Le référentiel COBIT expliqué : aligner la gouvernance informatique sur la stratégie d’entreprise

Updated on: 12 août 2026 · 12 min read

Pour concilier la sécurité informatique et les objectifs de l’entreprise, les bonnes intentions ne suffisent pas. Il faut une structure. Le référentiel COBIT aide les entreprises à gérer les risques tout en générant une valeur ajoutée tangible.

Points clés à retenir : le référentiel COBIT Framework

Aligner la stratégie informatique directement sur les objectifs de l’entreprise
Maintenir une séparation claire entre la gouvernance et la gestion opérationnelle
Utiliser les niveaux de maturité pour appuyer les décisions budgétaires avec des preuves mesurables
Préparer les audits ISO 27001 et assurer la conformité avec les exigences de la directive NIS2 grâce à des structures de gouvernance plus claires
Faciliter l’identification du risque humain et les discussions sur cette problématique avec le tableau de bord de gestion du risque humain de SoSafe

Le référentiel COBIT est un modèle de référence pour la gouvernance et la gestion de l’informatique d’entreprise. Il permet aux entreprises d’établir des liens directs entre les procédures techniques et les objectifs commerciaux globaux, de définir des structures claires et de garantir que les investissements en informatique produisent une valeur ajoutée mesurable.

Le référentiel COBIT a été publié pour la première fois en 1996 par l’ISACA, représentée en France par l’AFAI (Association française de l’audit et du conseil informatiques). À l’origine, le nom du référentiel est l’acronyme de « Control Objectives for Information and Related Technology » ou « objectifs de contrôle de l’information et des technologies associées » en français. Son contenu a été révisé au fil du temps, pour suivre les évolutions de l’informatique d’entreprise, les pratiques de gouvernance et les attentes en matière de sécurité.

Oui, COBIT reste d’une grande utilité pour les équipes informatiques qui doivent transposer les objectifs de l’entreprise, ainsi que les décisions en matière de gestion du risque et de choix technologiques en un système global qu’ils peuvent gérer. COBIT 2019 propose une mise à jour de cette approche adaptée aux environnements cloud, à la livraison agile et aux attentes plus strictes actuellement en vigueur en matière de gouvernance.

Il peut être utile d’obtenir une certification COBIT pour les responsables informatiques, les auditeurs et les consultants dont le travail est étroitement lié à la gouvernance informatique. Elle montre qu’ils comprennent le référentiel et savent comment l’appliquer en pratique. En général, les entreprises ne cherchent pas à obtenir une certification COBIT, mais elles peuvent s’appuyer sur ses principes pour renforcer leur gouvernance en vue des audits ISO 27001 ou pour satisfaire aux exigences de la directive NIS2.

Le référentiel COBIT offre aux entreprises un moyen pratique pour associer les risques informatiques et la stratégie d’entreprise. Il aide les équipes à prendre des décisions plus claires, à utiliser les ressources de manière plus délibérée et à intégrer la sécurité dans la gouvernance au quotidien au lieu de la traiter comme un flux de travail distinct.

Qu’est-ce que le référentiel COBIT ?

COBIT était à l’origine l’acronyme de « Control Objectives for Information and Related Technology » ou « objectifs de contrôle de l’information et des technologies associées » en français. Cet intitulé ne reflète cependant qu’une partie de la réalité. Autour de cet acronyme, l’ISACA a élaboré un modèle de gouvernance pratique qui permet d’établir un lien direct entre les choix informatiques et les objectifs de l’entreprise. Les investissements technologiques peuvent ainsi servir la stratégie commerciale au lieu de suivre une trajectoire distincte.

Fondamentalement, le référentiel COBIT définit un langage commun que les responsables informatiques peuvent utiliser pour la gouvernance. Il permet aux équipes d’envisager l’infrastructure, les risques et les exigences réglementaires de manière globale, au lieu de les gérer comme des éléments distincts. Comme le modèle n’est lié ni à la taille de l’entreprise ni à un secteur d’activité particulier, les entreprises peuvent l’adapter à leurs structures et à leurs priorités.

