Les points cl\u00e9s en bref<\/p>\n
- \n
- Une responsabilit\u00e9 globale avant chaque euro d\u00e9pens\u00e9. <\/strong> Sans responsable d\u00e9sign\u00e9, les commandes suivantes continuent ; dans le cas de la Smart-eID, plus de 90 millions d\u2019euros ont \u00e9t\u00e9 engag\u00e9s malgr\u00e9 un risque d\u2019\u00e9chec quasi certain.<\/li>\n
- S\u00e9parer Capex et Opex. <\/strong> L\u2019autorisation des investissements, la prise en charge de l\u2019exploitation et le contr\u00f4le continu de la rentabilit\u00e9 permettent de suivre les b\u00e9n\u00e9fices, les niveaux de service et les risques r\u00e9siduels dans des comptes et des r\u00f4les distincts.<\/li>\n
- Un r\u00f4le unique de responsabilit\u00e9. <\/strong> Le DSI est responsable de l\u2019architecture et de l\u2019exploitation, le CDO du portefeuille et des b\u00e9n\u00e9fices, et le m\u00e9tier de la justification des b\u00e9n\u00e9fices ; une responsabilit\u00e9 partag\u00e9e des r\u00e9sultats g\u00e9n\u00e8re des comit\u00e9s.<\/li>\n
- Valider et cl\u00f4turer les \u00e9tapes. <\/strong> Quatre \u00e9tapes cl\u00e9s avec des crit\u00e8res d\u2019arr\u00eat stricts permettent de stopper l\u2019automatisme de prolongement ; le conseil de surveillance pilote via l\u2019engagement Capex, la charge Opex, les risques \u00e9lev\u00e9s et la justification des b\u00e9n\u00e9fices.<\/li>\n<\/ul>\n<\/div>\n
Articles associ\u00e9s<\/span>L\u2019AI Act Omnibus reporte le statut \u00ab high risk \u00bb : la gouvernance reste<\/a> \/<\/span> Quelle gouvernance apr\u00e8s le d\u00e9ploiement des agents ?<\/a><\/p>\n
Pourquoi les programmes sans responsable \u00e9chouent<\/h2>\n
Un programme de digitalisation sans responsable global d\u00e9sign\u00e9 reste une simple collection d\u2019initiatives. Le budget, les d\u00e9lais et les promesses de valeur se r\u00e9partissent entre plusieurs lignes. Personne n\u2019est tenu de garantir le succ\u00e8s global. Lorsque le m\u00e9tier revendique la valeur, l\u2019IT fournit la plateforme et le CDO en fait la promotion, il manque une entit\u00e9 pour trancher les conflits d\u2019objectifs et d\u00e9cider des abandons.<\/p>\n
La Cour des comptes f\u00e9d\u00e9rale d\u00e9crit ce sch\u00e9ma dans son rapport consultatif de juillet 2025 sur la digitalisation de l\u2019administration, adress\u00e9 \u00e0 la commission des finances du Bundestag. Selon elle, le gouvernement f\u00e9d\u00e9ral a exerc\u00e9 un pilotage insuffisant. Les strat\u00e9gies num\u00e9riques se sont limit\u00e9es \u00e0 des \u00e9tats des lieux sans analyse solide des lacunes. Les objectifs \u00e9taient souvent non mesurables. Les d\u00e9veloppements parall\u00e8les ont g\u00e9n\u00e9r\u00e9 du \u00ab laisser-faire \u00bb. Des fonds ont \u00e9t\u00e9 allou\u00e9s sans que la rentabilit\u00e9 ne soit d\u00e9montr\u00e9e, les risques ignor\u00e9s ou les ressources humaines manquantes. Le rapport cite en exemple le projet Smart-eID : d\u00e8s 2021, le minist\u00e8re de l\u2019Int\u00e9rieur avait class\u00e9 le risque d\u2019\u00e9chec comme \u00ab quasi certain \u00bb. Pourtant, plus de 90 millions d\u2019euros ont \u00e9t\u00e9 engag\u00e9s. Le projet a \u00e9chou\u00e9. Pour les solutions EfA (Une solution pour tous), l\u2019\u00c9tat a attribu\u00e9 aux L\u00e4nder environ 500 millions d\u2019euros sans v\u00e9rifier au pr\u00e9alable la rentabilit\u00e9 des solutions envisag\u00e9es. De nombreuses solutions sont rest\u00e9es limit\u00e9es \u00e0 un seul Land ou une seule commune, voire n\u2019ont pas \u00e9t\u00e9 utilis\u00e9es du tout.<\/p>\n
