CARTE HEURISTIQUE... 1 DSI... 2 ORGANIGRAMME TYPE... 2 MISSIONS DE LA DSI... 2 RELATIONS DG-DSI-DM...4

Transcription

1 Table des matières CARTE HEURISTIQUE... 1 DSI... 2 ORGANIGRAMME TYPE... 2 MISSIONS DE LA DSI... 2 RELATIONS DG-DSI-DM...4 TABLEAU DE BORD DE LA DSI...5 INDICATEURS POUR PILOTER SES ACTIVITÉS INFORMATIQUES...5 LES PRINCIPAUX INDICATEURS DU TABLEAU DE BORD DSI...7 AUDIT ET FONCTION INFORMATIQUE...8 L ORGANISATION DE LA FONCTION INFORMATIQUE...8 LES COMPÉTENCES INFORMATIQUES...9 Carte Heuristique 1/10

2 DSI Organigramme type Missions de la DSI mobilisation et incitation à la réflexion sur l'évolution du SI coordination dans les projets tranversaux pour prendre en compte les besoins des clients internes contrôle des diverses unités autonomes et des acteurs internes et externes prescription pour rationnaliser les choix technologiques gestion de l'infrastructure technique conduite de projets Profession DSI «La mission du directeur des systèmes d'information: trouver des solutions informatiques aux besoins stratégiques de l'entreprise. Qualité d'écoute et compétences techniques exigées. Le profil. du directeur des systèmes d'information (OSI) idéal? Pour le magazine professionnel 01 Informatique, le DSI est un «directeur organisé, gestionnaire efficace, manager charismatique, spécialiste,des technologies, innovateur courageux». C'est tout? Non. " lui faut aussi «une personnalité, du caractère, de la séduction», 2/10

3 Si les exigences sont aussi élevées, c'est que la mission que les entreprises confient à ce collaborateur clé est hautement stratégique. Chargé de toute l'informatique, le OSI doit comprendre les besoins présents et futurs, afin de mettre en place des systèmes d'information permettant à l'entreprise de fonctionner dans les meilleures conditions. Le OSI fait le lien entre deux mondes. D'un côté, il s'imprègne des besoins de l'entreprise et des utilisateurs, même si ceux-ci ne sont pas toujours en mesure de les exprimer clairement. De l'autre, il connaît les solutions technologiques, disponibles aujourd'hui ou en préparation, qui apporteront une réponse à ces besoins. Dans un second temps, le DSI passe à la mise en œuvre des projets, qui doit s'accompagner d'efforts de communication à l'attention de la direction et des utilisateurs. C'est là que ses talents de séduction entrent en jeu. " doit bien sûr aussi être un excellent manager pour motiver ses équipes et jongler entre les nombreux projets en phase de conception ou de déploiement. Tous les OSI le disent: c'est un poste sous haute tension. Mais un poste aussi et surtout passionnant, qui les place au cœur de l'entreprise». Isabelle Boucq -Micro Hebdo-Mars 2005 Extraits de la fiche métier du CIGREF A1. Informatique et alignement stratégique métier Anticipe les besoins métier à long terme et détermine le modèle SI conformément à la politique d organisation. Prend, en matière de SI, des décisions d orientation stratégiques pour l entreprise, y compris les stratégies d approvisionnement. A2. Gestion des niveaux de service Définit, valide et fait appliquer les accords de niveaux de service (SLA) et les contrats de soustraitance pour les services proposés. Négocie les niveaux d exécution de service compte tenu des besoins et de la capacité des clients et de l entreprise. A3. Développement du plan d activités Concerne la conception et la structure d un plan d activités ou de la planification des produits, y compris l identification des approches alternatives et les propositions en matière de retour sur investissement. Tient compte des modèles d approvisionnement potentiels et applicables. Présente l analyse coûts- bénéfices et les arguments motivés à l appui de la stratégie retenue. Garantit la conformité avec les stratégies d entreprise et de technologie. Transmet et vend le plan d activités aux parties prenantes concernées et traite des intérêts politiques, financiers et organisationnels, y compris l analyse FFPM. (Force, Faiblesses, Possibilités et Menaces - en anglais SWOT: Strenghts, Weaknesses, Opportunities and Threats) A8. Développement durable Evalue l impact des solutions informatiques en termes de responsabilités écologiques, y compris la consommation d énergie. Conseille l entreprise et les organismes concernés par l informatique en matière de solutions alternatives durables conformes avec la stratégie de l entreprise. Applique une politique d achat et de vente de produits informatiques éco-responsables. D9. Développement du personnel Etablit un diagnostic des compétences individuelles et collectives, par identification des besoins et lacunes. Etudie les possibilités de formation et de perfectionnement et sélectionne la méthodologie appropriée, en tenant compte des besoins de l individu et de l entreprise. Conseille et/ou guide les individus et les équipes pour répondre aux besoins en matière de formation. E3. Gestion des Risques Met en œuvre la gestion des risques dans les systèmes d information en appliquant la politique et les procédures de gestion des risques définies par l entreprise. Evalue les risques pour l activité de l organisation et documente les risques possibles et les plans d actions pour les contrôler E4. Gestion des relations client-fournisseur Etablit et maintient des relations commerciales positives entre le client et le prestataire (interne ou externe) en conformité avec les processus organisationnels. Entretient une communication régulière avec les clients / partenaires/fournisseurs, et fait part des besoins en tenant compte de leur environnement et leur façon de gérer leurs affaires. Garantit, vis-à-vis des clients/partenaires/fournisseurs, que les besoins, les préoccupations ou les réclamations sont bien compris et qu ils sont traités conformément à la politique de l organisme/organisation. E7. Gestion des changements métier 3/10