Vue d’ensemble des référentiels de sécurité de l’entreprise

Découvrez les référentiels qui s’appliquent à votre situation en matière de gouvernance informatique et de conformité. De l’orientation stratégique à l’implémentation opérationnelle, vous trouverez ici des conseils détaillés.

ISO 27001

NIST CSF 2.0

CIS Controls

SABSA

Zachman

TOGAF

Comparatif COBIT 5/COBIT 2019

L’ISACA a révisé le référentiel COBIT à plusieurs reprises. Le passage du référentiel COBIT 5 à la version COBIT 2019 a cependant constitué beaucoup plus qu’une simple mise à jour. De nouveaux facteurs de conception ont été ajoutés, le mode d’évaluation de la performance a été modifié et le modèle de processus a été augmenté pour passer de 37 à 40 processus. Certaines personnes recherchent COBIT 6, mais la version actuelle est COBIT 2019.

Le tableau ci-dessous présente les changements opérés et ce qu’ils impliquent, concrètement.

Critère de comparaison	COBIT 5	COBIT 2019
Principes de gouvernance	5 principes	6 principes
Principes du référentiel	Non définis séparément	3 principes du référentiel
Paysage des processus	37 processus	40 processus
Terminologie des processus	Formulation active, telle que « Gérer » et « Assurer »	Formulation passive, telle que « Géré » et « Assuré »
Gestion de la performance	Échelle de 0 à 5 basée sur la norme ISO/CEI 33000	Système de gestion de la performance basé sur le CMMI
Composants fondamentaux du système	Éléments facilitateurs	Composants
Personnalisation	Aucun facteur de conception	Facteurs de conception pour adapter le système de gouvernance

Mesurer le risque humain

Demander une démo

Découvrez notre tableau de bord de gestion du risque humain en action. Intégrez le risque humain dans les discussions sur la gouvernance dans le cadre du référentiel COBIT.

Les six principes du référentiel COBIT pour un système de gouvernance

Le référentiel COBIT s’articule autour d’un ensemble clair de principes de gouvernance. Dans COBIT 2019, ces principes ont été mis à jour et élargis par rapport à la version COBIT 5. Les entreprises ont ainsi plus de flexibilité pour associer la gouvernance informatique à leurs propres objectifs, risques et modèles opérationnels.

Au lieu d’imposer la même structure à toutes les entreprises, les six principes du référentiel COBIT constituent une base à partir de laquelle les responsables informatiques pourront élaborer un système de gouvernance adapté à leur structure.

Un système de gouvernance doit permettre à l’entreprise de générer de la valeur pour ses parties prenantes. Concrètement, il s’agit de prendre les décisions en matière de gouvernance informatique en cherchant un équilibre entre les bénéfices, les risques et les ressources. L’objectif n’est pas de miser au maximum sur la technologie en tant que tel, mais de s’assurer qu’elle sert les priorités de l’entreprise.

La gouvernance informatique ne peut pas se concentrer uniquement sur la technologie. Le référentiel COBIT considère le facteur humain, les processus, les structures organisationnelles et l’information comme des éléments corrélés entre eux qui forment un tout. Si l’un d’eux manque ou est mal géré, c’est l’efficacité de tout le modèle de gouvernance qui en pâtit.

Les marchés, la technologie et la réglementation évoluent rapidement : la gouvernance ne peut donc pas rester statique. Un bon système doit être capable de s’adapter aux changements de stratégie, aux nouvelles technologies ou aux évolutions des exigences légales. Il permet de maintenir aisément la gouvernance à mesure que les priorités et les pressions changent.

Le référentiel COBIT établit une distinction claire entre la gouvernance et la gestion. La gouvernance définit l’orientation, évalue les options et surveille les résultats. La gestion est responsable de la planification, de la mise en place, de l’exécution et de l’amélioration des activités qui soutiennent ces objectifs au quotidien.

