Checklist de revue du patrimoine technologique : les questions auxquelles un DSI et un conseil devraient savoir répondre

Huit domaines dans lesquels un patrimoine technologique est éprouvé — le portefeuille, le sourcing et la concentration, le legacy, l’IA, les données, la responsabilité cyber, la résilience et l’exposé au conseil — chacun sous forme des questions auxquelles un DSI et un conseil devraient savoir répondre sans préavis, et l’hésitation qui trahit une réponse faible.

En bref

Les patrimoines technologiques se révèlent rarement défaillants d’un seul coup. Ils dérivent : l’équilibre du portefeuille cesse de correspondre à la stratégie, la concentration s’accumule sans que nul ne s’en aperçoive, le legacy est reporté, l’adoption devient du théâtre, et le conseil est informé sur des systèmes au lieu de décisions.
Les huit domaines ci-dessous sont ceux sur lesquels un patrimoine est le plus systématiquement éprouvé — par le conseil, par le jour où quelque chose s’arrête, et par la personne qui demande le chiffre derrière l’adjectif.
Chaque question se répond à l’altitude du conseil, dans ses termes. Une réponse qui exige un nom de système ou une démonstration n’est pas encore une réponse.
Les domaines les plus diagnostiques sont l’exposition et la résilience, parce que ce sont ceux que le conseil n’a jamais acceptés s’ils n’ont jamais été énoncés.
Appliquez la checklist au composant le plus exposé du patrimoine avant de la passer à l’ensemble. L’essentiel de ce qui ne va pas y apparaîtra, tant qu’il est encore peu coûteux de le dire.

Sur cette page

Le portefeuille — exploiter, croître, transformer
Sourcing et concentration — faire, acheter, louer
La question du legacy
L’IA avec des responsables, des contrôles et des retours
La donnée comme actif
La responsabilité cyber
La résilience — le jour où l’institution s’arrête
L’exposé au conseil
Comment l’utiliser

Les patrimoines technologiques se révèlent rarement défaillants d’un seul coup. Ils dérivent. L’équilibre entre ce que l’institution dépense pour exploiter, croître et se transformer cesse de correspondre à la stratégie qu’il est censé servir ; la concentration chez quelques fournisseurs s’accumule sans que personne ne l’ait décidée ; la question du legacy est reportée d’une année encore ; une adoption commencée comme capacité se fige en théâtre ; et le conseil continue d’être informé sur des systèmes plutôt que sur les décisions qu’on lui demande de prendre.

Les huit domaines ci-dessous sont ceux sur lesquels un patrimoine est le plus systématiquement éprouvé — par le conseil, par le jour où quelque chose s’arrête, et par la personne qui demande le chiffre derrière l’adjectif. Chacun est énoncé sous forme des questions auxquelles un directeur des systèmes d’information et un conseil devraient savoir répondre sans préavis. L’hésitation est le constat.

Le portefeuille — exploiter, croître, transformer#

Quelle part des dépenses du patrimoine exploite l’institution, quelle part la fait croître, et quelle part la transforme — et peut-on montrer cette répartition au conseil sur une page ?
Que dit cet équilibre de l’institution, et est-ce l’institution que décrit la stratégie ?
Quels éléments de la part transformation transforment quelque chose, et lesquels sont devenus du coût d’exploitation sous un autre nom ?
Qui décide quand l’équilibre doit bouger, et quand a-t-il bougé délibérément pour la dernière fois ?
Le directeur financier pourrait-il signer le portefeuille comme un dossier d’investissement plutôt que comme un budget ?

Sourcing et concentration — faire, acheter, louer#

Pour chaque composant majeur, la décision faire, acheter ou louer a-t-elle été prise comme un engagement de bilan, et quelqu’un en détient-il encore le raisonnement ?
Où le patrimoine est-il concentré chez un fournisseur unique, et cette concentration a-t-elle été énoncée au conseil comme une exposition qu’il accepte ?
Que coûterait, et combien de temps prendrait, le départ du fournisseur dont l’institution dépend le plus ?
Pour quels engagements l’institution doit-elle conserver des compétences, et les conserve-t-elle ?
Qui signe un nouvel engagement de sourcing, et le directeur financier est-il dans la salle ?

La question du legacy#

Le patrimoine legacy a-t-il été chiffré sur les quatre lignes — ce qu’il coûte à exploiter, ce qu’il empêche, ce à quoi il expose, et ce qu’il coûterait de le quitter ?
La ligne d’exposition a-t-elle été montrée au conseil, en des termes qu’il aurait pu refuser ?
Existe-t-il une séquence de retrait, ordonnée par l’exposition d’abord, et le conseil connaît-il l’ordre et la raison ?
Que faudrait-il simplement éteindre dans le patrimoine plutôt que remplacer, et quelqu’un l’a-t-il dit ?
Qu’est-ce qui a avancé dans la séquence cette année, qu’est-ce qui n’a pas avancé, et le conseil en a-t-il été informé ?

L’IA avec des responsables, des contrôles et des retours#

Pour chaque adoption en production, qui en est responsable, sous quels contrôles fonctionne-t-elle, et où est la traçabilité ?
Quelles adoptions sont des capacités — utilisées, mesurées, produisant quelque chose — et lesquelles sont du théâtre maintenu en vie parce que les retirer serait un aveu ?
Que croit le conseil avoir approuvé, et cela correspond-il à ce qui tourne ?
Que devrait demander le conseil sur l’IA qu’il n’a pas demandé, et le DSI l’a-t-il offert ?
Là où l’institution a besoin d’une définition de la gouvernance elle-même, en a-t-elle une qu’elle pourrait montrer à un superviseur ?

