Stratégie d'audit des projets informatiques : complémentarité des référentiels CobiT, PMBOK et CMMI

I.2.3. Critères de sélection des projets à auditer

Chaque entreprise conduit en parallèle de nombreux projets. À la Banque de France plus de 60 projets informatiques sont actuellement en cours. Étant donné le nombre conséquent de projets informatiques conduit par les grandes organisations, sur quels critères doit-on sélectionner les projets à auditer ?

I.2.3.1. Tous les projets

Une entreprise peut choisir d'auditer l'ensemble de ses projets, mais pour cela il faut qu'elle s'en donne les moyens. Un dimensionnement des équipes d'audit est nécessaire pour couvrir l'ensemble des projets ou bien l'organisation peut faire appel à la sous-traitance pour un besoin ponctuel.

Dans ce cas, l'entreprise dispose d'une vision globale de la maîtrise ou non des projets et peut éventuellement les réorienter.

21

I.2.3.2. Les projets stratégiques

L'IFACI (Institut Français de l'Audit et du Contrôle Interne) distingue cinq familles de projets stratégiques dont les enjeux sont importants pour l'entreprise :

· projets avec un engagement budgétaire élevé ;

· projets à objectif stratégique (lancement de nouveaux produits, respect de contraintes extérieures, fort retour sur investissement...) ;

· projets liés à l'organisation interne de l'entreprise (réorganisation des processus métiers, mise en place d'un ERP ...) ;

· projets liés à un changement de structure (fusion avec une autre entité, regroupement d'activités...) ;

· projets liés à de nouvelles technologies ou à des développements correspondant aux activités spécifiques de l'entreprise.

I.2.3.3. Les projets en difficultés

Les projets en difficultés sont identifiés sur la base d'alertes remontées par différents acteurs du projet (MOE, MOA, Direction informatique...) ou bien à l'aide d'indicateurs d'alertes (dépassement des délais, dépassement du budget, augmentation des ressources, nombre d'incidents...) portant sur chaque phase du projet.

I.2.3.4. Position des banques centrales européennes et banques centrales du G8

Dans une étude menée par le SEBC publiée en 2007, on constate que la majorité des banques centrales mènent des audits de projet informatique sur les projets stratégiques ou sensibles. On constate cependant que deux banques centrales (Japon et Suède) ne pratiquent pas d'audit de projet informatique.

^{Positionnement de l'audit informatique des BCN du G8 et des BCN du SEBC en 2007}

^{Projets strategiques ou}

^sensibles

^{Projets en difficulté}

^{Tous les projets}

^{Aucun projet}

^{0 2 4 6 8 10 12 14 16 18}

²

²

³

¹⁷

22

Figure 5 : Particularité des projets cibles d'audit I.2.4. À quel stade de leur vie auditer les projets retenus ?

Les projets une fois identifiés, il reste à déterminer le moment le plus opportun pour les auditer. Plusieurs options sont envisageables.