7. Boîte à outils du comité de direction

Mode de lecture

IngénieurDécideur

Cette dernière leçon rassemble les outils pour passer de l’analyse à la décision : convaincre, répondre, s’entraîner.

Le pitch en cinq diapositives

Cinq diapositives, dix minutes, une décision demandée. Chaque diapositive a un titre imposé, un chiffre et une consigne.

Diapositive	Titre	Chiffre à afficher	Consigne
1. Le problème	le coût des incidents sur douze mois	€ et heures perdues, avec une fourchette basse et haute	en langage de DAF, sans jargon ; le chiffre tient en une ligne
2. La solution	l’architecture cible	investissement et coût annuel	un schéma simple, trois composants au plus, le périmètre de la phase 1
3. Le retour	gains et coûts sur trois ans	ratio gains sur coûts, délai de récupération en mois	un graphique, deux chiffres ; les hypothèses en annexe, pour les questions
4. La conformité	les mesures démontrables	mesures NIS2 démontrables sur dix	l’exposition réglementaire présentée comme un risque, pas comme un gain
5. La demande	budget, équipe, calendrier	budget de la phase 1, effectif	une décision claire : oui, non, ou oui sous conditions, avec la date de la prochaine revue

Commencez par une phase 1 à trois mois avec un point d’étape avant d’engager la suite : un comité accepte plus volontiers une première marche qu’un programme entier.

Dix objections fréquentes

Pour chacune : une réponse directe, le chiffre à préparer à partir de vos données et une relance qui ramène vers la décision. Ne récitez pas : repérez avant le comité les deux ou trois objections les plus probables compte tenu des personnes présentes.

1. « Nous avons déjà un outil, pourquoi changer ? » Il ne s’agit pas forcément de changer d’outil, mais d’en tirer davantage et d’en maîtriser le coût. Chiffre à préparer : l’usage réel des licences (modules activés, utilisateurs actifs, données jamais consultées). Relance : accepteriez-vous un audit d’usage de deux semaines avant le prochain renouvellement ?

2. « Le budget de l’année est bouclé. » Le projet peut démarrer à budget constant en supprimant les outils redondants ; le budget additionnel n’intervient qu’une fois les premiers gains constatés. Chiffre à préparer : le coût annuel des outils redondants que vous avez identifiés. Relance : peut-on lancer la rationalisation maintenant et arbitrer la suite à l’automne ?

3. « Nous sommes trop petits pour NIS2. » Le champ dépend du secteur et de la taille. La directive vise en général les entreprises moyennes et grandes des secteurs listés. Une entreprise hors champ peut en outre se voir imposer les mêmes mesures par ses clients, au titre de la sécurité de leur chaîne d’approvisionnement. Chiffre à préparer : votre qualification écrite par le juridique et la liste des clients qui vous demandent déjà ces mesures. En France, l’ANSSI estime qu’environ 15 000 entités seront concernées. Relance : avons-nous demandé à nos principaux clients de préciser par écrit leurs exigences ?

4. « C’est un sujet technique, pas un sujet de comité de direction. » Ses conséquences sont financières et réglementaires et NIS2 rend les organes de direction responsables de la supervision des mesures de cybersécurité. Chiffre à préparer : le coût d’une heure d’arrêt de votre principal système. Relance : pouvons-nous dire, ce matin, combien nous coûte une heure d’arrêt de ce système ?

5. « Attendons de voir ce que font nos concurrents. » Attendre a un coût invisible : chaque mois expose à un incident détecté tard et à une exigence client non tenue. Chiffre à préparer : le coût mensuel moyen de vos incidents. Relance : reporteriez-vous d’un an un projet dont le délai de récupération est de quelques mois ?

6. « Nous verrons après la migration vers le cloud. » La migration est justement le moment où l’observabilité devient indispensable : sans instrumentation définie avant, on recrée les mêmes angles morts et l’on ne peut même pas comparer avant et après. Chiffre à préparer : vos niveaux de service actuels, mesurés, qui serviront de référence. Relance : peut-on inscrire l’observabilité comme prérequis dans le cahier des charges de la migration ?

7. « Pas un outil de plus, nous en avons déjà trop. » L’objectif est d’en retirer : une collecte unifiée remplace plusieurs outils spécialisés et réduit les allers-retours entre consoles. Chiffre à préparer : l’inventaire de vos outils de supervision et leur coût. Relance : peut-on faire cet inventaire avant d’arbitrer ?

