20 years later… the situation is totally different and security has taken on a whole new dimension in companies. The figures speak for themselves: in France, there is an average of 1 security FTE per 500 to 3,000 employees, with an average of around 1 per 1,000. Some financial players can even reach record ratios of 1 per 200 by integrating the different lines of defence. I’ll let you do the math: this quickly represents several hundred, even thousands of employees! ISSM are therefore now in charge of a plethoric and highly diversified workforce. The historical experts have been joined in recent years by loads of Project Managers, PMO, COO, Program Managers, and even sometimes by specialized buyers and HR, who are gradually learning to work together. Like a sports coach, the CISO now has to deal with such a workforce and find the right organization, the right game system to get results.

NO REVOLUTION, THE FUNCTIONAL SECTOR REMAINS THE NORM

The reasons for reorganizing are always broadly the same: lack of control, a feeling of inefficiency, diffuse responsibilities… and the work involved in reorganizing can seem colossal. This leads some CISO to very quickly consider disruptive solutions, and in particular the idea of grouping all security resources into a single, hierarchical team. Let’s not waste time and let’s be very clear: in 95% of cases, this solution is not chosen. Such a move simply presents too many risks of excluding the security function, which is difficult to reconcile with the need for business proximity for certain activities: support for business projects, raising awareness among specific populations, budget negotiations, etc. The functional channel remains the norm: a central team and relays (local CISO, security correspondents, etc.) spread throughout the organization. However, some industrial players have recently moved towards centralisation, but the move is more motivated by a desire to bring together cybersecurity resources with the security team, which is particularly mature in this sector.

The attachment of the CISO also remains an element of debate, which has been widely relayed and commented on for years. CIO, Risk Management, Financial Management, CEO… it sometimes seems as if it’s a race to see who will be the highest in the hierarchy! But contrary to popular belief, there is not necessarily a trend in the field towards the exit of the IT department. Quite the contrary: 3 out of 4 CISO report to the CIO in large companies and most reorganizations lead to such an affiliation. The reason is simple: it is often an excellent place to be in action, to make progress on issues and to obtain a budget! Warning: for those who decide to be attached to a different department, remember that 80% of a cybersecurity budget falls within the scope of the IT department. It is therefore essential to nurture a quality relationship between the CISO and the CIO. I have witnessed a few power struggles in recent years, and it is rarely the CISO who wins

That’s it… we’ve got the basic principles: a functional network, often attached to the CIO, with CISO in the company’s main areas of activity. The task now is to distribute all the cybersecurity activities within this organization, and there are many of them: policies, studies, awareness-raising, the Cybersecurity Program, project support, audits, SOC, CERT, etc.

BREAKING DOWN SILOS AND SEEKING OPERATIONAL EFFICIENCY

As a service provider, I can testify to this: it is quite common to be solicited several times for the same study within a Key Account, in several different entities. This is quite understandable: in a pipeline model, each entity/country has a safety team, and without clearly established rules of the game, local management often has the reflex to reinforce its team at the slightest need (specific study, audit results, etc.). This is the whole trap of a sector: it has many advantages but creates complexity and redundancies. And believe me, when the Group CISO finds himself explaining to top management why the company has 3 SOC and 4 incident response units… it’s rarely the best meeting of the day ;-).

In order to avoid such situations, the trend is towards the pooling of expertise and the creation of central cybersecurity service offerings. In very concrete terms, this means that many organizations are pooling 1. cybersecurity expertise (studies, innovation, awareness-raising, etc.) 2. Detection and response (SOC, CERT, crisis exercises, Threat Intel, etc.) 3. Audits and controls (slopes, redteam, code analysis, etc.) 4. Project management and PMO (reporting, PMO, communication…). Add a governance and strategy entity, and you are not far from getting the organization chart of many Group CISO! Note that there are alternatives: some organisations opt for a distributed model, consisting of distributing services across entities (for example: the USA is now in charge of the intrusion test service for the entire company), and very large companies often opt for the creation of intermediate Hubs (by region, by business line…) delivering these services. Regardless of the organisation chosen, this consolidation movement is underway: it is estimated that around 40% of the sector’s employees work on activities with a cross-functional scope… and the increase has been exponential in recent years.

This move towards centralisation frees up local teams (CISO or business/country/entity correspondents) who can thus consume services and refocus on activities requiring close proximity to their businesses: risk assessment, integration of security in projects, security revenues, etc. In the security sectors, this is where we still find the bulk of the workforce (easily 30 to 40%)… but this situation is very probably temporary! The widespread use of agile technology has a direct impact on these teams, who find themselves changing jobs from one day to the next because they are projected into the Feature Teams to train, coach and equip “Security Champions” who are gradually gaining in autonomy. Result: local CISO are also industrializing and organizing their teams into service centers for these Feature Teams (development standards, code review, analysis methods…) Follow my eye: the spectre of a single, centralized security team is likely to resurface quite quickly in the debates… and it is the agile transformation that accelerates the process!

