Rattaché au DSI, souvent au sein d'un office of the CIO, le responsable pilotage et gouvernance SI tient la mécanique de la DSI. Il prépare les comités de direction, consolide le tableau de bord, organise le cycle budgétaire avec le contrôle de gestion, suit les risques IT et les recommandations d'audit, et entretient les politiques SI. Les questions d'entretien d'un responsable gouvernance SI montrent s'il sait faire décider les autres, chiffres et risques à l'appui.
Les CV citent COBIT, ITIL et ISO/IEC 38500. Ces cadres comptent, mais un candidat qui a seulement rédigé des processus en parle comme d'une documentation. Celui qui a tenu le poste raconte un comité refondu, un indicateur dont il a fait changer la définition, une recommandation d'audit fermée avec preuve, une dérogation refusée. Ces cas se racontent avec la taille de la DSI et le budget en jeu.
Le poste touche ceux de responsable PMO et de contrôleur de gestion IT. L'annonce précise ce qui en fait partie. Le PDF compte 30 questions sur six axes, un cas de 20 minutes et une grille de 1 à 4.
Cadres, instances et outils du pilotage de la DSI
COBIT
Le cadre de gouvernance et de management du SI publié par ISACA. Sa version 2019, la plus répandue dans les DSI, compte quarante objectifs, dont ceux du domaine EDM (évaluer, orienter, surveiller) pour la gouvernance. Un bon candidat explique comment il a choisi les objectifs utiles à sa DSI au lieu de tout déployer.
ISO/IEC 38500
La norme internationale de gouvernance du numérique pour l'organisation, rééditée en 2024. Elle s'adresse aux organes de direction et pose des principes plutôt que des processus. Elle sert surtout à faire comprendre à la direction générale ce qui relève d'elle.
ITIL
Le référentiel de gestion des services informatiques : incidents, changements, catalogue, niveaux de service. Le responsable gouvernance s'en sert pour les engagements de service et leurs indicateurs, sans être lui-même spécialiste de l'exploitation.
Instances et droits de décision
Comité de direction SI, comité d'arbitrage, comités par domaine, revue d'architecture, comité des risques. Chacun doit avoir un objet, des décisions attendues et un relevé de décisions suivi. La matrice RACI écrit qui décide de quoi.
Tableau de bord de la DSI
Une dizaine d'indicateurs de service, de projets, de finances, de risques et de demande, produits depuis l'outil ITSM, l'outil PPM et la comptabilité, souvent dans Power BI. Chaque indicateur a une définition écrite, une source et un responsable.
Cycle budgétaire SI
Cadrage, collecte du run et des projets, arbitrage, validation, puis révisions et suivi mensuel avec le contrôle de gestion IT. Des taxonomies de coûts comme celle du TBM Council aident à classer les dépenses et à se comparer.
Risques IT et contrôle interne
Cartographie des risques IT alignée sur celle de l'entreprise, contrôles sur les accès et les changements, suivi des recommandations d'audit, et obligations de textes comme NIS2 ou DORA pour les entités concernées. Le travail se fait avec le RSSI, le risk manager et l'audit interne.
Les intitulés varient : responsable pilotage et gouvernance SI, responsable stratégie et gouvernance IT au sein d'un office of the CIO, responsable de la gouvernance des plans informatiques, IT governance manager. En mission, les annonces parlent de consultant gouvernance SI, avec des sujets comme le recensement du shadow IT et la gestion des risques, ou de PMO senior chargé du portefeuille, des comités et des budgets d'une DSI. Le poste demande une bonne connaissance des cadres (COBIT, ITIL, ISO/IEC 38500), une pratique des instances de direction et un sens du chiffre. Selon l'organisation, il inclut le PMO et le contrôle de gestion IT, ou travaille à côté d'eux.
Six domaines à contrôler chez un responsable gouvernance SI
- Cadres de gouvernance IT appliqués
- Instances et droits de décision
- Tableau de bord et indicateurs de la DSI
- Cycle budgétaire SI
- Risques IT et contrôle interne
- Politiques SI et dérogations
Situations de gouvernance SI en entretien
Chaque question vient avec ce qu'une bonne réponse contient et le signal qui doit vous alerter. Pas besoin d'être technique pour les poser : écoutez si le candidat raconte du vécu.
Question 1 · senior
Le DSI vous demande de « mettre en place COBIT ». Par où commencez-vous ?
Une bonne réponseIl ne déploie pas les quarante objectifs d'un coup. Il part des enjeux de l'entreprise et des problèmes constatés (décisions prises hors instance, risques mal suivis, budget peu lisible), utilise les facteurs de conception de COBIT 2019 pour retenir une dizaine d'objectifs prioritaires, évalue leur niveau de capacité actuel et fixe une cible réaliste. Il construit une feuille de route sur deux ou trois ans, avec des responsables nommés et un premier résultat visible en six mois.
Signal d'alerteUn projet documentaire qui produit des processus pour les quarante objectifs, sans priorité ni lien avec les problèmes de la DSI.
Question 2 · senior
Les décisions se prennent dans les couloirs et les comités de la DSI ne décident rien. Comment refondez-vous les instances ?
