Une gouvernance IT efficace tient-elle dans trois comités

14 novembre 2026

Illustration originale — Une gouvernance IT efficace tient-elle dans trois comités

Situation illustrative : un lundi matin, le DSI apprend qu’un contrat SaaS doit être renouvelé sous dix jours, qu’un programme ERP réclame une rallonge et que le RSSI demande l’arrêt d’une mise en production. L’entreprise possède pourtant sept comités IT. Aucun ne sait qui peut décider, sur quels critères ni dans quel délai. Le problème n’est pas le nombre de réunions, mais l’absence d’une architecture de décision.

Trois comités peuvent suffire, jamais par magie

Une gouvernance resserrée peut tenir dans trois instances : un comité de stratégie et de portefeuille, un comité d’architecture et de risques, un comité d’exécution. Le premier choisit les résultats à financer et les renoncements associés. Le deuxième tranche les exceptions qui engagent la sécurité, les données, l’intégration, la résilience ou la dépendance fournisseur. Le troisième traite les écarts de livraison, les arbitrages de ressources et les décisions opérationnelles dépassant les équipes.

Ce découpage exige que chaque décision possède un propriétaire, un niveau d’autorité et une voie d’escalade. Sinon, trois comités reproduisent les défauts de sept : information descendante, débats sans issue, décisions prises ailleurs. Le dirigeant IT doit donc inventorier les décisions récurrentes qui consomment du temps ou créent un risque silencieux.

Partir des décisions, pas des participants

Le portefeuille réel donne le meilleur point de départ. Qui peut arrêter un projet dont la valeur n’est plus démontrée ? Qui accepte une dérogation de sécurité ? Qui choisit entre adaptation spécifique et processus standard dans l’ERP ? Qui assume une dépendance contractuelle difficilement réversible ? Qui arbitre entre continuité de service et remboursement de dette technique ?

Pour chaque famille, le DSI précise cinq éléments : décision attendue, informations minimales, décideur, délai et trace produite. Une fiche d’une page peut suffire : option proposée, alternatives, coût connu, bénéfice, risques, dépendances et conséquence de l’inaction. Cette discipline empêche qu’un dossier volumineux masque une question mal posée et révèle les sujets à déléguer sans comité.

Donner à chaque instance un mandat non négociable

Le comité de stratégie et de portefeuille ne suit pas les tâches. Il arbitre capacité, valeur, séquence et exposition globale. Son ordre du jour doit faire apparaître les décisions demandées, notamment les projets à suspendre. Accepter une nouvelle priorité sans en déplacer une autre revient à nier la capacité réelle.

Le comité d’architecture et de risques n’est ni un tribunal technique ni un passage administratif. Il examine les exceptions durables : données sensibles, solution non réversible, composant critique non maintenu, architecture dérogatoire, risque cyber majeur. Le RSSI doit pouvoir y porter directement l’événement redouté, sa plausibilité, son impact et les options de traitement.

Le comité d’exécution, enfin, ne refait pas les deux autres. Il tranche les écarts par rapport aux engagements : jalon compromis, dépendance bloquée, qualité insuffisante, décision métier en retard. Ce qui modifie la valeur, l’enveloppe ou le risque remonte vers l’instance compétente ; le reste est réglé au plus près du terrain.

Installer une mécanique de décision vérifiable

La gouvernance devient opérationnelle lorsque le même cycle s’applique partout. Avant la séance, chaque demande nomme son sponsor et formule une décision binaire ou des options comparables. Pendant la séance, le président reformule l’arbitrage, désigne le responsable d’exécution et fixe l’échéance. Après la séance, un registre unique consigne décision, motif, conditions, actions et date de réexamen.

Quelques indicateurs suffisent : proportion de dossiers décidés, délai entre saisine et arbitrage, décisions rouvertes faute d’information, exceptions échues sans réexamen, projets sans sponsor actif, risques critiques sans traitement validé. Ces mesures ne notent pas les personnes ; elles montrent où la chaîne se grippe.

Accepter les compromis que les comités rendent visibles

Une gouvernance efficace ne supprime pas les tensions. Elle oblige à les assumer. Accélérer un déploiement peut augmenter temporairement le risque d’exploitation. Standardiser l’ERP peut réduire la différenciation locale mais faciliter les mises à niveau. Renouveler un SaaS peut préserver la continuité tout en prolongeant une dépendance. Reporter une modernisation peut libérer du budget aujourd’hui et renchérir la vulnérabilité demain.

Le DSI ne transforme pas ces choix en certitudes techniques. Il rend comparables leurs conséquences métier, financières et opérationnelles. « Révolution Numérique ! » éclaire ici une méthode : relier technologie, coûts, risques et dépendances sans abandonner le contrôle aux fournisseurs. C’est une grille de lecture, non un argument d’autorité.

Éviter les erreurs qui recréent la bureaucratie

La première erreur consiste à inviter tout le monde partout. Une instance trop large dilue la responsabilité. Des contributeurs peuvent préparer un dossier sans devenir membres permanents. La deuxième est de confondre transparence et exhaustivité : une gouvernance saine partage les décisions et leurs motifs, pas chaque détail de production.

La troisième erreur est l’escalade automatique. Un retard ordinaire ne doit pas monter au comité stratégique ; une décision de portefeuille ne doit pas être enfouie dans un point projet. La quatrième est de laisser vivre les exceptions sans date de fin. Toute dérogation d’architecture, de sécurité ou de processus doit avoir un responsable, une condition de sortie et une révision prévue. Enfin, aucun comité ne compense un sponsor absent : un projet sans porteur métier doit être recadré ou arrêté.

L’arbitrage final : trois comités, ou moins

Le dirigeant IT peut conserver trois comités si leurs mandats couvrent toutes les décisions importantes sans doublon et si chaque séance produit des arbitrages traçables. Il peut en fusionner deux lorsque la taille de l’organisation ou la faible fréquence des décisions le justifie. Il doit en créer un quatrième seulement lorsqu’une responsabilité distincte, durable et chargée de décisions ne peut être intégrée sans engorgement ni conflit d’autorité.

La vraie question n’est donc pas de savoir si trois comités constituent un modèle universel. Elle est plus exigeante : l’organisation sait-elle décider à temps, au bon niveau, avec les bonnes informations, puis vérifier l’effet de ses choix ? Si la réponse est non, ajouter une réunion ne réparera rien. Il faut d’abord rendre explicites les décisions que chacun évite encore de nommer.