IT IS NOW POSSIBLE TO MAKE A CAREER IN A SAFETY FIELD

We have widely commented on this: some security channels have gone from a few dozen people to several hundred or even thousands in the space of a few years. Of course, this requires a bit of organisation… but it is also a great opportunity for all the employees in the sector! Project management, team management, expertise, communication… very few sectors offer such diversity, and the situation is ideal for attracting and retaining talent. I can only recommend that you take advantage of a cyber-security reorganization to highlight this wealth and work on skills management: salary alignment, re/up-skilling, training/certification plans, individual responsibilities, mobility processes… there are many topics to be addressed to boost well-being and enable employees to build a full and rewarding career within the industry!

Cet article Organize or reorganize the security sector of a large company – Feedback est apparu en premier sur RiskInsight.

Cet article Organiser ou réorganiser la filière sécurité d’une grande entreprise – retours d’expérience est apparu en premier sur RiskInsight.

Si chaque situation de crise est unique, il est aujourd’hui nécessaire pour chaque établissement de se préparer à toutes les éventualités en travaillant sur l’amélioration des dispositifs de crise, l’efficacité collective des membres des cellules, l’acquisition d’outils d’alerte, la simplification des procédures et check lists de crise et la préparation des environnements.

AVANT : PRÉPARER SON ENVIRONNEMENT DE GESTION DE CRISE

Comment être efficace en situation de crise si un téléphone, une audioconférence ou une visio-conférence ne fonctionne pas (ou qu’on ne sait pas activer), un PC portable ou un smartphone n’a plus de batterie, un annuaire de contacts est indisponible ou non mis à jour, la messagerie ou une application est inaccessible ? Une salle de crise trop petite ou non climatisée fera monter la température, au sens propre comme au sens figuré…

Ces désagréments sont autant de facteurs de stress supplémentaires et font perdre du temps lorsqu’on a des décisions à prendre ou une coordination à assurer. Pourtant ces problèmes logistiques sont simples à éviter : l’équipement des salles de crise doit être régulièrement homologué et utilisé par les membres des cellules de crise en condition réelle, des manuels simples d’utilisation doivent être prévus, disponibles et tenus à jour.

Nous constatons après près de 15 années d’exercice de crise, que des procédures de gestion de crise très complètes sont de faible utilité en pilotage de crise. Les crises actuelles sont de plus en plus stressantes, elles catalysent les émotions et paralysent les capacités des managers ; la simple lecture d’une consigne d’une page est compliquée ! Seules des check listes très synthétiques et opérationnelles (aussi appelées fiches réflexes), décrivant le rôle de chacun et régulièrement utilisées permettront de fournir un cadre adéquat à la cellule de crise pour gérer un événement majeur.

PENDANT : S’ORGANISER ET RÉDUIRE LES « BRUITS »

L’organisation même de la cellule de crise est essentielle pour faire face aux pressions liées au  planning des parties prenantes, aux médias… Il est nécessaire d’organiser la cellule de crise et les canaux de communication de telle manière à :

• Avoir une composition et une répartition des rôles cohérente et adaptée à la situation de crise à gérer ;
• Fournir le bon niveau d’information fiable aux membres de la cellule de crise ;
• Réduire les « bruits parasites ».

Avant de se lancer dans la gestion de la crise, la cellule de crise doit prendre les quelques minutes nécessaires pour fixer son organisation et son mode de fonctionnement : adaptation de la composition aux événements (mobilisation d’experts internes ou externes en fonction de la nature de la crise), rappel des rôles de chacun. La répartition de rôles dès l’entrée en crise (pilote de crise, secrétaire de séance, chargé du suivi des décisions et plans d’actions, sous-cellule communication, sous-cellule anticipation…) permet d’organiser et fiabiliser la gestion de crise : c’est la condition sine qua none pour que les périmètres de chacun des acteurs soient maîtrisés et respectés. Il devient indispensable de prévoir une fonction voire une sous-cellule d’anticipation dont le rôle sera de réaliser une prise de recul sur les événements, d’anticiper les pires scénarios et de proposer les actions à mener pour y faire face.

Une fois ce rappel réalisé il est possible de réaliser le briefing de la situation qui permet de mener de bout en bout un diagnostic complet (analyse des impacts, identification des parties prenantes directes et indirectes, pièges à éviter…).

Des points de situation réguliers permettent la prise de décision coordonnée. Ces points doivent être formalisés dans un document qui peut ensuite être utilisé comme un outil de pilotage, pour le suivi des décisions et les relances des actions à mettre en oeuvre. En définitive la prise de décision se fait toujours dans l’incertitude puisque la cellule de crise dispose rarement de toutes les informations au moment voulu. Il est nécessaire d’établir et d’activer les canaux d’information (internes et externes sur les lieux de la crise) qui permettront à la cellule de crise de suivre la situation. Ces canaux permettront de réduire les risques d’asymétries d’information, de retards dans la prise de décision et d’oublis dans le suivi des plans d’actions qui sont autant d’éléments pouvant perturber la bonne gestion de crise.