8. « L’équipe n’a pas les compétences. » Les compétences se construisent pendant la mise en œuvre ; l’alternative est une dépendance durable à un prestataire. Chiffre à préparer : le coût d’un plan de formation interne comparé à celui d’une infogérance sur trois à cinq ans, sur devis réels. Relance : préférez-vous investir une fois dans les compétences, ou payer chaque année pour ne pas les avoir ?

9. « Si on le fait, il faut que ça marche partout, tout de suite. » Un déploiement d’un seul coup cumule les risques et repousse les premiers résultats. Une phase 1 sur un périmètre critique, étendue ensuite par étapes, donne des résultats mesurables en quelques mois. Chiffre à préparer : le périmètre de la phase 1 et les gains que vous en attendez. Relance : peut-on démarrer sur un domaine critique et décider de l’extension au bilan de la phase 1 ?

10. « Pourquoi ne pas attendre que l’IA automatise tout ? » L’AIOps ne fonctionne que sur des signaux propres, cohérents et étiquetés : l’observabilité en est le prérequis. Chiffre à préparer : la couverture actuelle de vos services critiques et la cohérence de leurs étiquettes. Relance : peut-on traiter l’observabilité comme la fondation de notre stratégie d’IA ?

Soixante questions pour votre comité de direction

Ce sont les questions qu’un DSI devrait pouvoir poser à sa direction, ou auxquelles il devrait pouvoir répondre sans notes. Relisez-les chaque trimestre : celles dont la réponse a changé, ou n’est plus tenable, signalent une dérive plus sûrement qu’un tableau de bord.

Budget et économie

1. Quelle part du chiffre d’affaires représente notre budget informatique ? Comparez à une étude sectorielle récente et citez-la.
2. Combien coûte une heure d’arrêt de notre principal système ? En marge perdue, avec le DAF. S’il n’y a pas de réponse, c’est déjà une conclusion.
3. Quelle part du budget d’observabilité va aux licences, quelle part aux personnes qui exploitent ? Des licences très lourdes peuvent signaler des outils payés mais pas exploités.
4. Quel est le retour mesuré de notre dernier grand projet informatique ? « Pas mesuré » est acceptable une fois, pas deux.
5. Combien d’outils de supervision payons-nous ? Dressez la liste exhaustive : les doublons apparaissent vite.
6. Quelle trajectoire de dépense de licences sur trois ans ? Vérifiez les clauses d’indexation des contrats.
7. Combien nous coûtent les alertes inutiles ? Heures perdues multipliées par le coût chargé ; le simulateur de fatigue d’alerte fait le calcul.
8. Quelle est notre dépendance à notre principal éditeur ? Si une grande part du budget outillage part chez un seul fournisseur, écrivez un plan de réversibilité.
9. Avons-nous chiffré la valeur des incidents évités ? C’est le chiffre qui manque toujours et celui qui fait passer la conversation du coût à la valeur.
10. Quel est le rapport entre le temps consacré à la fiabilité et celui consacré au développement ? Le temps de fiabilité économise souvent du temps de développement perdu en incidents.
11. Quelle part du budget va au maintien, quelle part à la transformation ? Suivez la tendance d’une année sur l’autre.
12. Que ferions-nous si notre principal fournisseur augmentait ses prix de 30 % ? Une réponse à préparer à froid, pas à improviser.

Architecture et technique

13. Quelle est notre architecture cible d’observabilité à trois ans ? Un schéma d’une page, arbitré en comité, pas décidé par une seule personne.
14. Sommes-nous dépendants d’un seul éditeur ? Identifiez les verrous contractuels et techniques.
15. Nos données de supervision sortent-elles de l’Union européenne ? Cartographiez flux et localisations, documentez la base légale.
16. Avons-nous un plan de réversibilité pour chaque solution majeure ? Écrit, daté, testé au moins une fois.
17. Comment versionnons-nous nos configurations d’observabilité ? Si elles vivent seulement dans des interfaces, elles sont fragiles.
18. Quelle part de notre instrumentation est en OpenTelemetry ? C’est votre indicateur de réversibilité.
19. Saurions-nous que la plateforme d’observabilité elle-même est tombée ? La supervision de la supervision est souvent absente.
20. Corrélons-nous métriques, logs et traces ? Un outil par signal, sans lien, ralentit chaque diagnostic.
21. Observons-nous l’informatique industrielle ? Pour les industriels, la convergence avec l’OT impose ses protocoles (Modbus, OPC UA, MQTT).
22. Chaque application critique a-t-elle des SLO documentés ? Un SLO non écrit est un espoir.
23. Combien de temps faut-il pour instrumenter une nouvelle application ? Mesurez-le ; c’est un indicateur de maturité de la plateforme.
24. La plateforme d’observabilité tient-elle un fort pic de trafic ? Testez-la en charge : elle doit tenir pendant l’incident qu’elle observe.