Aucune entreprise ne présente la même structure, le même profil de risque ou les mêmes priorités commerciales que sa voisine. Le référentiel COBIT s’appuie sur des facteurs de conception pour aider les dirigeants à adapter la gouvernance à leur propre contexte. Il offre ainsi un modèle qui reste pratique pour différents secteurs, tailles et niveaux de complexité.

COBIT traite l’information et la technologie comme des responsabilités à l’échelle de l’entreprise, et non comme des thématiques relevant uniquement du service informatique. Le système de gouvernance doit donc couvrir l’ensemble de l’entreprise, y compris les processus, les décisions et les comportements définissant l’utilisation qui est faite de la technologie.

Domaines et processus du référentiel COBIT

Le référentiel COBIT divise la gouvernance et la gestion informatiques en cinq domaines. Ceux-ci regroupent les processus COBIT connexes et permettent de visualiser plus facilement les différentes personnes responsables de l’orientation, de la planification, de la livraison et du contrôle. Dans COBIT 2019, le modèle comprend 40 processus.

Le domaine EDM de COBIT couvre la question de la gouvernance. Les conseils d’administration et la haute direction ont recours à ce domaine pour étudier les options stratégiques, définir l’orientation à donner à l’entreprise et vérifier si l’informatique contribue aux résultats attendus au niveau commercial.

Le domaine APO de COBIT transcrit la gestion informatique en planification stratégique. Il s’intéresse aux ressources, aux budgets, aux prestataires de services et à la gestion des risques, et inclus notamment l’APO12 pour la gestion des risques. Le tableau de bord de gestion du risque humain de SoSafe est totalement en phase avec ce domaine, puisqu’il permet d’intégrer le risque comportemental dans la planification de la cybersécurité et les discussions sur la gouvernance.

Le domaine BAI de COBIT vise à transposer la théorie dans la pratique. Les processus de ce domaine définissent le mode de sélection, d’élaboration et de déploiement des nouvelles technologies, des nouveaux services et des modifications, au sein de l’environnement informatique.

Le domaine DSS de COBIT s’intéresse à la fourniture des services informatiques au quotidien. Il aide la direction à structurer les opérations, à fournir une assistance aux utilisateurs, à maintenir la stabilité des services et à assurer les contrôles de sécurité dans le cadre de la prestation de services habituelles.

Le domaine MEA de COBIT se concentre sur la performance, la conformité et les contrôles. Il permet aux équipes d’évaluer la performance des services informatiques, de déterminer les points de conformité en interne qui nécessitent une attention particulière et de s’assurer du bon fonctionnement des contrôles.

Composants COBIT

Dans COBIT 5, les éléments fondamentaux d’un système de gouvernance étaient appelés « facilitateurs ». Dans COBIT 2019, l’ISACA les désigne sous le nom de composants COBIT. Ils indiquent les mesures à prendre pour que le référentiel COBIT ne reste plus au stade de la théorie, mais s’inscrive dans la gouvernance informatique quotidienne.

Le modèle utilise sept composants :

Les processus décrivent les tâches que les équipes réalisent pour atteindre les objectifs de gouvernance et de gestion.
Les structures organisationnelles clarifient qui prend les décisions, qui les approuve et qui en assure la supervision.
La culture, l’éthique et le comportement couvrent l’aspect humain de la gouvernance, notamment la manière dont les collaborateurs appliquent les règles de sécurité dans leur travail quotidien.
L’information comprend les données, les connaissances et les rapports sur lesquels les dirigeants s’appuient pour prendre des décisions.
Les services, l’infrastructure et les applications couvrent l’environnement technologique qui sous-tend les opérations quotidiennes.
Les personnes, connaissances et compétences décrivent les savoirs et les capacités nécessaires aux équipes pour remplir leur fonction.
Les principes, politiques et cadres de référence traduisent les objectifs de haut niveau en directives pratiques.

Les responsables informatiques doivent considérer ces composants dans leur ensemble. Même un dispositif technique mature peut s’avérer insuffisant si les personnes ne comprennent pas les règles, ne font pas confiance au processus ou n’agissent pas de manière sécurisée lorsque c’est nécessaire.