Lors d’une situation de crise, de nombreux « bruits » viennent parasiter la gestion de crise :

• Le bruit au sens premier (appels téléphoniques en salle de crise notamment) qui a un impact direct sur le niveau de fatigue et de stress et représentent un danger pour la dynamique et la cohésion de groupe. Par exemple, il devient nécessaire de s’astreindre à une discipline pour ne pas se laisser déborder par le flux des appels téléphoniques en salle de crise et prendre les appels dans une autre salle.
• Le « bruit » au sens de la communication, généré par les médias et les réseaux sociaux lors d’une crise peut entraîner des perturbations et affecter les prises de décisions de la cellule de crise (infobésité, sur-médiation d’un événement entraînant une prise de décision hâtive, …).

APRÈS : CAPITALISER POUR S’AMÉLIORER

Pour tirer les leçons de l’expérience, toute convocation d’une cellule de crise doit donner lieu à un débriefing à froid, afin de mettre l’accent sur ce qui a bien fonctionné et ce qui nécessite d’être amélioré. Les plans d’actions mentionnent souvent de mettre à jour les procédures de gestion de crise, de contrôler l’équipement des salles de crise, de former les membres de la cellule de crise à la gestion de crise ou encore au media training.

Ces plans d’actions ne doivent pas rester lettre morte, au risque de reproduire les mêmes erreurs à la prochaine crise !

Cet article Comment se préparer à une crise ? est apparu en premier sur RiskInsight.

 Des équipes aguerries mais une fonction en péril ?

Premier grand enseignement de cette cuvée 2014 : les structures Organisation conservent leur place auprès des directions générales. Nombre d’entre elles ont su s’imposer dans un rôle de « tour de contrôle » des projets de l’entreprise. Les Organisateurs développent et diffusent la culture projet. Ils forment et accompagnent les directions Métiers, leur permettant davantage d’autonomie dans la réalisation et la conduite de leurs projets.

Image 1 : Missions de fonction Organisation – ORGASCOPE 2014

 Les compétences des équipes Organisation se sont étoffées. Cette diversification leur permet d’aborder une large palette d’interventions, au cœur de la transformation numérique et du multicanal. Pourtant, les organisateurs restent souvent confinés à des projets de déploiement d’outils, de « versionning », dans des contextes où la conduite du changement se limite à un habillage des procédures et des formations « de prise en main ».

Si les équipes se distinguent par une stabilité et une « séniorité » élevées. Cette situation qui paraît un avantage constitue un risque. Un décalage s’instituant entre l’Organisation senior et un réseau de distribution rajeuni. S’y ajoutent d’autres décalages potentiels avec les évolutions des usages relationnels, des modes de consommation d’une clientèle avide d’innovation. Sans oublier qu’à côté de l’Organisation, les directions de la transformation et du digital, très attractives et valorisées, font leur apparition dans les organigrammes et interviennent sur des problématiques très proches de ceux de l’Organisation.

Au final, la fonction Organisation expérimentée, compétente, efficace et efficiente, ne valorisant plus son action, risque de s’effacer progressivement et de perdre son importance dans l’entreprise.

Un désir d’avenir…orienté client

En quête de renouvellement la fonction doit dessiner son avenir. L’optimisation de la performance opérationnelle des structures demeure un axe privilégié d’intervention. Il faut éclater les silos, massifier les équipes, redistribuer les activités et faire progresser l’efficacité. Les outils maîtrisés par l’organisateur sont utiles pour mener un diagnostic pertinent, chiffrer les gains attendus et garantir leur concrétisation. En vitesse de croisière, l’organisateur sait transmettre aux managers les outils adaptés au pilotage. Cette contribution vaut tout autant pour les sièges que pour le réseau de distribution. Face à la réduction de la fréquentation du réseau physique, le maillage des agences est remis en cause, la charge de travail des conseillers et la répartition des activités entre le siège et le réseau également.

Autre corde à son arc, la conduite du changement dont le périmètre se limite plus à l’entreprise mais va inclure le client, ses appétences, ses évolutions, la transformation des modes de consommation. A elle de concevoir la stratégie du changement en amont des projets. En fonction de la nature des évolutions et du nombre de personnes impactées, l’Organisation pourra définir et déployer tout un panel d’actions, et par-delà les volets classiques communication et formation, généraliser de nouvelles pratiques.

Concrétiser la transformation numérique et le multicanal

 

Image 2 : facteurs d’évolution de la fonction – ORGASCOPE 2014

 Les responsables Organisation affichent une conviction : le multicanal, le numérique et l’innovation transforment en profondeur leur entreprise. La numérisation des parcours est la clé de l’optimisation de l’expérience client. En interne, la transformation des processus opérationnels – via l’automatisation des processus, la dématérialisation et la désintermédiation – vise la maîtrise des coûts.

Au carrefour de ces évolutions, l’Organisation a une contribution décisive. La mise en place d’une relation client multicanale nécessite un travail d’organisation en amont. L’expérience montre que la modification des processus et des structures doit précéder les déploiements des outils. L’Organisateur a les méthodes requises pour construire l’évolution des processus et des organisations. Il sait aussi repenser l’engagement des collaborateurs, en leur fournissant les outils de pilotage adaptés à l’évolution des métiers. Son implication est nécessaire pour que les considérables budgets liés à la transformation digitale et multicanal dégagent le retour sur investissement attendu.