4 Evalue les implications de nouvelles solutions informatiques. Définit les besoins et quantifie les avantages pour le business. Gère la mise en œuvre du changement en tenant compte des difficultés structurelles et culturelles. Maintient la continuité de l activité et des processus au cours des changements, contrôle l impact de ces changements et adopte toute action corrective et les réglages nécessaires E8. Gestion de la sécurité de l information Met en œuvre la politique de sécurité de l information. Contrôle et prend des mesures contre les intrusions, les fraudes, les atteintes ou les fuites concernant la sécurité. Garantit l analyse et la gestion des risques concernant la sécurité des données et des informations de l entreprise. Passe en revue les incidents de sécurité et formule des recommandations pour une amélioration continue de la sécurité. E9. Gouvernance informatique Définit, met en place et contrôle la gestion des systèmes d information en ligne avec les ambitions de l entreprise. Tient compte de tous les paramètres internes et externes tels que la conformité aux normes légales et industrielles afin d orienter la gestion des risques et le déploiement de ressources de façon à apporter le bon niveau de service à l entreprise Tableau de bord de la DSI Indicateurs pour piloter ses activités informatiques Antoine Crochet-Damais JDN 24/07/12 Disponibilité des systèmes, niveau de sécurité, qualité de service, alignement stratégique... Une gouvernance efficace passe par le suivi d'indicateurs clés. Nous avons repris dans ce dossier les indicateurs incontournables de la DSI (des dizaines d'autres sont envisageables) : indicateurs financiers et stratégiques (analyse de la structure du budget IT, ratios et gouvernance), indicateurs de suivi du support, de l'exploitation et de la maintenance (performances du help desk, gestion de parc, satisfaction client...), et indicateurs de suivi de gestion des projets. 1. La disponibilité des systèmes Le suivi de la disponibilité des systèmes et de la bande passante représente un premier indicateur clé. Face à ces données, il est important pour le DSI de pouvoir anticiper l'évolution des besoins en ressources informatiques, en vue de prévoir et planifier la montée en puissance de l'infrastructure existante, et ainsi éviter les surcharges notamment lors des périodes critiques de forte activité pour les métiers de l'entreprise. 2. La qualité de service des processus métier En termes de qualité de services, la direction informatique ne peut passer à côté d'une supervision de la qualité de services plus fine par applications ou processus métier. Des briques fonctionnelles auxquelles s'appliquent les indicateurs de disponibilité et de taux d'erreur et de pannes. Ces mesures sont toujours à mettre en lien avec la criticité du métier concerné. Le suivi du cycle de vie des applications ou processus en question (qui peut avoir un impact sur la qualité du service rendu) fait également partie de l'équation. 3. Le temps de rétablissement en cas d'incident Les indicateurs techniques de disponibilité sont complétés par la supervision du volume de charge encaissé par les serveurs, et surtout les temps de réponse globaux des systèmes. Ces mesures étant aussi à mettre en parallèle avec le degré de criticité des serveurs, et le caractère stratégique des traitements qu'ils exécutent ou des données qu'ils stockent. Sur ce terrain, l'une des principales jauges du DSI n'est autre que le temps de rétablissement après un incident par systèmes et ce, en fonction du degré de criticité défini pour ces derniers. 4. Le niveau de sécurité du système d'information Parmi les grandes missions du DSI figure celle de garantir l'intégrité et la confidentialité des données stockées sur le système d'entreprise, ainsi que la sécurité du système de production informatique - c'est-à-dire des applications. 4/10