Utiliser stratégiquement le modèle de maturité de COBIT

Les entreprises doivent savoir comment leurs processus informatiques fonctionnent en pratique… pas seulement sur le papier. Le référentiel COBIT définit des niveaux de capacité, souvent appelés modèle de maturité de COBIT, pour évaluer les processus sur une échelle de 0 à 5. Dans COBIT 2019, cette évaluation suit une approche de gestion de la performance basée sur le Modèle intégré de maturité des capacités ou CMMI.

Pour les décideurs informatiques, l’intérêt de cette approche est qu’elle permet de mettre en évidence des lacunes. Un RSSI peut, par exemple, fixer un niveau cible de 4 pour la sensibilisation à la cybersécurité, mais l’évaluation indique un niveau 2, car la formation est encore irrégulière et les bonnes pratiques ne sont pas encore ancrées dans les comportements au quotidien. Cet écart fournit une donnée plus concrète qu’une simple déclaration générale sur l’intensification des risques et peut être utilisé, au niveau de la direction, pour discuter des budgets.

Le modèle peut aussi permettre d’éviter les efforts inutiles. Il n’est pas nécessaire que tous les processus atteignent le niveau 5. Selon les risques que l’entreprise se sent prêt à prendre, elle peut décider d’accorder une attention particulière à certains processus et de se contenter d’un niveau 2 ou 3 sur d’autres tableaux.

Ce point est important pour ce qui concerne la cybersécurité, car le comportement humain est souvent difficile à cerner. Les réactions des collaborateurs aux tentatives de phishing, la façon dont ils signalent les activités suspectes ou respectent les consignes de sécurité peut avoir un impact réel sur le risque. L’intégration de ces critères dans les discussions sur la maturité permet aux responsables informatiques de cibler, en priorité, les domaines dans lesquels il s’avère nécessaire de prendre des mesures.

Mesurer le risque humain

Demander une démo

Découvrez notre tableau de bord de gestion du risque humain en action. Intégrez le risque humain dans les discussions sur la gouvernance dans le cadre du référentiel COBIT.

Certification COBIT : coût et public cible

La certification COBIT s’adresse aux personnes et non aux entreprises. Elle concerne principalement les responsables informatiques, les auditeurs et les consultants qui travaillent en lien avec la gouvernance informatique et doivent pouvoir faire état de leur connaissance du COBIT.

La plupart des gens commencent par le certificat COBIT 2019 Foundation, avant de passer la certification COBIT 2019 Design and Implementation. À l’heure actuelle, le prix de l’examen de certification Foundation auprès de l’ISACA est de 175 de dollars américains, tandis que les coûts des examens de niveau supérieur, de la formation et des supports pédagogiques peuvent varier. Consultez afai-isaca.fr avant de vous inscrire.

Certains professionnels peuvent avoir un intérêt à obtenir une certification COBIT. Pour les entreprises, cependant, COBIT sert un objectif différent. Pour prouver leur gestion de la sécurité auprès de leurs clients, de leurs partenaires ou des organismes de régulations, les entreprises s’appuient généralement sur des normes et des exigences telles que la norme ISO 27001 ou la directive NIS2. Le référentiel COBIT peut aider à organiser le travail de mise en conformité en interne en fournissant aux équipes une structure de gouvernance plus claire avant les audits ou les examens réglementaires.

Implémentation de COBIT : étapes et facteurs de succès

L’implémentation de COBIT relève rarement de la simple maintenance informatique. Elle nécessite de définir les priorités, les structures hiérarchiques, les évaluations de la performance et la manière dont les décisions en matière de technologie sont discutées avec les dirigeants de l’entreprise. L’ISACA décrit un cycle d’implémentation en sept phases, mais dans la pratique, c’est le travail préparatoire qui est le plus important : il faut définir les responsabilités de manière claire, se fixer des jalons réalistes et veiller à ce que la direction restent impliquée dans le projet, même après son lancement.

