction insuffisante des besoins métiers en spécifications SI ou encore par l insuffisance des ressources budgétaires. Le niveau d intégration de l informatique dans l entreprise est variable : il est élevé pour 39% des CIO, l informatique jouant alors le rôle de business partner ou enabler. Un quart des CIO le jugent très faible, l informatique ne servant qu à assurer la stabilité, la disponibilité et la performance des plateformes et réseaux à moindre coût. La clarté et la consistance dans l orientation stratégique, de même que le consensus entre les managers exécutifs sur l orientation stratégique de l entreprise sont les principaux déterminants de cet alignement. CEO et CIO s accordent sur le fait que la performance et la compétitivité de leur entreprise sont dépendantes ou très dépendantes de l informatique, et que cette dépendance va aller croissant à un horizon de cinq ans, tendance renforcée par la mondialisation et les contraintes écologiques. Les deux compétences prioritaires du CIO consistent à conduire une analyse des besoins de l organisation en matière de SI, à arbitrer et opérer des choix stratégiques et techniques. Plus considérée comme une contrainte que comme un atout, la sécurité informatique est mise en œuvre à travers une sensibilisation du personnel, la réalisation d un audit et le déploiement d une politique des risques. La moitié des entreprises seulement pratique une analyse des risques. 5

6 6

7 Sommaire Préface...3 Executive summary...5 Introduction...9 Les résultats Partie 1 : Profil des entreprises Secteur d activité Domiciliation Age Tendance des parts de marché Partie 2 : Stratégie, alignement et gouvernance Planification stratégique business et informatique Utilisation des TIC par les utilisateurs business Implémentation des TIC au sein des entreprises Les déterminants de l alignement Partie 3 : Création de valeur, performance et productivité Place d internet dans les achats et les ventes Informatique et performance de l entreprise...23 Informatique et R&D...23 Usage des TIC dans l entreprise...23 Département informatique Partie 4 : Compétences du CIO ou du responsable informatique Description des compétences évaluées par le CIO et le CEO Compétences jugées les plus importantes Formations jugées les plus importantes Compétences jugées importantes et besoins en formation...28 Evaluation des compétences selon le secteur d activité de l entreprise...29 Partie 5 : Sécurité informatique...30 Rôle des acteurs en matière de sécurité informatique...30 Représentation de la sécurité informatique Place de la sécurité informatique Risques informatiques Alignement...34 Conclusion Bonnes pratiques...36 Intégration et alignement...36 Bonne pratique 1 : La stratégie business et la stratégie informatique sont définies simultanément Bonne pratique 2 : Le CIO participe au comité exécutif Bonne pratique 3 : L informatique fait l objet d un point spécifique dans l agenda du comité exécutif...38 Bonne pratique 4 : Des plateformes permettent la communication et le partage entre les métiers et l informatique Bonne pratique 5 : Les besoins métiers sont formalisés dans des business cases...38 Rôle du système d information Bonne pratique 6 : Les projets informatiques font l objet d une gestion de projet Bonne pratique 7 : Les métiers sont impliqués dans les projets informatiques Bonne pratique 8 : L informatique accompagne les usages...40 Bonne pratique 9 : Le CIO met en place une démarche qualité...40 Bonne pratique 10 : L informatique communique Bonne pratique 11 : L informatique assure la sécurité des SI Rôle et compétences du Chief Information Officer Bonne pratique 12 : Le CIO promeut l innovation Bonne pratique 13 : Le CIO se forme...42 Bonne pratique 14 : Le CIO s informe...42 Bonne pratique 15 : Le CIO est un vecteur de «responsabilité sociale de l entreprise»