5 Un double objectif qui amène le DSI à afficher des besoins en matière de supervision de la sécurité. A minima, les experts de la sécurité conseillent de réaliser un suivi des dispositifs installés (anti-virus, anti-spam, anti-intrusion, etc.), un suivi des patchs applicatifs installés ou à venir, un suivi de la hiérarchisation des alertes. Enfin, le DSI doit également étudier les résultats des audits de sécurité effectués en vue de réaliser les arbitrages importants. 5. Le degré de satisfaction client Le degré de satisfaction des utilisateurs permet de prendre la température de la vision que les salariés de l'entreprise peuvent avoir du travail de la DSI. Il se mesure notamment par le biais de questionnaires ou d'enquêtes de satisfaction portant sur la réactivité de la DSI, sa capacité à accompagner les métiers et à gérer les projets, sans compter la question de la tenue des délais. l est conseillé de diffuser questionnaires et sondages dans la foulée de l'aboutissement des grands projets de déploiement métier auprès des populations concernées. Notons que le fait même d'interroger les utilisateurs peut contribuer à accroître leur degré de satisfaction. 6. L'efficacité des investissements informatiques Toute une série d'indicateurs, et leur évolution dans le temps, permettent d'évaluer l'efficacité des investissements informatiques. Il est intéressant de comparer le budget informatique avec les résultats de l'entreprise (l'excédent brut d'exploitation, les charges et investissements), avec les effectifs (globaux ou de la DSI), ou avec la masse salariale (globale ou IT). Autres indicateurs : l'évolution des différents budgets IT (matériel, logiciel, services, part des achats et des locations, etc.), le suivi des refacturations aux entités "métier", le suivi des marges et du résultat d'exploitation IT, les dépenses par projet, le coût d'acquisition (TCO) des produits informatiques, le calcul du coût des activités. 7. L'état d'avancement des projets Le suivi de l'état d'avancement des chantiers informatiques passe par celui du portefeuille de projets. Il se décline en trois indicateurs principaux : la mesure du respect des processus internes de gestion de projet, le suivi des engagements (en termes de délais, de livrables, de ressources et de coûts), et la comparaison budget / réalisé. Parallèlement, il est important de prévoir la demande et le lancement de nouveaux projets. A cela s'ajoute le management des prestataires éventuellement impliqués, avec à la clé : un suivi des objectifs des sous-traitants, des dates clés, des responsabilités et, le cas échéant, des pénalités, mais également un suivi de la maintenance applicative et des reporting. Suivre le respect du "business plan" de la DSI 8. L'adéquation des compétences des équipes avec les besoins Après les budgets, le suivi au quotidien de l'allocation des ressources humaines par projet, qu'elles soient internes ou externes, fait partie des principales activités de pilotage du DSI. Un indicateur qui doit se doubler d'une capacité à planifier et anticiper les nouveaux projets et l'arrivée, à terme, d'autres chantiers. Objectif : prévoir l'évolution des besoins en charge de travail et en compétences. Dans un univers technologique en perpétuelle mutation, le DSI se situe dans une gestion prospective du capital humain. Il peut faire face à la fois à des problématiques de fidélisation, mais aussi de recherche de profils rares - ce qui peut passer par des solutions telles que l'offshore par exemple. 9. L'efficacité du support client et de la maintenance La performance du support (interne ou externe) s'évalue financièrement en fonction du coût de l'assistance utilisateur. La qualité du service se mesure quand à elle au regard du nombre de tickets ouverts, du nombre et de la durée moyenne des appels, du nombre d'appels en attente, de la durée moyenne de résolution d'incident, le tout en fonction de l'effectif concerné. A cela s'ajoute le suivi de la maintenance qui passe par l'inventaire des contrats en cours, le taux de panne et coût des interventions par utilisateur ou service, le nombre et la durée moyenne des interventions, le coûts des interventions par type (télé-maintenance, déplacement sur site). Côté back office, la qualité de ces processus ne peut être assurée sans un pilotage du parc matériel et applicatif (suivi de l'inventaire et du cycle de vie des actifs IT, nombre d'actifs comparé à l'effectif global ou par département, par applications les plus utilisées, etc.). 10. Le degré d'alignement stratégique 5/10

