Que fait réellement un directeur des systèmes d’information ? Les trois questions que redoutent les conseils

Ce qu’est un directeur des systèmes d’information#

Un directeur des systèmes d’information est le dirigeant qui répond, au sommet de l’institution, du patrimoine technologique dans son ensemble : ce qu’il coûte, ce qu’il permet, ce qu’il risque, et ce qui se passe le jour où il s’arrête. La définition compte parce qu’elle est une définition de responsabilité, non de compétence. Le DSI n’a pas besoin d’être le meilleur ingénieur de l’institution. Le DSI doit être la personne que le conseil peut tenir pour responsable du patrimoine, et qui a rendu cette responsabilité réelle en assumant les décisions qui le sous-tendent.

La technologie a cessé d’être un département le jour où l’institution n’a plus pu ouvrir sans elle. C’est à ce moment que le siège a changé. Avant, le responsable informatique dirigeait une fonction au service du métier. Après, le directeur des systèmes d’information dirige le système nerveux de l’institution, et le conseil le sait — c’est pourquoi le conseil pose à ce siège des questions qu’il ne pose à aucun autre.

Les trois questions que redoutent les conseils#

Dépouillez le vocabulaire, et toute conversation d’un conseil sur la technologie se réduit à trois questions. Investissons-nous dans la bonne technologie ? Est-elle sûre ? Et que se passe-t-il quand elle s’arrête ? Les conseils redoutent ces questions parce qu’ils ne peuvent y répondre seuls, parce que les réponses coûtent cher quel que soit leur sens, et parce que la personne capable d’y répondre a longtemps parlé une langue que le conseil ne parle pas.

Le mandat du DSI est l’ensemble des réponses à ces trois questions, tenues et actualisées en continu. Tout le reste de ce que fait le siège — le portefeuille, le sourcing, les données, la posture cyber, le plan de résilience — alimente l’une d’elles.

L’anatomie du mandat#

Le mandat comporte trois parties, chacune répondant à l’une des questions du conseil.

• Le patrimoine comme stratégie. Une vue de portefeuille de ce que l’institution dépense pour exploiter, croître et se transformer, et ce que l’équilibre dit de l’institution ; les décisions faire, acheter ou louer — y compris là où le patrimoine est concentré chez quelques fournisseurs — lues comme des engagements de bilan plutôt que comme des actes d’achat ; et la question du legacy, chiffrée honnêtement et séquencée délibérément plutôt que reportée poliment.
• L’IA et les données, gouvernées. Une adoption avec des responsables, des contrôles et une traçabilité, pour que ce qui est déployé soit une capacité et non du théâtre ; la donnée traitée comme un actif doté de son propre compte de résultat — qualité, accès, responsabilité ; et l’habitude d’offrir au conseil ce qu’il devrait demander avant même qu’il ne le demande.
• Risque, résilience et conseil. La responsabilité cyber assumée au niveau exécutif, avec une répartition explicite des rôles entre le DSI, le RSSI et le conseil ; la résilience technologique — concentration, fournisseurs, et le jour où l’institution s’arrête ; et l’art d’informer un conseil à son altitude, avec honnêteté, et jamais avec une démonstration.

DSI, CTO et directeur du digital#

Les intitulés se recouvrent et les institutions les emploient différemment, mais la distinction qui compte est une question de périmètre. Un CTO détient généralement l’ingénierie et les plateformes ; un directeur du digital détient généralement les produits et les canaux par lesquels les clients rencontrent l’institution. Tous deux détiennent des parties du patrimoine. Le directeur des systèmes d’information, quel que soit le nom que l’institution donne au siège, est celui qui en détient l’ensemble comme une affaire du conseil — investissement, risque et capacité plutôt que systèmes — et qui peut donc répondre aux trois questions dans leur intégralité.

Là où un CTO et un directeur du digital siègent tous deux au sommet, le siège de DSI est celui vers lequel le conseil se tourne lorsque les questions sont posées ensemble. Si personne ne tient ce siège en substance, le conseil découvrira qu’il dispose de trois réponses partielles et d’aucune réponse entière.

Là où le siège échoue#

Le siège échoue de trois façons, et chacune est une défaillance d’altitude plutôt que de technologie. La première est la présentation du patrimoine comme des systèmes : une liste de plateformes, de projets et de taux de disponibilité que le conseil ne peut convertir en investissement, en risque ou en capacité. La deuxième est la question du legacy reportée poliment — le patrimoine que l’institution ne peut se permettre de conserver ni de remplacer, laissé hors du plan année après année parce que le chiffrer honnêtement revient à demander de l’argent. La troisième est la démonstration : montrer au conseil quelque chose qui fonctionne au lieu de lui dire ce qui ne fonctionne pas.

Derrière ces trois défaillances se trouve le même évitement. La responsabilité cyber en est le cas le plus clair : un dirigeant qui se cache derrière le responsable de la sécurité des systèmes d’information n’a pas délégué le risque, seulement la conversation. Le RSSI conduit la défense. Le DSI répond de l’exposition, et le conseil l’en tiendra responsable le jour où cela compte.

Le RSSI conduit la défense. Le DSI répond de l’exposition, et le conseil l’en tiendra responsable le jour où cela compte.

À quoi ressemble un siège bien tenu#

Un DSI qui tient bien son siège peut répondre aux trois questions sans préavis et dans les termes du conseil. La question de l’investissement se répond en portefeuille : tant pour exploiter, tant pour croître, tant pour transformer, et voici ce que cet équilibre dit de nous. La question de la sécurité se répond en responsabilité : voici ce dont je réponds, voici ce dont répond le RSSI, voici ce que l’on demande au conseil d’accepter. La question de la continuité se répond en résilience : voici où nous sommes concentrés, voici ce qui se passe le jour où nous nous arrêtons, et voici ce que nous avons répété.

Un tel DSI prend aussi les devants. La question que le conseil aurait dû poser et n’a pas posée est soulevée par le DSI en premier, car un conseil qui apprend un risque par son DSI fait confiance au siège, et un conseil qui l’apprend par ailleurs ne le fait pas.

Que faire ensuite#

Rédigez les trois réponses telles qu’elles se présentent aujourd’hui, en une page chacune, dans la langue du conseil et sans le moindre nom de système. Là où une réponse ne tient pas sur la page, ou ne peut s’écrire sans démonstration, le siège a trouvé son prochain chantier. C’est le terrain que travaille Le mandat du CIO avec des dirigeants technologiques qui répondent des résultats, dans une cohorte multisectorielle de pairs portant les trois mêmes questions.