Et si la fonction Organisation reste souvent synonyme d’une culture d’« alignement » en contradiction avec les démarches d’innovation, il n’en reste pas moins que l’innovation est un processus stratégique de l’entreprise. A ce titre, l’Organisation peut apporter sa vision transversale, aider à la construire, à la piloter. Les méthodes collaboratives, à l’œuvre dans les projets d’organisation, sont une des clés de la génération des idées d’innovation. La transformation des idées en projets puis en résultats opérationnels nécessite une méthode rigoureuse. Manager un portefeuille de projets, décider, mettre en œuvre et transférer aux opérationnels : autant de savoir-faire maîtrisés par les équipes Organisation et pleinement applicables au management de l’innovation.

Les résultats d’ORGASCOPE nous rendent confiants dans l’avenir de la fonction Organisation dans le tertiaire financier. Un avenir résolument tourné vers la satisfaction client et la transformation digitale, un avenir ancré au cœur de la stratégie des acteurs du tertiaire financier.

>> Pour lire les résultats complets d’ORGASCOPE 2014

Cet article La fonction Organisation dans la banque, derrière le calme trompeur, un avenir qui se prépare est apparu en premier sur RiskInsight.

Des missions au service d’une adoption progressive du Cloud

En mettant en place un incubateur Cloud, la DSI se donne les moyens de piloter la trajectoire et le rythme de la transformation qu’induit le Cloud. Elle peut aussi promouvoir l’usage des services Cloud qui permettront de combiner au mieux innovation, maîtrise financière et maîtrise technique du SI.

Dans ce cadre, l’une des priorités de l’incubateur est de se faire connaître, de promouvoir son action afin de capter au plus tôt les initiatives Cloud qui pourraient émerger. Ceci fait, son leitmotiv doit être de favoriser ces initiatives en facilitant le déploiement et l’intégration de ces nouveaux services dans le SI.

Pour cela, il doit jouer un rôle de conseil et de contrôle dans le cadre des projets, pour anticiper d’éventuels écueils techniques ou juridiques réels, mais aussi permettre de relativiser un certain nombre de risques ou de freins non justifiés.

Il diffuse également son expertise et ses retours d’expérience issus d’initiatives précédentes, pour sensibiliser les Métiers et les équipes de la DSI aux impacts du Cloud. Ceux-ci concernent aussi bien le SI (problématiques d’intégration et de réversibilité, décommissionnement de l’existant pour justifier le ROI de l’initiative…) que l’utilisation des services (limitations fonctionnelles liées à l’usage d’une solution standard, perte de maîtrise sur les processus d’évolution et de gestion des changements…).

Ensuite, en s’appuyant sur une veille marché active, il identifie les périmètres du SI éligibles au Cloud et promeut les nouveaux usages porteurs de valeur pour l’entreprise.

Enfin, il a vocation à préparer la transformation de la DSI et du SI pour passer à l’ère du Cloud. Il animera ainsi les réflexions autour des évolutions et de l’outillage nécessaires à la DSI pour maîtriser les impacts du Cloud sur les plans suivants : compétences et organisation, modèle économique et pilotage des coûts, garantie de la qualité de service et de la sécurité sans oublier la mise en cohérence et l’homogénéité du SI.

Si son action est efficace, l’incubateur favorisera un passage en douceur vers une gestion industrielle des services Cloud par les équipes de la DSI.

Une structure visible et agile…

Pour assumer pleinement son mandat, l’incubateur doit bénéficier d’un haut niveau de sponsorship et d’un rattachement transverse au sein de la DSI pour être légitime et connu des Métiers.

Il doit également avoir la capacité de mobiliser les ressources de la DSI, sans pour autant s’inscrire totalement dans le cadre des processus classiques de la DSI. Ainsi, il sera en mesure d’accélérer et de favoriser les  initiatives, en  particulier lorsque le service Cloud concerné est en phase d’expérimentation ou de pilote. C’est la seule façon pour l’incubateur de réussir à ancrer la DSI dans l’adoption du Cloud et la seule façon de démontrer la valeur ajoutée que la DSI peut apporter aux utilisateurs. À l’image d’une cellule « Innovation », c’est au travers de la réussite durable des initiatives qu’il aura accompagnées et du changement d’image de la DSI qu’il aura véhiculé que l’incubateur prouvera sa propre valeur et justifiera l’investissement qu’il représente.

…mobilisant de larges compétences regroupées sur quelques personnes

Afin de conserver l’agilité nécessaire, l’incubateur doit rester compact : 3 à 5 personnes. En revanche, le succès de l’incubateur repose avant tout sur la qualité du casting de ces personnes.

Pour mener à bien les missions de l’incubateur, les profils à cibler sont ceux alliant compétences IT larges et parfaite connaissance de l’entreprise et disposant d’un leadership fort pour promouvoir de nouveaux usages et de nouvelles pratiques. De tels profils sont généralement des ressources critiques et libérer une partie de leur temps pour qu’ils se consacrent à l’incubateur est un réel investissement.