6 Au niveau stratégique, le tableau de bord du responsable informatique a pour objectif de suivre le respect du "business plan" de la DSI. Un rapport dont les indicateurs peuvent être définis à partir d'une Balanced Scorecard élaborée pour la DSI, et classant les objectifs à atteindre selon quatre axes : capacité à répondre aux besoins des clients internes, capacité d'évolution, capacité de promotion de l'it auprès de la direction général, et qualité des processus informatiques. Ces différents indicateurs sont évalués lors des réunions de pilotage ou de bilan de fin de projet. Aux côtés de ces indicateurs qualitatifs figurent le suivi des investissements et la capacité d'autofinancement, dont le suivi pourra se faire selon des modalités de reporting plus classiques. Les principaux indicateurs du tableau de bord DSI Efficacité des investissements informatiques Répartition du budget IT Contrôle de gestion Stratégie Help Desk (interne ou externe) Satisfaction des utilisateurs Maintenance Réseaux et systèmes Applications Parc matériel et applicatif Sécurité Indicateurs financiers et stratégiques Budget IT / EBE (excédent brut d'exploitation) Budget IT / charges d'exploitation Budget IT / investissements globaux Budget IT / effectif IT Budget IT / effectif global Salaires IT / masse salariale globale Budgets "matériel", "logiciels", "services", "rémunérations" et "formation" / budget IT Budget matériel: part des achats et des locations Budget logiciel/budget matériel Budgets liés aux consommables Suivi des refacturations des prestations réalisées aux entités "métier" Suivi des marges et du résultat d'exploitation IT Dépenses par projet Calcul de coût de revient des produits informatiques (TCO) Calcul du coût des activités (Méthode ABC) Suivi du respect du "business plan" de l'entité IT Suivi des investissements, capacité d'autofinancement Gestion prospective et fidélisation des ressources humaines Support / Maintenance Coût de l'assistance aux utilisateurs Nombre de tickets ouverts / population concernée ou effectif global Nombre de tickets / effectif help desk Nombre et durée moyenne des appels Nombre de questions définitivement traitées / en attente / non résolues Par questionnaire, enquête, sondage: réactivité, pertinence, délais... Identification des besoins en formation Inventaire et suivi des contrats en cours Taux de panne et coût des interventions par utilisateur ou service Nombre et durée moyenne des interventions Coûts des interventions par type (télé-maintenance, déplacement sur site, nombre de personnes mobilisées) Exploitation Suivi de la charge Temps de réponse Disponibilité de la bande passante Temps de rétablissement en cas d'incident Besoins à venir Disponibilité des applications Suivi des erreurs et pannes Cycle de vie des applications Gestion de Parc Suivi de l'inventaire matériel et applicatif Suivi de l'obsolescence du parc matériel Nombre de postes / effectif global ou par département Applications les plus utilisées Adéquation logiciels installés / matériel Nombre d'imprimantes / département Suivi des dispositifs installés (anti-virus, anti-spam, anti-intrusion, etc.) Suivi des patchs applicatifs installés ou à venir Suivi et hiérarchisation des alertes Date du dernier audit de sécurité effectué Gestion de projets 6/10

