Meilleures pratiques
La CMDB sous ITIL V3 Enjeux et méthodes
Un nouveau défi : la Gouvernance des Systèmes d’Information
La Gouvernance est un exercice d’équilibre entre conformité et performance.
Qu’est-ce que la Gouvernance des Systèmes d’Information (GSI) ? Les définitions ne manquent pas. Et pourtant, il s’agit d’un enjeu majeur : toute organisation informatique doit à la fois combiner risques et sécurité, ambition et prudence, bénéfices à court terme et investissements sur le long terme. Dans ce contexte, la gouvernance se pose comme un cadre permettant au DSI de relever leurs défis actuels.
La Gouvernance des Systèmes d’Information
Chacun a été marqué par l’affaire Enron1 : une prestigieuse société d’audit qui conseille un de ses plus gros clients. Les genres se mélangent. Audit et conseil ne forment plus qu’un, alors que les règles du métier exigent une scission sans faille entre les deux domaines. Le siège du conducteur était occupé par des individus ne sachant pas piloter. Laisser le volant d’une entreprise à des managers qui ne voient que le profit, leur seul profit à court terme, conduit à des dérapages. L’affaire Enron en est un parfait exemple. Un concept né en même temps que le Charleston
Ce triste épisode dans l’histoire économique est néanmoins riche d’enseignements, car il pose le problème de la gouvernance. Celle-ci a vu son champ s’étendre depuis les années 1990. Toutefois, le concept de gouvernance date des années 1930. En effet, Adolf Berle et Gardiner Means avaient rédigé leur thèse sur ce thème, intitulée The modern corporation and private property. Selon eux, la séparation entre la fonction de propriétaire des entreprises, exercée par les actionnaires, et de gestionnaire, assurée par les dirigeants, est à l’origine d’une dégradation de la performance, à cause de la défaillance des systèmes de contrôle. C’était l’époque du New Deal, cher à Franklin Roosevelt, lancé pour surmonter la crise de 1929. Les travaux de Berle et Gardiner ont alors conduit au renforcement du règlement boursier nord-américain pour aboutir à la création de la SEC (Security Exchange Commission).
Le cadre est posé : la gouvernance régule les relations entre les actionnaires et les dirigeants, notamment dans un contexte où les marchés financiers jouent un rôle prépondérant. Ensuite, le champ de la gouvernance s’est élargi. Il cherche à comprendre les écarts de performance entre différents systèmes, à partir du rôle des structures, des institutions et des règles de la profession. La méthode consiste à modéliser le système de gouvernance d’une organisation, c’est-à-dire à comprendre le système d’encadrement des décisions prises par les dirigeants, pour déterminer les sources de création de valeur. Les théories sur la gouvernance ont évolué depuis. Celle-ci revêt désormais deux aspects complémentaires. Le premier consiste à contrôler les dirigeants pour anticiper tout dérapage et gaspillage des ressources mises à leur disposition. Le second postule que le dirigeant doit créer de nouvelles opportunités qui deviendront des sources de rente.
De la CORPORATE GOVERNANCE à la GSI
La tentation est très grande d’adapter la gouvernance d’entreprise (Corporate Governance), à celle des Systèmes d’Information. C’est la Gouvernance des Systèmes d’Information (GSI), qui est un concept très récent. Les anglophones parlent d’ITG (Information Technology Governance).
Paradoxalement, l’informatique n’est pas le métier de bon nombre d’entreprises. Néanmoins, de nombreux processus métier sont de plus en plus dépendants des SI. L’information et les Technologies de l’information font alors partie des actifs les plus précieux d’une organisation. Mais les acteurs d’une entreprise n’ont pas toujours conscience de leur valeur. Une bonne gestion des Systèmes d’Information repose alors sur la reconnaissance des avantages des TI, qui peuvent devenir source de création de valeur.
Valeur, risque et contrôle constituent le coeur de la gouvernance des SI.
Selon un rapport du Cigref2, la GSI est constituée des structures et processus de commandement et de fonctionnement, pour encadrer la responsabilité´ des dirigeants et du conseil d’administration. L’enjeu étant de conduire l’informatique de l'entreprise à soutenir ses stratégies et ses objectifs, et lui permettre de les élargir. De plus, la GSI institutionnalise les bonnes pratiques pour s’assurer qu’elles soutiennent la mise en oeuvre des objectifs métiers. Elle permet ainsi à l'entreprise de tirer pleinement profit de ses données, en maximisant les bénéfices, capitalisant sur les opportunités qui se présentent, tout en créant un avantage concurrentiel.
Néanmoins, les dirigeants doivent en même temps gérer les contraintes et les risques liés aux SI. En effet, il faut satisfaire les exigences fiduciaires ainsi que de qualité et de sécurité´, pour leur information comme pour tous leurs autres actifs. Les règles de conformité comme Saranes-Oxley3, ou bien des normes comme ISO 9000 ou 20 000 sont rigoureuses.
Parallèlement, il est nécessaire d’optimiser l’utilisation des ressources informatiques disponibles : applications, données, infrastructures et ressources humaines. Et pour finir, il est indispensable de connaître la situation de leur architecture système pour décider quelle gouvernance et quels contrôles informatiques ils doivent mettre en place.
Au coeur du pentagone
La gouvernance des SI se trouve alors au coeur d’un pentagone.
La première arête concerne l’Alignement Stratégique. Il s’agit d’assurer que les plans informatiques restent alignés sur les métiers. Il faut donc définir, tenir à jour et valider les propositions de valeur ajoutée de l'informatique, et aligner le fonctionnement de l’informatique sur le fonctionnement de l’entreprise.
La deuxième arête porte sur l’Apport de valeur, c’est-à-dire proposer de la valeur ajoutée tout au long du cycle de fourniture du service. Et ce, pour s’assurer que l’informatique apporte bien les bénéfices attendus sur le plan stratégique. Cette étape passe par une optimisation des coûts et par l’apport d’une preuve de la valeur intrinsèque des Systèmes d’Information. La troisième arête touche la Gestion des ressources : la question posée est l’optimisation de l’investissement dans les ressources informatiques vitales et leur bonne gestion (applications, informations, infrastructures et personnes). Cette étape implique l’optimisation des connaissances et de l’infrastructure. La CMDB y jouera un rôle crucial.
La quatrième arête se rapporte à la Gestion des risques : les cadres supérieurs doivent prendre conscience des risques liés aux Systèmes d’Information. Ils doivent également avoir une vision claire de l’appétence de l’entreprise pour le risque. Une bonne connaissance des exigences de conformité s’impose, ainsi que de la transparence à propos des risques significatifs encourus par l’entreprise. Le cas échéant, l’attribution des responsabilités dans la gestion des risques au sein de l’entreprise est indispensable.
La cinquième et dernière arête se rapporte à la Mesure de la performance. Il s’agit du suivi et de la surveillance de la mise en oeuvre de la stratégie, de l’aboutissement des projets, de l’utilisation des ressources, de la performance des processus et de la fourniture des services.
Conclusion
La GSI est un processus de management qui repose sur les meilleures pratiques. Elle s’inspire de la Corporate Governance, dont l’objet reposait d’abord sur le contrôle financier. La GSI s’attache également à la mise en conformité avec les règles en vigueur (IAS/IFRS, Sarbanes/Oxley, Basles II). Ainsi, la GSI vise à optimiser ses investissements informatiques et contribue à des objectifs de création de valeur. L’objectif est d’accroître la performance des processus informatiques et de leur orientation clients, tout en maîtrisant les aspects financiers du système d’information.
Le défi du DSI consiste alors à développer les solutions et les compétences en SI dont l’entreprise aura besoin dans le futur, tout en garantissant que les risques liés au système d’information sont sous contrôle, et ce, en toute transparence.
Les entreprises en manque de méthode
De la théorie à la pratique. Les organisations dépensent de 10 à 40 % de leurs dépenses de fonctionnement (AFAI, 2003) dans les Systèmes d’Information, pour leur apporter un avantage concurrentiel et générer des profits.
Faute de méthode, pas de performance
Néanmoins, les études économiques présentent des résultats très contrastés sur la contribution des Systèmes d’Information à la productivité et à la rentabilité des organisations. Ainsi, de nombreux chercheurs ont adopté une myriade de modes de calculs. Dans certains cas, les Systèmes d’Information contribuent à la performance de l’organisation (Brynjolfsson et Hitt, 1996; Kohli et Devaraj, 2003; Mukhopadhyay et al. 1995). Dans d’autres cas, les Systèmes d’Information n’apportent aucun gain de productivité (Paradoxe de Solow, 1987). Il est très délicat de commenter ces études. En effet, les résultats sont dépendants d’un très grand nombre de facteurs comme le type de système d’information, les pratiques de management, les structures organisationnelles, ou encore l’environnement macroéconomique et compétitif (Brynjolfsson et al., 2002 ; Cooper et al., 2000; Dewan et Kraemer, 2000).
