Faire face aux enjeux du Shadow IT : une nécessité pour les entreprises

Livre Blanc Faire face aux enjeux du Shadow IT : une nécessité pour les entreprises Sponsorisé par : Box Karim Bahloul October 2014 INTRODUCTION Avec le Big Data, la Mobilité, le Cloud Computing et les Réseaux sociaux d'entreprise - constitutifs de ce qu'idc désigne sous le nom de 3 ième plateforme de développement de l'informatique les entreprises ont vu en, quelques mois, se transformer le rapport qu'elles entretiennent avec leur informatique. Plus rapide, et plus flexible, cette nouvelle informatique constitue pour l'entreprise un réel appui dans son développement. Pourtant, cette nouvelle forme d'informatique n'est pas exempte de questionnements pour les entreprises, tant s'en faut. Le Shadow IT - "informatique de l'ombre" - est un de ces effets obscurs de la troisième plateforme que les entreprises se doivent de considérer à sa juste mesure. LE SHADOW IT: UNE REALITE BIEN SPECIFIQUE Dans le cadre de projets informatiques en entreprise, la prise de décision et les acteurs de la mise en œuvre des projets IT peuvent varier fortement. Si l'histoire des systèmes d'information a longtemps décrit les projets informatiques comme le seul fait des directions informatiques, enfermées dans leur tour d'ivoire, force est de constater que la transformation numérique des entreprises a bouleversé le rapport de l'it aux métiers. Le sujet du Shadow IT a connu, ces dernières années, un intérêt grandissant au sein de l'industrie IT. Il arrive pourtant que le terme soit utilisé aujourd'hui avec une certaine confusion. IDC a identifié 5 situations distinctes de mise en œuvre de projets informatiques dans lesquelles le phénomène du Shadow IT tire son origine. Selon la terminologie IDC, les projets informatiques peuvent, en effet, être: Financés et gouvernés par l'it seul. Les DSI financent les projets à partir des budgets informatiques alloués par l'entreprise et sont gouvernés en intégralité par la direction informatique. Financés par l'it et gouvernés conjointement par l'it et les métiers. Dans ce contexte, les métiers prennent part à la mise en place du projet informatique et participent à la définition des besoins, au bornage des frontières du projet, au suivi des étapes etc. Financés par les métiers, gouvernés conjointement par l'it et les métiers. Dans cette situation, chaque direction métier gère les coûts du projet en fonction des budgets dont elle dispose. Financés et gouvernés par les métiers, sans le concours de la DSI. Ce contexte ne correspond pas à ce qu'idc qualifie de Shadow IT, dans la mesure où les directions informatiques restent conscientes de la mise en place des projets. October 2014, IDC #FR355

Enfin, financés et gouvernés par les métiers sans le concours de la DSI, et sans que celleci n'en soit informée. IDC qualifie alors ce contexte de Shadow IT. La dernière enquête IDC sur les budgets informatiques des entreprises menée sur une population de 120 directions informatiques et décideurs IT, révèle que 61% des projets informatiques sont aujourd'hui financés par les directions métiers. Pour 23% de ces projets, l'it bien qu'informé, n'est pas inclus dans la gouvernance des projets, et 17% des projets sont financés et mis en œuvre par les métiers, sans que la DSI n'en soit informée (voir Graphique 1). C'est ainsi près de 2 projets sur 10 qui sont menés totalement à l'ombre de la DSI, rendant compliquées non seulement la visibilité sur les coûts inhérents aux projets, mais aussi la prévention des risques associés. GRAPHIQUE 1 Typologie de projets et répartition des rôles IT/métiers Question : Pouvez répartir votre rôle dans le financement et la gouvernance des projets IT? Projets financés et gouvernés par les métiers seul 23% Shadow IT 17% Projets financés par les métiers 61% Projets financés par les métiers et gouvernés conjointement par l'it et les métiers 21% Projets financés par l'it et gouvernés conjointement par l'it et les métiers Project financés et gouvernés par l'it seul 20% 19% Projets financés par l IT 39% 0% 10% 20% 30% LES PRINCIPAUX DRIVERS DU SHADOW IT La transformation numérique des entreprises a largement contribué à la prolifération des pratiques de Shadow IT. De multiples facteurs ont ainsi favorisé son développement. IDC en retient trois principaux: De fortes attentes de la part des métiers vis-à-vis de leur direction informatique : selon une étude réalisée par IDC sur une population de 110 directions informatiques et directions métiers, 60% de ces dernières expriment de fortes attentes vis-à-vis de leur DSI et en particulier une plus grande réactivité et flexibilité face à leurs besoins et attentes. Les délais de mise en œuvre d'un service IT peuvent parfois s'avérer extrêmement longs et en total décalage avec l'urgence des besoins métiers, générant alors un sentiment de frustration du côté des métiers. Cette inadéquation entre les délais de mise en œuvre et les attentes métiers constitue un facteur majeur au développement du Shadow IT. Le phénomène de consumérisation (BYOD), et le développement des usages en mobilité sont également une illustration de ces attentes fortes de la part des métiers. Aujourd'hui, on estime que près de deux salariés sur trois, en moyenne, se connectent au système d'information de l entreprise avec un outil mobile personnel (laptop, smartphone ou tablette média). Dans la majorité des cas, les raisons évoquées de cet usage sont la plus grande flexibilité perçue dans les outils mobiles personnels (80%), un meilleur confort de travail 2014 IDC #FR355 2