8 8

9 Introduction Contexte et objectifs Le CRP Henri Tudor et le groupe Fedil-ICT, en association avec l ABBL, ont mené une enquête sur la création de valeur par les Technologies de l Information et de la Communication et sur le rôle du CIO ou du responsable Informatique. Cette étude s inscrit dans le cadre d un projet de recherche mené avec le soutien du ministère de l Economie et du Commerce extérieur, et du Service central de la statistique et des études économiques (STATEC). Le projet SIMS (Studies on Innovation Economics and Management in Services) s intéresse principalement à la problématique de la performance des organisations. Cette enquête vise à dresser un état des pratiques actuelles des entreprises luxembourgeoises en matière de gouvernance informatique, de sécurité informatique et de positionnement du CIO ou du directeur des Systèmes d Information, mais également à identifier les divergences potentielles des perceptions qu ont le CEO et le CIO du rôle de ce dernier. Cet état des lieux permet de déduire les freins potentiels qui empêchent les CIO d exécuter leur rôle et de proposer des leviers pour que les CIO jouent pleinement leur rôle, accroissant ainsi la capacité d innovation des entreprises. Les conclusions de cette enquête, analysées dans le groupe Fedil-ICT et par des CIO reconnus sur la place, ont permis d identifier des bonnes pratiques pour que les entreprises améliorent leur gouvernance informatique. Ces bonnes pratiques serviront à les sensibiliser à l importance d une gestion adéquate de la sécurité informatique et à élaborer un programme d actions pour le groupe Fedil-ICT. Présentation de l enquête L enquête s est déroulée entre début juillet 2008 et fin août 2008 et a porté sur un échantillon de 1083 entreprises ayant au moins 50 employés. Des 361 membres ABBL et Fedil sondés, 43 ont contribué à l étude. Sur les 722 non membres sondés, 28 ont retourné les questionnaires complétés. L enquête est construite en cinq parties : -- la première vise à définir le profil des entreprises, -- la deuxième partie adresse la stratégie informatique des entreprises, la problématique de l alignement et de la gouvernance, -- la troisième partie étudie la création de valeur de l informatique, attendue ou réalisée, sa performance et sa productivité, -- dans la quatrième partie sont identifiées les compétences du CIO, -- enfin, la cinquième partie concerne la sécurité informatique. Afin de pouvoir comparer les visions du CEO et du CIO, deux questionnaires ont été adressés aux entreprises : un questionnaire est destiné au responsable de l entreprise, l autre au CIO ou au directeur des Systèmes d Information. Sur les 1083 entreprises sondées, 71 ont répondu. Ce faible taux de réponse est courant pour ce type d enquête non obligatoire et relativement lourde (deux questionnaires à remplir par entreprise). 68 questionnaires CEO et 58 questionnaires CIO ont été reçus. Cette différence s explique par le fait que beaucoup d entreprises n ont pas de CIO ou de responsable informatique. 9

10 Les résultats Partie 1 : Profil des entreprises Secteur d activité 67% des entreprises font partie du secteur tertiaire, 18% du secteur de la construction et 15% de l industrie. Ceci induit une surreprésentation du secteur financier et des activités de services par rapport à la population d origine (entreprises luxembourgeoises de plus de 50 salariés). Domiciliation La majorité des entreprises (plus de 70%) fait partie d un groupe. 26% des entreprises ont leur siège à Luxembourg 22% en Allemagne 13% en Belgique Age 72% des organisations répondantes ont plus de 15 ans Tendance des parts de marché 68% des entreprises ont vu leur part de marché augmenter. Elle stagne pour 29% d entre elles et ne diminue que pour 3%. (Données collectées au troisième trimestre 2008). 10

11 Partie 2 : Stratégie, alignement et gouvernance Cette partie de l enquête est traitée sous quatre angles : la planification stratégique, l utilisation, puis l implémentation des TIC au sein des entreprises et, enfin, les déterminants de l alignement. Planification stratégique business et informatique La fonction informatique est prise en charge par le responsable informatique dans la moitié des entreprises répondantes et par le CIO dans un quart des cas, d après les CEO. Ce chiffre atteint 32% du point de vue des CIO. Plus de 20% des entreprises n ont ainsi pas de responsable informatique ou de CIO. On peut ainsi supposer que la fonction informatique est externalisée ou gérée par une autre entité du groupe. Le CIO participe aux réunions du comité exécutif pour la formulation des stratégies dans 56% des cas. Ce pourcentage est clairement plus élevé dans le secteur bancaire où il atteint quasiment 90%. Le CIO est systématiquement convié aux réunions du comité exécutif dans 40% des cas. On observe une convergence entre les réponses des CIO et CEO. Le CIO rapporte directement au directeur général dans 65% des entreprises et au directeur financier et contrôle de gestion dans 15% des cas. Il ne rapporte jamais au directeur recherche et développement, au directeur marketing, ni au directeur du personnel. A nouveau, on observe une convergence entre les réponses des CIO et des CEO. 11

12 CEO et CIO partagent la même vision des priorités stratégiques de l entreprise : développer de nouveaux produits et marchés, améliorer la rentabilité économique et accroître les compétences et développer les talents. Ils ne les classent pas dans le même ordre. Ils s accordent également pour juger le développement de l entreprise par le biais de fusions et acquisitions comme moins stratégique. CIO et CEO partagent la même vision de la stratégie concurrentielle de leur entreprise. La majorité d entre eux (respectivement 58% des CIO et 65% des CEO) considèrent que leur entreprise crée des avantages stratégiques par la différentiation des produits. Seuls 26% et 21% des répondants considèrent que leur entreprise poursuit une stratégie de concentration et la différenciation et 16% et 14% considèrent que leur entreprise poursuit une stratégie de domination par les coûts. 12

13 Contribution du système d information aux missions de l entreprise Les attentes du CEO et CIO envers le SI de l entreprise divergent. Outre la réduction des coûts et les indicateurs de pilotage, les CEO attendent principalement du SI qu il facilite l innovation et permette la réalisation de synergies. Pour les CIO, le SI doit prioritairement contribuer à des missions plus opérationnelles telles que : l automatisation des tâches de gestion, l amélioration de l efficacité des processus opératoires et du service rendu aux clients. 13

14 14 CEO, comme CIO, perçoivent la contribution réelle des SI à ces missions comme inférieure à leurs attentes. L écart est particulièrement marqué en termes de réduction des coûts et indicateurs de pilotage, mais également sur la contribution du SI au travail en équipe.