Par conséquent, les études ne montrent que partiellement la manière dont les organisations s’approprient la valeur générée par les Systèmes d’Information. Une partie de cette valeur peut très bien être captée par les partenaires de l’organisation, notamment les clients, qui bénéficient d’une augmentation de la qualité associée à une réduction des coûts (Bresnahan, 1986 ; Hitt et Brynjolfsson 1996).
Une adoption timide des méthodes
Dans ce contexte, nous voyons l’intérêt des méthodes issues des meilleures pratiques. Car sans une démarche structurante ni des indicateurs clairs, la performance n’est pas évidente à mettre en avant. Néanmoins, selon une étude IDC/ Team Up (2006), les entreprises reconnaissent l’apport des méthodes de gestion des Systèmes d’Information. Mais elles hésitent encore à adopter une démarche structurante pour leur informatique.
Ainsi, à la question “sur quel référentiel vous basez-vous pour la gestion de votre système d’information”, seules 25 % des entreprises interrogées font appel à ITIL. La moitié s’appuie sur une ou des méthodes internes.
Aussi, à la question : “sur la production informatique, vous avez une visibilité sur ...”, la satisfaction des utilisateurs arrive en première position. Suivent ensuite les Systèmes d’Information envisagés sous leur angle technique et informatique ( postes de travail, serveurs, architecture des SI). Les méthodes arrivent en dernière position. L’étude précitée commente à juste titre : “ Ces réponses révèlent déjà une certaine confusion des causes et des effets dans la mesure où maîtrise des composants et satisfaction utilisateurs sont les effets mesurables de la mise en place de procédures de gestion structurées et non l'inverse”. Ce point est essentiel lorsque nous aborderons la partie 4 Mise en œuvre et structure d’une CMDB. Ainsi, nous insisterons sur le rôle prépondérant de la mise en place d’une méthode structurante, avant même le choix des outils de gestion d’une CMDB. Par expérience, nous avons vu trop de projets échouer, faute d’un cadre organisationnel.
Il en résulte une mesure de la performance délicate, voire impossible. Ainsi, à la question “Comment décririez-vous le processus mis en place par votre entreprise pour évaluer le coût total de possession (TCO) ? ”, 45% des entreprises ne mesurent pas le TCO (Total Cost of Ownership, Gartner Group, 1982). Par conséquent, la gestion financière ne peut correctement optimiser ses coûts dans presque la moitié des cas.
Ces résultats sont d’autant plus paradoxaux sachant qu’ITIL est le référentiel de gestion des Systèmes d’Information le plus apprécié, puis 70% des organisations utilisatrices en sont satisfaites (67%) voire très satisfaites (3 %).
Comment gérer la performance sans indicateurs fiables ? Comment gérer correctement ses Systèmes d’Information sans anticiper les risques, les impacts de changement ? Comment être efficient sans maîtriser le TCO des actifs informatiques ?
Les challenges du DSI
Un enjeu de taille
Il est de nos jours impossible d’ignorer le rôle stratégique des Systèmes d’Information. Ceux-ci modifient la nature des produits et services, les processus de l’organisation, et la compétition elle-même. L’informatique n’est plus une fonction support. Les dirigeants doivent comprendre la richesse de son impact et de ses effets sur toute l’entreprise, et comment elle peut contribuer à créer un avantage concurrentiel substantiel et durable.
En effet, les Systèmes d’Information modifient l’organisation interne des entreprises. Elle transforme également les relations entre les entreprises, leurs fournisseurs, leurs clients et leurs concurrents. Les structures industrielles sont affectées. En outre, les Systèmes d’Information peuvent servir de base à des stratégies de différenciation et permettent même la création de nouveaux métiers et secteurs, inexistants il y a encore peu.
Les entreprises sont alors engagées dans une lutte sans merci, où seules les plus compétitives survivent. Darwin n’aurait pas dit mieux. La sélection s’effectue de manière naturelle. Les entreprises doivent prendre des décisions rapides, qui génèrent des profits à court terme, tout en renforçant leur avantage concurrentiel à long terme.
“Les vraies richesses sont les méthodes”. Nietzsche.
Seule une organisation à la hauteur permettra de se tirer d’affaire. Ainsi, pour les Systèmes d’Information, une méthode de gestion efficace et efficiente devra veiller à l’alignement stratégique de l’informatique sur le métier de l’entreprise. L’informatique fait partie intégrante de l’organisation et affecte toutes ses fonctions (Porter, 1982). Elle doit être au service de sa vision, de sa stratégie, de ses tactiques et de ses modes opérationnels internes.
Toutefois, Nicholas Carr (2003) nous met en garde contre les lumières de l’informatique. Celle-ci procure un avantage concurrentiel que sur une courte période. Lorsque toutes les entreprises investissent, en même temps, et des sommes considérables dans l’informatique, l’avantage concurrentiel se transforme rapidement en utilité et commodization. Ce terme désigne en économie des moyens standards de production, comme l’électricité. Chacun est conscient que l’accès à l’énergie n’est plus de nos jours une source de création de valeur pour les entreprises, puisque toutes y ont droit, au même prix et dans les mêmes conditions.
En est-il de même pour les Systèmes d’Information ? Selon Carr, leur influence sur le plan macroéconomique est certes flagrante. Mais au niveau individuel des entreprises, l’informatique en elle-même ne génère plus d’avantage concurrentiel.
Puisque les produits eux-mêmes ne sont plus source de création de valeur, il faut alors se tourner vers les méthodes. Les meilleures pratiques apportent alors un cadre précieux, pratique et mis à l’épreuve. L’objectif consiste à gérer au mieux les Systèmes d’Information. Ainsi, les meilleures pratiques de l’ITSM (IT Service Management) constituent la clé de voûte de la gestion opérationnelle des SI (Claude Durand, Trésorier de l’itSMF France, dans ITP Report n°9).
Le DSI doit donc parler à la fois le langage de l’IT et celui du métier, que les anglophones traduisent par business. Il doit intégrer ses Systèmes d’Information au sein d’une démarche globale d’entreprise, au service d’un seul et unique but : la performance de toute l’organisation.
ITIL et Iso 20000 au service de l’organisation
Historique
Face aux techniques d’espionnage de plus en plus sophistiquées, le SAS Technical Support a créé ITIL pour permettre une résolution plus rapide des incidents de sécurité. ITIL a tellement bien fonctionné qu’il a permis d’une part de réduire le TCO (Total Cost of Ownership, soit le coût de possession d’un ordinateur) du SAS, notamment en évitant d’embaucher plus de personnel, et d’enrichir leur base de connaissances des incidents de sécurité.
ITIL a ensuite été pris en main par le CCTA (Central Computer Telecommunication Agency) à la fin des années 1980 en Angleterre, sous l’ère Thatcher. La dame de fer, prétextant que les services informatiques de l’administration publique revenaient trop chers, décida de les externaliser. La réaction des gestionnaires et des informaticiens fut immédiate. Forts de leur expérience, ils enrichirent ITIL de leurs expériences de bonnes pratiques, pour gérer de manière cohérente et sensée les services informatiques. L’objectif étant d’obtenir un service performant, c’est-à-dire à la fois fiable et efficient. La Bibliothèque ITIL (Information Technology Infrastructure Library) fut ainsi née.
Les premiers auteurs d’ITIL justifièrent la valeur produite par les Systèmes d’Information par une maîtrise des coûts, l’assistance apportée aux utilisateurs et l’alignement de l’informatique sur les besoins et la stratégie métier dans leurs secteurs. ITIL transforma d’un coup les services informatiques d’un centre de coûts en un centre de services.
La première version officielle d’ITIL date de 1986 à 1999. Elle se composait de 40 fonctions, décrites dans autant de livres. La deuxième version date de 1999 à 2007. Elle reposait sur 10 livres, décrivant chacun un processus : Service Support, Service Delivery, Planning to Implement Service, Management, ICT Infrastructure Management, Business Perspectives Volumes I and II, Software Asset Management, Application Management, Security Management, ITIL - Small-scale Implementation.
ITIL a beaucoup mûri depuis. Cet ensemble de bonnes pratiques en est à sa troisième version, dont les livres sont édités depuis mai 2007. Il s’appuie désormais sur cinq livres qui forment le coeur d’ITIL : Service Strategies, Service Design, Service Transition, Service Operation, Continual Service Improvement.