(79%), et des outils considérés comme plus modernes et plus performants (73%) (source IDC, 2014). La transformation des outils numériques place alors l'expérience utilisateur au cœur des attentes des salariés concernant leur équipement informatique. Un accès de plus en plus facile des LOB aux nouvelles technologies: si la mobilité accélère le rythme de la transformation numérique en entreprise, et par là même, intensifie les attentes de la part des métiers, le marché du Cloud, lui, ne cesse de croître. IDC estime à 3,18 milliard d'euros le marché du Cloud en France en 2014, avec une croissance annuelle moyenne de +30,2%. En 2014, une étude a été menée par le cabinet auprès de 537 partenaires, fournisseurs de technologies et services Cloud. Les résultats de cette étude révèlent que plus d'un éditeur de solutions Cloud sur trois en France adresse son offre Cloud systématiquement à une cible mixte, composée de DSI et de Directions métiers (voir Graphique 2). Plus encore, un quart de ces éditeurs de Cloud n'adresse son offre qu'à des directions métiers, témoignant de la place de plus en plus prégnante des métiers dans le choix, le financement, voire le déploiement des solutions informatiques. Les acteurs du Cloud adaptent ainsi leurs offres à une cible métiers de plus en plus sensibilisée et informée, n'hésitant plus à court-circuiter les processus classiques pour installer leurs solutions informatiques. 39% de directions métiers reconnaissent, en effet, installer des applications ou utiliser des services dans le Cloud Public, sans l'accord de la DSI - pratique autrement connue sous le nom de BYOA, Bring Your Own Application. GRAPHIQUE 2 Cibles des éditeurs de logiciels Cloud Question : Quels décideurs adressez-vous pour vendre vos solutions Cloud? Les informaticiens de la DSI Les directions métiers 61% 60% 35% Approche mixte La direction générale 46% La direction financière 0% 20% 40% 60% 80% DES APPLICATIONS DE COLLABORATION TRES EXPOSEES Le Shadow IT peut potentiellement toucher toutes les applications de l'entreprise, des applications standards de type reporting, à travers l'utilisation non prudentes de macro-commandes Excel par exemple, aux applications les plus complexes telles que les outils de Supply Chain. Les applications de collaboration restent néanmoins les applications les plus susceptibles d'être touchées par le phénomène de Shadow IT. En effet, toujours selon l'étude IDC sur les budgets informatiques, près d'un projet sur deux (45%) impliquant des outils de collaboration (réseaux sociaux externes, outils de partage de documents etc.) sont des projets financés et gouvernés par les métiers (voir Graphique 3). La tentation du Shadow IT demeure naturellement plus grande sur ces outils, d'ailleurs souvent disponibles dans le Cloud. 2014 IDC #FR355 3

