En bref
Auditer la maturité d’un SI, ce n’est pas inventorier ses technologies : c’est évaluer à quel point il est gouverné, documenté et maîtrisé, sur une échelle qui va du « subi » au « piloté ». Et ce sont souvent des signaux faibles — pas les outils — qui révèlent le vrai niveau.
« On a des outils récents, donc notre SI est mûr. » C’est le raccourci le plus fréquent, et le plus trompeur. Une entreprise peut disposer des dernières solutions du marché et rester à un niveau de maturité faible ; une autre, avec des outils modestes mais bien tenus, être nettement plus solide. Auditer la maturité, c’est regarder ailleurs que dans le catalogue logiciel.
La maturité d’un SI ne se mesure pas à ses outils
La maturité, c’est la capacité de l’organisation à maîtriser son système d’information : savoir ce qu’elle possède, qui en est responsable, comment les décisions se prennent, comment les risques sont couverts. Un outil récent mais mal gouverné, non documenté et dépendant d’une seule personne n’est pas un signe de maturité — c’est une fragilité de plus. À l’inverse, un SI modeste mais cartographié, documenté et arbitré est un SI mûr. La technologie est un moyen ; la maturité se juge à l’usage qu’on en fait.
La grille de lecture : les dimensions à évaluer
Un audit de maturité utile ne juge pas le SI en bloc, mais dimension par dimension. Les axes qui reviennent presque toujours :
- Gouvernance — qui décide quoi, selon quels arbitrages, avec quelle relation entre l’IT et les métiers
- Connaissance du SI — cartographie, documentation, savoir capitalisé ou concentré sur quelques têtes
- Sécurité — sauvegardes réellement testées, gestion des accès, couverture des risques
- Données — qualité, propriété, cohérence entre applications
- Processus et qualité de service — gestion des incidents, des changements, du support
- Compétences et dépendances — polyvalence, relève, part de la connaissance non documentée
- Pilotage budgétaire — budget subi au coup par coup ou piloté sur plusieurs années
Chaque dimension se lit ensuite sur une échelle — c’est elle qui transforme des impressions en diagnostic. Mettre cette grille à plat est le point de départ d’une démarche de conseil en management informatique.
L’échelle de maturité
La plupart des modèles décrivent quatre grands paliers. L’important n’est pas le chiffre exact, mais de savoir où l’on se situe, dimension par dimension, et vers quoi progresser.
| Niveau | Ce qu’on observe | Le signal typique |
|---|---|---|
| 1 — Subi | Le SI est géré au fil de l’eau, sans vision d’ensemble | « On répare quand ça casse » |
| 2 — Réactif | Quelques processus et une documentation partielle apparaissent | « C’est écrit quelque part, mais plus à jour » |
| 3 — Structuré | Gouvernance, cartographie et arbitrages sont en place | « On sait qui décide, et pourquoi » |
| 4 — Piloté | Le SI est piloté par la valeur, en amélioration continue | « On mesure, on ajuste, on anticipe » |
Les signaux faibles qui trahissent le vrai niveau
Un audit de maturité ne se joue pas sur les déclarations, mais sur des détails qui ne trompent pas. Quelques signaux faibles en disent plus qu’un long questionnaire :
- Personne ne sait dire, sans chercher, quelle application est maître de quelle donnée
- La connaissance du SI repose sur une ou deux personnes, sans relève ni documentation à jour
- Le recours à des logiciels non validés est devenu banal, sans vision d’ensemble
- Les sauvegardes existent, mais n’ont jamais été testées en restauration
- Le budget se décide en réaction, jamais en anticipation
★ Mon retour d’expérience
Sur une mission d’audit, une entreprise était persuadée d’avoir un SI mûr : les outils étaient récents, l’infrastructure venait d’être renouvelée. La grille de lecture a raconté une autre histoire. Toute la connaissance tenait dans la tête d’une seule personne, rien n’était cartographié, et les sauvegardes n’avaient jamais été testées en restauration. Un SI moderne, mais d’une maturité faible — parce que la modernité des outils masquait l’absence de maîtrise. C’est précisément ce que l’inventaire technique ne montre jamais.
💡 Le piège : confondre modernité et maturité
Des outils neufs impressionnent, mais ne disent rien de la maîtrise. Un SI récent mais dépendant d’une seule personne, non documenté et non sauvegardé pour de vrai est moins mûr qu’un SI modeste mais bien tenu. Avant d’investir dans de nouvelles solutions, évaluez d’abord votre capacité à maîtriser celles que vous avez déjà.
Poser ce diagnostic, dimension par dimension, est le premier temps de toute démarche d’amélioration — souvent le point de départ d’un schéma directeur : on ne corrige bien que ce qu’on a d’abord lucidement mesuré. Nos cas clients en donnent quelques illustrations concrètes.
Questions fréquentes
Maturité du SI et sécurité, est-ce la même chose ?
Non. La sécurité est l’une des dimensions de la maturité, mais pas la seule : gouvernance, connaissance du SI, qualité des données ou pilotage comptent tout autant. Un SI peut être bien sécurisé et immature sur le reste.
Combien de niveaux de maturité existe-t-il ?
La plupart des modèles en retiennent quatre ou cinq, du « subi » au « piloté ». Le nombre importe peu : ce qui compte, c’est de savoir où l’on se situe par dimension et vers quoi progresser.
Faut-il un outil coûteux pour auditer sa maturité ?
Non. Une grille de lecture, quelques entretiens et l’observation de signaux faibles suffisent pour un premier diagnostic honnête. L’outillage vient après, si le SI le justifie.
Envie d’un regard lucide sur la maturité de votre SI ?
Arnaud Benistant
Fondateur et président d’Askee, cabinet de conseil en management des systèmes d’information en Auvergne-Rhône-Alpes. Fort de 20 ans d’expérience en SI, il a notamment été DSI de l’Entrepôt du Bricolage (Groupe SAMSE) avant d’accompagner dirigeants et directions comme DSI de transition. Sa conviction : derrière chaque projet IT, c’est presque toujours une question d’humain.