L’engouement pour ITIL et ISO 20 000
ITIL a déjà été adopté par des milliers d’entreprises à travers le monde. En France, une étude publiée par l’itSMF en 2006, nous renseigne sur les pratiques d’ITIL dans l’hexagone. Celle-ci a été réalisée lors de la Conférence annuelle de l’itSMF France d’octobre 2006, sur un échantillon 443 personnes, soit la moitié des participants.
Ainsi, la moitié des personnes interrogées avaient des projets ITIL en cours. Et la majorité d’entre eux duraient plus de 6 mois.
Avez-vous des projets ITIL en cours ?
Quel est le délai de votre projet ITIL ?
La Gouvernance est un exercice d’équilibre entre conformité et performance.
Qu’est-ce que la Gouvernance des Systèmes d’Information (GSI) ? Les définitions ne manquent pas. Et pourtant, il s’agit d’un enjeu majeur : toute organisation informatique doit à la fois combiner risques et sécurité, ambition et prudence, bénéfices à court terme et investissements sur le long terme. Dans ce contexte, la gouvernance se pose comme un cadre permettant au DSI de relever leurs défis actuels.
La Gouvernance des Systèmes d’Information
Chacun a été marqué par l’affaire Enron1 : une prestigieuse société d’audit qui conseille un de ses plus gros clients. Les genres se mélangent. Audit et conseil ne forment plus qu’un, alors que les règles du métier exigent une scission sans faille entre les deux domaines. Le siège du conducteur était occupé par des individus ne sachant pas piloter. Laisser le volant d’une entreprise à des managers qui ne voient que le profit, leur seul profit à court terme, conduit à des dérapages. L’affaire Enron en est un parfait exemple. Un concept né en même temps que le Charleston
Ce triste épisode dans l’histoire économique est néanmoins riche d’enseignements, car il pose le problème de la gouvernance. Celle-ci a vu son champ s’étendre depuis les années 1990. Toutefois, le concept de gouvernance date des années 1930. En effet, Adolf Berle et Gardiner Means avaient rédigé leur thèse sur ce thème, intitulée The modern corporation and private property. Selon eux, la séparation entre la fonction de propriétaire des entreprises, exercée par les actionnaires, et de gestionnaire, assurée par les dirigeants, est à l’origine d’une dégradation de la performance, à cause de la défaillance des systèmes de contrôle. C’était l’époque du New Deal, cher à Franklin Roosevelt, lancé pour surmonter la crise de 1929. Les travaux de Berle et Gardiner ont alors conduit au renforcement du règlement boursier nord-américain pour aboutir à la création de la SEC (Security Exchange Commission).
Le cadre est posé : la gouvernance régule les relations entre les actionnaires et les dirigeants, notamment dans un contexte où les marchés financiers jouent un rôle prépondérant. Ensuite, le champ de la gouvernance s’est élargi. Il cherche à comprendre les écarts de performance entre différents systèmes, à partir du rôle des structures, des institutions et des règles de la profession. La méthode consiste à modéliser le système de gouvernance d’une organisation, c’est-à-dire à comprendre le système d’encadrement des décisions prises par les dirigeants, pour déterminer les sources de création de valeur. Les théories sur la gouvernance ont évolué depuis. Celle-ci revêt désormais deux aspects complémentaires. Le premier consiste à contrôler les dirigeants pour anticiper tout dérapage et gaspillage des ressources mises à leur disposition. Le second postule que le dirigeant doit créer de nouvelles opportunités qui deviendront des sources de rente.
De la CORPORATE GOVERNANCE à la GSI
La tentation est très grande d’adapter la gouvernance d’entreprise (Corporate Governance), à celle des Systèmes d’Information. C’est la Gouvernance des Systèmes d’Information (GSI), qui est un concept très récent. Les anglophones parlent d’ITG (Information Technology Governance).
Paradoxalement, l’informatique n’est pas le métier de bon nombre d’entreprises. Néanmoins, de nombreux processus métier sont de plus en plus dépendants des SI. L’information et les Technologies de l’information font alors partie des actifs les plus précieux d’une organisation. Mais les acteurs d’une entreprise n’ont pas toujours conscience de leur valeur. Une bonne gestion des Systèmes d’Information repose alors sur la reconnaissance des avantages des TI, qui peuvent devenir source de création de valeur.
Valeur, risque et contrôle constituent le coeur de la gouvernance des SI.
Selon un rapport du Cigref2, la GSI est constituée des structures et processus de commandement et de fonctionnement, pour encadrer la responsabilité´ des dirigeants et du conseil d’administration. L’enjeu étant de conduire l’informatique de l'entreprise à soutenir ses stratégies et ses objectifs, et lui permettre de les élargir. De plus, la GSI institutionnalise les bonnes pratiques pour s’assurer qu’elles soutiennent la mise en oeuvre des objectifs métiers. Elle permet ainsi à l'entreprise de tirer pleinement profit de ses données, en maximisant les bénéfices, capitalisant sur les opportunités qui se présentent, tout en créant un avantage concurrentiel.
Néanmoins, les dirigeants doivent en même temps gérer les contraintes et les risques liés aux SI. En effet, il faut satisfaire les exigences fiduciaires ainsi que de qualité et de sécurité´, pour leur information comme pour tous leurs autres actifs. Les règles de conformité comme Saranes-Oxley3, ou bien des normes comme ISO 9000 ou 20 000 sont rigoureuses.
Parallèlement, il est nécessaire d’optimiser l’utilisation des ressources informatiques disponibles : applications, données, infrastructures et ressources humaines. Et pour finir, il est indispensable de connaître la situation de leur architecture système pour décider quelle gouvernance et quels contrôles informatiques ils doivent mettre en place.
Au coeur du pentagone
La gouvernance des SI se trouve alors au coeur d’un pentagone.
La première arête concerne l’Alignement Stratégique. Il s’agit d’assurer que les plans informatiques restent alignés sur les métiers. Il faut donc définir, tenir à jour et valider les propositions de valeur ajoutée de l'informatique, et aligner le fonctionnement de l’informatique sur le fonctionnement de l’entreprise.
La deuxième arête porte sur l’Apport de valeur, c’est-à-dire proposer de la valeur ajoutée tout au long du cycle de fourniture du service. Et ce, pour s’assurer que l’informatique apporte bien les bénéfices attendus sur le plan stratégique. Cette étape passe par une optimisation des coûts et par l’apport d’une preuve de la valeur intrinsèque des Systèmes d’Information. La troisième arête touche la Gestion des ressources : la question posée est l’optimisation de l’investissement dans les ressources informatiques vitales et leur bonne gestion (applications, informations, infrastructures et personnes). Cette étape implique l’optimisation des connaissances et de l’infrastructure. La CMDB y jouera un rôle crucial.
La quatrième arête se rapporte à la Gestion des risques : les cadres supérieurs doivent prendre conscience des risques liés aux Systèmes d’Information. Ils doivent également avoir une vision claire de l’appétence de l’entreprise pour le risque. Une bonne connaissance des exigences de conformité s’impose, ainsi que de la transparence à propos des risques significatifs encourus par l’entreprise. Le cas échéant, l’attribution des responsabilités dans la gestion des risques au sein de l’entreprise est indispensable.
La cinquième et dernière arête se rapporte à la Mesure de la performance. Il s’agit du suivi et de la surveillance de la mise en oeuvre de la stratégie, de l’aboutissement des projets, de l’utilisation des ressources, de la performance des processus et de la fourniture des services.
Conclusion
La GSI est un processus de management qui repose sur les meilleures pratiques. Elle s’inspire de la Corporate Governance, dont l’objet reposait d’abord sur le contrôle financier. La GSI s’attache également à la mise en conformité avec les règles en vigueur (IAS/IFRS, Sarbanes/Oxley, Basles II). Ainsi, la GSI vise à optimiser ses investissements informatiques et contribue à des objectifs de création de valeur. L’objectif est d’accroître la performance des processus informatiques et de leur orientation clients, tout en maîtrisant les aspects financiers du système d’information.
Le défi du DSI consiste alors à développer les solutions et les compétences en SI dont l’entreprise aura besoin dans le futur, tout en garantissant que les risques liés au système d’information sont sous contrôle, et ce, en toute transparence.
Les entreprises en manque de méthode
De la théorie à la pratique. Les organisations dépensent de 10 à 40 % de leurs dépenses de fonctionnement (AFAI, 2003) dans les Systèmes d’Information, pour leur apporter un avantage concurrentiel et générer des profits.
