En bref : La gouvernance TI PME, c’est donner à une équipe qui raboudine déjà avec succès les moyens et le mandat pour bâtir, pas seulement pour tenir. Ce qui lui manque, ce sont des moyens : une gouvernance simple, un budget pluriannuel, un dialogue outillé avec la direction. Le fossé entre les deux se referme par les deux bouts, pas par un seul.
Dans cet article
Pourquoi votre équipe TI raboudine-t-elle au lieu de bâtir ?
Parce qu’elle compense avec ce qu’elle a, pas parce qu’elle manque de compétence. Un serveur maintenu en vie trois ans de trop, un correctif appliqué un dimanche soir, une sauvegarde vérifiée à la main faute d’un outil pour le faire automatiquement : ce sont des signes de débrouillardise, pas de laisser-aller.
Nous avons documenté ce mécanisme dans Le sous-financement des TI : ce que votre équipe n’ose pas vous dire, le premier article de cette série. La lecture habituelle d’une panne évitable est négative : l’équipe TI a échoué. La lecture qui tient debout est l’inverse. Une équipe qui fait fonctionner des systèmes vieillissants avec un budget serré et sans mandat clair démontre trois choses : de la débrouillardise, de l’engagement et une connaissance intime de ce qui tourne réellement dans l’entreprise.
Ces qualités, dotées de moyens et d’un mandat, ne disparaissent pas. Elles changent de finalité. Une équipe qui sait garder un système fragile en vie sait, avec les bons outils, bâtir un système qui tient. Le talent n’est pas le problème. C’est le sujet de cet article, le dernier d’une série sur la gouvernance TI PME : ce qu’il faut mettre entre les mains de cette équipe pour que son ambition ait où s’exercer.
À quoi ressemble une PME qui gère bien ses TI ?
Elle n’a pas nécessairement plus d’argent ni une équipe plus grande que sa voisine. Elle a cinq choses que les autres n’ont pas.
- Un point TI figure à l’ordre du jour du comité de direction, pas seulement quand un système tombe. Même quinze minutes, à intervalle régulier.
- Un responsable TI est identifié clairement, interne ou externe, et toute la direction sait qui c’est et ce qu’il couvre.
- Le budget TI dépasse l’année en cours. Il inclut une ligne dédiée au remplacement du parc, pas seulement l’entretien courant.
- Les décisions techniques importantes sont écrites quelque part : un registre, un fichier partagé, peu importe le format, du moment qu’elles survivent au départ d’une seule personne.
- Un état des lieux indépendant revient à intervalle régulier, de la même façon qu’un audit financier revient chaque année sans que personne s’en étonne.
Ces cinq points forment une gouvernance TI PME concrète, pas un exercice théorique. Aucun n’exige un service TI de dix personnes ni un budget à sept chiffres en dollars canadiens. Une PME de vingt employés peut les avoir tous. Une entreprise de cinq cents peut n’en avoir aucun.
Le tableau suivant résume ce qui change concrètement entre une équipe qui subit et une équipe qui gère.
| Ce qui se passe quand ça manque | Ce qui se passe une fois ces points en place |
|---|---|
| La TI se discute seulement quand un système tombe | Un point TI revient à intervalle régulier au comité de direction |
| Chaque achat TI réagit à une panne déjà survenue | Le budget pluriannuel prévoit le remplacement avant la panne |
| La direction et l’équipe TI parlent deux langages différents | Un langage commun et un état des lieux partagé donnent un point d’ancrage aux deux |
Gouvernance TI PME : à quoi ressemble un cadre simple ?
Une gouvernance TI PME simple, c’est un cadre proportionné à la taille de l’entreprise : qui décide, qui est responsable, comment l’information circule entre la direction et l’équipe TI. Ce n’est pas la bureaucratie d’une grande entreprise réduite d’échelle.
Notre guide pilier, L’audit informatique : le guide complet du dirigeant québécois, décrit ce que couvre un audit informatique et pourquoi il en existe plusieurs types. La gouvernance TI d’une PME repose souvent sur le même réflexe : mesurer avant de décider, plutôt que décider dans l’urgence puis mesurer les dégâts.
