Direction des SI à temps partagé

Le problème, tel qu’il se présente ici

Dans une entreprise québécoise de 50 à 300 personnes, les TI sont rarement dirigées. Elles sont absorbées : par le contrôleur, par la direction des opérations, ou par la personne qui, un jour en 2016, savait configurer un routeur. L’infogéreur envoie une facture que personne ne vérifie. Les contrats se renouvellent automatiquement. Et depuis l’entrée en vigueur complète de la Loi 25, il existe une série d’obligations bien réelles dont le propriétaire est, dans les faits, personne.

Ce n’est pas un manque de compétence. C’est un poste manquant. Un DSI à temps partagé occupe ce poste pour un nombre de jours convenu, avec un mandat écrit et une date de sortie prévue.

Ce que couvre le rôle

Le budget. Un budget TI sur douze mois qui sépare le coût d’exploitation, le coût de projet et les licences, avec des postes rattachés à des contrats plutôt qu’au fichier de l’an dernier majoré de cinq pour cent. La plupart des organisations découvrent entre huit et quinze pour cent de dépenses attachées à quelque chose que plus personne n’utilise.

La feuille de route. Un plan de douze à dix-huit mois, par trimestre nommé, avec les dépendances et un coût affiché par élément, rédigé pour être lu et contesté par un conseil non technique. Ce que nous ne pouvons pas justifier devant la direction financière n’y figure pas.

Le registre de risques. Des risques réels avec un responsable, une probabilité, un impact et une décision consignée : atténuer, accepter ou transférer. Le risque accepté est écrit et signé, pour que personne ne découvre après un incident que chacun présumait que l’autre s’en occupait.

La Loi 25 comme dossier permanent. Responsable de la protection des renseignements personnels désigné et outillé, inventaire des renseignements personnels et de leur localisation, évaluations des facteurs relatifs à la vie privée avant toute communication hors Québec, calendrier de conservation, et un processus d’incident de confidentialité écrit et répété au moins une fois. Le volet technique rejoint alors l’architecture de conformité, où la résidence des données est appliquée par politique Azure et non par bonne volonté.

Le contrôle des fournisseurs. Une carte de chaque contrat TI, sa date de renouvellement, son préavis et sa clause de reconduction tacite. À elle seule, cette carte rembourse souvent le mandat la première année : les renouvellements que personne n’a mis à l’agenda sont tarifés en supposant que personne ne le fera.

Le siège à la table. Présence au comité de direction, traduction entre ce que demandent les opérations et ce que cela coûtera, et une présentation trimestrielle au conseil qui couvre livraison, dépenses et posture de sécurité en trois pages.

Les décisions d’architecture qui nous survivent. Lorsque le parc est sur Azure, les décisions suivent les mêmes standards que nos mandats de livraison, et le travail technique passe par la landing zone et l’infogérance Azure plutôt que d’être improvisé.

Comment se déroule le mandat

Mois 1, diagnostic. Deux jours dans vos locaux et dans vos systèmes : infrastructure, identité, sauvegarde et reprise, licences, contrats, posture de sécurité, et les trois choses qui empêchent votre direction de dormir. Livrable : un diagnostic écrit, une liste priorisée avec un coût estimé par élément, et une séparation nette entre ce qui est réellement risqué et ce qui est simplement en désordre.

Mois 2, feuille de route et budget. Le plan et le budget présentés à la direction, débattus, amendés, signés. Débattus, pas approuvés poliment : une feuille de route que personne n’a contestée est une feuille de route que personne n’a lue.

Mois 3 et suivants, rythme de croisière. Un nombre de jours fixe par mois avec un ordre du jour permanent : avancement, dépenses contre budget, changements au registre de risques, contrats approchant de leur échéance, et une décision à prendre ce mois-ci. Entre les visites, nous sommes joignables pour ce qui ne peut pas attendre.

Chaque trimestre, la présentation au conseil. Trois pages : ce qui a été livré, ce que cela a coûté, où en est la posture face à un cadre nommé, et ce que nous demandons au conseil de décider.

Chaque année, la revue de sortie. Une réponse franche à la question de savoir si vous avez maintenant besoin d’un directeur TI à temps plein, et ce que le mandat devrait devenir si oui.