Faute de méthode, pas de performance
Néanmoins, les études économiques présentent des résultats très contrastés sur la contribution des Systèmes d’Information à la productivité et à la rentabilité des organisations. Ainsi, de nombreux chercheurs ont adopté une myriade de modes de calculs. Dans certains cas, les Systèmes d’Information contribuent à la performance de l’organisation (Brynjolfsson et Hitt, 1996; Kohli et Devaraj, 2003; Mukhopadhyay et al. 1995). Dans d’autres cas, les Systèmes d’Information n’apportent aucun gain de productivité (Paradoxe de Solow, 1987). Il est très délicat de commenter ces études. En effet, les résultats sont dépendants d’un très grand nombre de facteurs comme le type de système d’information, les pratiques de management, les structures organisationnelles, ou encore l’environnement macroéconomique et compétitif (Brynjolfsson et al., 2002 ; Cooper et al., 2000; Dewan et Kraemer, 2000).
Par conséquent, les études ne montrent que partiellement la manière dont les organisations s’approprient la valeur générée par les Systèmes d’Information. Une partie de cette valeur peut très bien être captée par les partenaires de l’organisation, notamment les clients, qui bénéficient d’une augmentation de la qualité associée à une réduction des coûts (Bresnahan, 1986 ; Hitt et Brynjolfsson 1996).
Une adoption timide des méthodes
Dans ce contexte, nous voyons l’intérêt des méthodes issues des meilleures pratiques. Car sans une démarche structurante ni des indicateurs clairs, la performance n’est pas évidente à mettre en avant. Néanmoins, selon une étude IDC/ Team Up (2006), les entreprises reconnaissent l’apport des méthodes de gestion des Systèmes d’Information. Mais elles hésitent encore à adopter une démarche structurante pour leur informatique.
Ainsi, à la question “sur quel référentiel vous basez-vous pour la gestion de votre système d’information”, seules 25 % des entreprises interrogées font appel à ITIL. La moitié s’appuie sur une ou des méthodes internes.
Aussi, à la question : “sur la production informatique, vous avez une visibilité sur ...”, la satisfaction des utilisateurs arrive en première position. Suivent ensuite les Systèmes d’Information envisagés sous leur angle technique et informatique ( postes de travail, serveurs, architecture des SI). Les méthodes arrivent en dernière position. L’étude précitée commente à juste titre : “ Ces réponses révèlent déjà une certaine confusion des causes et des effets dans la mesure où maîtrise des composants et satisfaction utilisateurs sont les effets mesurables de la mise en place de procédures de gestion structurées et non l'inverse”. Ce point est essentiel lorsque nous aborderons la partie 4 Mise en œuvre et structure d’une CMDB. Ainsi, nous insisterons sur le rôle prépondérant de la mise en place d’une méthode structurante, avant même le choix des outils de gestion d’une CMDB. Par expérience, nous avons vu trop de projets échouer, faute d’un cadre organisationnel.
Il en résulte une mesure de la performance délicate, voire impossible. Ainsi, à la question “Comment décririez-vous le processus mis en place par votre entreprise pour évaluer le coût total de possession (TCO) ? ”, 45% des entreprises ne mesurent pas le TCO (Total Cost of Ownership, Gartner Group, 1982). Par conséquent, la gestion financière ne peut correctement optimiser ses coûts dans presque la moitié des cas.
Ces résultats sont d’autant plus paradoxaux sachant qu’ITIL est le référentiel de gestion des Systèmes d’Information le plus apprécié, puis 70% des organisations utilisatrices en sont satisfaites (67%) voire très satisfaites (3 %).
Comment gérer la performance sans indicateurs fiables ? Comment gérer correctement ses Systèmes d’Information sans anticiper les risques, les impacts de changement ? Comment être efficient sans maîtriser le TCO des actifs informatiques ?
Les challenges du DSI
Un enjeu de taille
Il est de nos jours impossible d’ignorer le rôle stratégique des Systèmes d’Information. Ceux-ci modifient la nature des produits et services, les processus de l’organisation, et la compétition elle-même. L’informatique n’est plus une fonction support. Les dirigeants doivent comprendre la richesse de son impact et de ses effets sur toute l’entreprise, et comment elle peut contribuer à créer un avantage concurrentiel substantiel et durable.
En effet, les Systèmes d’Information modifient l’organisation interne des entreprises. Elle transforme également les relations entre les entreprises, leurs fournisseurs, leurs clients et leurs concurrents. Les structures industrielles sont affectées. En outre, les Systèmes d’Information peuvent servir de base à des stratégies de différenciation et permettent même la création de nouveaux métiers et secteurs, inexistants il y a encore peu.
Les entreprises sont alors engagées dans une lutte sans merci, où seules les plus compétitives survivent. Darwin n’aurait pas dit mieux. La sélection s’effectue de manière naturelle. Les entreprises doivent prendre des décisions rapides, qui génèrent des profits à court terme, tout en renforçant leur avantage concurrentiel à long terme.
“Les vraies richesses sont les méthodes”. Nietzsche.
Seule une organisation à la hauteur permettra de se tirer d’affaire. Ainsi, pour les Systèmes d’Information, une méthode de gestion efficace et efficiente devra veiller à l’alignement stratégique de l’informatique sur le métier de l’entreprise. L’informatique fait partie intégrante de l’organisation et affecte toutes ses fonctions (Porter, 1982). Elle doit être au service de sa vision, de sa stratégie, de ses tactiques et de ses modes opérationnels internes.
Toutefois, Nicholas Carr (2003) nous met en garde contre les lumières de l’informatique. Celle-ci procure un avantage concurrentiel que sur une courte période. Lorsque toutes les entreprises investissent, en même temps, et des sommes considérables dans l’informatique, l’avantage concurrentiel se transforme rapidement en utilité et commodization. Ce terme désigne en économie des moyens standards de production, comme l’électricité. Chacun est conscient que l’accès à l’énergie n’est plus de nos jours une source de création de valeur pour les entreprises, puisque toutes y ont droit, au même prix et dans les mêmes conditions.
En est-il de même pour les Systèmes d’Information ? Selon Carr, leur influence sur le plan macroéconomique est certes flagrante. Mais au niveau individuel des entreprises, l’informatique en elle-même ne génère plus d’avantage concurrentiel.
Puisque les produits eux-mêmes ne sont plus source de création de valeur, il faut alors se tourner vers les méthodes. Les meilleures pratiques apportent alors un cadre précieux, pratique et mis à l’épreuve. L’objectif consiste à gérer au mieux les Systèmes d’Information. Ainsi, les meilleures pratiques de l’ITSM (IT Service Management) constituent la clé de voûte de la gestion opérationnelle des SI (Claude Durand, Trésorier de l’itSMF France, dans ITP Report n°9).
Le DSI doit donc parler à la fois le langage de l’IT et celui du métier, que les anglophones traduisent par business. Il doit intégrer ses Systèmes d’Information au sein d’une démarche globale d’entreprise, au service d’un seul et unique but : la performance de toute l’organisation.
ITIL et Iso 20000 au service de l’organisation
Historique
Face aux techniques d’espionnage de plus en plus sophistiquées, le SAS Technical Support a créé ITIL pour permettre une résolution plus rapide des incidents de sécurité. ITIL a tellement bien fonctionné qu’il a permis d’une part de réduire le TCO (Total Cost of Ownership, soit le coût de possession d’un ordinateur) du SAS, notamment en évitant d’embaucher plus de personnel, et d’enrichir leur base de connaissances des incidents de sécurité.
ITIL a ensuite été pris en main par le CCTA (Central Computer Telecommunication Agency) à la fin des années 1980 en Angleterre, sous l’ère Thatcher. La dame de fer, prétextant que les services informatiques de l’administration publique revenaient trop chers, décida de les externaliser. La réaction des gestionnaires et des informaticiens fut immédiate. Forts de leur expérience, ils enrichirent ITIL de leurs expériences de bonnes pratiques, pour gérer de manière cohérente et sensée les services informatiques. L’objectif étant d’obtenir un service performant, c’est-à-dire à la fois fiable et efficient. La Bibliothèque ITIL (Information Technology Infrastructure Library) fut ainsi née.
Les premiers auteurs d’ITIL justifièrent la valeur produite par les Systèmes d’Information par une maîtrise des coûts, l’assistance apportée aux utilisateurs et l’alignement de l’informatique sur les besoins et la stratégie métier dans leurs secteurs. ITIL transforma d’un coup les services informatiques d’un centre de coûts en un centre de services.