15 CEO et CIO expliquent l écart entre contribution attendue et contribution réelle des SI aux missions de l entreprise principalement par : le manque de compétences ou de ressources disponibles, une traduction insuffisante des besoins métiers en spécifications SI et par des ressources budgétaires ou une capacité financière limitée. CEO et CIO présentent ainsi des vues relativement identiques sur les facteurs explicatifs. 15

16 Stratégie informatique L horizon de réflexion stratégique au niveau informatique est plus court qu au niveau de l entreprise. CEO et CIO s accordent sur le mode de définition de la stratégie informatique. Dans 40% à 44% des entreprises, une stratégie globale est définie pour tous les départements, incorporant donc des missions, plans et objectifs informatiques. Dans 32 à 34% des entreprises, la stratégie d affaires et la stratégie informatique sont formulées séparément, la stratégie d affaires précédant la formulation de la stratégie informatique. Il est à noter que dans 12% à 13% des entreprises, une stratégie globale est définie pour tous les départements mais n intégrant aucun plan, objectif ou mission informatique. Les entreprises utilisent une méthode formelle pour formuler leur stratégie, qu elle soit business ou informatique, pour 44% des CEO, et pour aligner leurs stratégies selon 31% des CEO. Les CIO ne sont que 34% et 23% à confirmer l utilisation de méthodes formelles pour respectivement formuler et aligner leurs stratégies. Parmi les méthodes formelles utilisées, trois quarts des entreprises ont recours à la gestion de projet lors de l implémentation des outils TIC, 20% évaluent la maturité de l alignement entre les stratégies et mettent en œuvre des actions correctives, enfin, 7% ont recours à l ingénierie des exigences (requirements engineering) pour la modélisation des deux stratégies (modélisation d objectifs, ). 16

17 Utilisation des TIC par les utilisateurs business 66% des CEO (72% des CIO) déclarent proposer des formations aux équipes business de l entreprise afin de les familiariser avec l usage des TIC et leurs récents développements. Ces formations sont organisées en interne par des membres du département informatique à 88% des formations, par un organisme externe, public ou privé à 70%, par le biais de la formation professionnelle continue à 26% et en interne via des formations internet ou intranet (26%). 70% des CEO déclarent organiser des formations à leurs équipes business afin de les adapter aux évolutions des applications TIC métiers et leurs récents développements. Ces formations sont organisées en interne par des membres du département informatique à 86% des formations, par un organisme externe, public ou privé à 60%, par le biais de la formation professionnelle continue à 36% et en interne via des formations internet ou intranet (31%). Implémentation des TIC au sein des entreprises Niveau d intégration Le niveau d intégration de l IT est très variable. Pour 25% des CIO, l informatique a un niveau d intégration faible et ne sert qu à assurer la stabilité, la disponibilité et la performance des plateformes et réseaux à moindres coûts. Ils sont 36% à la considérer comme un fournisseur de services et la stratégie informatique est liée à la stratégie de l entreprise, soit un niveau d intégration moyen. Quant aux niveaux d intégration plus élevés de l informatique, elle est un partenaire business et un «business enabler» pour 18% et 21% des CIO. Globalement, le niveau d intégration de l IT est indépendant de la fonction du répondant. 17

18 Sélection des solutions informatiques Ce sont le CEO et le CIO qui effectuent le choix des critères de sélection des outils informatiques dans la majeure partie des entreprises. Interviennent aussi les autres directions métiers, les employés du département informatique et le responsable financier. CEO et CIO s accordent sur les différents critères de sélection lors du choix d une solution TIC, classant en tête les exigences métiers, l interopérabilité avec le système existant et le coût de la solution. Viennent ensuite les critères de flexibilité, de facilité d utilisation et d innovation apportée par la solution. Implémentation des solutions informatiques Pour les CEO, les solutions implémentées sont développées en interne par le département informatique à 51% et fournies par une ou plusieurs entreprises externes à 36%. Alors que les CIO considèrent que 55% des solutions sont fournies par des entreprises externes contre seulement 43% développées en interne. Gestion des projets informatiques Plus de 80% des CEO et CIO affirment pratiquer la gestion de projet. Ce sont principalement le CEO et le CIO qui définissent la stratégie informatique et le CIO qui la met en œuvre. L implémentation des solutions est assurée par les employés du département informatique, par le CIO ou par un organe externe. La réalisation d un audit informatique est dispersée entre le CIO, un organe externe, les directions métiers ou le directeur financier. Finalement, l implémentation d un plan de remédiation d audit incombe au CIO, puis aux employés du département informatique et enfin aux directions métiers. 18