7 Projets internes Prestataires Relations DG-DSI-DM Etat du portefeuille de projets Prévision de la demande de projets Respects des processus internes Suivi des engagements, en termes de délais, de livrables, de ressources et de coûts Comparaison budget/réalisé Suivi des objectifs, dates clés, responsabilités et, le cas échéant, des pénalités Suivi de la maintenance applicative Suivi du reporting extrait du livre blanc : Dynamique des relations autour des systèmes d'information dans les équipes de direction des grandes entreprises CIGREF Mac Kinsey&Compagny 2004 Audit et fonction informatique La fonction informatique de l entreprise est à prendre en compte dans la définition du contenu du plan de mission, notamment en termes de séparation des fonctions, gestion des mouvements de personnel, gestion des projets, fiabilité des processus informatiques (pilotage, développement, maintenance, exploitation, sécurité du système d'information). 7/10

8 L organisation de la fonction informatique Objectif L étude de l organisation de la fonction informatique consiste à considérer son adéquation aux besoins et aux enjeux de l entreprise, le respect du principe de séparation des tâches et le niveau de dépendance de l entreprise vis-à-vis de prestataires externes. Travaux à réaliser Les éléments utiles à l étude de l organisation de la fonction informatique sont les suivants : les caractéristiques de l organisation informatique : l existence ou non de la fonction informatique, la vérification de l existence d un organigramme à jour comprenant une définition des fonctions et un partage clair des rôles et des responsabilités pour chaque poste, la vérification que l ensemble des composantes d une fonction informatique est convenablement pris en compte et notamment : exploitation, études, et sécurité informatique, la séparation des tâches : le caractère distinct des tâches et des environnements relatifs aux fonctions Études et Exploitation, le maintien de la séparation des tâches lors de la rotation des équipes, des congés ou du départ d un salarié, le recours aux prestataires : nombre de prestataires, degré de dépendance vis-à-vis des prestataires, fonctions exercées. Modalités pratiques Afin de réaliser cette étude, il est nécessaire d organiser des entretiens avec le responsable informatique. Ces entretiens portent sur les sujets suivants : description de l organigramme général et de la fonction informatique, description des postes, des fonctions et des responsabilités des membres de la fonction informatique, tâches effectuées par l informatique et localisation géographique des services, recours à la sous-traitance, séparation des tâches. Les informations recueillies auprès du responsable informatique peuvent être complétées en effectuant des entretiens avec les responsables des départements opérationnels. L analyse de l organisation de la fonction informatique dans le plan de mission conduit à déterminer des situations où le risque sur la fiabilité du système d information sera plus ou moins important. Incidence sur la fiabilité du système d information Faible Modérée Elevée Organisation informatique Fonctions gérées par des services indépendants. Fonction sécurité exercée par un responsable dédié. Organisation adaptée aux besoins. Représentation de la fonction informatique auprès de la direction. Informations concernant la gestion de l informatique fournies à direction. Fonction sécurité existant partiellement. Définition peu claire des rôles et responsabilités. Représentation non systématique de la fonction informatique auprès de la direction. Services partageant plusieurs fonctions (notamment les études et l exploitation). Fonction sécurité non gérée. Pas de représentation de la fonction informatique auprès de la direction. Rôles et responsabilités non définis de manière claire. Séparation des tâches Séparation assurée à tous les niveaux. Suivi de cette séparation. Implication des utilisateurs. Séparation assurée mais aucun contrôle réalisé. Faible implication des utilisateurs. Les mêmes personnes ont en charge les études et l exploitation. Aucune implication des utilisateurs. Externalisation * Toutes les fonctions sont assurées par l entreprise. Quelques fonctions sont partiellement externalisées. Fonctions sensibles externalisées. Ressources internes réduites. 8/10