La première version officielle d’ITIL date de 1986 à 1999. Elle se composait de 40 fonctions, décrites dans autant de livres. La deuxième version date de 1999 à 2007. Elle reposait sur 10 livres, décrivant chacun un processus : Service Support, Service Delivery, Planning to Implement Service, Management, ICT Infrastructure Management, Business Perspectives Volumes I and II, Software Asset Management, Application Management, Security Management, ITIL - Small-scale Implementation.
ITIL a beaucoup mûri depuis. Cet ensemble de bonnes pratiques en est à sa troisième version, dont les livres sont édités depuis mai 2007. Il s’appuie désormais sur cinq livres qui forment le coeur d’ITIL : Service Strategies, Service Design, Service Transition, Service Operation, Continual Service Improvement.
L’engouement pour ITIL et ISO 20 000
ITIL a déjà été adopté par des milliers d’entreprises à travers le monde. En France, une étude publiée par l’itSMF en 2006, nous renseigne sur les pratiques d’ITIL dans l’hexagone. Celle-ci a été réalisée lors de la Conférence annuelle de l’itSMF France d’octobre 2006, sur un échantillon 443 personnes, soit la moitié des participants.
Ainsi, la moitié des personnes interrogées avaient des projets ITIL en cours. Et la majorité d’entre eux duraient plus de 6 mois.
Avez-vous des projets ITIL en cours ?
Quel est le délai de votre projet ITIL ?
Florilège des bénéfices d’ITIL et d’ISO 20 000
- Enquête itSMF 2006 : 70 % ont obtenu des bénéfices tangibles et mesurables
- Enquête Mega :
85% de résolution au niveau 1
30% de réduction du coût d’appel
50% de réduction du cycle de vie pour l’introduction d’un nouveau service
- Enquête IDC
79% de réduction des arrêts de service
TCO réduit de 800$/an/utilisateur
- Barclays : arrêt de service de 60 à 15mn
- Procter & Gamble : économie de 100M$ / an
- Enquête Gartner : en 2008, être conforme à ISO 20000 sera un critère d’achat dans 75 % des décisions d’infogérance » (5 jan 2006)
- Enquête itSMF 2006 : 70 % ont obtenu des bénéfices tangibles et mesurables
- Enquête Mega :
85% de résolution au niveau 1
30% de réduction du coût d’appel
50% de réduction du cycle de vie pour l’introduction d’un nouveau service
- Enquête IDC
79% de réduction des arrêts de service
TCO réduit de 800$/an/utilisateur
- Barclays : arrêt de service de 60 à 15mn
- Procter & Gamble : économie de 100M$ / an
- Enquête Gartner : en 2008, être conforme à ISO 20000 sera un critère d’achat dans 75 % des décisions d’infogérance » (5 jan 2006)
Des écueils désormais classiques
La gestion de l’infrastructure informatique
Selon une étude publiée par IDC et TeamUp (2006), à la question, “Le service informatique connaît-il ...”, la majorité des entreprises répondent qu’elles ont de très bonnes informations sur les biens tangibles, comme les serveurs (94 %) ainsi que les équipements réseaux et télécoms (74 %) et les PC (71 %). Ceux-ci sont en effet facilement localisables et identifiables. En revanche, pour les biens intangibles, les chiffres chutent. En effet, seulement 71 % des organisations connaissent très bien le nombre de licences payées contre 63 % le nombre de licences réellement utilisées. Enfin, seulement 63 % des entreprises connaissent le catalogue de service.
Parallèlement, à la question “En ce qui concerne la gestion des configurations”, 80% des entreprises interrogées répondent que l’ensemble des données de configuration est formalisé sur papier, tableur ou base de données. En revanche, seules 64 % des entreprises interrogées sont en mesure d’effectuer la traçabilité des incidents, des problèmes et des changements.
En outre, 35 % des entreprises déclarent que des procédures d’identification, de contrôle, de mise à jour, d’audit et d’analyse des éléments de configuration.
Enfin, près de la moitié des entreprises interrogées n’utilisent aucun tableau de bord pour la gestion de leur infrastructure.
La gestion des incidents, des problèmes et des changements
Ces trois processus figurent parmi les plus importants aux yeux des décideurs qui mettent ITIL en place. En effet, selon l’étude réalisée par l’itSMF en 2006, les processus de gestion des incidents, problèmes et changements arrivent en tête des préoccupations.
Quels sont les processus ITIL qui retiennent le plus votre attention ?
Une mauvaise connaissance de l’infrastructure informatique aura donc forcément un impact négatif sur les trois processus de gestion des incidents, problèmes et changements. Ainsi, à la question “Comment est défini l’impact d’un changement ?”, 25% des organisations ne de mesurent pas. Et seules 60 % des entreprises s’appuient sur un outil de gestion.
ITIL V3 : Une évolution majeure
La V3 d’ITIL constitue une évolution majeure. Cette version a été pensée pour éviter notamment les écueils précités. Les versions précédentes de cet ensemble de bonnes pratiques se contentaient de proposer des recommandations en matière de gestion des Systèmes d’Information. La V3 est la méthode la plus aboutie et la plus performante dans ce domaine. Néanmoins, pas de révolution. Et ce, pour s’inscrire dans la continuité et non les bouleversements qui pourraient se traduire par de la résistance au changement, lors de la mise en œuvre d’ITIL dans les organisations. Par conséquent, le passage de la V2 à la V3 se fait en douceur. Ainsi, les utilisateurs d’ITIL pourront continuer de travailler avec les processus et procédures de la V2, pour migrer sereinement vers la V3.
La V3 renforce le lien entre le métier et les meilleures pratiques de gestion des services informatiques. En effet, cette version a adopté une approche qui repose sur le cycle de vie des processus pour toute l’organisation, par opposition à la V2, qui s’appuie sur la fourniture de services par secteurs d’activités.
La nouvelle version d’ITIL se compose de cinq volumes, désormais appelés chacun Lifecycle titles. À l’instar des versions précédentes, ces parties partagent une structure commune et cohérente. En outre, elles se caractérisent par leurs interactions et leurs relations. Leur approche et leur contenu s’inscrivent dans la continuité de la V2 d’ITIL. Il faudra seulement se familiariser avec de nouvelles dénominations et une présentation quelque peu différente de la gestion des services informatiques.
Les cinq Lyfecycle titles sont :
• Service strategy
• Service design
• Service Transition
• Service Operation
• Continual Service improvement.
Les évolutions reflètent d’abord la manière dont le concept de gestion des services informatique a mûri depuis une dizaine d’années. Par exemple, la V2 parle d’alignement des Systèmes d’Information sur le métier. La V3 préfère la notion d’intégration des SI au métier. La V2 mentionne la gestion de la chaîne de la valeur. La V3 insiste sur l’intégration du réseau de la valeur. La V2 cite des catalogues de services linéaires. La V3 plaide pour des portfolios de services dynamiques. Enfin, la V2 aborde la gestion des services informatiques comme un ensemble de processus intégrés. La V3 prône une approche beaucoup plus globale qui repose sur la gestion du cycle de vie des services.
Cette nouvelle démarche fait évoluer la relation entre les services informatiques et le métier. Dans sa version 2, ITIL contribue à l’alignement des services sur la stratégie de l’entreprise. La V3 considère ainsi que les services informatiques et la stratégie font partie du même écosystème. Dès lors, cette nouvelle mouture permettra de mieux appréhender l’infogérance, ou encore la gestion des connaissances qui aide l’entreprise à transformer l’information en intelligence économique.
L’approche de la V3 facilitera certainement la mise en oeuvre et la gestion des services informatiques qui doivent en permanence s’adapter à des métiers dynamiques tout en minimisant des risques sans cesse croissants et complexes.
Les premières études confirment que cette approche par cycle de vie apportera :
• Une meilleure adéquation entre la stratégie métier de l’organisation et les services informatiques
• Le développement rapide d’applications et des projets rentables et créateurs de valeur
• La mise en oeuvre de modèles innovants qui peuvent s’adapter à différents types d’organisation
• Une gestion plus adaptée des fournisseurs externes et des prestataires d’infogérance
• Une mise en oeuvre simplifiée et plus rapide de services informatiques, qui gèrent au mieux les risques et des évolutions rapides du métier
• Des indicateurs de performance adéquats pour la mesure de la création valeur, de la performance et de la rentabilité
• L’identification des clés du changement pour faire évoluer dans des délais très rapides les services informatiques, pour un meilleur alignement stratégique sur le métier de l’entreprise.