19 Lors de l implémentation des TIC, plus de 90% des CEO et CIO affirment avoir adapté leurs objectifs informatiques et/ou business en fonction des changements se produisant dans leur environnement. 19

20 Usages d internet Internet est surtout utilisé pour développer les ventes et former le personnel puis pour faire du service après vente et évaluer la performance du personnel. 20

21 Les déterminants de l alignement La clarté et la consistance de l orientation stratégique et le consensus entre les managers exécutifs sur l orientation stratégique de l entreprise sont considérés comme les deux principaux déterminants de l alignement stratégique. Viennent ensuite l interaction forte entre le personnel business et informatique, une structure organisationnelle adaptée à la stratégie ainsi que des processus décisionnels et des responsabilités cohérentes avec la stratégie. L importance moyenne accordée à chaque facteur par les répondants démontre à nouveau une vision convergente entre les deux acteurs. 21

22 Partie 3 : Création de valeur, performance et productivité Deux tiers des répondants visent une stratégie informatique combinant fiabilité et innovation. Cependant, la fiabilité est la caractéristique la plus recherchée par les CEO et CIO, elle est perçue comme une condition préliminaire à l innovation : un tiers des répondants préfèrent, en effet, la fiabilité à l innovation. Ceci peut paraître paradoxal dans la mesure où les CEO indiquent attendre une contribution importante de l informatique en matière de «facilitateur d innovation». 31% des CEO et 36% des CIO considèrent leur système d information en avance sur celui de leurs concurrents. 39% des CEO et 31% des CIO considèrent leur système d information au même niveau que celui de leurs concurrents. Place d internet dans les achats et les ventes En 2007, plus de la moitié des entreprises ont commandé des produits ou services par internet ou via d autres réseaux informatiques externes (EDI), d après les CEO. Dans 78% des entreprises, ces achats représentent moins d un quart du montant total des achats. En 2007, moins d un tiers des entreprises ont reçu des commandes par internet ou via d autres réseaux informatiques externes (EDI) : Ces commandes représentent moins de 25% du montant total de ces entreprises pour 82% des CEO et 69% des CIO. 22

23 Informatique et performance de l entreprise CEO et CIO s accordent pour déclarer que la performance et la compétitivité de leur entreprise sont dépendantes ou très dépendantes de l informatique, et pour considérer cette dépendance comme croissante d ici trois à cinq ans. Informatique et R&D CEO et CIO partagent la même vision du rôle des TIC dans la R&D : la moitié d entre eux considèrent la R&D comme partiellement basée sur les TIC. Ils sont un tiers à estimer que la R&D n est pas liée aux TIC. Finalement 17% pensent que toute la R&D est basée sur les TIC. Usage des TIC dans l entreprise Tous estiment qu il est possible d améliorer l usage des TIC en entreprise. Les trois facteurs ayant l influence la plus positive sur les usages des TIC en entreprise sont, par ordre d importance, l existence d un support/helpdesk en cas de problème, le support de la hiérarchie et les formations relatives aux TIC. Les trois facteurs ayant l influence la plus négative sur les usages TIC en entreprise sont par ordre d importance : la complexité perçue des TIC et des compétences nécessaires, l ergonomie-interface et la documentation/information. La culture d entreprise est considérée comme ayant peu d importance sur les usages TIC en entreprise. 23

24 Département informatique Les entreprises les plus représentées ont un département informatique employant moins de neuf salariés. Le taux de rotation du personnel dans le département informatique est faible, inférieur à 5% dans la majeure partie des entreprises ayant répondu à l enquête. Le département informatique est centralisé : au sein de l entreprise dans plus de la moitié des cas et au sein du groupe dans plus d un quart des entreprises. Il n est partiellement externalisé que dans 15% des entreprises. Il est très rarement délocalisé dans les départements métiers ou totalement externalisé. L introduction des nouvelles technologies informatiques est facilitée par les compétences techniques du personnel informatique et par les compétences business du personnel. La capacité de l entreprise à recruter du personnel informatique qualifié n influe que peu l introduction de nouvelles technologies. 24