Cet investissement est un impératif pour la DSI. Même si l’appel à de la prestation externe est envisageable pour apporter compétences techniques et connaissance des offres Cloud, il n’est pas suffisant pour assurer la maîtrise de l’organisation et de l’existant de l’entreprise.

Si les bonnes ressources ne sont pas disponibles en nombre suffisant, mieux vaut privilégier le caractère compact de l’équipe à la couverture exhaustive des compétences nécessaires.

Quelles actions pour débuter ?

La priorité doit être donnée à l’accompagnement des initiatives qui permettront d’obtenir des quick wins visibles par le Métier et aux actions de communication valorisant les apports du Cloud et de l’incubateur. C’est par ce biais que l’incubateur pourra réellement être l’avant-poste de la transformation induite par le Cloud.

Deux éléments nous semblent essentiels à produire immédiatement par l’incubateur : un kit de sensibilisation aux bénéfices et aux impacts du Cloud (paiement à l’usage, localisation des données, évolution des relations DSI / Métiers…) et le catalogue des services Cloud déjà déployés ou à venir.

Une chose est sûre, l’objectif n’étant pas de pérenniser son existence dans l’organisation, l’incubateur doit avancer vite et donner la priorité à l’action et non à la réflexion !

Cet article Aller vers le Cloud oui, mais comment légitimer la DSI ? est apparu en premier sur RiskInsight.

Dans ce cadre, nombreuses sont les DSI à transformer leur sous-traitance en mettant en œuvre des Centres de Services (CdS) en lieu et places de leurs régies.

Cela leur permet de dégager des gains économiques (mutualisation, industrialisation, massification…) et opérationnels (qualité, flexibilité…).

Nos retours d’expériences montrent que l’atteinte de ces gains n’est cependant pas automatique et doit être mise sous contrôle.

Mais comment optimiser la performance de mes centres de services ? Nommez un pilote et donnez-lui les moyens d’agir.

Le pilote garant de la performance de son centre de services

Le pilote est d’abord un facteur clé du succès de la mise en place d’un centre de services. Il s’assure que tout est mis en œuvre aussi bien chez le fournisseur qu’en interne pour garantir la qualité et la fluidité de la fourniture du service en régime stabilisé. Il s’assure également  de l’acquisition par le fournisseur des compétences nécessaires à la fourniture du service et  supervise la mise en place d’une gouvernance, de processus et de modes de fonctionnements adaptés. Enfin, activité trop souvent encore négligée, il s’assure de l’accompagnement du changement en interne vers les nouveaux modes de fonctionnements induits par les centres de services.

Le pilote est en quelque sorte le garant de la performance du centre de service dans la durée. Véritable relai entre les internes et le fournisseur, il donne de la visibilité au prestataire sur son plan de charge, lui permettant d’adapter son staffing pour une meilleure efficacité, partage mensuellement avec tous une vision globale de la performance du dispositif et conduit les plans d’amélioration de cette performance. Enfin, détaché des échanges opérationnels, il s’assure que tout est mis en œuvre pour qu’une relation de confiance durable se maintienne entre le fournisseur et les internes.

Donnez aux pilotes les moyens d’agir !

Pour tirer les bénéfices de ce nouveau rôle, la DSI doit professionnaliser ce dernier et l’inscrire pleinement dans son organisation.

Les pilotes s’appuient au quotidien sur des compétences avérées de pilotage d’engagements, sur des capacités relationnelles fortes mais également sur une somme de bonnes pratiques propres au fonctionnement des centres de services. La DSI doit ainsi faciliter l’acquisition de ces compétences et s’assurer de leur maintien sur la durée. Au-delà des nécessaires formations, il existe des dispositifs communautaires performants ; par ce biais, les pilotes se retrouvent pour bâtir une culture de pilotage commune.

Ensuite, le rôle et les missions du pilote de centre de service doivent être partagés par tous les acteurs de la DSI. Comme tout rôle transverse, il sera indispensable d’identifier et de partager avec tous les leviers d’actions du pilote, sans quoi il ne saura faire un travail efficace. La légitimité du pilote dans ses actions sera renforcée par la présence/formalisation de ce rôle dans l’organisation et dans les processus de la DSI.
En particulier, le partage des responsabilités entre la ligne managériale et les pilotes doit être clairement établi.

Enfin, le pilote doit pouvoir s’appuyer sur un outillage de qualité pour mesurer et partager la performance de son centre de services. L’automatisation du calcul des indicateurs et de la génération des tableaux de bord renforcent la qualité du pilotage et permettent au pilote de se consacrer à ses activités à plus forte valeur ajoutée.

Somme toute, créer un rôle de pilote, le professionnaliser et l’inscrire dans l’organisation d’une entreprise s’avèrent être de vrais leviers d’optimisation notamment en matière de  performance unitaire des centres de services. Mais, plus encore, ce pilote sera un relais précieux dans l’établissement d’une relation partenariale avec vos fournisseurs, garante d’une performance globale !

Cet article Pilote de centre de services : un rôle clé à professionnaliser est apparu en premier sur RiskInsight.

