La sérénité
Une liste unique et à jour, et un rapport, au lieu de chercher à tâtons.
Un rôle que l’on appelle à l’international « fractional CIO », à une différence près : je ne reprends ni le service informatique ni son budget. Je traduis les intentions de la direction en exigences, j’émets un avis sur les recommandations de l’informatique et je défends les intérêts du client face aux fournisseurs.
Les questions dont il vaut mieux connaître la réponse.
Si la réponse à l’une d’elles est « nous ne savons pas », c’est précisément là que je peux aider. Je pose ces questions aux directions, aux secrétaires généraux, aux starostes et aux présidents, avant que les décisions ne soient prises et que l’argent ne commence à circuler.
- Qui, dans l’organisation, voit aujourd’hui tous les projets, les risques et les échéances sur une seule liste ?
- Qu’apprenons-nous trop tard ?
- Qui défend nos intérêts face aux fournisseurs lorsque le service informatique est accaparé par l’exploitation ?
- Quelles décisions ne devrions-nous pas prendre sans avis indépendant ?
Ce que cela vous apporte.
De meilleurs résultats
Les projets aboutissent conformément à l’objectif, parce que quelqu’un veille à l’ensemble.
Moins d’écueils et d’erreurs
Une alerte précoce sur les risques et un avis indépendant avant un achat important.
Le coût d’une erreur à cette étape. Des projets sans responsable ni liste commune prennent du retard en silence, et vous découvrez le problème lorsqu’il est déjà coûteux. Un conseiller coûte généralement moins cher qu’une seule technologie mal choisie, qu’un seul mauvais prestataire ou qu’un seul piège dans un contrat.
Il faut que quelqu’un veille à l’ensemble.
Lorsque les projets se multiplient et que le service informatique peine déjà à assurer l’exploitation des systèmes, il manque quelqu’un pour veiller au quotidien à l’ensemble. Dans le rôle de coordinateur permanent du côté du client, je tiens les registres, je recueille les statuts, je rappelle les échéances et j’escalade lorsque le dossier est bloqué.
Ce que vous obtenez.
- Une réunion mensuelle avec le secrétaire général ou le président et le responsable informatique, un rapport mensuel sur l’exploitation et les risques.
- Une revue trimestrielle des risques et des contrats critiques, un avis avant tout achat important.
- Les 90 premiers jours : un premier diagnostic et les éventuels « signaux d’alerte » urgents, la mise en place des registres et la revue des contrats, un rapport à la direction assorti d’une feuille de route à 12–24 mois.
KSC et NIS 2 du point de vue de la direction.
La modification de la loi polonaise sur le système national de cybersécurité (KSC) est en vigueur depuis le 3 avril 2026. Les obligations pèsent sur la direction, et pas seulement sur le service informatique : la direction répond de la mise en œuvre, doit suivre une formation et peut être sanctionnée à partir de 2028. Les travaux techniques sont réalisés par des spécialistes et des fournisseurs. Encore faut-il que quelqu’un les pilote, et beaucoup d’administrations et de sociétés n’ont pas de responsable informatique qui en ait le temps. Je prends cette partie en charge en tant que fractional CIO : je ne suis pas spécialiste de la sécurité, je veille à ce que la mise en œuvre soit complète, documentée et dans les délais.
J’établis si l’organisation relève de la loi et à quel titre, puis le périmètre, les responsables et le calendrier. Je tiens la documentation : l’inventaire des systèmes et des fournisseurs, le registre des risques, les procédures, dont le circuit de notification des incidents sous 24 et 72 heures, ainsi que les preuves pour l’auditeur. Je suis les échéances, les tâches de votre propre informatique et des fournisseurs, et les clauses des contrats. Je pose aux fournisseurs, à l’informatique et à l’auditeur les questions que la direction devrait poser, et je vérifie que les réponses tiennent. Chaque mois, la direction reçoit une page : état d’avancement, risques et décisions à prendre.
Ce que je ne fais pas.
Tests d’intrusion, surveillance de la sécurité (SOC), configuration des systèmes ni l’audit lui-même. Ces travaux sont réalisés par des sociétés spécialisées ; j’aide à les choisir, à rédiger la commande et à en contrôler l’exécution.