Voici les principales étapes :

Évaluer le niveau actuel de la gouvernance : étudier le fonctionnement actuel de la gouvernance informatique et identifier ce qui motive un besoin de changement.
Définir le niveau cible : en s’appuyant sur les facteurs de conception du référentiel COBIT, déterminer ce que doit être la gouvernance en fonction de la structure, du profil de risque et des objectifs de l’entreprise.
Créer une feuille de route : définir des jalons réalistes et travailler par cycles d’itération gérables. Selon l’objectif à atteindre, de nombreuses organisations planifient des cycles d’environ trois mois.
Développer les compétences et favoriser l’évolution des comportements : impliquer les collaborateurs tôt dans le processus, surtout lorsque la culture et le comportement ont un impact sur les résultats en matière de sécurité. Un programme de formation de sensibilisation à la cybersécurité peut aider les collaborateurs à comprendre le rôle qu’ils doivent jouer dans les décisions de sécurité au quotidien.
Mesurer les progrès : mesurer régulièrement les progrès et s’appuyer sur le modèle de maturité basé sur le CMMI pour vérifier si les nouveaux processus atteignent le niveau escompté.

Le plus difficile, dans la mise en place d’une stratégie COBIT, est souvent de maintenir la dynamique. Les responsables informatiques doivent communiquer clairement sur les progrès réalisés, montrer les domaines où des améliorations ont été mesurées et veiller à ce que la haute direction reste impliquée après le lancement du projet.

COBIT ou ITIL : le rôle de chaque référentiel

L’intérêt de comparer COBIT à ITIL n’est pas tant de choisir un référentiel de sécurité d’entreprise plutôt qu’un autre, mais plutôt de comprendre le rôle de chacun. Dans un contexte ITIL ou COBIT type, COBIT fournit aux responsables informatiques la structure de gouvernance, tandis qu’ITIL organise le travail de gestion des services qui en découle.

Le référentiel COBIT s’interroge avant tout sur ce qui doit être gouverné et pourquoi. Il permet aux RSSI et aux responsables informatiques d’associer la stratégie informatique aux objectifs de l’entreprise, aux risques que celle-ci est prête ou non à endosser et aux attentes réglementaires. ITIL est plus proche des opérations. Ce référentiel se concentre sur la manière dont les services informatiques sont conçus, fournis, encadrés et améliorés.

Lorsqu’ils sont utilisés ensemble, COBIT définit l’orientation de la gouvernance tandis qu’ITIL assure la cohérence de la prestation de services.

COBIT ou ISO 27001

Il est intéressant de comparer le référentiel COBIT et la norme ISO 27001, car ils traitent tous deux de la gouvernance et du contrôle, mais s’appliquent à des tâches différentes. COBIT aide les entreprises à structurer la gouvernance informatique en interne. La norme ISO 27001 est, quant à elle, utilisée pour développer et certifier un système de gestion de la sécurité de l’information. De nombreuses organisations ont recours à COBIT pour organiser la gouvernance en interne et la norme ISO 27001 pour encadrer la gestion de la sécurité en vue des audits.

COBIT ou NIST CSF 2.0

Le référentiel COBIT et le cadre de cybersécurité du NIST (CSF) 2.0 diffère principalement par leur portée. Le cadre de cybersécurité NIST CSF 2.0 se concentre sur le cyberrisque et guide les entreprises dans la définition des priorités en matière de sécurité. COBIT intègre ces activités dans un contexte de gouvernance plus large en les reliant aux objectifs commerciaux, aux responsabilités et à la gestion de la performance au sein de l’entreprise.

COBIT ou TOGAF

La comparaison entre COBIT et TOGAF met en lumière deux aspects différents de l’informatique d’entreprise. TOGAF encadre la conception et le développement de l’architecture d’entreprise. COBIT se concentre, pour sa part, sur la manière dont l’information et la technologie sont gouvernées, surveillées et améliorées au fil du temps. En pratique, TOGAF est souvent utilisé pour planifier l’architecture, tandis que COBIT permet de maintenir une adéquation entre la gouvernance et le management, une fois cette architecture mise en place.