Diagnostic de maturité numérique : pourquoi il ne sert à rien tant qu'il reste un rapport de DSI

Chaque année, davantage d'entreprises françaises commandent un diagnostic de maturité numérique : grille d'évaluation, entretiens, restitution sous forme de radar, plan d'actions. Le nouveau référentiel MAGNum, publié en mars 2026 par le Cigref, l'IFACI et ISACA France, illustre cette généralisation en élargissant l'exercice à treize dimensions, dont l'intelligence artificielle générative et la responsabilité sociétale. Un diagnostic soigneusement mené peut pourtant ne rien changer du tout. La différence ne tient pas à la qualité de la grille utilisée, ni au sérieux des consultants mobilisés. Elle tient à une question plus simple, et plus rarement posée : qui, dans l'entreprise, décide réellement à partir de ce diagnostic — et à quelle fréquence ?

EN RÉSUMÉ

Le diagnostic de maturité numérique s'est imposé comme un passage obligé des programmes de transformation, porté notamment par le nouveau référentiel MAGNum du Cigref, de l'IFACI et d'ISACA France. Mené comme un audit ponctuel confié à la DSI, il produit un rapport que personne ne rouvre. Mené comme un instrument de gouvernance récurrent, arbitré par la direction générale et relié au cycle budgétaire, il devient l'outil qui permet de prioriser les projets, d'allouer les ressources et de mesurer des progrès réels d'une année sur l'autre. La différence ne réside donc pas dans la méthode d'évaluation choisie, mais dans la manière dont l'entreprise organise la décision après le diagnostic. Répéter l'exercice sans jamais faire évoluer ce mode de gouvernance produit un radar plus précis, pas une transformation plus rapide.

Un exercice de plus en plus répandu, un usage encore rarement pensé

Le 3 mars 2026, le Cigref, l'IFACI et ISACA France ont publié conjointement le MAGNum, un Modèle de maturité et d'audit de la gouvernance du numérique destiné à remplacer le référentiel GAGSI utilisé jusque-là par de nombreuses grandes organisations françaises. Le nouvel outil couvre treize vecteurs de gouvernance, contre un périmètre plus restreint auparavant, et intègre pour la première fois des critères spécifiques à l'intelligence artificielle générative et agentique ainsi qu'un vecteur consacré à la responsabilité sociétale. Une grille de notation associée à un fichier Excel permet de restituer le résultat sous forme de radar, un format désormais familier dans la plupart des exercices de ce type.

Cette publication ne crée pas un besoin nouveau : elle documente un mouvement déjà largement engagé. Diagnostics de maturité digitale, audits de gouvernance IT, évaluations de maturité data ou IA se sont multipliés depuis plusieurs années dans les grandes entreprises, et gagnent progressivement les ETI. Le principe reste stable d'un référentiel à l'autre : une grille de critères, des entretiens ou des questionnaires, une note globale ou sectorielle, une restitution visuelle, puis un rapport contenant des recommandations.

Ce succès méthodologique masque cependant une question rarement traitée avec la même rigueur que la grille elle-même : que devient le diagnostic une fois livré ? Dans un nombre significatif d'organisations, la réponse est décevante. Le rapport rejoint une bibliothèque de documents produits par des missions antérieures, consulté une fois lors de sa présentation, puis rarement lors des arbitrages suivants. L'exercice a été mené avec sérieux. Son effet sur les décisions réellement prises reste, lui, difficile à établir.

Ce que mesure réellement un diagnostic de maturité numérique

Un diagnostic de maturité ne se limite pas à cartographier les outils en place. Les référentiels les plus aboutis, dont le MAGNum, évaluent conjointement des dimensions technologiques, organisationnelles et décisionnelles : architecture des systèmes, qualité et gouvernance de la donnée, cybersécurité, mais aussi répartition des responsabilités, capacité des métiers à porter des projets numériques, articulation entre la direction générale et la fonction digitale, ou encore maturité des pratiques liées à l'intelligence artificielle.