Dans les entreprises cot\u00e9es en Bourse, cette lacune se manifeste souvent sous la forme d\u2019un portefeuille sans priorisation contraignante. Le programme reste visible, mais la responsabilit\u00e9 des r\u00e9sultats reste n\u00e9gociable.<\/p>\n
L\u2019\u00e9chec commence rarement par la technologie. Il survient lorsque personne ne souhaite assumer la responsabilit\u00e9 de l\u2019abandon d\u2019un projet non productif, faute de propri\u00e9taire formel. Les commandes suivantes, les prolongations de licences et les travaux d\u2019int\u00e9gration se poursuivent alors que la valeur m\u00e9tier n\u2019est plus d\u00e9montr\u00e9e. Le mod\u00e8le de pilotage IT doit donc imposer une responsabilit\u00e9 globale avant l\u2019autorisation budg\u00e9taire et ne pas la rattraper a posteriori.<\/p>\n
S\u00e9parer les d\u00e9penses d\u2019investissement, les co\u00fbts d\u2019exploitation et les risques op\u00e9rationnels<\/h2>\n
Les \u00e9quipes traitent souvent l\u2019approbation des d\u00e9penses d\u2019investissement (Capex) comme une d\u00e9cision d\u2019investissement ponctuelle. Apr\u00e8s le lancement, le statut du projet dispara\u00eet, tandis que les co\u00fbts d\u2019exploitation (Opex), les licences et les risques op\u00e9rationnels augmentent. Sans comptes s\u00e9par\u00e9s ni responsabilit\u00e9s distinctes, l\u2019exploitation continue devient le poste r\u00e9siduel de la d\u00e9cision d\u2019investissement.<\/p>\n
Un mod\u00e8le robuste s\u00e9pare trois niveaux d\u00e9cisionnels. Premi\u00e8rement, l\u2019approbation de l\u2019investissement avec le business case, l\u2019ad\u00e9quation de l\u2019architecture et l\u2019hypoth\u00e8se de valeur. Deuxi\u00e8mement, la prise en charge op\u00e9rationnelle avec les niveaux de service, la capacit\u00e9 et les exigences de s\u00e9curit\u00e9. Troisi\u00e8mement, le contr\u00f4le continu de la rentabilit\u00e9, qui compare la croissance des Opex et les positions de risque \u00e0 la valeur initialement promise. Le cadre de gouvernance COBIT 2019 d\u2019ISACA formalise pr\u00e9cis\u00e9ment cette s\u00e9paration : EDM02 pilote la justification de la valeur (Benefits Delivery), APO05 la gestion et la priorisation du portefeuille, et la domaine DSS l\u2019exploitation continue. ITIL 4 compl\u00e8te ce dispositif avec la gestion des niveaux de service et l\u2019accompagnement des changements. L\u00e0, les \u00e9quipes \u00e9valuent les risques avant l\u2019approbation et pilotent les modifications en cours de service.<\/p>\n
Le risque op\u00e9rationnel doit figurer dans la logique d\u2019approbation. Qui valide de nouveaux canaux, flux de donn\u00e9es ou composants d\u2019IA assume les risques de panne, de conformit\u00e9 et de d\u00e9pendance en exploitation. Si les Capex et les Opex sont confondus dans une m\u00eame ligne, le risque reste invisible jusqu\u2019\u00e0 ce qu\u2019il se mat\u00e9rialise dans un incident ou un audit. La s\u00e9paration apporte de la clart\u00e9 : qui investit, qui exploite et qui porte le risque r\u00e9siduel.<\/p>\n
Matrice des r\u00f4les pour le DSI, le CDO et les m\u00e9tiers<\/h2>\n
Un mod\u00e8le de pilotage repose sur une matrice des r\u00f4les qui d\u00e9finit les droits d\u00e9cisionnels et les voies d\u2019escalade. Le DSI est responsable de l\u2019int\u00e9grit\u00e9 de l\u2019architecture, de la capacit\u00e9 op\u00e9rationnelle ainsi que des normes de s\u00e9curit\u00e9 et d\u2019approvisionnement. Le CDO pilote les priorit\u00e9s du portefeuille, la logique de valeur et le lien avec les mod\u00e8les \u00e9conomiques. Les m\u00e9tiers d\u00e9tiennent l\u2019exigence fonctionnelle, la justification de la valeur et le travail de transformation des processus.<\/p>\n