25 Partie 4 : Compétences du CIO ou du responsable informatique Description des compétences évaluées par le CIO et le CEO Le degré d importance attribué par le CIO ou le CEO aux compétences (savoirs et savoir-faire) requises par le CIO (ou le responsable informatique) montre : 1. l animation et le pilotage des équipes, l organisation et la mise en œuvre de la politique SI, l assistance à maîtrise d ouvrage décisionnelle, le management du service informatique : toutes ces compétences identifiées sont considérées comme importantes ou très importantes; 2. que les CEO et CIO évaluent de la même façon les compétences requises par le CIO pour l exercice de son métier; 3. les savoir-faire sont jugés légèrement plus importants que les savoirs. Par conséquent, ce sont les connaissances acquises par la pratique et l expérience qui sont les plus valorisées. 25

26 Compétences jugées les plus importantes Malgré une homogénéité statistique des valeurs attribuées aux différentes compétences, il reste néanmoins intéressant d établir un classement décroissant des compétences jugées les plus importantes. On peut observer que pour le CEO comme pour le CIO, les deux principales compétences sont liées à la «participation et à la définition des orientations stratégiques en matière de SI».: 1. conduire une analyse des besoins de l organisation en matière de systèmes d information ; 2. arbitrer et opérer des choix stratégiques et techniques (modes de gestion, qualité) en cohérence avec les orientations de l organisation. De plus, on peut remarquer que le CEO et le CIO considèrent également parmi les cinq compétences les plus importantes celle qui consiste à définir et négocier les missions et objectifs prioritaires et les résultats attendus. Cette compétence est liée au «management du service informatique». Pour finir, il est intéressant de souligner que, pour le CEO, l une des compétences les plus importantes du CIO (ou du responsable informatique) concerne également «l organisation et la mise en œuvre de la politique de SI» (compétence : traduire les orientations politiques en matière de SI en plans d actions) ; alors que pour le CIO, l une des cinq compétences les plus importantes concerne l animation et le pilotage des équipes (compétence : Mobiliser les compétences autour d un projet). 26

27 Formations jugées les plus importantes La partie du questionnaire sur les compétences a permis d identifier les besoins en formation selon le CEO et le CIO pour l exercice du métier de CIO (ou du responsable informatique). Ainsi, en établissant un classement des cinq besoins en formation jugés les plus importants pour le CEO et le CIO (à noter que sur les deux graphiques, six compétences sont répertoriées : cela tient compte de l égalité des 5 ème et 6 ème compétences jugées les plus importantes pour le besoin en formation), on observe que les besoins suivants sont identifiés aussi bien par le CEO que par le CIO : 1. méthodes d accompagnement du changement ; 2. méthodes et outils d évaluation ; 3. conduire une analyse des besoins de l organisation en matière de systèmes d information ; 4. méthodes et outils du management par projets et objectifs ; 5. promouvoir une politique de la qualité en informatique. Par conséquent, ce sont les compétences liées au «management du service informatique» (compétences : «méthodes d accompagnement au changement», «méthodes et outils de l évaluation»), à «l assistance à maîtrise d ouvrage décisionnelle» (compétence «promouvoir une politique de la qualité en informatique»), à «la participation et à la définition des orientations stratégiques en matière de SI» (compétence «conduire une analyse des besoins de l organisation en matière de SI») et à «l animation et au pilotage des équipes» (compétence «méthodes et outils du management par projets et objectifs») qui nécessitent le plus grand besoin en formation. 27

28 Compétences jugées importantes et besoins en formation A partir des résultats présentés ci-dessus, il nous semble intéressant d établir un lien entre les cinq compétences jugées les plus importantes pour l exercice du métier de CIO (ou de responsable informatique) et les besoins en formation jugés eux aussi parmi les cinq plus importants. Pour le CEO et le CIO, la (les) compétence(s) parmi les cinq plus importantes qui nécessiterai(en)t une formation est (sont) : 1. conduire une analyse des besoins de l organisation en matière de systèmes d information (compétence liée à «la participation et à la définition des orientations stratégiques en matière de SI») ; Pour le CEO, la (les) compétence(s) parmi les cinq plus importantes qui nécessiterai(en)t une formation est (sont) : 1. traduire les orientations politiques en matière de SI en plans d actions (compétence liée à «l organisation et à la mise en œuvre de la politique SI»). Par conséquent, s il est reconnu que le CIO (ou le responsable informatique) doit mobiliser des compétences relatives à la stratégie et à la politique SI de l entreprise, il est aussi reconnu que ces compétences ne sont pas nécessairement inhérentes au métier de CIO, mais qu elles doivent être acquises dans le cadre d une formation. 28