Une bonne réponseIl recense les instances existantes, leurs participants et les décisions réellement prises. Il redéfinit un petit nombre de comités avec pour chacun un objet, des droits de décision écrits, une fréquence, un quorum et des documents envoyés à l'avance. Il supprime les comités redondants, fait tenir un relevé de décisions et suit leur exécution. Il obtient du DSI qu'une décision prise hors instance soit renvoyée vers l'instance prévue.
Signal d'alerteAjouter un nouveau comité, ou rédiger une charte de gouvernance que personne n'applique.
Question 3 · confirmé
Le DSI veut un tableau de bord mensuel. Comment choisissez-vous les indicateurs ?
Une bonne réponseIl part des décisions que le DSI prend chaque mois et des objectifs de la DSI, puis retient une dizaine d'indicateurs au plus : service (disponibilité des applications critiques, incidents majeurs), projets (respect des jalons et des budgets), finances (budget consommé et atterrissage), risques (vulnérabilités critiques ouvertes, recommandations d'audit en retard), demande (délai de traitement). Chacun a une définition écrite, une source, un responsable, une cible et un seuil d'alerte.
Signal d'alerteTous les indicateurs disponibles dans les outils, sans définition ni cible.
Question 4 · senior
Comment construisez-vous et faites-vous vivre la cartographie des risques IT de la DSI ?
Une bonne réponseIl part des processus et services critiques de l'entreprise, identifie les risques (cyber, obsolescence, dépendance à un fournisseur, perte de compétences, non-conformité) avec leurs causes, les évalue en impact et en probabilité sur l'échelle de la gestion des risques de l'entreprise, nomme un propriétaire par risque et suit un plan de traitement. Il la revoit au moins une fois par an et après tout incident majeur, en lien avec le risk manager et le RSSI.
Signal d'alerteUne liste de risques génériques rédigée par la DSI seule, sur une échelle différente de celle de l'entreprise, jamais mise à jour.
Question 5 · senior
Vous recensez une soixantaine d'outils SaaS achetés par les métiers sans passer par la DSI. Que proposez-vous ?
Une bonne réponseUn recensement par les données disponibles (dépenses, notes de frais, journaux du proxy ou du CASB, déclarations), une évaluation des risques (données traitées, sécurité, contrats, doublons), puis un traitement par lot : régulariser, remplacer ou arrêter. Il ouvre en parallèle un circuit simple et rapide pour référencer un nouvel outil ; sans ce circuit, le phénomène reprend.
Signal d'alerteUne interdiction générale sans circuit alternatif, ou un recensement sans suite.
Recevez la fiche d'entretien complète en PDF
La fiche pour mener l'entretien de bout en bout, prête à imprimer ou à partager avec le manager.
- 30 questions sur 6 axes, avec la bonne réponse, le signal d'alerte et la relance
- Le niveau visé pour chaque question
- Une mise en situation de 20 minutes et ce qu'on attend du candidat
- La grille d'évaluation de 1 à 4, axe par axe
Responsable pilotage SI : les questions fréquentes
Responsable gouvernance SI ou responsable PMO : quel poste ouvrir ?
Le responsable PMO s'occupe des projets : instruction des demandes, arbitrage du portefeuille, capacité à faire. Le responsable pilotage et gouvernance SI couvre toute la DSI : instances, tableau de bord, budget, risques, politiques et contrôle interne, projets compris mais pas seulement. Dans une DSI de taille moyenne, un seul poste réunit souvent les deux. L'intitulé se choisit à partir des décisions qui manquent aujourd'hui.
Une certification COBIT ou ITIL est-elle exigée ?
Une certification COBIT ou ITIL montre que le candidat connaît le vocabulaire et la structure du cadre. Elle ne dit rien de sa capacité à faire tenir un comité ou à faire fermer une recommandation d'audit. Une certification CGEIT d'ISACA vise davantage la gouvernance. Elles restent un plus, et l'entretien porte sur des cas vécus, avec la taille de la DSI et les décisions obtenues.
D'où viennent les bons responsables pilotage et gouvernance SI ?
Souvent du conseil en organisation des DSI, du PMO senior, du contrôle de gestion IT ou de l'audit informatique. Chaque parcours apporte une force : méthode pour le conseil, chiffres pour le contrôle de gestion, risques pour l'audit. L'entretien vérifie ce que le parcours n'a pas donné. Un ancien auditeur doit montrer qu'il sait construire, un ancien consultant qu'il a tenu un dispositif dans la durée.
Comment ce poste s'évalue-t-il sans test technique ?
Par une mise en situation de vingt minutes. Le candidat reçoit la liste des comités de la DSI, un extrait de tableau de bord et quelques constats d'audit, puis dit ce qu'il change dans les trois premiers mois. Le point décisif : part-il des décisions à prendre ou des documents à produire ? Un échange avec le DSI ou un membre de son comité, qui travaillera avec lui chaque semaine, complète l'évaluation.
Pour structurer vos autres entretiens, consultez aussi nos pages sur les questions d'entretien de recrutement, la méthode de l'entretien structuré et la grille d'évaluation d'entretien.