GRAPHIQUE 3 Types de projets financés et gouvernés par les métiers Question : Quelles initiatives suivantes sont financées et gouvernées par les métiers? Applications collaboratives, réseaux sociaux externes Applications de gestion de contenu Applications mobiles Solutions de Supply Chain ERP Solution d'automatisation de la fonction marketing 27% 45% 42% 31% 32% 36% 23% 37% 25% Projets financés par les métiers, gouvernés conjointement par l'it et les métiers Projets financés et gouvernés par les métiers LES PRINCIPAUX RISQUES DU SHADOW IT Les principaux risques associés à la pratique du Shadow IT sont aujourd'hui bien connus. En tête de file de ces risques: la sécurité des données de l'entreprise. Car si le Shadow IT est un phénomène qui touche l'ensemble du système d'information, le cœur de la problématique se situe bien au niveau de la donnée. Lorsque l'on questionne les directions informatiques sur les risques encourus par leur entreprise en cas de Shadow IT, plus d'un DSI sur deux (58%) cite l'augmentation du risque de perte ou de fuite de données critiques de l'entreprise (voir Graphique 4). Et pas seulement la fuite, l'usage d'applications ou de services en mode Shadow IT peut rendre les données de l'entreprise difficiles d'accès pour les collaborateurs, en créant notamment des silos d'informations, captives et exploitables que par quelques utilisateurs uniques. Il est alors évident que l'efficacité de la donnée s'en trouve fortement impactée, et la capacité des différentes unités métiers de l'entreprise à collaborer, annihilée. Du fait de ces informations en silos, le Shadow IT peut avoir également des conséquences financières importantes en augmentant le risque de redondance des investissements IT (voir Graphique 4). Il peut arriver, en effet, qu'un besoin métiers puisse être satisfait par une application déjà existante au sein du système d'information, mais sous une forme qui ne satisfait pas l'utilisateur. Le collaborateur peut alors être incité à investir dans une solution supplémentaire à la solution existante, sans que la capacité des deux solutions à répondre au besoin métiers n'en soit pour autant différente. 2014 IDC #FR355 4

GRAPHIQUE 4 Les principaux risques identifiés dans le Shadow IT Question : Quels sont les principaux risques que vous identifiez dans le Shadow IT? Augmentation des risques de fuite de données Informations en silos Redondance des investissement IT Audit 58% 55% 52% 48% Difficultés de négociations 40% 0% 10% 20% 30% 40% 50% 60% 70% COMMENT ENDIGUER LA PRATIQUE? Un choix de solution crucial : le choix des solutions mis en place pour répondre aux besoins métiers, qui traduit la capacité de la DSI à comprendre les attentes des collaborateurs de l'entreprise, apparaît évidement comme un moyen naturel d'endiguer la pratique du Shadow IT. En effet, plus une solution est en mesure de répondre aux besoins métiers, tant d'un point de vue fonctionnel que d'un point de vue de l'expérience utilisateur, moins la tentation du Shadow IT sera élevée. Le choix de la solution apparaît donc crucial, d'autant plus qu'elle doit permettre d'assurer dans un même temps la sécurité des données de l'entreprise. La mise en place de catalogues de services et de stores applicatifs est aujourd'hui une pratique de plus en plus utilisée par les DSI pour couvrir les besoins des collaborateurs. On estime qu'en fin 2013, une entreprise sur deux avait déjà mis en place un catalogue de services au sein de sa structure. D'autres initiatives permettent de limiter les pratiques de Shadow IT. Par exemple, une étude IDC révèle que 53% des DSI tentent de canaliser les pratiques de Shadow IT en développant des projets plus petits, plus agiles et plus rapidement déployables, pour répondre à la demande de réactivité des métiers. En outre, une DSI sur deux (50%) cherche à identifier et à se rapprocher des personnes ou unités métiers finançant les projets pour travailler plus conjointement avec elles. Enfin, 38% de responsables informatiques demandent à ce que le management impose qu'aucun investissement Cloud ne soit réalisé sans l'implication de la DSI, illustrant la tendance encore forte au blocage plutôt qu'à l'accompagnement des nouveaux usages (voir Graphique 5). 2014 IDC #FR355 5