29 Evaluation des compétences selon le secteur d activité de l entreprise Un dernier calcul a été réalisé sur l importance accordée aux types de compétences selon le secteur d activité de l entreprise. Les résultats présentés intègrent les réponses données par le CEO et le CIO, ces réponses étant presque parfaitement identiques. On remarque que la répartition du type de compétences jugées importantes pour l exercice du métier de CIO (ou de responsable informatique) est quasiment semblable d un secteur d activité à un autre. Cela met en évidence qu aucun secteur d activité ne privilégie une compétence du CIO plutôt qu une autre. Toutes les compétences sont jugées importantes pour l exercice de son métier au sein de l entreprise. 29

30 Partie 5 : Sécurité informatique Rôle des acteurs en matière de sécurité informatique Dans le secteur bancaire, la sécurité est principalement assurée par le Chief Information Security Officer (CISO - 67% des cas) et par le CIO dans 22% des cas. Dans les autres secteurs, c est principalement le CIO qui est en charge de la sécurité informatique (61% des cas). La conformité informatique est vérifiée par un auditeur externe dans 39% des entreprises, tous secteurs confondus. Dans le secteur financier, l auditeur interne vérifie la conformité informatique dans 46% des cas, contre 29% dans les autres secteurs. Il est à noter que 26% des entreprises hors secteur financier, estiment ne pas avoir besoin de vérifier cette conformité. C est le CIO qui joue le rôle principal en matière de sécurité informatique. Il la détermine avec le CEO, la met en place, en implémente les procédures, et implémente le plan de remédiation de l audit. Le CISO réalise ces tâches dans une entreprise sur cinq environ. 30

31 Représentation de la sécurité informatique CEO et CIO ont sensiblement la même conception de la sécurité informatique. Ils la considèrent comme une contrainte (poste d investissement ou passage obligé vers la conformité) plutôt que comme un atout pour se démarquer et valoriser la place luxembourgeoise. La sécurité informatique est vérifiée à part égale par un auditeur interne ou externe. 17% des entreprises ne vérifient pas cette conformité. Les CIO ont confiance en la sécurité informatique de leur entreprise : 56% la jugent relativement bien protégée et 43% très bien protégée. Place de la sécurité informatique CEO et CIO s accordent à respectivement 83% et 77% que la sécurité informatique va continuer à prendre de l importance. Par contre, ils ne sont que 7% et 9% qu elle va s intégrer aux problématiques de conformité (compliance). Dans la moitié des entreprises, la part du budget informatique alloué à la sécurité est inférieure à 10%. Cette part représente jusqu à 40% du budget informatique dans 34% à 40% des entreprises. Cette part a tendance à augmenter dans 69% des entreprises. 31

32 Risques informatiques Les principaux risques perçus par les CIO sont la corruption des e-services proposés, l attaque du système par intrusion, la divulgation de données sensibles. Pour se prémunir de ces risques, les CIO sensibilisent leur personnel (84% des entreprises), pratiquent l audit (67%) ou encore déploient une politique de sécurité (65%). 32

33 Ils assurent la continuité par la mise en place de mesures de protection interne, l analyse des besoins, et l écriture d un plan de continuité. 43% des entreprises ont recours à un centre de reprise externe. Si 63% des CIO trouvent la législation sur la protection des données nominatives claire et appliquée au sein de leur entreprise, elle est encore obscure pour un quart d entre eux. 13% des entreprises jugent la sécurité informatique trop sensible pour faire appel à un spécialiste externe. Par contre 48% d entre elles n hésitent pas à y faire appel en cas de besoin et pour 28%, c est le fournisseur informatique habituel qui fait office de spécialiste sécurité. 33

34 Alignement La politique sécurité de l entreprise, dans la majeure partie des cas, est alignée avec les processus internes et prend en compte les aspects humains. Moins souvent, elle est alignée aux standards d organisation et fait l objet d un calcul du retour sur investissement. 34

