Maturité ISO 38500 · Gouvernance des technologies de l’information
Votre gouvernance du système d’information, mesurée sur ISO 38500 et traduite en feuille de route.
10 thématiques, une échelle à 5 niveaux. Et l’action qui fait passer chaque niveau au suivant.
Les 10 thématiques du référentiel, déjà rédigées de N1 à N5. Une entreprise, une business unit, ou 300 à la fois.
Maturité ISO 38500 · Gouvernance des technologies de l’information
10 thématiques, échelle à 5 niveaux.
Nordhavn Industries
53 / 100
Ils mesurent leur maturité avec Datamensio
Un exemple
Cette situation pourrait être la vôtre.
Prenons l’exemple d’une entreprise : trois sites, trois tableurs, aucune réponse commune.
Personne ne sait consolider.
Nordhavn Industries, 2 400 personnes à Hambourg, Lyon et Porto. Un donneur d’ordre demande où en est le groupe. Chaque site répond dans son tableur, avec ses propres échelles.
Trois semaines, une seule base.
Un diagnostic ISO/IEC 38500:2024 lancé sur les trois sites en même temps, à partir des notes d’entretien des responsables. Le référentiel était déjà écrit, les 10 thématiques et les niveaux N1 à N5 aussi.
Deux dépenses évitées avant d’être engagées.
Un score de 53 sur 100, un écart concentré sur trois thèmes. Le compagnon IA a repéré que deux actions du plan doublonnaient avec celui d’un autre audit. La restitution au comité s’est demandée en une phrase.
Ce que ça leur a évité
- 3sites mesurés sur la même base, au lieu de trois questionnaires à retraiter
- 2actions en doublon détectées avant la dépense
- 1restitution au comité, sans reprise manuelle
Ces chiffres sont ceux d’un exemple. Ils pourraient être les vôtres.
La norme impose des processus. Datamensio dit où vous en êtes.
01
Le référentiel est déjà écrit
Thématiques, questions et niveaux N1 à N5 rédigés. Vous ne partez pas d’un tableur vide.
02
Le score tombe le jour même
En ligne, par lien d’auto-évaluation ou en entretien. Thème par thème, comparable dans le temps.
03
L’écart devient un plan chiffré
Chaque passage de niveau porte son action. L’IA priorise sur l’effet attendu, pas sur l’ordre de la norme.
04
La progression se démontre
Campagne après campagne, contre votre cible et contre votre passé. C’est ce que demande votre COMEX.
L’échelle de maturité
Un niveau, le suivant, et l’action qui relie les deux.
C’est ce mécanisme (un niveau, un niveau supérieur, et l’action qui relie les deux) qui transforme un constat en trajectoire.
Les décisions d’investissement numérique sont-elles prises sur des critères explicites et comparables ?
- N1
Aucun critère partagé. Les décisions se prennent au fil des demandes, selon le porteur et le contexte du moment.
- N2
Des critères figurent dans un document ou un modèle de dossier, mais leur usage dépend des équipes et les dossiers restent difficilement comparables.
- N3
Les critères sont diffusés et appliqués pour l’essentiel des demandes. Les dossiers passent par un format commun et les décisions sont consignées.
- N4
Tous les investissements numériques sont instruits selon les mêmes critères, les décisions et leurs motifs sont tracés, les écarts au format commun sont justifiés.
- N5
Les critères sont révisés périodiquement au vu de la valeur réellement produite par les investissements passés, avec un suivi documenté des révisions.
Action pour passer de N2 à N3
Imposer un dossier d’investissement au format unique, avec critères de décision et valeur attendue, comme condition d’inscription à l’ordre du jour du comité d’arbitrage, et consigner chaque décision au compte rendu.
« Grâce à Datamensio, nous remplissons avec beaucoup plus d’efficacité nos objectifs. Les services d’inspection du FEDER et de notre ministère de tutelle ont particulièrement apprécié cette approche qui leur apporte une data fiable. »
Directrice de la CCI 94CCI Île-de-France
« Nous pensons qu’il s’agit de la solution la plus adaptée pour amener notre projet de transformation à l’échelle et mesurer l’impact selon nos besoins. »
Maja SucekChief Operating Officer, Interreg Danube
Rarement seul
Un référentiel se combine. Associez-en plusieurs pour couvrir votre activité, ou faites écrire le vôtre par l’IA.
Prenez votre première mesuresur ISO 38500.
De quoi parle ce référentiel
ISO/IEC 38500 est la norme de gouvernance des technologies de l’information. Elle ne décrit pas comment exploiter un système d’information : elle décrit comment l’organe de direction en assume la responsabilité. Six principes en constituent l’ossature : responsabilité, stratégie, acquisition, performance, conformité et comportement humain. Ils s’appliquent selon un cycle simple, évaluer, orienter, surveiller, que la direction exerce sur les décisions relatives au numérique. La norme est un cadre de référence pour dirigeants, pas un catalogue de mesures techniques, et elle ne se certifie pas.
Sa mise en pratique est exigeante parce qu’elle touche au partage du pouvoir de décision. Qui arbitre entre deux projets qui consomment la même enveloppe, et sur quels critères explicites ? Le comité d’investissement numérique statue-t-il sur des dossiers comparables, ou sur des présentations construites par chaque porteur à sa façon ? Sait-on, un an après la mise en service, si une application a produit la valeur annoncée dans son dossier d’acquisition ? Dans beaucoup d’organisations, ces questions n’ont pas de réponse traçable, alors que le budget informatique, lui, est parfaitement suivi.
