Élaboration des politiques informatiques au Rwanda (gouvernance)

Qu’est-ce que l’élaboration des politiques de gouvernance informatique, et qui en a besoin

C’est la rédaction, la revue et le déploiement de politiques pour le volet gestion de l’informatique : achats, cycle de vie des actifs, licences logicielles, gestion des changements, gestion des fournisseurs, mise au rebut des équipements, et rôles et responsabilités informatiques. Elle convient aux organisations qui dépassent les arrangements informels, aux ONG et institutions qui rendent des comptes à des bailleurs ou auditeurs, et à toute organisation qui a été surprise par un constat d’audit, un appareil perdu ou une licence expirée.

Le problème qu’elle résout

Sans gouvernance, l’informatique est gérée par habitude et de mémoire. Les achats sont approuvés différemment à chaque fois, les équipements ne sont pas suivis, les licences se désalignent des effectifs, des changements sont faits sans prévenir, et de vieux ordinateurs partent avec des données encore dessus. Les auditeurs et bailleurs demandent des preuves qui n’existent pas. Des politiques courtes et pratiques font de la bonne méthode la méthode normale, et laissent une trace de son application.

Les politiques dont la plupart des organisations ont besoin

Les achats informatiques. Seuils d’approbation, spécifications standard, choix des fournisseurs et cas où un appel d’offres formel est requis. Les organismes publics suivent aussi la loi rwandaise sur les marchés publics, révisée en 2022, et le système d’achats électroniques Umucyo géré par la Rwanda Public Procurement Authority.

Le cycle de vie des actifs. Enregistrement, attribution, entretien, planification des remplacements, effacement sécurisé et mise au rebut par des recycleurs agréés de déchets électroniques.

Les licences logicielles. Qui peut acheter et installer des logiciels, comment les licences sont suivies et comment elles sont récupérées au départ des personnes.

La gestion des changements. Comment les modifications des systèmes sont demandées, approuvées, planifiées et consignées.

La gestion des fournisseurs. Contrats, niveaux de service, accès des fournisseurs et évaluation de leurs performances.

Les rôles et responsabilités. Qui détient les décisions, budgets et risques informatiques, y compris lorsque l’informatique est externalisée.

Rédiger des politiques qui fonctionnent

• Courtes : une à trois pages chacune, avec les règles en premier.
• Précises, adaptées à vos systèmes, à votre structure et à vos niveaux d’approbation.
• Reliées aux formulaires et listes de contrôle que les gens utilisent déjà.
• Attribuées, avec un responsable désigné et une date de révision.
• Cohérentes avec vos politiques de sécurité, vos règles financières et toute exigence réglementaire.

Un court exemple montre le niveau visé. Une politique des actifs peut dire : tout appareil dont le coût dépasse un montant convenu est enregistré avant d’être remis ; chaque appareil a un seul détenteur désigné ; l’informatique compare le registre à la réalité deux fois par an ; les partants rendent leurs appareils le dernier jour ; et aucun appareil ne part à la mise au rebut avant que son disque ait été effacé et l’effacement consigné.

Ce que comprend le travail

1. Comprendre les pratiques actuelles par des entretiens et l’examen des documents.
2. Convenir des politiques nécessaires et de leurs responsables.
3. Rédiger chaque politique en langage clair.
4. Revoir avec la finance, les opérations, les RH et l’informatique.
5. Approuver et déployer, en mettant à jour les formulaires et listes de contrôle en conséquence.
6. Fixer des dates de révision et un contrôle d’application simple.

Ce qui est inclus et ce qui ne l’est pas

Délais habituels et ce qui détermine le coût

Un ensemble de base de politiques de gouvernance demande généralement une à trois semaines, cycles de revue compris. Le coût dépend du nombre de politiques, de la taille et de la structure de l’organisation, de la documentation existante, et de la nécessité d’aligner les politiques sur les exigences précises d’un régulateur ou d’un bailleur.

Équipements généralement utilisés

Des modèles de politiques adaptés à votre organisation, un registre des actifs et un suivi des licences pour appuyer les politiques, des formulaires de demande d’achat et de départ, et une bibliothèque documentaire où le personnel trouve la version en vigueur.

Les erreurs que nous voyons souvent

Des politiques copiées sur celles d’une grande entreprise. Des règles que personne n’a reliées au formulaire d’achat réel. Aucun registre des actifs derrière la politique des actifs. Des licences achetées par des employés sur leur carte personnelle. Une mise au rebut sans effacement des données. Des politiques sans responsable ni date de révision. Et des politiques de gouvernance et de sécurité qui se contredisent.