Cette largeur de spectre a une conséquence directe. Un diagnostic sérieux ne produit jamais une réponse binaire (mature ou non mature). Il produit un profil contrasté, avec des dimensions avancées et d'autres en retard, révélant souvent une asymétrie révélatrice : une entreprise peut disposer d'une infrastructure technique solide tout en manquant cruellement de mécanismes de décision permettant d'arbitrer entre projets concurrents. À l'inverse, une organisation aux outils modestes peut posséder une gouvernance suffisamment claire pour avancer méthodiquement, projet après projet.

C'est précisément cette lecture nuancée qui donne sa valeur à l'exercice, et qui explique pourquoi elle se perd si facilement une fois transformée en un score unique présenté en dix minutes à un comité de direction pressé de passer au point suivant de l'ordre du jour.

Le problème n'est pas la grille, c'est ce qui se passe après

La faiblesse la plus commune ne se situe donc pas dans la conception du diagnostic, mais dans son atterrissage organisationnel. Trois scénarios reviennent avec une régularité frappante.

Dans le premier, la DSI commande et pilote seule le diagnostic, considéré comme un exercice technique relevant de son périmètre naturel. Le rapport est ensuite présenté au comité de direction sous une forme condensée, généralement bien accueillie, rarement contestée , et rarement ressaisie dans les mois qui suivent. La direction générale a entendu parler de la maturité numérique de l'entreprise. Elle n'a pas nécessairement décidé quoi que ce soit à partir de cette information.

Dans le second scénario, le diagnostic est bien porté par la direction générale, mais reste un événement isolé, sans cadence de répétition définie. Deux, trois, parfois quatre années s'écoulent avant qu'un nouvel exercice ne soit commandé, souvent à l'occasion d'un changement de direction ou d'un incident notable. Entre ces deux photographies, l'entreprise pilote à l'aveugle, sans indicateur permettant de savoir si les investissements consentis ont réellement fait progresser sa maturité ou simplement déplacé le problème.

Dans le troisième, plus rare mais révélateur, le diagnostic identifie correctement des lacunes de gouvernance (absence d'instance d'arbitrage, responsabilités mal définies entre DSI et métiers, manque de compétences numériques au sein même des organes de décision) sans que ces constats ne débouchent sur une évolution de la gouvernance elle-même. L'entreprise recommande, en somme, de mieux gouverner le numérique, puis confie la mise en œuvre de cette recommandation aux structures de gouvernance dont l'insuffisance vient précisément d'être établie.

Cette dernière difficulté rejoint un constat documenté à l'échelle internationale. Le Spencer Stuart Board Index 2025, qui recense la composition des conseils d'administration des entreprises du S&P 500, indique que 46 % des nouveaux administrateurs nommés en 2025 disposaient d'une expérience technologique significative, contre 17 % seulement en 2021. Cette évolution, mesurée sur le marché américain et donc à transposer avec prudence au tissu des ETI françaises, traduit néanmoins une tendance de fond : les organes de gouvernance les plus exposés commencent à recruter la compétence numérique qui leur faisait défaut pour exercer un contrôle réel, plutôt que formel, sur les sujets technologiques.

Ce que cela change concrètement pour les entreprises

Les conséquences d'un diagnostic mal atterri ne se limitent pas à un rapport oublié. Elles se traduisent par des décisions d'investissement prises sans cadre de priorisation stable, par des projets relancés d'une année sur l'autre sans que l'entreprise ne sache si elle progresse réellement, et par une difficulté récurrente à justifier, auprès d'un conseil ou d'un comité d'investissement, la cohérence d'ensemble d'un portefeuille de projets numériques.

Le baromètre France Num 2025 apporte un éclairage complémentaire, à l'échelle des TPE et PME françaises cette fois. Seules 38 % des entreprises de moins de 50 salariés atteignent un niveau de maturité numérique jugé satisfaisant, contre 67 % des entreprises de 250 salariés et plus. Un écart qui recoupe largement celui des moyens consacrés au sujet. Trois PME sur quatre déclarent avoir dédié un budget spécifique à leurs projets numériques, une proportion pourtant en recul de quatre points sur un an, l'incertitude sur le retour sur investissement demeurant le principal frein cité par les dirigeants. Un diagnostic non relié à une gouvernance active n'aide pas à lever cette incertitude : il se contente de la documenter une fois de plus.