La donnée comme actif#

La donnée de l’institution a-t-elle un responsable de sa qualité, de son accès et de sa redevabilité, ou seulement un dépositaire de son stockage ?
Le DSI pourrait-il énoncer ce que la donnée vaut pour l’institution et ce que sa mauvaise qualité coûte, dans les termes du directeur financier ?
Quelles décisions au sommet sont prises sur des données auxquelles personne dans la salle ne fait confiance, et le conseil sait-il lesquelles ?
Qui peut extraire la donnée du patrimoine legacy, et combien de temps cela prend-il ?
Que trouverait un superviseur s’il demandait de remonter un chiffre publié jusqu’à sa source ?

La responsabilité cyber#

La répartition des responsabilités — le RSSI pour la défense, le DSI pour l’exposition, le conseil pour ce qu’il accepte — a-t-elle été énoncée au conseil dans ces mots ?
Le DSI pourrait-il informer le conseil sur l’exposition cyber sans le RSSI dans la salle ?
Que pourrait perdre l’institution, où est-elle le plus concentrée, et cela a-t-il été soumis au conseil comme un choix ?
Quel est le composant qui ne peut être ni corrigé ni remplacé, et qui est au courant ?
La dernière fois que le conseil a interrogé sur le cyber, la réponse est-elle venue du siège ou de la fonction ?

La résilience — le jour où l’institution s’arrête#

Que se passe-t-il le jour où le patrimoine s’arrête — quels services, quels clients, quelles obligations — et le DSI peut-il le décrire sans notes ?
Quels fournisseurs, s’ils s’arrêtaient, arrêteraient l’institution, et chacun a-t-il été nommé au conseil ?
Qu’a-t-on réellement répété, avec qui, et qu’a-t-on appris la dernière fois ?
Qui commande ce jour-là, et le COO est-il d’accord ?
Le conseil a-t-il été informé de la résilience que l’institution n’a pas, ou seulement de celle qu’elle a ?

L’exposé au conseil#

Le dernier dossier technologique répond-il aux trois questions — le bon investissement, la sûreté, ce qui se passe à l’arrêt — chaque nom de système rayé ?
Quelle décision a-t-on demandé au conseil de prendre, et savait-il qu’on la lui demandait ?
Qu’a offert le DSI que le conseil n’avait pas demandé ?
La dernière fois qu’une mauvaise nouvelle a atteint le conseil, est-elle arrivée du siège en premier ?
Y a-t-il eu une démonstration, et quelle réponse remplaçait-elle ?

Chaque question se répond à l’altitude du conseil, dans ses termes. Une réponse qui exige un nom de système ou une démonstration n’est pas encore une réponse.

Comment l’utiliser#

Chaque question se répond à l’altitude du conseil, dans ses termes. Une réponse qui exige un nom de système ou une démonstration n’est pas encore une réponse. Appliquez la checklist au composant le plus exposé du patrimoine avant de la passer à l’ensemble : l’essentiel de ce qui ne va pas y apparaîtra, tant qu’il est encore peu coûteux de le dire. Les deux domaines les plus diagnostiques sont l’exposition et la résilience, parce que ce sont ceux que le conseil n’a jamais acceptés s’ils n’ont jamais été énoncés. Un DSI qui souhaite travailler les réponses avec des pairs portant les trois mêmes questions trouvera ce terrain dans Le mandat du CIO.

Questions fréquentes

Qu’est-ce qu’une revue du patrimoine technologique ?

Une revue du patrimoine technologique est un test structuré visant à savoir si la technologie de l’institution, prise dans son ensemble, sert encore sa stratégie, est sûre, et survivrait au jour où elle s’arrête — posé à l’altitude du conseil plutôt que système par système. Elle couvre le portefeuille, le sourcing et la concentration, le legacy, l’IA, les données, la responsabilité cyber, la résilience et la qualité de ce que l’on dit au conseil.

Qui doit conduire la revue — le DSI ou le conseil ?

Le DSI la conduit et le conseil l’éprouve. Le directeur des systèmes d’information détient les réponses et devrait pouvoir les donner sans préavis ; le conseil, ou son comité des risques, détient les questions et devrait poser celles dont il serait gêné d’apprendre les réponses par quelqu’un d’autre. Une revue qu’un seul côté a vue n’est pas encore complète.

Quel domaine de la checklist compte le plus ?

L’exposition et la résilience — ce que l’institution pourrait perdre, où elle est concentrée, et ce qui se passe le jour où le patrimoine s’arrête. Ce sont les domaines qu’un conseil n’a jamais acceptés s’ils ne lui ont jamais été énoncés, et ceux qui se paient d’un coup, dans la pire des semaines, si la revue est sautée.

Que signifie une hésitation sur une question ?

C’est le constat. Une question à laquelle le DSI ne peut répondre sans un nom de système, une démonstration ou un appel à la fonction marque un domaine où le patrimoine est géré plutôt qu’assumé, et où le conseil a été informé sur autre chose que la décision qu’on lui demande de prendre. C’est l’hésitation, et non la réponse finale, qu’il faut noter.

Le programme derrière cet article

Travaillez ces sujets avec les praticiens qui les ont écrits.