GRAPHIQUE 5 Les moyens mis en place pour limiter le Shadow IT Question : Quels sont les moyens que vous mettez en place pour limiter la pratique du Shadow IT au sein de votre entreprise? Nous essayons de développer des projets plus petits et plus agiles, plus rapidement déployables Nous n essayons pas d éradiquer le Shadow IT, nous cherchons à identifier et à nous rapprocher des personnes ou BU finançant ces projets pour travailler avec eux Le management a imposé qu aucun investissement Cloud ne soit réalisé sans l implication de la DSI CONCLUSION En définitive, le Shadow IT est bien une réalité d'entreprise, et les risques qu'il génère sont tout aussi réels qu'importants. Mais tenter d'éradiquer ces pratiques par une politique trop restrictive n'est pas la meilleure solution, tant s'en faut. A l'instar du Bring Your Own Device et du Bring Your Own Application, le risque de transgression reste entier, quelque restrictive que soit la position des DSI. Pour preuve, 75% des Directions informatiques interdisaient les pratiques de BYOD en 2013, lorsque, dans un même temps, le taux de salariés utilisant un outil mobile personnel pour travailler est passé de 54% à 63% en un an (+16% entre 2012 et 2013). L'interdiction du Shadow IT pourrait donc s'avérer sinon illusoire, du moins inefficace pour l'entreprise. Elle n'empêchera pas les Directions métiers, et plus généralement les utilisateurs de choisir des solutions technologiques plus adaptées à leurs besoins, comparées à celles proposées par la Direction informatique. Et surtout, d'en disposer dans des délais qu'ils estiment raisonnables, en ligne avec les enjeux business auxquels ils sont confrontés. D'autres pistes sont désormais évoquées par les Directions Informatiques : le rapprochement de la Direction Informatique avec les Directions métiers est un axe fort d'amélioration, l'ergonomie des outils déployés (pour qu'elle soit proche des outils grand public), sans pénaliser pour autant la sécurité des données et des systèmes informatiques, le déploiement rapide de solutions Cloud/SaaS en pleine concertation avec les directions utilisatrices, la mise en œuvre de nouvelles méthodes de développement et de relation entre les équipes de production et les équipes de développement (Devops), pour accélérer les déploiements. Autant de réflexions qui permettront aux Directions Informatiques de répondre aux contraintes de sécurité et aux impératifs règlementaires, tout en respectant les attentes des salariés en termes de rapidité de déploiement, d'ergonomie et de facilité d'utilisation des solutions. 2014 IDC #FR355 6

A propos d'idc IDC est un acteur majeur de la Recherche, du Conseil et de l Évènementiel sur les marchés des Technologies de l Information, des Télécommunications et des Technologies Grand Public. IDC aide les professionnels évoluant sur les marchés IT et les investisseurs à prendre des décisions stratégiques basées sur des données factuelles. Plus de 1100 analystes proposent leur expertise globale, régionale et locale sur les opportunités et les tendances technologies dans plus de 110 pays à travers le monde. Depuis plus de 50 ans, IDC propose des analyses stratégiques pour aider ses clients à atteindre leurs objectifs clés. IDC est une filiale de la société IDG, leader mondial du marché de l information dédiée aux technologies de l information. IDC France 13 Rue Paul Valéry 75116 Paris, France +33.1 56.26.26.66 Twitter: @IDCfrance idc-insights-community.com www.idc.com / www.idc.fr Copyright This IDC research document was published as part of an IDC continuous intelligence service, providing written research, analyst interactions, telebriefings, and conferences. Visit www.idc.com to learn more about IDC subscription and consulting services. To view a list of IDC offices worldwide, visit www.idc.com/offices. Please contact the IDC Hotline at 800.343.4952, ext. 7988 (or +1.508.988.7988) or sales@idc.com for information on applying the price of this document toward the purchase of an IDC service or for information on additional copies or Web rights. Copyright 2014 IDC. Reproduction is forbidden unless authorized. All rights reserved.