La comparaison avec des chantiers réglementaires comme le RGPD ou l'IA Act éclaire ce mécanisme. Dans les deux cas, l'entreprise qui traite l'obligation comme un livrable à produire (un registre, une documentation, un score) s'expose à en conserver la forme sans en obtenir le fond. Le diagnostic de maturité numérique n'échappe pas à ce piège. Il peut devenir, lui aussi, un exercice de conformité interne, produit pour rassurer un comité ou justifier une ligne budgétaire, sans jamais irriguer les décisions qu'il est censé éclairer.

Faire du diagnostic un instrument de gouvernance, pas un rapport d'étape

Trois évolutions permettent de sortir de ce schéma. La première consiste à changer le commanditaire de l'exercice. Un diagnostic porté par la direction générale, et non délégué à la seule DSI, envoie un signal différent à l'organisation : il ne s'agit pas d'évaluer une fonction support, mais de mesurer une capacité stratégique de l'entreprise dans son ensemble. Le BCG le formule sans détour dans ses travaux sur la gouvernance de la transformation par l'intelligence artificielle : la supervision doit être continue, rigoureuse et substantielle, et l'agenda de transformation doit rester la propriété du directeur général et des responsables opérationnels porteurs du compte de résultat, non être délégué à une fonction technologique isolée.

La deuxième évolution touche la cadence. Un diagnostic répété selon un rythme défini à l'avance, annuel pour les dimensions les plus mouvantes, comme l'intelligence artificielle ou la cybersécurité, plus espacé pour les dimensions structurelles, transforme un instantané en trajectoire. L'entreprise cesse alors de se demander si elle est mature ; elle observe si elle progresse, à quel rythme, et sur quelles dimensions elle prend du retard par rapport à ses propres objectifs.

La troisième évolution, la plus exigeante, consiste à relier explicitement le diagnostic au cycle de décision budgétaire. Un score de maturité qui ne débouche sur aucun arbitrage de priorisation reste un exercice académique. À l'inverse, lorsque les résultats du diagnostic alimentent directement la construction de la feuille de route et la hiérarchisation des projets, l'exercice change de nature : il devient un des intrants du pilotage stratégique, au même titre qu'un budget ou qu'un plan commercial.

Une capacité qui se construit dans la durée

Un diagnostic de maturité numérique n'a jamais eu vocation à produire, à lui seul, une transformation. Il a vocation à donner à l'entreprise une photographie suffisamment fiable de sa situation pour qu'elle puisse décider où concentrer son attention et ses ressources. Cette fonction reste modeste, presque technique. Elle n'en est pas moins déterminante, parce qu'elle conditionne la qualité de toutes les décisions qui en découlent.

La question que les dirigeants devraient se poser n'est donc plus seulement : « Quel est notre niveau de maturité numérique ? » Elle devient : « Que faisons-nous, concrètement, du dernier diagnostic que nous avons commandé et sommes-nous capables de dire, avant le prochain, ce qu'il aura changé ? »

LE REGARD DE DIGITALIE

Chez digitalie, nous considérons qu'un diagnostic de maturité numérique n'a de valeur que s'il est conçu, dès son lancement, comme le premier maillon d'un dispositif de gouvernance récurrent plutôt que comme un livrable isolé. Cela suppose de clarifier, avant même de lancer l'évaluation, qui portera les arbitrages issus du diagnostic, selon quelle fréquence l'exercice sera répété, et par quel mécanisme ses résultats seront reliés à la construction de la feuille de route et du budget. Un échange de 30 minutes peut permettre de situer la maturité de votre organisation et d'identifier les premières décisions de gouvernance à prendre avant de lancer, ou de relancer, ce type de démarche.