Ils espèrent ainsi bénéficier d’un apport de connaissances voire d’expertise pour spécifier, installer  et exploiter des solutions répondant aux besoins actuels et futurs de leur entreprise, d’une facilité d’adaptation aux évolutions du volume d’activité de leurs métiers et d’une flexibilité sur les modes d’intervention (activités 24/24, astreintes…), et aussi d’avantages économiques dus notamment à l’utilisation de processus industrialisés et d’équipes mutualisées.

Mais quels sont les écueils à éviter pour garantir au maximum la réussite d’une opération d’infogérance ?

Définir clairement ses besoins et son périmètre

Il est important, à la fois pour le client et le prestataire, de bien définir les besoins auxquels doit répondre la prestation d’infogérance : gains économiques, augmentation de la qualité de service rendue, flexibilité insuffisante des équipes internes, remplacement d’une infogérance existante qui ne donne pas satisfaction et sur quels points portent cette insatisfaction…

Le périmètre d’infogérance doit être particulièrement clair et déjà maîtrisé côté client. Il est très difficile d’infogérer une activité non encore industrialisée. Les ajustements réalisés en cours du projet de transition doivent rester non structurants. Ce périmètre doit être correctement documenté  (exhaustivité, complétude, pertinence) afin d’éviter la perte de connaissances critiques ou la nécessité d’un travail important durant la transition.

Ne pas sous-estimer la charge interne

Un projet de transition est un projet à part entière qui nécessite une équipe dédiée côté client.

Le dimensionnement de cette équipe est conditionné par le périmètre infogéré. L’intégration de certaines ressources clés est indispensable.

L’organisation de l’équipe doit parfois prendre en compte le mode de fonctionnement de l’infogérant, notamment lors de délocalisation à l’étranger.

Ne pas cumuler transition et transformation

Par ailleurs, le projet de transition ne doit être qu’un projet de transition. Ce n’est pas seulement une tautologie, mais un principe incontournable : il est crucial de ne pas cumuler transition et transformation.

Durant le projet de transition, un plan d’amélioration éventuellement associé à un plan d’actions peut être défini dans une optique de déploiement ultérieur.

Contrôler sans s’ingérer

Malgré une envie légitime, le client ne doit pas s’ingérer dans la constitution de l’équipe de l’infogérant. Dans la majorité des cas, l’infogérant a un engagement de résultat et non de moyen.

Le client doit travailler de façon rapprochée avec les ressources de l’infogérant qui sont en contact direct, c’est-à-dire le management et les équipes sur site.

Le client devra s’investir dans la préparation de la VABF (Vérification d’Aptitude au Bon Fonctionnement). Une attention sera d’ailleurs portée sur les moyens permettant de valider l’acquisition des compétences et la prise en compte des spécificités de l’environnement client. Une gouvernance rapprochée doit être mise en place durant la phase de VSR (Vérification de Service Récurrent). Toutes les réserves éventuelles doivent être notées et suivies d’un plan d’actions pour y remédier.

Infogérer une partie de la gestion de son SI reste une opération délicate. Mais suivre ces quelques bonnes pratiques vous évitera déjà de tomber dans certains écueils malheureux, notamment pendant la phase délicate de transition.

Cet article Comment réussir la mise en place d’un infogérant ? est apparu en premier sur RiskInsight.

Les DSI ont toujours eu à gérer des relations avec des fournisseurs, que ce soit pour l’achat de matériel informatique ou de prestations intellectuelles du type assistance technique de moyen terme. Elles cherchent cependant aujourd’hui de plus en plus à piloter et à maîtriser ces relations. Pour cela, elles créent depuis quelques années des cellules dédiées à la gestion des contrats avec les fournisseurs, nommées Vendor Management Office (VMO). Pourquoi les DSI ont-elles eu besoin de créer un VMO ? Quelles sont les bonnes pratiques à mettre en œuvre ? Quels gains peuvent-elle attendre et comment en piloter l’attente ?

Le VMO, conséquence de l’externalisation des services

Les évolutions des pratiques d’externalisation transforment les relations entre les DSI et leurs fournisseurs. En effet, l’Outsourcing, l’Offshoring ou encore les centres de service désorganisent le pilotage classique des fournisseurs. Par exemple, la transformation d’un contrat d’assistance technique en centre de service casse le modèle habituel de la relation client/fournisseur et introduit une distance entre les collaborateurs de la DSI et ceux du prestataire. La DSI se structure alors en équipes, chacune fournissant un service particulier. La cohésion entre la DSI et ces fournisseurs est plus difficile à installer ; ce qui introduit une distance dont le facteur impactant est plus le relationnel et l’humain que l’éloignement géographique. Une synergie entre DSI et fournisseur est toutefois possible si les bons mécanismes et les bons outils sont mis en place.

