ITIL vs COBIT : faire tourner le service, et prouver qu’il est gouverné

ITIL et COBIT ne sont pas rivaux. Ils répondent à des questions différentes, pour des publics différents.

ITIL demande : gérons-nous bien nos services ? COBIT demande : faisons-nous les bonnes choses avec l’IT, et pouvons-nous le prouver au conseil d’administration, à l’auditeur et au régulateur ?

Je suis certifié dans les deux, et j’ai utilisé les deux sur le terrain. Les organisations qui en tirent de la valeur utilisent ITIL pour mener le travail et COBIT pour le gouverner. Celles qui peinent en choisissent un et attendent de lui qu’il fasse les deux.

Ce qu’est chacun

ITIL est un ensemble de recommandations pour la gestion des services IT, publié par PeopleCert. La version actuelle, ITIL (Version 5), décrit 34 pratiques de management, comme la gestion des incidents, la gestion des problèmes, l’habilitation des changements et la gestion des niveaux de service. Il s’adresse à ceux qui conçoivent, exploitent et améliorent les services.

COBIT est un référentiel de gouvernance et de gestion de l’information et des technologies de l’entreprise, publié par ISACA. L’édition actuelle, COBIT 2019, compte 40 objectifs de gouvernance et de gestion répartis en cinq domaines :

L’idée centrale de COBIT est que la gouvernance et la gestion sont deux métiers différents. Le conseil évalue les options, fixe la direction et surveille les résultats. La direction opérationnelle planifie, construit, exploite et surveille le travail. ITIL se situe presque entièrement du côté de la gestion.

La différence en un tableau

Là où ils se rejoignent

Beaucoup d’objectifs COBIT décrivent ce qui doit être géré ; la pratique ITIL correspondante décrit comment le faire. Voici les paires que j’utilise le plus :

Le domaine EDM n’a pas d’équivalent dans ITIL. ITIL reconnaît la gouvernance, mais ne dit pas à un conseil comment fixer son appétence au risque ni quelles décisions il doit se réserver. C’est le territoire de COBIT.

Deux exemples tirés du terrain

Un contrôle qui s’est rentabilisé. Lors d’une migration d’entreprise, l’étape de gouvernance avant la validation posait une seule question : la compatibilité avait-elle été vérifiée pour chaque dépendance critique, et pas seulement pour celles du plan de test ? Ce n’était pas le cas. Un défaut VPN se cachait dans cet angle mort, et le détecter a évité un impact métier estimé à $2.5M. La question relève de la logique COBIT : un droit de décision, détenu par quelqu’un qui a l’autorité de suspendre la mise en production, et des preuves exigées avant l’approbation. Y répondre relève du travail ITIL : habilitation des changements et tests. Chaque référentiel seul laisse ce genre de faille ouverte ; ensemble, ils la referment.

Une pratique qui a besoin d’un responsable. C’est grâce à une gestion des problèmes ITIL structurée que mes équipes ont réduit les incidents récurrents de 40%. La pratique vient d’ITIL. Ce qui la fait tenir dans la durée, c’est la redevabilité qu’exige COBIT : un responsable nommé pour chaque enregistrement de problème, un indicateur rapporté chaque mois, et la preuve que les actions ont été clôturées. Sans cela, les enregistrements de problème restent ouverts des mois, chaque équipe affirmant que la correction revient à une autre.

Par lequel commencer

Partez de la pression que vous subissez réellement.

• Pannes, dépassements de SLA, incidents répétés, utilisateurs mécontents : commencez par ITIL. Corrigez d’abord incidents, problèmes et changements ; c’est là que la qualité de service se gagne ou se perd.
• Constats d’audit, questions d’un régulateur, conseil qui s’interroge sur le risque IT : commencez par COBIT. Servez-vous de ses facteurs de conception pour choisir les objectifs qui comptent pour votre organisation, plutôt que de tenter d’en mettre en œuvre les 40.
• Les deux, ce qui est le cas le plus courant : appliquez les pratiques ITIL au travail, et ajoutez par-dessus une fine couche COBIT pour les droits de décision, la redevabilité et les preuves.

N’implémentez aucun des deux référentiels en entier. COBIT le dit lui-même : ses facteurs de conception existent pour que vous l’adaptiez. Et ITIL donne une direction, pas des instructions.

Pour les personnes, la même règle s’applique. Les responsables du centre de services et de l’exploitation tirent d’abord davantage d’ITIL. Quiconque travaille en gouvernance IT, en risques ou en audit, ou rend compte à un conseil, a besoin de COBIT. Un responsable de la fourniture des services qui parle à la fois au centre de services et au conseil a besoin des deux.

Le modèle qui les relie

Pour chaque pratique qui compte le plus pour vous, remplissez une ligne. Si vous ne pouvez pas remplir une cellule, vous avez trouvé votre première lacune de gouvernance.

C’est sur la colonne de la personne redevable que la plupart des organisations bloquent. Si vous ne parvenez pas à vous accorder sur qui doit clôturer un enregistrement d’incident ou de problème, l’outil Responsable de la clôture tranche la question en quelques étapes et vous donne les mots pour la faire accepter par une partie prenante. Il fonctionne dans votre navigateur ; rien de ce que vous saisissez n’est envoyé à ITSM Compass.

La règle

Utilisez ITIL pour faire tourner le service. Utilisez COBIT pour décider qui est redevable et prouver que les contrôles fonctionnent. Si un référentiel produit des réunions au lieu de décisions, c’est qu’il a été copié, pas conçu : voir la gouvernance n’est pas de la bureaucratie.

Vous ne savez pas si ITSM et ITIL sont la même chose ? Commencez par ITSM vs ITIL.