Marché · Leadership
DSI, CTO, RSSI : qui pilote quoi dans la gouvernance Tech ?
Les trois intitulés apparaissent souvent ensemble dans les organigrammes, mais ils ne répondent pas à la même question. Le DSI sert l’entreprise et ses collaborateurs, le CTO construit la technologie vendue aux clients, le RSSI protège l’ensemble contre les risques numériques. Leur répartition dépend du modèle économique bien plus que de la taille.
01
Trois mandats, trois objets
Le DSI est responsable du système d’information interne : applications métiers, infrastructures, postes de travail, données, fournisseurs et continuité de service. Il arbitre un budget, pilote des contrats et conduit des transformations qui modifient la façon dont les équipes travaillent.
Le CTO porte la technologie du produit ou du service vendu. Il définit l’architecture, organise l’ingénierie, arbitre entre dette technique et vitesse de livraison, et participe à la stratégie produit avec la direction générale.
Le RSSI ou CISO définit la politique de sécurité, évalue les risques, organise la détection et la réponse aux incidents et rend compte de l’exposition de l’entreprise à la direction. Son périmètre couvre aussi bien le SI interne que, le cas échéant, les produits numériques.
02
Le modèle économique décide de l’organisation
Dans une ETI industrielle, de distribution ou de services, le DSI est souvent le seul dirigeant technologique. Dans un éditeur de logiciels ou une scale-up, le CTO occupe cette place et le SI interne reste plus léger. Dans un groupe qui vend des services numériques tout en opérant un SI important, les deux fonctions coexistent et doivent partager des règles communes.
- Entreprise dont le numérique est un support : DSI central, RSSI rattaché ou proche de la DSI.
- Entreprise dont le numérique est le produit : CTO central, VP Engineering pour l’exécution, sécurité produit dédiée.
- Modèle hybride : DSI et CTO côte à côte, avec une gouvernance explicite des données, de l’architecture et de la sécurité.
03
La question du rattachement du RSSI
Le rattachement du RSSI au DSI reste fréquent. Il facilite la mise en œuvre opérationnelle, mais peut limiter l’indépendance lorsque la sécurité doit freiner un projet porté par la DSI elle-même. D’autres organisations le rattachent à la direction générale, aux risques ou au secrétariat général.
Il n’existe pas de bon rattachement universel. L’essentiel est que le RSSI dispose d’un accès direct à la direction lorsque le risque l’exige et que ses arbitrages soient documentés.
04
Les zones de recouvrement à clarifier
- Architecture : qui fixe les standards communs entre SI interne et produit ?
- Données : qui possède les référentiels, la qualité et les règles d’accès ?
- Cloud et fournisseurs : qui négocie, qui opère, qui contrôle ?
- Incidents : qui décide pendant une crise, qui communique, qui rend compte ?
- Budget : quelles dépenses relèvent de l’exploitation, de l’innovation ou de la sécurité ?
05
Ce que cela change pour le recrutement
Recruter l’un de ces trois rôles sans avoir clarifié les deux autres conduit souvent à des mandats ambigus. Un CTO recruté pour moderniser le SI interne, ou un DSI attendu sur l’architecture d’un produit, se retrouve sur un terrain qui ne correspond pas à son expérience.
Avant de lancer une recherche, il est utile d’écrire le mandat en résultats attendus, de préciser les interfaces avec les autres dirigeants Tech et de vérifier que le candidat a déjà exercé dans un modèle économique comparable.
Pour aller plus loin
Les métiers concernés
Questions fréquentes