A quoi sert un référentiel de bonnes pratiques en informatique

A priori, un système d'information en bonne santé peut fort bien se passer de la mise en place d'un référentiel de bonnes pratiques. Toutefois, il doit faire face à de nombreux impératifs :

• satisfaire les utilisateurs,
• faire la preuve de son optimisation financière,
• rassurer la direction générale sur sa fiabilité et sa pérennité,
• rassurer les investisseurs sur la sécurité de leurs investissements,
• savoir s'organiser pour évoluer et s'adapter en permanence.

Faire appel aux bonnes pratiques est à la fois un guide méthodologique efficace et également une sorte de label que le décideur informatique pourra mettre en avant pour démontrer qu'il a pris les meilleures dispositions possibles.

Protéger l'informatique s'impose désormais à la direction générale

La direction générale a désormais la responsabilité impérieuse de protéger son informatique sur 2 niveaux :

• patrimonial : l'informatique est un enjeu économique fondamental, aussi bien directement (budget informatique), qu'indirectement (risque d'arrêt de la production en cas d'incident). Ces différents aspects patrimoniaux sont désormais surveillés par les investisseurs.
• légal : conscient de la nécessité d'obliger l'entreprise à protéger la valeur du capital investi et à garantir la sincérité des rapports annuels, de nombreuses législations imposent désormais aux entreprises de prendre des dispositions de protection du système d'information (Sarbanes-Oxley, LSF, NRE, IAS/IFRS, Bâle II...)
  Ces obligations essentiellement destinées à apporter au final des garanties aux investisseurs concernent le système d'information sur 3 points :
  - la réalité du patrimoine que constitue l'investissement informatique lui-même.,
  - que le patrimoine global de l'entreprise ne peut être anéanti par une incurie informatique,
  - que les rapports d'activité et les comptes financiers sont réalisés à l'aide d'outils performants et fiables.

Aussi, même si ni l'actionnaire, ni le législateur n'imposent une méthodologie ou une certification particulière, ils attendent de la direction générale et de la direction informatique que des méthodes effectives soient mises en place. L'appel aux bonnes pratiques est donc un bon outil d'assurance collective.

COBIT

Le COBIT (Control Objectives for Business & Related Technology), est utilisé pour la gouvernance et l'audit des systèmes d'information.
Il analyse le système informatique suivant 4 domaines :

• planning et organisation,
• acquisition et mise en place,
• fourniture du service et support,
• surveillance.

Il est important de noter que la loi américaine Sarbanes Oxley impose d'utiliser l'infrastructure de contrôle interne COSO (Committee of Sponsoring Organizations). En l'absence de méthodologie précisée, beaucoup de grandes entreprises ont considéré que le COBIT était la meilleure voie pour rendre le système d'information conforme aux exigences du COSO.
On peut donc probablement voir dans le COBIT une bonne façon de rendre la gouvernance IT, et même partiellement la gouvernance d'entreprise, compatible avec les nouvelles exigences financières et légales mondiales.
COBIT a été traduit en français par l'AFAI, ce qui est un atout indéniable.

ITIL

ITIL (Information Technology Infrastructure Library), s'intéresse à la production, qu'il s'agisse de fourniture de services informatiques ou d'exploitation interne.
C'est donc une voie pour s'assurer de la satisfaction des utilisateurs ou clients de services.

CMMi

CMMi (Capability Maturity Model intégration) est le référentiel dédié au développement de systèmes et logiciels.
CMMi permet d'évaluer la maturité de l'entreprise sur 5 niveaux :

• initial,
• reproductible,
• défini,
• maîtrisé,
• optimisé.

PMI

Le PMI (Project Management Institute) a développé le standard PMBOK (Project Management Body of Knowledge, élaboré sur la base des meilleures pratiques du management de projet.
Il est organisé suivant 9 domaines :

• intégration du projet,
• contenu du projet,
• délais du projet,
• communication du projet,
• risques du projet
• approvisionnements du projet).

Le PMI propose une certification en management de projet correspondante, le PMP (Project Management Professionals).

Prince, Prince2

Prince (PRojects INControlled Environments) est un guide des meilleures pratiques en direction de projet, utilisé par l'administration britannique.
Chaque processus est défini avec ses entrées et sorties caractéristiques ainsi qu'avec les objectifs spécifiques à remplir et les tâches à accomplir.
La méthode Prince est dans le domaine public.

Spice, ISO 15504

Spice est une norme créée par l’ISO (International Organization for Standardization) pour standardiser l'évaluation des processus logiciels (Norme ISO/CEI 15504).
Spice est moins une méthodologie de travail qu’un outil d'évaluation du niveau de maîtrise du processus de conduite du projet.

ISO 9000

Les certifications de la famille ISO 9000 constituent désormais un ensemble de références de qualité incontestées sur le plan mondial.
Très généralistes, ces spécifications ne sont pas forcément les plus productives pour l'informatique.

ISO 17799

Catalogue de bonnes pratiques assurant un client que ses informations sont gérées de manière sécurisée par son fournisseur.
Elle est présentée dans cette liste comme complément de réponse aux obligations de sécurité des systèmes d'information.