Un exemple concret aide à situer le niveau d’effort attendu. La Loi 25 impose à toute entreprise québécoise de désigner un responsable de la protection des renseignements personnels, et cette responsabilité tombe par défaut sur la personne qui exerce la plus haute autorité si personne d’autre n’est nommé par écrit. La gouvernance TI peut s’appuyer sur ce même réflexe de désignation : nommer un responsable, documenter ce qui existe, réviser à intervalle fixe. Trois gestes, pas un service au grand complet.
Ce qui distingue une gouvernance simple d’une absence de gouvernance n’est pas la lourdeur du processus. C’est sa régularité. Un point TI qui revient une fois tous les six mois vaut mieux qu’un comité formel qui se réunit une fois puis disparaît.
Pourquoi un budget TI pluriannuel change-t-il la donne ?
Parce qu’il sort l’entreprise du cycle urgence-panne-dépense, où chaque achat TI est une réaction plutôt qu’une décision. Un budget pluriannuel prévoit le remplacement avant la panne, pas après.
Une équipe TI qui gère très bien les systèmes de toute l’entreprise finit souvent la moins bien équipée elle-même, un peu comme le cordonnier mal chaussé de l’expression : elle sait exactement ce qu’il faudrait remplacer, elle n’a simplement jamais le mandat ni le budget pour se l’appliquer à elle-même avant que ça casse.
Le budget pluriannuel n’a pas besoin d’être compliqué :
- un horizon de trois ou quatre ans, pas seulement l’année en cours
- une ligne pour le matériel qui arrive en fin de vie
- une ligne pour les licences
- une réserve pour l’imprévu, qui redevient l’exception plutôt que le mode de gestion habituel
Le montant exact dépend de la taille de l’entreprise et de ce qu’elle a déjà en place : aucune fourchette générique ne s’applique sans avoir vu le portrait réel.
Ce que ce budget change n’est pas seulement financier. Une direction qui approuve un budget TI sur plusieurs années participe à la décision au lieu de la subir au moment de la panne. Une équipe TI qui planifie sur plusieurs années arrête de vivre au jour le jour, et ça se voit dans la qualité de ce qu’elle livre.
Comment bâtir un dialogue direction TI outillé ?
Avec un langage commun et un état des lieux que les deux parties regardent en même temps. Le langage commun tient en quatre mots :
- risque : ce qui pourrait mal tourner et ce que ça coûterait
- continuité : la capacité de l’entreprise à fonctionner malgré un incident
- dollars : le coût de l’incident comparé au coût de la prévention
- responsabilité : qui décide et qui répond du résultat
C’est le troisième pilier d’une gouvernance TI PME qui fonctionne, après le cadre de décision et le budget pluriannuel. L’état des lieux, lui, se construit avec un constat externe, périodique et factuel.
La direction pense en risque et en dollars. L’équipe TI pense en systèmes et en dépendances techniques. Les deux parlent souvent de la même réalité avec deux vocabulaires différents, et une bonne partie du fossé entre elles vient de là, pas d’un désaccord de fond sur ce qui doit être fait.
Nous avons développé cette idée dans L’audit indépendant : le porte-voix de votre équipe TI. Un audit indépendant traduit ce que l’équipe TI sait déjà dans un vocabulaire que le comité de direction peut utiliser pour décider. Ce n’est pas un jugement sur l’équipe. C’est un porte-voix pour elle : ce qu’elle répète depuis deux ans dans un langage technique arrive enfin au comité de direction dans un langage qu’il comprend.
Un état des lieux qui revient périodiquement, tous les deux ou trois ans par exemple, donne aux deux parties un point d’ancrage commun. La direction cesse de découvrir l’état réel du parc informatique au moment d’une panne. L’équipe TI cesse de porter seule le poids d’alarmes que personne au-dessus d’elle n’a les mots pour entendre.
Comment refermer le fossé entre la direction et l’équipe TI ?
Par les deux bouts à la fois, pas par un seul. L’équipe TI apprend à traduire ses risques en dollars et en impacts d’affaires. La direction apprend à poser les questions qui font apparaître ces risques avant qu’ils deviennent des pannes.
Aucune des deux transformations n’arrive seule. Une équipe TI qui apprend à parler en risques et en continuité, sans qu’un comité de direction pose de questions en retour, finit par se taire de nouveau. Une direction qui apprend à poser les bonnes questions, sans une équipe capable d’y répondre avec des faits, finit par recevoir des réponses vagues.