ITIL V3 comprend tous les processus nécessaires de gestion des services informatiques. Les pratiques centrales de la gestion de services sont organisées sous forme de paliers et sont associées à une documentation très détaillée pour les organisations et les opérationnels. La bibliothèque ITIL est dès lors plus pratique et facile à utiliser. Elle fournit un guide aux différents acteurs pour une meilleure gestion des services.
Cette nouvelle approche change la relation entre les Systèmes d’Information et le métier. Tandis que dans la précédente version d’ITIL s’évertuait à aligner les Systèmes d’Information sur la stratégie de l’entreprise, la V3 englobe le tout dans un seul écosystème. Parallèlement, d’autres développements incluent de nouvelles stratégies pour l’outsourcing et le cosourcing. En outre, le nouveau concept appelé Système de Gestion de la Connaissance des Services aide l’organisation à retenir l’information significative pour la transformer en intelligence organisationnelle. Il existe d’autres notions comme l’exécution de requêtes, l’expansion de processus comme la gestion d’événements, de nouvelles pratiques et des structures organisationnelles ainsi que de nouvelles méthodes.
Structure d’ITIL V3
Service Strategies (SS)
Le premier volume d’ITIL V3 s’appelle Service Strategies. Ce livre permet de vérifier que chaque étape du cycle de vie d’un système d’information soit parfaitement en adéquation avec les compétences business dont une entreprise a besoin. C’est sur cet ouvrage que vont s’appuyer les autres processus pour fournir et soutenir les services, conformément aux exigences et à la gestion des services décrits dans Service Strategies.
Les concepts et les conseils contenus dans cet ouvrage portent sur :
• la stratégie de gestion des services et la planification de la valeur
• la liaison entre la planification métier et la direction stratégique des services informatiques
• la planification et la mise en oeuvre d’une stratégie de service
• les rôles et responsabilités
• les défis, les facteurs de succès et les risques
Service Design (SD)
Le deuxième livre s’intitule Service Design. Il se présente comme un guide pour produire et maintenir une politique informatique IT, une architecture et des documents pour la conception de services IT et des processus innovants, adaptés aux exigences présentes et futures du métier.
Les concepts et les conseils contenus dans cet ouvrage couvrent :
• le cycle de vie des services
• les objectifs de la conception de services
• les éléments de la conception de services
• le choix du modèle de conception de service
• les services, les acteurs, les processus, les compétences, les outils
• les rôles et responsabilités
• la modélisation du coût
• les bénéfices et l’analyse des risques
• la conception de la mise en oeuvre des services
• les mesures et le contrôle
• les défis, les facteurs de succès et les risqué
Service Transition (ST)
Le troisième livre s’intitule “Service Transition”. Il propose une vision plus large et sur le long terme du rôle de la gestion des changements et des pratiques de mises en production, de manière à mieux prévenir les risques, les bénéfices et le suivi opérationnel de ces deux processus. “Service Transition” prodigue ainsi des conseils et présente les activités nécessaires pour que les services puissent évoluer vers le métier de l’entreprise.
Les concepts et les conseils contenus dans cet ouvrage portent sur :
• la gestion du changement organisationnel et culturel
• la gestion des connaissances
• le système de gestion des connaissances des services
• la gestion et l’analyse des risques
• les phases du cycle de vie
• les principes de la transition de service
• les méthodes, pratiques et outils
• les mesures et le contrôle
• les enjeux, les facteurs de succès et les risques
• un manuel de meilleures pratiques
Service Operations (SO)
Le quatrième titre s’appelle “Service Operations”. Il concerne les activités quotidiennes de fourniture et de contrôle des services.
Les concepts et les conseils de ce livre portent sur :
• les phases du cycle de vie de “Service Operations”
• les principes de “Service Operations”
• les fondements des processus
• les fonctions
• la gestion des applications
• la gestion de l’infrastructure
• la gestion des opérations
• les fonctions et processus de contrôle
• les pratiques évolutives
• les mesures et le contrôle
• les enjeux, les facteurs de succès et les risques
Continual Service Improvement (CSI)
ITIL a toujours mis l’accent sur l’amélioration continue des services (PDCA). La V3 ne déroge pas à la règle, et le dernier livre, “Continual Service Improvement”, y est entièrement consacré.
Les concepts et les conseils de ce volume portent sur :
• l’amélioration des processus métiers
• l’amélioration des processus technologiques
• la justification
• les bénéfices métiers, financiers et organisationnels
• les principes du “Continual Service Improvement”
• les fondements des processus
• les rôles et responsabilités
• méthodes, pratiques et outils
• l’amélioration de la mise en oeuvre des services
• les mesures et le contrôle
• les enjeux, les facteurs de succès et les risques
• un manuel de meilleures pratiques
3. la CMDB
Présentation et utilisation
La V3 d’ITIL insiste sur le rôle fondamental de la CMDB (Configuration Management Data Base). En effet, cette base de données regroupe les descriptions des éléments de l’infrastructure informatique. C’est à partir de ces informations que les autres processus s’appuieront pour que les gestionnaires prennent les décisions adéquates.
L’ensemble des processus ITIL s’appuient sur l’exactitude des informations contenues dans la CMDB.
La CMDB est décrite dans l’ouvrage Service Transition. Selon les spécifications de la V3, dans les environnements distribués et des services partagés, la difficulté consiste à agréger les informations concernant les composants de l’infrastructure informatique. Par exemple, un utilisateur possède un portable, se connecte dans une pièce, accède à des bases de données situées à l’autre bout de la planète. Un changement sur la base de données, sans que l’utilisateur ne soit averti, peut avoir un impact direct sur son métier. Les interfaces web permettent d’afficher des données en provenance de sites extrêmement variés et répartis. Chaque changement doit donc être exécuté avec beaucoup de rigueur.
C’est le rôle du processus de Gestion des changements de veiller à ce que chaque modification de l’infrastructure informatique puisse être anticipée et contrôlée de manière à minimiser son impact sur le métier de l’Organisation.
La version 2 d’ITIL parlait de Gestion de Configuration. La version 3 propose le processus de Service Asset and Configuration Management (SACM). Cette différence est de taille puisqu’elle met en avant le rôle fédérateur de la CMDB. Celle-ci n’abrite pas uniquement des données techniques sur l'infrastructure. Elle comporte également des données financières propres aux actifs financiers. Ce regroupement d’information existait déjà dans la V2 d’ITIL. Mais son application n’était pas évidente lors des déploiements de la CMDB dans les organisations.
Politique de mise en oeuvre
Selon les spécifications de la V3 d’ITIL, l’ouvrage Service Transition précise que la première étape de mise en oeuvre d’une CMDB consiste à définir les objectifs, le périmètre, les principes et les facteurs critiques de succès du processus Service Asset and Configuration. Cette démarche doit se faire conjointement avec les processus de Change et Release et Deployment Management (Changement et Mise en Production).
Les décisions politiques doivent se reposer d’une part sur le métier de l’organisation, d’autre part sur les exigences des contrats signés par le processus de Service Management (Gestion des niveaux de services), et enfin par l’ensemble des obligations légales en vigueur.
Le coût de mise en oeuvre du processus de Service Asset and Configuration Management (SACM) peut être significatif. Par conséquent, les bonnes décisions doivent être prises et les priorités définies le plus tôt possible.
Dans un premier temps, la majorité des fournisseurs informatiques alimentent la CMDB par des éléments de configuration (Configuration Item, ou CI) décrits d’un point de vue technique (hardware and software). Ils enrichissent ensuite ces CI par les services associés à ces composants, ainsi que des informations sur les obligations légales par exemple par Sarbanes-Oxley ou la gestion des licences.
Dans un second temps, la CMDB doit fournir des informations exhaustives. Il faut alors s’assurer que le processus de Service Asset and Configuration Management (SACM) dispose d’un budget suffisant, en adéquation avec les risques liés à des informations insuffisantes et à l’impact des services informatiques sur le métier de l’Organisation. Ensuite, les spécifications de la V3 d’ITIL indiquent que la CMDB doit contribuer à fournir les informations nécessaires pour :
• mettre en oeuvre une gouvernance efficace des Systèmes d’Information, par exemple la gestion des actifs financiers, ou encore les impératifs de Sarbanes-Oxley
• estimer la capacité, les ressources et ainsi offrir des garanties suffisantes pour honorer les niveaux de services précisés dans les contrats
• développer des niveaux de service disponibles, fiables et efficients
• justifier des interventions, efficaces et efficientes sur l’infrastructure informatique, en réduisant les coûts et en optimisant la fourniture de service. Cette démarche vise ainsi à réduire notamment les coûts de maintenance
• appliquer des méthodes d’amélioration des coûts sur tout le cycle de vie des services
• passer d’une approche purement réactive (find and fix) à une démarche pro active
• maintenir la valeur des actifs financiers relatifs à l’informatique
• renforcer le niveau de contrôle et d’exigence pour la traçabilité
• préparer le terrain pour un audit
• appliquer des méthodes d’amélioration continue des services, de la valeur des actifs et de la pertinence des configurations
• fournir des informations justes et exhaustives aux autres processus ainsi qu’aux partenaires économiques
• intégrer la gestion des actifs et de la configuration aux autres processus
• migrer vers une gestion commune des actifs et un système de gestion de configuration (Configuration Management System, CMS)
• favoriser l’automatisation, pour réduire le coût et les erreurs
La CMDB idéale
Selon les spécifications de la V3 d’ITIL, le processus de gestion de configuration fournit un modèle de gestion des services, des actifs financiers et de l’infrastructure, en enregistrant les relations entre les éléments de configuration.