Conformité et réglementation

25. Sommes-nous entité essentielle, importante ou hors champ de NIS2 ? Une qualification écrite, datée, signée par le juridique.
26. Combien des dix mesures de l’article 21 sont démontrables par des preuves ? L’autoévaluation distingue « en place » et « démontrable ».
27. Quand avons-nous testé notre plan de continuité pour la dernière fois ? La continuité fait partie des mesures de l’article 21 ; un plan jamais testé ne prouve rien.
28. Saurions-nous émettre une alerte précoce sous 24 heures ? Avec un modèle prérempli, testé en simulation.
29. Sommes-nous concernés par DORA, directement ou comme prestataire du secteur financier ? Vérifiez les clauses de vos contrats clients.
30. Avons-nous inventorié nos systèmes d’IA et leur niveau de risque ? Les systèmes à haut risque de l’annexe III de l’AI Act sont soumis à leurs obligations au 2 décembre 2027 ; l’inventaire se fait maintenant.
31. Le Cyber Resilience Act nous concerne-t-il ? Si nous mettons des produits numériques sur le marché, le signalement des vulnérabilités exploitées s’applique depuis le 11 septembre 2026.
32. Nos journaux d’audit sont-ils immuables et leur durée de conservation justifiée ? Une immuabilité démontrable, pas affirmée.
33. Notre RSSI peut-il rendre compte indépendamment de la DSI ? Une question de rattachement et d’indépendance, à trancher par la direction.
34. Nos contrats fournisseurs comportent-ils des exigences de sécurité ? La sécurité de la chaîne d’approvisionnement fait partie de l’article 21.
35. Que nous demande notre assureur cyber ? Ses questionnaires portent souvent sur la détection et la journalisation.
36. La direction a-t-elle suivi la formation que NIS2 lui impose et comment supervise-t-elle les mesures ? C’est l’article 20.

Équipe et organisation

37. Combien d’ingénieurs fiabilité avons-nous pour nos développeurs ? Un ratio trop faible transforme les SRE en pompiers.
38. Notre astreinte est-elle correctement dimensionnée ? Comparez aux repères de la leçon 5.
39. Quel est le taux de départ sur nos postes SRE et sécurité ? Un taux élevé signale un problème de management ou de rémunération.
40. Avons-nous un plan de formation continue chiffré et suivi ?
41. Qui répond, au sens du RACI, de la disponibilité de notre principale application ? Une personne, pas une équipe.
42. Nos astreintes sont-elles compensées et les heures hors temps de travail mesurées ? C’est une obligation légale en France autant qu’un sujet de management.
43. Avons-nous une charte de post-mortem sans blâme, écrite et appliquée ?
44. Combien de projets majeurs notre équipe d’observabilité mène-t-elle en parallèle ? Au-delà de deux ou trois, tout s’allonge.
45. Qui décide de passer en mode dégradé pendant un incident ? Un rôle désigné, pas une escalade improvisée.
46. Avons-nous une matrice des compétences, revue chaque année ?
47. Notre culture autorise-t-elle l’erreur ? Posez la question aux équipes, pas à l’encadrement.
48. Avons-nous un rituel régulier entre DSI et direction générale ? Revue mensuelle, point trimestriel, bilan annuel.

Valeur métier et pilotage

49. Quels sont les trois indicateurs métier qui dépendent directement du SI ? Ils doivent figurer dans le tableau de bord de direction.
50. Savons-nous détecter en temps réel une dérive métier (commandes, paniers, production) ?
51. Nos directions métier ont-elles un tableau de bord sur leur domaine ? Partager crée de l’alignement.
52. Savons-nous anticiper les pics d’activité et dimensionner en conséquence ?
53. Combien de temps passons-nous à répondre aux demandes d’audit ? Si c’est long, la preuve n’est pas produite en continu.
54. Avons-nous identifié les signaux faibles qui précèdent nos incidents majeurs ? Voir la leçon 6.
55. Notre observabilité couvre-t-elle l’expérience de l’utilisateur final ? Mesure côté navigateur, tests synthétiques : sans eux, on voit l’infrastructure, pas le client.
56. Savons-nous attribuer le coût du cloud et de l’observabilité par domaine métier ?
57. Comment nous situons-nous par rapport à notre secteur ? Appuyez-vous sur un comparatif sourcé, ou dites que vous n’en avez pas.
58. Nos métiers savent-ils combien de temps ils tiennent sans chaque système critique ?
59. Rendons-nous la dette technique visible ? On ne rembourse pas une dette qu’on ne mesure pas.
60. Que ferions-nous dans les deux heures si notre système principal tombait entièrement ? Sans scénario écrit et testé, la réponse honnête est : nous improviserions.