35 Conclusion Les résultats de cette enquête donnent une vision d ensemble des pratiques IT dans les entreprises au Luxembourg et de la position des CIO ou responsables informatiques. La moitié des entreprises dispose d un responsable informatique et un quart d entre elles d un CIO. Celui-ci est associé au comité exécutif pour la formulation des stratégies dans 56% des entreprises. Dans deux tiers des entreprises, il rapporte directement au directeur général. Les CIO attendent du système d information (SI) de l entreprise qu il contribue en priorité à améliorer l exécution des tâches de gestion, l efficacité des processus opératoires et du service au client. Alors que les attentes du CEO envers le SI consistent d abord à réduire les coûts, fournir des indicateurs de pilotage et permettre la réalisation de synergies. CEO et CIO jugent la contribution réelle du SI à ces missions inférieure à leurs attentes. Ils expliquent cet écart par le manque de compétences ou ressources, par la traduction insuffisante des besoins métiers en spécifications SI ou encore par l insuffisance des ressources budgétaires. Le niveau d intégration de l informatique dans l entreprise est variable : Il n est élevé que pour 39% des CIO, l informatique jouant alors le rôle de business partner ou enabler. Un quart des CIO le jugent très faible, l informatique ne servant qu à assurer la stabilité, la disponibilité et la performance des plateformes réseaux à moindre coût. La clarté et la consistance dans l orientation stratégique, de même que le consensus entre les managers exécutifs sur l orientation stratégique de l entreprise sont les principaux déterminants de cet alignement. CEO et CIO s accordent sur le fait que la performance et la compétitivité de leur entreprise sont dépendantes ou très dépendantes de l informatique, et que cette dépendance va aller croissante à un horizon de cinq ans. Les deux compétences prioritaires du CIO consistent à conduire une analyse des besoins de l organisation en matière de SI, à arbitrer et opérer des choix stratégiques et techniques. Plus considérée comme une contrainte que comme un atout, la sécurité informatique est mise en œuvre à travers une sensibilisation du personnel, la réalisation d un audit et le déploiement d une politique des risques. La moitié des entreprises seulement pratique une analyse des risques. Dans un contexte de prise de conscience croissante de facteurs écologiques, incarnée notamment par la directive européenne «Care our World», l informatique est un acteur essentiel de la responsabilité sociale des entreprises. Elle a un rôle important à jouer dans la réduction de leur empreinte écologique, notamment via la réduction de la consommation d énergie (Green IT). Il ressort de cette étude que CEO et CIO doivent mieux structurer leurs canaux de communication afin que les SI soient intégrés de façon optimale dans la stratégie de développement de l entreprise. 35

36 Bonnes pratiques Les résultats de l enquête apportent une vision d ensemble des pratiques IT et de la position des CIO dans les entreprises luxembourgeoises. Ils mettent en valeur des pistes d amélioration permettant aux TIC de créer plus de valeur pour les entreprises et aux CIO de jouer pleinement leur rôle au sein de ces entreprises. Dans cette seconde partie du rapport sont identifiés les leviers permettant d améliorer le positionnement du CIO dans l entreprise, afin de mieux exploiter le potentiel de l informatique en entreprise. Le groupe TIC de la Fedil s est réuni pour analyser les résultats de l enquête et proposer des recommandations. Par ailleurs, le Centre de Recherche Public Henri Tudor a mené une série d entretiens auprès de CIO luxembourgeois reconnus pour leur vision et leur pratique innovante de leur métier, afin de recueillir des bonnes pratiques issues de leur expérience. Enfin, une analyse documentaire (presse spécialisée, série «les Directeurs IT» de Paperjam, Global CIO Survey 2008 de Capgemini, ) a permis d étayer ces bonnes pratiques. Les bonnes pratiques présentées ci-dessous proviennent de l expérience concrète de CIO dans un cadre organisationnel précis. Secteur d activité, culture d entreprise, appartenance à un groupe, type de management sont autant de critères de contexte à prendre en compte lors de l application de ces bonnes pratiques. Intégration et alignement L intégration de l informatique en entreprise reflète son positionnement et sa perception dans l entreprise. D après les résultats de l enquête, l informatique est mieux intégrée dans l entreprise lorsque le CIO participe au comité exécutif : dans la moitié des entreprises, l informatique est alors considérée comme une partenaire du business ou un business enabler. D après l enquête, les principaux déterminants de l alignement stratégique, considéré comme un facteur de performance pour l entreprise, sont la clarté et la consistance dans l orientation stratégique, le consensus entre les managers exécutifs sur l orientation stratégique et la forte interaction entre le personnel business et informatique. 36