Instaurer le règne de la confiance au sein du VMO

Pour que la synergie s’installe, il est nécessaire qu’une équipe chapeaute la relation au niveau opérationnel. C’est cette même équipe qui pilotera globalement les interactions DSI/fournisseur. En effet, l’enjeu d’un VMO est de construire une relation de confiance entre la DSI et ses fournisseurs et de contrôler les services réalisés par ceux-ci. Dans un premier temps, il est essentiel de référencer les fournisseurs par catégorie. Idéalement, tous les fournisseurs sont pilotés au sein du VMO – bien que ceux considérés comme stratégiques dans le fonctionnement de la DSI aient une place plus importante. La rationalisation des fournisseurs est une étape primordiale pour améliorer le suivi. La catégorisation et la rationalisation facilitent :

• La mise en place d’une gouvernance partagée,
• La mesure de la performance de chaque fournisseur dans sa globalité,
• La refonte des contrats pour synthétiser et clarifier les engagements de chaque partie,
• La gestion des flux financiers, des risques et des relations.

Une réduction de coûts suivie d’une amélioration de la qualité de service

Le VMO est la tour de contrôle des interactions de la DSI avec ses fournisseurs. Cela engage des ressources internes et/ou externes qui ne sont pas négligeables et ne doivent pas être négligées pour en tirer le maximum de gain. Bien que le VMO représente un investissement conséquent, des leviers permettent de réduire les coûts. L’économie d’échelle et la mutualisation des ressources garantissent des gains à court terme. Par la suite, le pilotage de la performance (cf. mindmap d’indicateurs ci-dessous) permet d’assurer une amélioration constante des relations et une optimisation des services. Ainsi, deux paliers successifs se distinguent durant la création d’un VMO : le premier apporte une réduction de coûts, le deuxième améliore la qualité de service.

Le Vendor Management Office permet ainsi d’assurer une relation pérenne avec les fournisseurs en particulier stratégiques. Maximiser la valeur de ces fournisseurs permet une optimisation des coûts suivie d’une amélioration de la qualité de service. Ces nouveaux modèles d’organisation nécessitent une transformation des DSI, notamment le passage du « faire » au « faire-faire ». Cette transition requiert la sélection de profils et de compétences particuliers qui ne sont a priori pas classiques au sein des DSI.

Cet article Le VMO, un acronyme tendance ou un incontournable ? est apparu en premier sur RiskInsight.

Le 29 novembre dernier, Solucom organisait une table ronde à Lyon sur le thème de la relation MOA – DSI. A cette occasion, les Mutuelles Adréa sont intervenues pour apporter leur retour d’expérience sur la conduite récente de ce programme de transformation structurant, mené en collaboration avec Solucom. Emmanuel Guillaumeau, manager au sein de la practice Transformation SI, et en charge du projet, a interviewé Gratien Atchrimi et Eric Chevallereau.

E.G. (Solucom) : Pouvez-vous nous décrire le contexte de ce projet de fusion, la stratégie retenue et l’impact sur la DSI et les métiers ?

E.C (DSI Adréa) : Adréa est composée historiquement de 8 mutuelles distinctes qui ont décidé de fusionner afin d’atteindre une taille critique sur le marché. La fusion sera effective juridiquement au 1^er janvier 2012. Une vingtaine de chantiers de travail ont été engagés afin d’assurer cette fusion. Au titre de ces chantiers et non des moindres, la fusion des SI actuellement en cours.

G.A. (DOMOA Adréa) : Pour dessiner la stratégie, plusieurs scenarii se sont présentés. Fusionner conjointement back et front office, d’abord le back office ou plutôt prioritairement le front office. Le 1er scenario a été exclu car pressenti comme trop compliqué. Des 2 suivants, il a été décidé d’appuyer la fusion par les SI front office (de relation clients). Cette stratégie permettait de capitaliser sur les outils et bonnes pratiques de certaines des mutuelles et présentait l’avantage de proposer à tous les collaborateurs un référentiel unifié des clients.

E.C : En terme d’impact sur la relation DSI / métiers, la réorganisation a posé les bases d’un fonctionnement unifié en créant une DSI groupe et en professionnalisant la fonction de MOA à travers la création d’une DOMOA. Si la DSI rapporte directement à la Direction Générale, la DOMOA est rattachée à la Direction des Assurances où se trouvent représentées toutes les directions métier. Dans les faits, DSI et DOMOA agissent de concert  et leur création a accompagné efficacement le Comité de Pilotage de la convergence des SI.

E.G : En quoi cette organisation peut-elle être considérée comme efficace plutôt que, par exemple, en rattachant la fonction MOA à la DSI ? 

E.C : La question du rattachement à la DSI s’est posée. Mais dans ce contexte de fusion, nous avons privilégié le message de l’importance stratégique de la fonction (rattachée à des métiers donneurs d’ordres eux-mêmes en cours de structuration) tout en insistant sur sa professionnalisation (création d’une Direction de la DOMOA dédiée).

G.A: Mais il ne se limite pas à cela bien sûr. La DSI a été « rassemblée » à partir d’éléments plus ou moins structurés et mutualisés préalablement (GIE, responsables informatiques locaux…). Ces composantes de DSI n’avaient pas forcément de poids stratégique dans la prise de décision par les DG. La création d’une DSI rattachée directement à la Direction Générale, et son pendant côté MOA métier, permet de peser efficacement dans le devenir des SI uniques. Les 2 entités se sont dotées d’instances de pilotage du portefeuille du projet et mènent (ou mèneront) en parallèle des projets de structuration des savoir-faire et de partage d’une méthode projet commune. Il faut bien comprendre que, pour nous, rattacher la MOA à la DSI n’aurait pas engendré ou engagé le même type de dynamique pour contribuer au projet de fusion. La MOA aurait peut-être été vue en opposition aux métiers.