Simulation de salle de crise

Un exercice de trente minutes pour éprouver, sous pression, ce que les leçons ont construit.

Scénario (fictif)

Vendredi, 16 h 42. La plateforme de commande est indisponible. La perte est estimée à 15 000 € par minute. Trois équipes sont mobilisées. L’incident est susceptible d’être important au sens de NIS2, avec une alerte précoce à émettre sous 24 heures. La direction générale demande un point dans l’heure.

Volet	Objectif	Leçon
Détection	trouver la cause à partir des métriques, logs et traces	1, 6
Conformité	préparer l’alerte précoce à l’autorité compétente	2
Gouvernance	activer le RACI et les rôles d’incident	3
Communication	préparer le point de cinq minutes pour la direction	7

Grille d’évaluation (sur 15 points)

Critère	3 points	2 points	1 point
Délai de détection	moins de 5 minutes	moins de 15 minutes	plus de 15 minutes
Alerte précoce	complète	incomplète sur un point	non préparée
Activation du RACI	immédiate	en moins de 10 minutes	au-delà
Communication à la direction	anticipée	à la demande	absente
Coordination des équipes	fluide	correcte	confuse

Au-delà de 12 points, l’organisation tient la crise. Entre 8 et 12, revoyez les procédures. En dessous de 8, une formation ciblée à la gestion de crise s’impose. Dans les trente jours : un atelier sur les rôles et les escalades, la mise à jour de la procédure d’incident avec les étapes de notification et une simulation chaque trimestre.

L’exercice fil rouge

En formation, chaque participant construit au fil des leçons un plan stratégique d’observabilité pour son organisation, puis le présente en dix minutes.

Étape	Leçon	Contenu
1. Diagnostic	3	cartographier l’existant, se situer sur la grille de maturité
2. Business case	1	coût des incidents, gains, ROI, délai de récupération
3. Conformité	2	qualification, autoévaluation NIS2, actions prioritaires
4. Roadmap	3	phases, RACI, gains rapides, jalons à 3, 6 et 12 mois
5. Pilotage	6	indicateurs de direction, maquette du tableau de bord
6. Pitch	7	cinq diapositives, retours croisés, plan d’action à trente jours

Journal de Laurent Moreau, épilogue (fiction)

Octobre 2026. Laurent est toujours DSI d’Helinord. Son équipe est passée de quinze à dix-sept personnes, sans compter les deux alternants. La plateforme a été mise en service par étapes : premiers gains rapides à l’été 2025, plateforme complète en exploitation depuis décembre 2025, soit dix mois. Le tableau de bord de direction est revu chaque mois. Sur la grille de maturité de la leçon 3, la moyenne des six dimensions est passée de 1,8 à 2,9. L’objectif de 2027 est d’atteindre le niveau 3 partout.

À un confrère qui lui demande comment il a fait, il répond en quatre phrases. Commencer par mesurer le coût des incidents, pas par choisir une solution. Traiter la conformité comme un produit de l’observabilité, pas comme un chantier parallèle. Construire le RACI avec l’équipe, jamais contre elle. Présenter un bilan qui inclut les échecs.

Les deux projets qu’il n’a pas menés à bien, la migration de Cambrai et la plateforme en libre-service, sont dans la roadmap 2027. Il dit qu’il aurait dû les séquencer autrement et qu’un plan qui tient dix-huit mois vaut mieux qu’un plan qui s’effondre au bout de six.

Pour aller plus loin

• Le quiz du parcours.
• Les parcours par profil et l’auto-diagnostic de maturité.

Marquer comme lue

PasserellesCe que cette page change au-delà de l'équipe technique.

BusinessValeur, coût, risque

Chaque objection se prépare avec un chiffre tiré de vos propres données, pas d'une étude générique : c'est ce qui la rend crédible devant un DAF.

OrganisationQui décide, qui possède

Les soixante questions servent de revue trimestrielle : celles dont la réponse a changé, ou n'est plus tenable, signalent une dérive.

HumainÉquipes, astreinte, compétences

La simulation de salle de crise entraîne les rôles, les escalades et la communication sous pression, avant le vrai incident.

MétiersProduit, finance, risque, relation client

Le pitch se termine par une décision demandée, datée et chiffrée : le format que les directions générales attendent pour trancher.

Pourquoi des passerelles →