Questions fréquentes

Qu'est-ce qu'un diagnostic de maturité numérique ?

Un diagnostic de maturité numérique est une évaluation structurée de la capacité d'une entreprise à piloter sa transformation digitale. Il combine des critères technologiques (infrastructure, données, cybersécurité) et organisationnels (gouvernance, responsabilités, compétences). Des référentiels comme le MAGNum du Cigref, de l'IFACI et d'ISACA France en structurent la méthodologie autour de plusieurs vecteurs notés sur une échelle.

À quelle fréquence faut-il refaire un diagnostic de maturité digitale ?

Il n'existe pas de règle unique, mais une cadence annuelle est recommandée pour les dimensions qui évoluent vite, comme l'intelligence artificielle ou la cybersécurité, et un rythme plus espacé pour les dimensions structurelles. L'essentiel est de fixer cette fréquence à l'avance, afin que le diagnostic devienne une trajectoire suivie plutôt qu'un instantané isolé.

Qui doit piloter un diagnostic de maturité numérique dans l'entreprise ?

La direction générale doit rester commanditaire et arbitre du diagnostic, même si la DSI en assure souvent la coordination opérationnelle. Confier l'exercice à la seule fonction technologique risque de le transformer en audit interne sans portée stratégique, alors qu'il doit éclairer des décisions relevant du comité de direction.

Qu'est-ce que le référentiel MAGNum du Cigref ?

Le MAGNum est un Modèle de maturité et d'audit de la gouvernance du numérique publié en mars 2026 par le Cigref, l'IFACI et ISACA France. Il remplace l'ancien référentiel GAGSI, couvre treize vecteurs de gouvernance et intègre pour la première fois des critères dédiés à l'intelligence artificielle générative et à la responsabilité sociétale.

Un diagnostic de maturité numérique remplace-t-il une feuille de route digitale ?

Non. Le diagnostic mesure un point de départ et suit une trajectoire ; la feuille de route traduit ensuite cette analyse en projets priorisés et séquencés. Un diagnostic sans feuille de route reste descriptif, une feuille de route sans diagnostic régulier perd rapidement son ancrage dans la réalité de l'organisation.

Quelle différence entre digitalisation et transformation digitale ?

La digitalisation consiste à numériser des processus existants sans changer leur logique de fonctionnement. La transformation digitale implique une évolution plus profonde de l'organisation, de la gouvernance et des modes de décision. Un diagnostic de maturité numérique aide à situer une entreprise sur ce spectre, entre simple numérisation et transformation structurelle.

Sources et précisions

1. Cigref, IFACI, ISACA France, communiqué de presse « ISACA France, le Cigref et l'IFACI lancent MAGNum 2026 », mars 2026 — https://www.ifaci.com/actualites-institutionnelles/communique-de-presse-isaca-france-le-cigref-et-lifaci-lancent-magnum-2026-nouveau-modele-de-maturite-et-daudit-de-la-gouvernance-du-numerique/

2. Direction générale des Entreprises / France Num, « Transformation numérique des TPE/PME : les enseignements du baromètre 2025 de France Num » — https://www.economie.gouv.fr/actualites/transformation-numerique-des-tpepme-les-enseignements-du-barometre-2025-de-france-num

3. Boston Consulting Group, « Risk and Compliance 2026: Refining Oversight for a Volatile AI-Driven World », 2026 — https://www.bcg.com/publications/2026/refining-oversight-for-a-volatile-ai-driven-world

4. Boston Consulting Group, « Targets Over Tools: The Mandate for AI Transformation », 2025 — https://www.bcg.com/publications/2025/targets-over-tools-the-mandate-for-ai-transformation

5. Spencer Stuart, « 2025 U.S. Board Index », octobre 2025 — https://www.spencerstuart.com/-/media/2025/10/ssbi2025/2025-us-board-index.pdf

6. McKinsey & Company, « How effective boards approach technology governance » — https://www.mckinsey.com/capabilities/mckinsey-digital/our-insights/how-effective-boards-approach-technology-governance