Le point de départ le plus simple pour les deux, c’est un constat qui ne vient ni de l’un ni de l’autre. Un état des lieux indépendant donne à la direction un portrait qu’elle n’a pas à mettre en doute parce qu’il vient de sa propre équipe, et il donne à l’équipe TI un document qu’elle n’a pas à défendre seule devant le comité. C’est un point d’ancrage commun, pas un verdict porté contre l’une des deux parties.
Par où commencer ?
Trois gestes, dans un ordre qui n’exige ni gros budget ni grande réorganisation.
- Mettez un point TI à l’ordre du jour du prochain comité de direction, même quinze minutes, même si la première fois ne produit que des questions sans réponse.
- Nommez, ou confirmez, qui porte la responsabilité TI dans l’entreprise, et faites-le savoir clairement à toute l’équipe de direction.
- Demandez un état des lieux indépendant pour partir d’un portrait commun. Les guides pour PME du Centre canadien pour la cybersécurité et la campagne fédérale Pensez cybersécurité sont un bon point de départ gratuit pour se familiariser avec les bases avant d’aller plus loin.
Votre équipe a l’ambition. Elle a les idées et la débrouillardise pour les mettre en œuvre : elle vous l’a montré chaque fois qu’elle a tenu un système fragile debout sans les moyens qu’il aurait fallu. Ce qui lui manque, ce sont les outils et le mandat, pas la compétence. C’est ça, la gouvernance TI PME : donner à cette équipe de quoi bâtir, pas seulement de quoi tenir. Un audit TI indépendant est un premier pas concret pour refermer le fossé : les faits tels qu’ils sont, vos décisions ensuite.
Pour aller plus loin avec Factero :
- état des lieux par un audit informatique indépendant
- direction TI à temps partiel (vCIO)
- feuille de route TI pluriannuelle
Foire aux questions
Qu’est-ce que la maturité numérique (ou maturité TI) d’une PME ?
C’est le degré auquel les pratiques de base d’une gouvernance TI PME sont réellement en place : un point TI récurrent au comité de direction, un responsable identifié, un budget qui dépasse l’année en cours, des décisions écrites, un état des lieux périodique. Ce n’est pas un chiffre acheté à un fournisseur ni une certification. Une PME de vingt employés peut avoir une maturité plus élevée qu’une entreprise de cinq cents si elle a ces cinq points en place.
Quel budget informatique une PME devrait-elle prévoir chaque année ?
Aucun pourcentage universel ne s’applique : le montant dépend de la taille de l’entreprise, de l’âge de son parc informatique et de ce qu’elle a déjà en place, pas d’une norme sectorielle. Ce qui compte davantage que le chiffre exact est la structure du budget : qu’il dépasse l’année en cours et qu’il inclue une ligne dédiée au remplacement, pas seulement l’entretien courant.
Qu’est-ce qu’un plan directeur informatique (ou schéma directeur TI) pour une PME ?
C’est le document qui aligne les priorités TI de l’entreprise sur plusieurs années, habituellement trois ou quatre, avec un budget pluriannuel et l’ordre dans lequel les projets et remplacements arrivent. Dans une PME, il n’a pas besoin d’être élaboré : une page qui liste le matériel en fin de vie, les licences à renouveler et la réserve pour l’imprévu suffit à sortir du mode réactif.
Qui doit porter la responsabilité TI dans une PME qui n’a pas de directeur TI ?
Quelqu’un doit être identifié, même si ce n’est pas un poste à temps plein : un directeur des opérations, un membre de la direction, ou un partenaire externe avec un mandat clair. L’absence de titre officiel n’est pas le problème, l’absence de nom l’est.
Qu’est-ce qu’un état des lieux informatique et à quoi sert-il ?
C’est un constat externe, factuel et périodique de l’état réel du parc informatique et des risques qui y sont liés, réalisé par une partie indépendante de l’équipe interne. Il sert de point d’ancrage commun : la direction cesse de découvrir l’état des systèmes au moment d’une panne, et l’équipe TI n’a plus à défendre seule un diagnostic qu’elle répète depuis des années.