9 * L appréciation du risque entraîné par l externalisation de la fonction informatique doit également porter sur l analyse du contrat qui lie l entreprise à son prestataire, ainsi que sur la maîtrise par l entreprise des prestations sous-traitées. Résultat Les différents éléments sont totalement indépendants tout en se révélant d un même niveau d importance pour l entreprise. Cela signifie que si l un d eux présente des faiblesses, alors l organisation informatique dans son ensemble aura une incidence élevée sur les risques à évaluer. Les risques potentiels liés à l organisation de la fonction informatique peuvent se traduire de la façon suivante pour le commissaire aux comptes : l'absence de séparation des fonctions peut impliquer un plus grand risque de fraude, l'absence de maîtrise du système d'information (sous-traitants non encadrés, manque de compétences internes sur certains thèmes) peut impliquer un risque sur la continuité de l'exploitation, des erreurs de développement ou l'incapacité du département informatique à maintenir une application peuvent avoir pour conséquence des erreurs dans la valorisation des flux ou un risque de non exhaustivité des enregistrements comptables. Les compétences informatiques Objectif L étude des compétences informatiques consiste à considérer le niveau de compétence du personnel, la charge de travail, le niveau de rotation du personnel informatique de l entreprise. Travaux à réaliser Les éléments à prendre en compte dans l étude des compétences informatiques sont les suivants : niveau de compétence : compétences en rapport avec les besoins actuels et futurs notamment dans la perspective programmée d un changement de technologie, niveau de formation, mesure des performances du personnel, charge de travail par rapport aux ressources humaines disponibles : niveau d occupation (nombre heures supplémentaires/nombre heures travaillées), importance de la dépendance vis-à-vis des personnes clés, existence des ressources nécessaires pour l exécution des opérations régulières (validation du responsable de service pour prise de congés, modalités de gestion des 35 heures), niveau de rotation du personnel : nombre de départs sur les deux dernières années, stabilité du niveau d occupation, motivation des collaborateurs. Modalités pratiques Cette étude peut s effectuer : par entretiens avec le responsable informatique sur : l évolution du budget formation sur les trois dernières années, les mesures de performances du personnel informatique, le niveau d occupation du personnel (nombre heures supplémentaires/nombre heures travaillées), la dépendance à des personnes clés par l étude de la répartition des heures supplémentaires, l évolution du taux d occupation des collaborateurs (évolution des heures travaillées sur les 3 dernières années), le degré de motivation des collaborateurs (prise de connaissance des comptes-rendus annuels d entretien), par l analyse des documents suivants : 9/10

10 calendrier des formations, comptes-rendus annuels des entretiens d évaluation, rapprochement du calendrier des formations avec les comptes-rendus annuels, par des entretiens avec des utilisateurs clés représentatifs des différentes directions. Afin de confirmer les informations collectées précédemment, il peut être nécessaire de rencontrer un collaborateur du département informatique. Les acteurs en charge de la sécurité technique, de l administration du réseau, de la gestion des bases de données, peuvent nécessiter des compétences pointues. L analyse des compétences informatiques dans le plan de mission conduit à déterminer des situations où le risque sur la fiabilité du système d information sera plus ou moins important. Incidence sur la fiabilité du système d information Faible Modérée Elevée Niveau de compétence Charge de travail Personnel qualifié et motivé à tous les niveaux de la hiérarchie. Programme de formation défini en accord avec la stratégie de l entreprise pour l acquisition de nouvelles compétences et la conservation du personnel. Ressources humaines suffisantes pour couvrir les besoins actuels. Revue des ressources réalisée périodiquement pour s assurer de l adéquation avec les besoins. Personnel inégalement qualifié et personnel nouvellement embauché. Budget de formation défini. Ressources suffisantes pour les besoins actuels. Estimation informelle des futures charges de travail. Heures supplémentaires régulièrement nécessaires. Personnel inexpérimenté et peu formé. Démotivation. Déficit en ressources. Pas de mesure des besoins. Dépendance vis-à-vis des personnes clés. Absence de budget pour augmenter les ressources. Niveau de rotation Résultat Rotation limitée. Toutes les activités sont couvertes par des personnes expérimentées. Rotation régulière. Mesures mises en place afin de remplacer les personnes clés dans des délais raisonnables. Rotation fréquente du personnel. Difficultés pour retenir le personnel. Difficultés à remplacer les personnes clés. La prise en considération individuelle des éléments cités précédemment permet d apprécier globalement l incidence que peuvent avoir les compétences informatiques sur le plan de mission. 10/10