Prochaines échéances. Au 3 avril 2027, un système de management de la sécurité de l’information et la gestion des incidents en place ; à partir du 3 avril 2028, le premier audit des entités essentielles et d’éventuelles sanctions.
Comment je travaille à cette étape.
- Les 90 premiers joursUn premier diagnostic et les éventuels « signaux d’alerte » urgents, la mise en place des registres et de la revue des contrats, un rapport à la direction assorti d’une feuille de route à 12–24 mois.
- Un rythme régulierStatuts et réunions, registres, rapport mensuel pour la direction. Nous choisissons le rythme selon le nombre de projets et le temps dont dispose votre équipe informatique.
- Le principe de la collaborationChaque action a un responsable de votre côté. Je ne prends pas en charge l’exécution et je ne décide pas à votre place.
Lorsque les projets se multiplient et que le service informatique peine déjà à assurer l’exploitation des systèmes, il manque quelqu’un pour veiller au quotidien à l’ensemble. Dans le rôle de coordinateur permanent du côté du client, je tiens les registres des projets, des actions, des risques, des décisions et des documents, je recueille les statuts, je rappelle les échéances et j’escalade lorsque le dossier est bloqué. Je ne prends pas en charge l’exécution et je ne décide pas à votre place : chaque action a un responsable de votre côté.
- Une liste unique et à jour des projets, actions, risques, décisions et documents, avec responsable, échéance et statut.
- Des points d’avancement hebdomadaires et une réunion de suivi avec compte rendu et liste d’actions, un rapport mensuel pour le secrétaire général, le président ou la direction.
- Des rappels, un contrôle de la complétude des dossiers, une alerte précoce sur les risques et la préparation des escalades.
- La coordination de l’information avec les fournisseurs : statuts, engagements et échéances.
Nous choisissons le rythme selon le nombre de projets et le temps dont dispose votre équipe informatique :
- De base, une fois par mois : mise à jour des registres, jusqu’à deux réunions de suivi et un rapport mensuel.
- Régulier, chaque semaine : points d’avancement, réunion de suivi, registres, relances et rapport mensuel pour la direction.
- Intensif, une à deux fois par semaine : un portefeuille de projets plus large, les dépendances entre eux et des plans de redressement pour les projets menacés.
- Transitoire, plusieurs fois par semaine : pour quelques mois, lorsque l’organisation a un vide dans la conduite de projets et qu’il faut remettre rapidement le portefeuille en ordre. Vous revenez ensuite à un rythme plus léger.
Ma compétence à cette étape.
Je conseille les directions du point de vue de quelqu’un qui connaît aussi bien l’informatique que le métier, et qui rassemble les connaissances pour que chaque projet serve les objectifs métier fixés.
Transformation numérique et conduite du changement.
C’est la compétence clé qui relie toutes les étapes : plus de 20 ans de travail dans de nombreuses organisations, du côté du maître d’ouvrage.
Les questions les plus fréquentes sur cette étape.
Reprenez-vous notre service informatique ?
Non. Je ne reprends ni le service informatique ni son budget. Je traduis les intentions de la direction en exigences, j’émets un avis sur les recommandations de l’informatique et je défends les intérêts du client face aux fournisseurs.
À quelle fréquence nous voyons-nous ?
Nous choisissons le rythme selon le nombre de projets et le temps dont dispose votre équipe informatique : de base (une fois par mois), régulier (chaque semaine), intensif, ou transitoire pour quelques mois.
Êtes-vous spécialiste de la cybersécurité ?
Non, et je ne prétends pas l’être. Pour le KSC, mon rôle est de piloter la mise en œuvre du côté de la direction : documentation, échéances, fournisseurs, rapport. Les travaux techniques et l’audit sont réalisés par des sociétés spécialisées ; je veille à ce qu’elles reçoivent une commande claire et à ce que la direction sache ce qui en découle.
Parlons de cette étape.
Le premier échange dure 30 minutes et ne coûte rien. Je réponds sous 2 jours ouvrés.