La matrice doit anticiper les conflits. Qui tranche en cas de roadmaps concurrentes ? Qui stoppe un projet si la valeur escompt\u00e9e n\u2019appara\u00eet pas ? Qui assume les co\u00fbts si le p\u00e9rim\u00e8tre s\u2019\u00e9largit et que la plateforme doit rester stable ? Sans cette clarification, on assiste \u00e0 un pilotage parall\u00e8le : programmes du CDO \u00e0 c\u00f4t\u00e9 de projets IT, outils m\u00e9tiers \u00e0 c\u00f4t\u00e9 de l\u2019architecture d\u2019entreprise. COBIT 2019 propose des matrices RACI (Responsible, Accountable, Consulted, Informed) pour chaque objectif de gouvernance et de management, ainsi que pour les structures d\u00e9cisionnelles organisationnelles. ISACA pr\u00e9cise : les matrices RACI ne remplacent pas la responsabilit\u00e9. Elles la clarifient. Plusieurs r\u00f4les \u00ab Accountable \u00bb pour un m\u00eame r\u00e9sultat forment un comit\u00e9. La responsabilit\u00e9 du propri\u00e9taire n\u2019\u00e9merge qu\u2019avec un seul r\u00f4le \u00ab Accountable \u00bb.<\/p>\n
Les doubles r\u00f4les sont possibles. La responsabilit\u00e9 partag\u00e9e pour un m\u00eame r\u00e9sultat ne l\u2019est pas. Si le DSI et le CDO sont une seule et m\u00eame personne, la s\u00e9paration entre responsabilit\u00e9 de la plateforme et pilotage du portefeuille doit nonetheless \u00eatre document\u00e9e. Les m\u00e9tiers peuvent formuler des exigences, mais pas cr\u00e9er une informatique fant\u00f4me comme \u00e9tat permanent. La matrice n\u2019a d\u2019effet que si elle est coupl\u00e9e aux droits budg\u00e9taires et d\u2019approbation.<\/p>\n
Logique des portes (Gates) pour les approbations et les arr\u00eats<\/h2>\n
La gouvernance des programmes de digitalisation n\u00e9cessite des portes (Gates) qui autorisent ou interrompent. Quatre portes sont un minimum dans la pratique : approbation du concept et de l\u2019architecture, approbation de l\u2019investissement, prise en charge op\u00e9rationnelle, ainsi qu\u2019un contr\u00f4le p\u00e9riodique de la valeur et des risques. Chaque porte doit comporter des crit\u00e8res d\u2019arr\u00eat stricts, et pas seulement des feux tricolores.<\/p>\n
Les crit\u00e8res d\u2019arr\u00eat doivent \u00eatre d\u00e9finis avant le premier euro d\u00e9pens\u00e9. Parmi les exemples : absence de justification de la valeur, absence de prise en charge op\u00e9rationnelle, lacunes de s\u00e9curit\u00e9 sans plan de rem\u00e9diation ou rupture architecturale par rapport \u00e0 la cible. Qui ne traite les arr\u00eats que de mani\u00e8re politique prot\u00e8ge les d\u00e9penses en cours et p\u00e9nalise les d\u00e9cisions d\u2019arr\u00eat honn\u00eates. Le mod\u00e8le Stage-Gate de Robert G. Cooper formalise cette logique depuis des d\u00e9cennies : \u00e0 chaque porte, des gardiens v\u00e9rifient les crit\u00e8res pr\u00e9d\u00e9finis et d\u00e9cident entre Go, Kill, Hold ou Recycle. Les portes sont des d\u00e9cisions d\u2019investissement avec engagement de ressources. Les r\u00e9unions de suivi refl\u00e8tent l\u2019avancement, les portes engagent ou lib\u00e8rent les fonds. Le Bundesrechnungshof recommande, dans son rapport 2025, la m\u00eame approche structurelle pour les fonds publics num\u00e9riques : approbation uniquement si le projet contribue aux objectifs num\u00e9riques politiques, est \u00e9conomique, respecte les normes et prend en compte les risques.<\/p>\n