37 Bonne pratique 1 : La stratégie business et la stratégie informatique sont définies simultanément Définir simultanément la stratégie business et la stratégie informatique permet de créer des liens entre stratégie business et stratégie informatique dès leur définition et génère un meilleur alignement et une meilleure intégration de l informatique dans les processus business. Cette définition simultanée est particulièrement nécessaire lorsque les projets intègrent une forte dimension informatique : Business Continuity Plan ou projets de fusion/acquisition par exemple. Pour Werner Devos, directeur IT de Lindab-Astron, intégrer les objectifs IT dans le Balanced Scorecard (BSC ou tableau de bord prospectif) de l entreprise est un indice de l intégration de l informatique dans le business et lui donne une meilleure visibilité. Une démarche de type BSC dénote une vision globale et à long terme de la performance d une organisation, liant des indicateurs de performance à court terme (indicateurs des perspectives financières et clients) et à long terme (indicateurs des perspectives processus internes et apprentissage organisationnel), et donne une vision explicative de la performance. Ainsi, chez KBL European Private Bankers, Philippe Paquay, CIO & CFRO, a développé un hub de services Business-to-Customer (B2C) et Business-to-Business (B2B) adapté au mode de gouvernance qu a KBL de son réseau : la subsidiarité locale. L originalité de ce modèle repose sur le mode d intégration assez souple des filiales du groupe. Ces filiales gardent leur nom, leur identité locale lorsqu elles intègrent le réseau KBL. Le hub fonctionne comme un fournisseur de services internes, à la carte, comme un modèle d excellence apportant de la valeur aux banques filiales du groupe. Si cette pratique induit la participation du CIO au comité exécutif, lors de la définition de la stratégie, Marcel Origer (IBM) souligne qu intégrer systématiquement le CIO dans les réunions du comité exécutif facilite l intégration et l alignement stratégique de l informatique. En effet, par une meilleure communication entre les métiers et l informatique, elle permet de mieux répondre aux besoins de ces derniers et d améliorer la réactivité. Bonne pratique 2 : Le CIO participe au comité exécutif La participation du CIO au comité exécutif : -- donne à celui-ci une vision plus globale de l entreprise, une meilleure information sur les besoins des métiers, génère une meilleure communication entre les métiers et l informatique, ainsi qu une meilleure appropriation de la vision du CEO. C est un facteur de convergence entre les visions du CEO et du CIO, donc d alignement stratégique, -- permet une meilleure synchronicité entre l informatique et les métiers. C est un facteur de réactivité pour l entreprise, -- permet à celui-ci de proposer des inputs technologiques dans les projets métiers. C est un facteur d innovation. Cependant, la participation du CIO au comité exécutif ne permet pas de générer une réelle appropriation de la dimension informatique par les métiers si elle se limite à un point rapide en fin de réunion. «Le CIO a besoin d un réel espace d expression dans la réunion pour que les métiers prennent la mesure de la dimension que prend l outillage informatique dans leurs besoins», précise Amal Choury, CIO du groupe Eurobéton. Philippe Paquay insiste : «le CIO a pour rôle de montrer la plus-value que l informatique peut apporter aux métiers, il doit être présent dès la naissance des initiatives métiers». 37

38 Bonne pratique 3 : L informatique fait l objet d un point spécifique dans l agenda du comité exécutif Cet espace d expression du CIO lui donne une meilleure visibilité en interne et, par les discussions approfondies sur les projets informatiques, favorise leur appropriation (ownership) par les métiers. Elle permet une meilleure attention des CEO envers le système d information de l entreprise. Hors des réunions du comité exécutif, l implémentation de la stratégie requiert de tisser des liens étroits entre les métiers et l informatique et passe par une communication régulière et ciblée entre les métiers et l informatique. Le rapport «An Executive View of IT Governance», realisé par PricewaterhouseCoopers et le IT Governance Institute, précise que l informatique ne fait l objet d un point régulier à l ordre du jour des comités exécutifs que dans un tiers des cas. Dans 58% des entreprises, le comité exécutif traite les sujets informatiques au cas par cas. Bonne pratique 4 : Des plateformes permettent la communication et le partage entre les métiers et l informatique L enquête 2008 de Capgemini sur le rôle de la fonction IT dans l innovation business identifie l efficacité des relations entre le business et l informatique et la compréhension que les managers business ont de l IT comme deux attributs des entreprises les plus innovantes. Réunissant régulièrement le CIO et les directeurs métiers, dans leur globalité ou individuellement, des espaces communs business/informatique améliorent la qualité de la communication entre les métiers et l informatique, leur permettent d implémenter la stratégie le plus rapidement et le plus efficacement possible, garantissent une meilleure traduction des besoins métiers en spécifications informatiques, favorisent l émergence de besoins dans une démarche plus prospective, permettent de capitaliser sur les projets menés pour chaque ligne métier. Pour identifier les besoins business et la contribution possible de l informatique à la performance de son entreprise, Werner Devos a réalisé une cartographie des processus de Lindab-Astron permettant d identifier des dysfonctionnements et besoins. Les pilotes des processus sont maîtres d œuvre des projets informatiques d amélioration. Chez KBL European Private Bankers, des Platform Users Groups génèrent, par un dialogue continu, une émulation et une synergie entre les différents utilisateurs du hub de services, voire une collaboration autour de ces services. Philippe Paquay insiste : «ces groupes renforcent la perception des enjeux locaux et évitent les risques de bureaucratisation de l informatique». Bonne pratique 5 : Les besoins métiers sont formalisés dans des business cases Afin de garantir la bonne traduction des besoins métiers en spécifications informatique, le fait pour le service informatique et les directions métiers de formaliser ensemble les besoins métiers génère un langage commun, formalise les relations entre les métiers et l informatique, évite les incompréhensions, permet la traduction des besoins métiers en fonctionnalités informatiques et une transparence dans l évaluation des besoins (évaluation de la valeur ajoutée en interne ou pour le client, le coût, les délais, les alternatives, etc). 38