E.G : Où en êtes-vous aujourd’hui, DSI et DOMOA, et comment / en quoi Solucom vous a-t-il accompagné sur ce projet ?

E.C : DSI et DOMOA ont un peu moins d’un an d’existence. Tout n’est pas calé, loin de là. Néanmoins 2 facteurs clés peuvent être mis en avant. Tout d’abord, DSI et DOMOA ont été créées « pour le mieux ». Les informaticiens sont satisfaits  de la direction prise par la DSI et du poids nouveau qui lui est accordé. Côté métier et DOMOA : les collaborateurs invités à rejoindre la DOMOA sont fiers des responsabilités qui leurs sont confiées. La 2^ème raison tient, à mon avis, au fait que DSI et DOMOA ont tout de suite su travailler ensemble.

G.A : Dans ce contexte, Solucom a accompagné la DG pour la définition du projet stratégique et la mise en œuvre de l’organisation unique. C’est surtout lorsqu’il a fallu engager la fusion des SI front office que l’on a fait appel à l’expertise de Solucom. Une étude préalable a permis de définir le référentiel des besoins et a chiffré une trajectoire de mise en œuvre du projet SI front office « Tangram ». Ce projet de plusieurs milliers de jours hommes est un laboratoire permanent du bon fonctionnement entre DSI et DOMOA. Il est sous la responsabilité de sponsors métier et d’un chef de projet MOA et d’un chef de projet SI. Solucom continue d’y jouer un rôle important en animant les instances métier du projet que l’on a baptisées « comité de validation managériale » et qui permettent aux principaux managers commerciaux, marketing et de gestion concernés d’être représentés.

ADREA est une mutuelle de 1000 collaborateurs, un million de personnes protégées et principalement présente dans le grand Sud-Est et dans le Nord-Ouest de la France. En savoir plus : http://www.adrea.fr

Retrouvez tous nos articles sur le secteur de l’assurance et des mutuelles sur Insurance speaker, le blog assurance des consultants Solucom

Cet article Relation MOA – DSI : quelle organisation pour quelle efficacité ? Interview des Mutuelles Adréa est apparu en premier sur RiskInsight.

Et au-delà de la pesanteur qu’elle génère, la complexité est bien sûr aussi synonyme d’inflation des coûts. Les périodes de crise, et donc de « sélectivité budgétaire », sont donc souvent propices pour pousser les entreprises à « faire le ménage » dans leur fonctionnement et faire le choix de la simplicité partout où cela est possible. Dans le monde des systèmes d’information, ce principe peut se décliner à de multiples niveaux :

Simplicité dans les processus de fonctionnement de la DSI

Qu’elles s’appuient sur des méthodes « lean » déroulées en mode « rouleau compresseur » ou bien sur des approches plus progressives et participatives, les démarches de simplification des processus de la DSI sont toujours sources de gains très importants. Je pense tout particulièrement à la conduite des projets, avec l’adaptation progressive du classique modèle en V pour retenir des circuits plus courts entre maîtrise d’ouvrage et maîtrise d’œuvre, quitte même à casser les frontières qui cloisonnent ces acteurs en transformant les organisations.

Simplicité dans les relations entre la DSI et ses donneurs d’ordre métier

C’est le moment de revoir les modes de relations entre DSI et métiers : sortir du pur modèle client / fournisseur pour réellement partager les objectifs de maîtrise des coûts, porter un regard commun sur le portefeuille projet et décider des arbitrages sur la base de critères simples de priorisation, pour définir des règles de gestion des évolutions applicatives et limiter ainsi la charge liée à la réalisation et à la mise en production de ces évolutions, pour construire un plan d’action de simplification du parc en « décomissionnant » les applications inutiles…

Simplicité dans les offres de services de la DSI

Pour traiter chaque demande particulière, tout pousse la DSI à multiplier les variantes et les niveaux de services pour chacune de ses offres. C’est le moment de supprimer les options ou les fonctionnalités inutiles, en partenariat avec les utilisateurs.

Simplicité dans le sourcing des prestations informatiques

Massifier les achats de prestations et demander plus d’engagements à ses fournisseurs permet bien sûr de réduire les coûts. Mais cela apporte aussi une plus grande clarté et simplicité dans la gestion de ces achats et dans le pilotage des prestations. Le sourcing, c’est aussi un moyen de se simplifier la vie pour se consacrer à l’essentiel…

Ce choix de la simplicité n’est paradoxalement pas le plus facile : il implique une transformation profonde des modes de fonctionnement, et une conduite du changement bien pilotée.

C’est un véritable projet pour mobiliser vos équipes en 2012 !

Cet article SIMPLICITE – « La simplicité est la sophistication suprême ». Léonard de Vinci est apparu en premier sur RiskInsight.