Cette information est indispensable pour :
• estimer l’impact et la cause des incidents et des problèmes
• planifier et concevoir de nouveaux services, ou bien modifier les services existants
• planifier des évolutions technologiques et des mises à jour de logiciels
• planifier la mise en production et le déploiement de distributions de matériel et de logiciels, répartis dans différents sites de production, dispersés sur le plan géographique
• optimiser l’utilisation des actifs en réduisant les coûts, par exemple en consolidant des centres de données, en réduisant les variations, et en utilisant de manière optimale les ressources.
Comment décrire les éléments de configuration ?
Les éléments de configuration représentent des actifs financiers, des composants informatiques nécessaires à la fourniture d’un service, sous le contrôle de la gestion de configuration. Selon les spécifications de la V3 d’ITIL, les éléments de configuration sont décrits à plusieurs niveaux. Ils varient selon leur taille, leur complexité, leur catégorie. Ils peuvent soit couvrir un seul composant matériel ou logiciel, ou bien un service ou un service entier, incluent le matériel, le logiciel, la documentation et les équipes support associées.
Les éléments de configuration peuvent être regroupés et sélectionnés selon des critères établis de classification et d’identification, de manière à simplifier leur gestion et leur traçabilité tout au long de la vie du service.
Parmi la grande variété des éléments de configuration, la V3 d’ITIL propose la classification suivante :
• Service lifecycle CI (Configuration Item, ou Eléments de Configuration) : ceux-ci comprennent les études de cas, les plans de gestion des services, les plans pour le cycle de vie du service, les distributions pour des mises de production, les plans pour les changements, les tests et les mises en production.
• Service CI : ceux-ci sont associés aux
- actifs associés à la gestion, à l’organisation, aux processus, à la gestion des connaissances et aux acteurs
- actifs associés aux capitaux financiers, aux systèmes, aux applications, à l’information, aux données, à l’infrastructure et aux acteurs
- modèles de service
- packages de services
- distribution de packages
- critères d’acceptation des services
•
CI organisationnels, par exemple une documentation qui définit les caractéristiques d’un CI, tel la stratégie métier d’une organisation ou bien la politique interne de celle-ci, indépendamment du service fourni par un tiers. Les éléments statutaires et réglementaires peuvent également figurent également dans cette catégorie, car il est nécessaire de les tracer, et ils sont également partagés par plusieurs ressources. Notons qu’une documentation peut très faire partie d’un CI.- actifs associés aux capitaux financiers, aux systèmes, aux applications, à l’information, aux données, à l’infrastructure et aux acteurs
- modèles de service
- packages de services
- distribution de packages
- critères d’acceptation des services
• CI Internes : il s’agit d’éléments de configuration fournis par des projets individuels, comme des données tangibles, ou des actifs intangibles tels des logiciels nécessaires pour fournir et maintenir le service et l'infrastructure
• CI Internes comme des accords avec des clients externes ainsi que leurs exigences, les distributions et les services externes de fournisseurs et de sous-traitants.
• CI d’interfaces nécessaires pour fournir un service end-to-end par le biais d’une interface proposée par un fournisseur (Service Provider Interface, SPI).
Le Système de Gestion de Configuration
Les spécifications d’ITIL V3 indiquent que pour gérer des systèmes informatiques complexes et étendus, le processus de Service Asset and Configuration Management (SACM) doit s’appuyer sur un système de gestion cohérent et fédérateur, appelé Configuration Management System (CMS).
Le CMS gère toutes les informations des CI, après avoir défini l’étendue et le périmètre de la CMDB. Certains éléments seront décrits en fonction de leur dépendance à d’autres composants, comme un logiciel de gestion de base de données, qui agit sur plusieurs centres répartis géographiquement. D’autres éléments seront décrits de manière beaucoup plus simple, en fonction de leur contenu, comme un document texte ou une photo. Par exemple, un Service CI peut être détaillé par des informations sur le fournisseur, le coût, la date d’acquisition et de renouvellement des licences, les contrats de maintenance et la documentation associée comme le contenu du SLA (Service Level Agreement, soit les engagements de service), et les contrats signés avec les sous-traitants.
Le CMS (Configuration Management System) gère l’ensemble des données nécessaires à la bonne tenue de l’infrastructure et à la fourniture d’informations pertinentes aux autres processus d’ITIL.
Le CMS sera également utile pour de nombreuses autres fonctions, comme la gestion des actifs financiers, ce qui permet au processus de Gestion des Actifs (Asset Management System) d’anticiper entre autres le renouvellement de parc. Le CMS maintient également les relations entre tous les composants nécessaires aux services, avec les incidents, les problèmes, les erreurs connues, les changements, les documentations liées aux mises en production. Le CMS peut également inclure des informations sur l’entreprise, les employés, les fournisseurs, les emplacements géographiques des unités stratégiques (Business Units), les utilisateurs et les clients.
Les données du CMS viennent de différentes CMDB, qui constituent un ensemble fédéré et homogène. D’autres données vont se greffer au CMS, comme le DML (Definitive Media Libraries). Le DML, appelé DSL dans ITIL V2 (Definitive Software Library), abrite et protège une copie de l’ensemble des composants logiciels autorisés et nécessaires à l’environnement de production. Le DML stocke en priorité les masters ou les versions originales des logiciels, une fois que ceux-ci ont passé tous les tests de qualité. Il ne prend pas en compte les versions non testées ni mises en production. Le DML intègre également les documentations associées aux logiciels, stockées de manière électronique.
La DML stocke une copie de l’ensemble des composants logiciels autorisés et nécessaires à l’environnement de production.
Notons que le CMS tentera de privilégier l’accès aux données originales plutôt qu’à des données répliquées.
Lors d’une externalisation, certaines données sont stockées chez l’infogérant, alors que d’autres restent sur le site de production. Parallèlement, les données peuvent être réparties entre plusieurs infogérants. Par exemple, les données du réseau et du matériel peuvent être prises en charge par un premier infogérant, celles des applications métiers par un autre. Quant aux informations du support, pour la gestion des incidents et des problèmes, elles sont gérées par l’informatique interne.
Le Centre de Services (Service Desk) pourra s’appuyer sur le CMS pour accéder aux données nécessaires pour l’assistance aux utilisateurs. Le CMS se conduira comme une sorte de méta CMDB qui saura agréger l’ensemble des informations réparties sur plusieurs sites, aussi bien en interne que chez les différents prestataires.
Les informations sur la configuration évoluent conjointement à la vie du service. Certaines organisations recourent à des mécanismes séparés pour gérer aussi bien des plates-formes distinctes, des applications, ou leurs services selon leur degré de maturité.
Le CMS donne un accès centralisé, intégré et cohérent aux informations sur la configuration. Il est donc conseillé de s’appuyer sur les technologies web de reporting, de visualisation et de mapping. Parallèlement, des processus automatisés de chargement et de mise à jour de la CMDB permettront de gagner du temps et de réduire les erreurs.
Le CMS permet donc d’agréger des outils de recherche de données, d’inventaires, de gestion des actifs, d’audits, de gestion des réseaux et des infrastructures. C’est en partant de l’existant, puis en mettant en place le CMS, que la CMDB sera alimentée de manière pertinente et cohérente. Celle-ci sera alors à jour et fournira les informations nécessaires pour l’ensemble des autres processus, afin de prendre les bonnes décisions.