La révision de 2024 a resserré le propos autour de l’organe de direction et de sa relation avec le management. Elle prend aussi en compte le fait que les décisions numériques ne se prennent plus seulement à la direction des systèmes d’information : les métiers achètent leurs propres services applicatifs, l’intelligence artificielle et les données entrent dans les arbitrages, les dépendances externes se multiplient. Une confusion fréquente mérite d’être levée : ISO 38500 gouverne, ITIL et COBIT outillent. Adopter un cadre de gestion des services ne dispense pas de gouverner.
Le diagnostic de maturité ne pose pas la même question qu’un audit. L’audit conclut par un écart ou une conformité. Le diagnostic situe chaque pratique sur une échelle progressive, du geste informel à la pratique révisée périodiquement, et indique l’action qui fait monter d’un niveau. Sur un sujet de gouvernance, cette nuance est décisive : presque rien n’est absent, presque tout est partiel. Le score par thématique montre où la décision est structurée et où elle repose encore sur quelques personnes.
Dans Datamensio, le référentiel est prêt à l’emploi et vous en gardez la maîtrise. L’IA ajuste les thématiques, les questions et la formulation des niveaux à votre organisation, ou construit une déclinaison à partir de vos propres documents de gouvernance : charte du comité, procédure d’arbitrage, modèle de dossier d’investissement. Les évaluations menées dans plusieurs business units se comparent entre elles et dans le temps.
Norme de référence : ISO/IEC 38500:2024
Les thématiques évaluées
Responsabilité et mandats de décision
Attribution explicite des responsabilités numériques au sein de l’organe de direction, mandat des comités, délégations, distinction entre gouverner et gérer.
Alignement stratégique
Traduction de la stratégie d’entreprise en orientations numériques, horizon de planification, prise en compte des évolutions technologiques, révision des orientations.
Acquisition et arbitrage des investissements
Critères de décision, format des dossiers d’investissement, comparabilité des demandes, prise en compte du coût complet et des dépendances fournisseurs.
Performance et valeur d’usage
Indicateurs suivis par la direction, mesure de la valeur après mise en service, adéquation des capacités aux besoins métiers, qualité de service perçue.
Conformité et cadre juridique
Identification des obligations applicables au numérique, suivi des engagements contractuels, articulation avec les exigences relatives aux données et à l’IA.
Comportement humain et usages
Prise en compte des utilisateurs dans les décisions, gestion du changement, pratiques d’achat informatique par les métiers, compétences des décideurs.
Gouvernance des données et des modèles
Rattachement des décisions relatives aux données et aux algorithmes à une instance identifiée, propriété des jeux de données, arbitrages sur les usages d’IA.
Surveillance et reporting à la direction
Nature et fréquence des informations remontées, format de restitution, traçabilité des décisions, suivi des écarts entre décision et réalisation.
Gestion du portefeuille et des ressources
Vision consolidée des projets et des actifs, priorisation, allocation des compétences internes et externes, arrêt des initiatives sans valeur.
Amélioration du dispositif de gouvernance
Retours d’expérience sur les décisions passées, révision des critères et des mandats, comparaison entre entités, maturité du dispositif lui-même.
Une version courte du référentiel est disponible pour l’auto-évaluation en ligne.
Questions fréquentes
ISO 38500 est-elle certifiable ?
Non. C’est un cadre de principes destiné aux organes de direction, sans exigences auditables par un organisme certificateur. Le diagnostic mesure la maturité de vos pratiques de gouvernance et prépare les décisions qui la renforcent.
Quelle différence avec un audit de conformité ?
L’audit conclut par un écart ou une conformité à une exigence. Le diagnostic situe chaque pratique sur une échelle de maturité et indique l’action qui fait passer au niveau suivant. Sur la gouvernance, où presque tout existe partiellement, cette gradation est plus utile qu’un verdict binaire.
Quelle est la différence avec COBIT ou ITIL ?
ISO 38500 dit qui décide et selon quels principes. COBIT et ITIL outillent la gestion des services et des processus informatiques. Les deux niveaux se complètent : le diagnostic peut d’ailleurs faire apparaître un dispositif de gestion mature au-dessus d’une gouvernance encore informelle.
Combien de temps prend l’évaluation ?
La version courte se remplit en une seule séance de travail. En mode collaboratif, avec la direction des systèmes d’information, un représentant métier et le secrétariat des comités, comptez une à deux semaines, l’essentiel du temps servant à réunir les éléments de preuve.
Qui doit répondre aux questions ?
Les questions portent sur les instances, les critères et les décisions, pas sur les configurations techniques. Un directeur des systèmes d’information, un directeur de la transformation ou un auditeur interne y répond. Le mode collaboratif permet d’affecter certaines questions au bon interlocuteur.
Peut-on adapter le référentiel à notre organisation ?
Oui. Vous modifiez les questions, les thématiques et la formulation des niveaux. L’IA produit une déclinaison à partir de vos chartes de comité et de vos procédures d’arbitrage, pour que le vocabulaire du diagnostic soit celui de vos instances.
Peut-on comparer plusieurs entités ?
Oui. La même évaluation menée dans plusieurs business units donne un score par thématique comparable, et une feuille de route transversale consolide les actions communes plutôt que de les dupliquer entité par entité.
Où sont hébergées les données ?
En France, chez OVH, avec sauvegarde chez Scaleway. Aucun transfert hors Union européenne. Les modèles d’IA mobilisés peuvent être sélectionnés, y compris parmi des solutions européennes.