La logique des portes doit s\u2019inscrire dans le portefeuille, et non dans la m\u00e9thodologie de projet individuel. Un projet peut \u00eatre m\u00e9thodologiquement irr\u00e9prochable tout en \u00e9tant strat\u00e9giquement superflu. C\u2019est pourquoi l\u2019instance de pilotage doit avoir la comp\u00e9tence d\u2019arr\u00eater un projet malgr\u00e9 des succ\u00e8s partiels, si l\u2019engagement Capex, le chemin Opex ou le risque op\u00e9rationnel d\u00e9passent la valeur cr\u00e9\u00e9e. Une approbation sans option d\u2019arr\u00eat devient une m\u00e9canique de reconduction automatique.<\/p>\n
Ce que le conseil de surveillance doit vraiment voir<\/h2>\n
Le conseil de surveillance n\u2019a pas besoin de listes de fonctionnalit\u00e9s ni de red\u00e9marrages PowerPoint. Il a besoin d\u2019une vision concise sur l\u2019engagement du Capex, l\u2019\u00e9volution des Opex, les risques op\u00e9rationnels critiques et l\u2019\u00e9tat des preuves de valeur par programme. Cela inclut la responsabilit\u00e9, la prochaine d\u00e9cision de porte, ainsi que des options explicites d\u2019abandon ou de recentrage.<\/p>\n
Seul ce qui permet de prendre des d\u00e9cisions est digne d\u2019\u00eatre rapport\u00e9. Un feu tricolore sans proposition d\u00e9cisionnelle exon\u00e8re la direction et bloque le conseil de surveillance. Il est judicieux de se limiter \u00e0 quelques indicateurs cl\u00e9s, dont l\u2019interpr\u00e9tation est claire : Capex investi et encore engag\u00e9, charge Opex en cours par programme, risques majeurs non r\u00e9solus et part des projets dont la valeur a \u00e9t\u00e9 confirm\u00e9e. Le Code allemand de gouvernement d\u2019entreprise (DCGK) fixe le cadre : le principe 4 exige un syst\u00e8me interne de contr\u00f4le et de gestion des risques adapt\u00e9 et efficace. La recommandation A.5 impose dans le rapport de gestion de pr\u00e9senter les principales caract\u00e9ristiques de ces syst\u00e8mes ainsi qu\u2019une d\u00e9claration sur leur ad\u00e9quation et leur efficacit\u00e9. Le principe 6 associe le conseil de surveillance aux d\u00e9cisions d\u2019importance fondamentale et exige des r\u00e9serves d\u2019approbation. Les risques li\u00e9s \u00e0 l\u2019IT et au num\u00e9rique entrent dans ce mandat de surveillance d\u00e8s qu\u2019ils affectent mat\u00e9riellement l\u2019activit\u00e9 de l\u2019entreprise.<\/p>\n
Les r\u00e9cits politiques sur les programmes ne remplacent pas la gouvernance d\u2019entreprise. Les initiatives publiques de digitalisation peuvent servir de rep\u00e8res, mais elles ne dispensent ni de la discipline Capex ni de la responsabilit\u00e9 op\u00e9rationnelle au sein de l\u2019entreprise. Le conseil de surveillance devrait s\u2019enqu\u00e9rir du mod\u00e8le de pilotage, et non du marketing du prochain red\u00e9marrage. La transparence s\u2019installe lorsque les d\u00e9cisions d\u2019arr\u00eat sont aussi reportables que les autorisations.<\/p>\n
Autoriser de nouveaux programmes digitaux sans avoir d\u00e9fini la responsabilit\u00e9, la s\u00e9paration Capex-Opex, la matrice des r\u00f4les et la logique des portes revient \u00e0 financer la perp\u00e9tuation plut\u00f4t que le pilotage. Le mod\u00e8le de pilotage IT est la condition pr\u00e9alable au prochain red\u00e9marrage \u2013 bien avant le prochain d\u00e9passement de budget.<\/p>\n
Foire aux questions<\/h2>\n
\nComment lier efficacement la matrice des r\u00f4les aux droits budg\u00e9taires et d\u2019approbation ?<\/summary>\n