Ce que vous gardez

Un diagnostic TI écrit, avec une liste de correctifs priorisée et chiffrée.
Une feuille de route de douze à dix-huit mois dans un format que votre conseil lit.
Un budget TI séparant exploitation, projets et licences, rattaché aux contrats.
Un registre de risques vivant, avec responsables et décisions consignées.
Une carte des fournisseurs et des contrats, avec dates de renouvellement et préavis.
Le dossier Loi 25 : inventaire, EFVP, calendrier de conservation, processus d’incident.
La description de poste et le matériel d’entrevue de votre future embauche à temps plein.

Pour qui c’est fait

Les PME québécoises de 50 à 300 personnes avec une vraie dépendance aux TI et aucun directeur TI : manufacturiers, groupes de cliniques et services de santé, cabinets professionnels, coopératives, et entreprises en croissance où le directeur des opérations a hérité de l’informatique en plus de son poste.

Le mandat fonctionne aussi bien pour une organisation avec des sites des deux côtés de la frontière. Nous sommes établis au Canada comme aux États-Unis, donc le mandat se contracte et se facture localement, et la même personne suit les deux parcs plutôt que deux fournisseurs qui ne se parlent pas.

Pour qui ce n’est pas

Si vous cherchez du soutien technique, l’application des correctifs et un centre d’assistance, c’est de l’infogérance et ce n’est pas ce rôle. Nous vous aiderons à choisir un infogéreur et à le tenir à son contrat, mais un DSI qui répond aussi aux billets ne fait correctement ni l’un ni l’autre.

Si vous avez déjà un directeur TI compétent et voulez un second avis, achetez un diagnostic, pas un rôle permanent. Placer un second décideur au-dessus du premier est la meilleure façon de perdre le premier.

Et si les TI vont mal parce que la direction refuse de les financer ou de trancher, un DSI externe n’y peut rien. Nous avons déjà pris ce type de mandat et le résultat honnête est une feuille de route bien écrite que personne n’exécute. Si c’est votre situation, dites-le au premier appel et nous vous dirons ce qui aiderait réellement.

Questions fréquentes

Combien de jours par mois faut-il prévoir ?

Deux à quatre jours par mois pour une organisation de 50 à 200 personnes avec un parc stable. Six à huit pendant un programme actif : migration, audit, remplacement d’ERP. Le nombre est convenu d’avance et fait l’objet d’un suivi. Si le besoin dépasse systématiquement l’entente, c’est le signe que vous approchez d’une embauche à temps plein, pas une raison de facturer davantage.

En quoi est-ce différent d’un mandat de consultation ?

Un consultant produit une recommandation et repart. Un DSI à temps partagé porte la décision, détient la ligne budgétaire, siège au comité de direction et répond du résultat au trimestre suivant. Le rôle comprend le fait de dire non à un fournisseur, ce qu’un consultant payé au livrable fait rarement.

Remplacez-vous notre fournisseur de services gérés ?

Non. Nous sommes de votre côté de cette relation. Une partie du travail consiste à tenir votre infogéreur à son contrat, à lire les factures correctement et à vous dire quand un renouvellement est tarifé sur l’inertie. Là où nous exploitons nous-mêmes de l’infrastructure, les deux ententes sont contractées et tarifées séparément pour que le conflit soit visible.

Que fait-on de la Loi 25 ?

Elle devient un point permanent à l’ordre du jour, pas un projet ponctuel. Concrètement : désignation du responsable de la protection des renseignements personnels, inventaire des renseignements détenus, évaluation des facteurs relatifs à la vie privée avant toute communication hors Québec, politique de conservation et de destruction, et un processus d’incident de confidentialité écrit et testé. C’est du travail de gouvernance, pas de rédaction juridique, et il faut quelqu’un qui le porte.

Et quand nous embaucherons un directeur TI à temps plein ?

C’est la fin prévue de la plupart des mandats et nous vous y aidons : description de poste, entrevues techniques, puis passation de la feuille de route, du budget et du registre de risques. Nous passons ensuite à un rythme consultatif trimestriel, ou nous arrêtons. Un mandat conçu pour ne jamais finir est une dépendance, pas un service.

Travaillez-vous en français ?

Oui, c’est la langue de travail par défaut au Québec : réunions, documentation, présentations au conseil. Entrazure est partenaire Microsoft AI Cloud, établie au Canada comme aux États-Unis, et l’architecture de sécurité est dirigée par des architectes certifiés en sécurité de l’information. Vous n’avez pas à traduire vos enjeux pour être compris.

Une question sur ce mandat ?

Trois champs. Un architecte le lit et répond en un jour ouvrable.