Mise en oeuvre et structure d’une CMDB
4.1. De l’opérationnel au décisionnel
Par nature, la CMDB, intégrée au processus de SACM (Service Asset and Configuration Management), représente bien plus qu’un simple processus opérationnel. En effet, en tant que répertoire unique des données financières et sur la structure informatique, la pertinence des informations contenues dans la CMDB a un impact direct sur tous les autres processus ITIL. Il permet de prendre des décisions justes et cohérentes. Dans un environnement où vitesse rime souvent avec précipitation, où la concurrence ne laisse que peu de temps pour prendre des décisions, où l’urgence d’une défaillance provoque un impact tel sur le métier qu’il faut agir au plus vite, autant s’appuyer sur des informations fiables et précises. Ainsi, la SACM et la CMDB ont plus particulièrement un impact sur les processus suivants :
• La gestion des changements : une CMDB à jour permet de mesurer les conséquences de tout changement sur l’infrastructure.
• La gestion financière : les données sur le coût des actifs informatiques, leur amortissement, les contrats de maintenance associés, l’imputation analytique et la ventilation par client sont contenues dans la CMDB.
• La gestion de la continuité des services : la prise de conscience de la valeur des actifs informatiques, de leurs impacts en cas de défaillance, ne peut se faire que si ces actifs sont parfaitement identifiés et contrôlés.
• La gestion des incidents, problèmes : la CMDB abrite des informations essentielles pour identifier les éléments de configuration et leur associer des solutions les plus efficaces et efficientes possibles en cas de défaillance.
• La gestion de la disponibilité : seule une CMDB à jour offre la possibilité d’identifier les éléments de configuration qui présentent un risque.
Enfin, la relation entre la CMDB et les processus de gestion des changements et de mise en production est synergique et dynamique. Ces processus ne fonctionnent correctement que si les informations sur l’infrastructure sont coordonnées et cohérentes. En outre, un contrôle des changements ne peut être efficace que si le contrôle de la configuration fonctionne de façon optimale.
Les auteurs d’ITIL V3 insistent lourdement sur le fait qu’uns bonne CMDB doit d’abord être conceptualisée et définie, avant d’être outillée. En effet, rien ne sert d’imposer une solution toute faite, alors qu’il existe des données précieuses que la CMDB peut reprendre. Et pour les utiliser à bon escient tout en évitant de la résistance au changement, il faut d’abord faire preuve de méthode. C’est tout le concept de CMS, propre à la V3 d’ITIL.
C’est dans cet esprit que travaille ISC (International Software Company), en proposant la solution E-GEN/SKD (Service Knowledge Designer). Plus qu’un logiciel, E-GEN/SKD est avant tout une méthode de définition, de consolidation et de contrôle d’une CMDB fonctionnelle.
E-GEN / SKD : une solution cohérente et visionnaire
Tous les processus liés à la gestion des services s’appuient sur la CMDB. Ainsi, une CMDB imprécise et confuse n’apportera pas le niveau de qualité et d’optimisation attendu. Les processus de gestion des incidents et des problèmes n’apporteront pas une aide efficace aux utilisateurs. Les processus de gestion des changements et des mises en production risquent de modifier à tort, et à perte, des éléments de configuration. La gestion financière des services aura une vision parcellaire des coûts et des dépenses, au risque de fournir des prestations non rentables. Une telle mise en oeuvre d’ITIL conduirait certainement à des dérapages organisationnels et financiers.
Une mise en oeuvre complexe
De nombreux projets de mise en oeuvre de CMDB à travers le monde ont finit par échouer. Généralement la raison majeure est une absence ou une erreur de méthode à l’origine du projet. En effet, beaucoup d’entreprises se jettent dans la construction d’une CMDB sans réflexion préalable.
Une solution visionnaire
Au-delà du pur respect des meilleures pratiques d’ITIL et de la norme ISO 20000, E-GEN/SKD se présente comme un précieux allié d’aide à la décision dans le choix de l’outil de gestion de CMDB le mieux adapté au métier de chaque organisation.
E-GEN/SKD est la première solution de modélisation et de définition des règles d’intégration du marché. C’est un outil d'aide à la conception fonctionnelle d'une CMDB. Dans le cadre d'un Projet de mise en place de CMDB, E-GEN/SKD permet aux différents acteurs de concevoir la structure logique de la CMDB idéale, de définir ses règles d'intégration et son interface utilisateur.
Le modèle de CMDB ainsi conçue est un modèle de CMDB idéale qui donnera la possibilité de construire une CMDB réelle dans l’outil le mieux adapté disponible sur le marché. La documentation produite à partir de la définition idéale permettra ainsi de mettre en oeuvre la CMDB réellement choisie par l'utilisateur.
E-GEN/SKD découpe le Projet en plusieurs étapes et vérifie, lors du passage d'une étape à l’autre, que les règles de cohérence de la CMDB idéale sont respectées.
Au-delà de ces contrôles, le Directeur de Projet et un ou plusieurs Concepteurs doivent marquer leur accord sur les propositions faites par les autres acteurs du Projet, chaque Acteur ayant un rôle précis défini.
Capitaliser sur l’existant
Une CMDB simple et efficace doit pouvoir gérer l’ensemble des fonctions opérationnelles existantes, afin de capitaliser dans un premier temps sur les connaissances disponibles. Les informations doivent être mises en relation pour s’afficher de manière cohérente ce qui est rarement le cas.
La philosophie d’E-GEN/SKD consiste alors à rendre cohérent l’ensemble des informations déjà disponibles sur la composition de l’infrastructure informatique. Néanmoins, ces informations sont souvent réparties dans des bases autonomes (cartographie applicative, base d’inventaire, répertoire d’inventaire, gestions administratives et financières des actifs, etc.).
En se basant sur les données existantes, E-GEN / SKD donne la possibilité de modéliser la CMDB à mettre en oeuvre. En procédant ainsi, l’organisation s’inscrit dans la continuité en évitant la mise en place d’un logiciel qui bouleverserait les structures existantes.
Cette démarche présente l’avantage de ne pas se lancer à l'aveugle dans la mise en oeuvre d’une solution logicielle, sans avoir au préalable défini les grands axes stratégiques et tactiques, inhérents à la mise en oeuvre d’une CMDB. En effet, chaque organisation possède déjà des informations sur sa configuration d’infrastructure, sa gestion des actifs, ses relations entre les éléments de configuration, etc. L’application de la méthode E-GEN/SKD offre la possibilité de créer un référentiel du système d’information à partir des données existantes, en consolidant et en rendant cohérent l’ensemble des informations utiles. La CMDB finale intégrera uniquement les données pertinentes, que les utilisateurs finaux ont l’habitude d’utiliser.
Une méthode rigoureuse
Pour cette raison E-GEN/SKD s’appuie sur une méthode rigoureuse et fiable en huit points. Cette méthode est issue d’expériences de terrain, fait preuve de pragmatisme et a déjà permit à plusieurs grandes organisations de réussir leurs projets de mise en oeuvre de CMDB.
La Méthode en huit étapes
La méthode couvre l’ensemble des activités de définition, consolidation et de contrôle d’une CMDB. La première étape, essentielle, consiste à définir les l’ensemble des acteurs et le périmètre du projet : quels seront les processus traités ?
E-GEN/SKD définit la structure initiale de la CMDB selon le concept STAR :
• Statuts,
• Traçabilité,
• Attributs,
• Relations.
Après avoir défini la stratégie de son projet d’entreprise, l’organisation doit mettre en oeuvre une collaboration efficiente entre l’équipe projet et les différents contributeurs. Ceux-ci viennent d’horizons différents, par exemple des métiers, de la production, des études, de la finance, des environnements ouverts ou gros systèmes, du réseau comme du monde applicatif. L’ensemble des profils suivants contribuent ainsi à la création de la CMDB, en fonction de leur expérience, de leurs connaissances et de leurs besoins :
• Directeur de projet
• Concepteur
• Responsable de processus
• Contributeur
• Architecte
• Intégrateur
• Responsable de la Sécurité
• Concepteur des écrans
• etc.
E-GEN/SKD permet aussi de définir des profils d’utilisation, afin de proposer aux acteurs concernés des informations pertinentes et fiables.
De la modélisation à la concrétisation
Le schéma suivant représente le positionnement d’E-GEN/SKD dans un projet de mise en œuvre de CMDB.
Une solution intégrée et économique
E-GEN/SKD génère en natif le code de paramétrage des CMDB du marché (BMC, CA, HP, IBM …).
Il génère également automatiquement au fil de l’eau du projet, un guide utilisateur et des informations sur la structure de la CMDB.
Ainsi, ISC propose une solution centralisée d’un accès facile, partant de la collecte des besoins jusqu’à la production des documents de spécification fonctionnelles et techniques, en passant par la définition du modèle et des règles d’intégrations d’une CMDB. Fort de cette démarche, une réduction des coûts de production est évidente avec un retour sur investissement envisageable dès la première année.