La matrice ne s\u2019applique que si le r\u00f4le responsable d\u00e9cide \u00e9galement de l\u2019allocation des fonds. Les approbations en capital (Capex) et les comptes d\u2019exploitation (Opex) sont g\u00e9r\u00e9s par le propri\u00e9taire d\u00e9sign\u00e9 ; les extensions de p\u00e9rim\u00e8tre du service d\u00e9clenchent de nouvelles \u00e9valuations aux portes (gates). Les budgets parall\u00e8les en dehors de la matrice g\u00e9n\u00e8rent une gestion parall\u00e8le et rendent caduque la logique RACI document\u00e9e.<\/p>\n<\/details>\n
\nQu\u2019est-ce qui distingue une vraie porte d\u2019\u00e9valuation (Gate) d\u2019une r\u00e9union de suivi ?<\/summary>\n
Les r\u00e9unions de suivi refl\u00e8tent l\u2019avancement. Les portes d\u2019\u00e9valuation (Gates) tranchent sur l\u2019allocation des ressources et mettent fin ou maintiennent les projets selon des crit\u00e8res pr\u00e9d\u00e9finis. Les d\u00e9cideurs (Gatekeepers) choisissent entre Go, Kill, Hold ou Recycle ; sans option d\u2019arr\u00eat, toute approbation devient une simple formalit\u00e9 de continuation. Cette logique doit s\u2019int\u00e9grer au portefeuille, car des projets individuels, m\u00eame men\u00e9s avec rigueur m\u00e9thodologique, peuvent s\u2019av\u00e9rer strat\u00e9giquement superflus.<\/p>\n<\/details>\n
\nComment ma\u00eetriser les risques op\u00e9rationnels apr\u00e8s le lancement (Go-Live) ?<\/summary>\n
Apr\u00e8s l\u2019approbation de l\u2019investissement, la prise en charge op\u00e9rationnelle s\u2019accompagne de niveaux de service, de capacit\u00e9s et d\u2019exigences de s\u00e9curit\u00e9. Ensuite, l\u2019\u00e9valuation p\u00e9riodique de la rentabilit\u00e9 examine la croissance des Opex et les positions de risque par rapport aux b\u00e9n\u00e9fices promis. De nouveaux canaux, flux de donn\u00e9es ou composants d\u2019IA introduisent des risques de panne, de conformit\u00e9 et de d\u00e9pendance dans la logique d\u2019approbation, tout en maintenant la charge visible sur des comptes s\u00e9par\u00e9s.<\/p>\n<\/details>\n
\nQuelle pr\u00e9sentation d\u00e9cisionnelle faut-il soumettre au conseil de surveillance au lieu de simples tableaux de feux tricolores ?<\/summary>\n
Seule une information d\u00e9cisionnelle est pertinente. Il est judicieux de pr\u00e9senter le capital engag\u00e9 et encore bloqu\u00e9, la charge Opex en cours par programme, les risques \u00e9lev\u00e9s non r\u00e9solus et la part des projets disposant d\u2019une preuve de valeur confirm\u00e9e. Chaque indicateur n\u00e9cessite un propri\u00e9taire, une prochaine d\u00e9cision aux portes (Gate) ainsi que des options explicites d\u2019arr\u00eat ou de recalibrage. Ainsi, la mission de surveillance s\u2019applique efficacement aux risques num\u00e9riques mat\u00e9riels.<\/p>\n<\/details>\n
- S\u00e9parer Capex et Opex. <\/strong> L\u2019autorisation des investissements, la prise en charge de l\u2019exploitation et le contr\u00f4le continu de la rentabilit\u00e9 permettent de suivre les b\u00e9n\u00e9fices, les niveaux de service et les risques r\u00e9siduels dans des comptes et des r\u00f4les distincts.<\/li>\n
![\"Wenn](\"https:\/\/www.cloudmagazin.com\/wp-content\/uploads\/2026\/07\/wenn-gpus-den-saas-etat-auffressen-cover-hero-250x143.jpg\")
<\/p>\n![\"KI](\"https:\/\/mybusinessfuture.com\/wp-content\/uploads\/2026\/07\/ki-mittelstand-pilot-skalierung-roi-roadmap-cover-hero-250x195.jpg\")
<\/p>\n![\"Der](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/07\/cover-hero-3-250x143.jpg\")
<\/p>\n