Linkedin
Facebook
Email
more
Au cours des dernières années, j’ai participé à de nombreuses discussions avec des conseils d’administration, des PDG, des directeurs financiers, des auditeurs et des équipes techniques. Étonnamment, ces conversations commencent souvent par la même question :
« Sommes-nous en sécurité ? »
Bien que cela soit compréhensible, je ne suis pas convaincu qu’il s’agisse de la bonne question.
Comprendre le risque, et non l'éliminer
La réalité est qu'aucune organisation ne peut éliminer tous les risques technologiques ou cybernétiques. L'objectif ne doit pas être de devenir exempt de tout risque. L'objectif doit être de comprendre où l'entreprise est exposée, de déterminer quels risques sont acceptables et de s'assurer que les responsabilités sont clairement définies. C'est exactement l'état d'esprit qui sous-tend l'approche de l'ITRA en matière de gouvernance technologique et cybernétique.
Trop souvent, les organisations se concentrent sur les contrôles, les outils et les exigences de conformité, tout en perdant de vue la situation dans son ensemble. Elles abordent la cybersécurité indépendamment des fournisseurs, les fournisseurs indépendamment de la résilience, la résilience indépendamment de l’IA, et l’IA indépendamment de la gouvernance. Le résultat est généralement le même : de nombreuses discussions, de nombreux rapports, mais aucune vision globale des risques qui comptent véritablement pour l’entreprise.
Ce que je constate le plus souvent, ce n’est pas un manque de technologie.
C’est un manque de clarté.
Les questions qui comptent vraiment
À qui incombe le risque ?
Qui a le pouvoir de prendre la décision ?
Qui accepte l’exposition résiduelle ?
Ces questions sont souvent plus difficiles à résoudre que n’importe quelle évaluation technique.
Comme je le dis souvent à mes clients :
« Le véritable risque n’est souvent pas la technologie en soi. Le véritable risque, c’est que personne ne sache à qui revient la décision. »
Pourquoi le risque cyber doit être traité au sein du conseil d’administration
Cela devient particulièrement évident en matière de cybersécurité. De nombreuses organisations continuent de considérer la cybersécurité comme un sujet relevant de l’informatique. Pourtant, lorsqu’un incident grave se produit, les conséquences sont rarement d’ordre technique.
Les opérations s’arrêtent.
Le chiffre d’affaires en pâtit.
Les clients perdent confiance.
La direction passe des jours à gérer la crise.
La discussion passe immédiatement de la salle des serveurs à la salle du conseil d’administration.
C’est pourquoi le risque cyber doit être géré comme n’importe quel autre risque d’entreprise. Les équipes techniques ont un rôle essentiel à jouer, mais la responsabilité doit aller au-delà de l’informatique. Cela nécessite un engagement de la direction, une gouvernance et une responsabilité clairement définie. Cela est d’autant plus vrai que les organisations deviennent de plus en plus dépendantes des services cloud, des prestataires externalisés, des plateformes numériques et des solutions d’intelligence artificielle.
Un audit informatique doit déboucher sur des décisions, pas sur des constatations
Une autre idée fausse courante est qu’un audit informatique devrait avant tout aboutir à des constatations.
À mon sens, un audit réussi doit déboucher sur des décisions.
La direction n’a pas besoin d’un rapport de 100 pages décrivant chaque faiblesse. Elle a besoin d’une compréhension pratique des domaines sur lesquels concentrer son attention, dans lesquels investir, où renforcer la gouvernance et, tout aussi important, où ne pas consacrer de temps ni d’argent.
Les questions clés auxquelles chaque évaluation doit répondre
Une bonne évaluation doit répondre à quelques questions simples :
- Quels sont nos risques les plus importants ?
- Quels risques pourraient avoir un impact significatif sur l’activité ?
- Les responsabilités sont-elles clairement définies ?
- Avons-nous fixé les bonnes priorités ?
- Sommes-nous à l’aise avec notre niveau actuel d’exposition aux risques ?
La technologie a besoin de décisions plus claires
Si ces questions restent sans réponse après un audit, alors l’exercice n’a apporté qu’une valeur limitée.
Une observation est restée constante tout au long de ma carrière :
« La technologie n’a pas besoin de plus de bruit. Elle a besoin de décisions plus claires. »
Les organisations qui gèrent le plus efficacement les risques technologiques ne sont pas nécessairement celles qui disposent des budgets de sécurité les plus importants ou des outils les plus sophistiqués. Ce sont celles où la direction comprend les risques, où les responsabilités sont clairement définies, où les décisions sont documentées et où les priorités sont alignées sur les objectifs métier.
Gouvernance, responsabilité et prise de décision éclairée
En fin de compte, l’audit informatique et la gestion des risques cybernétiques ne concernent pas la technologie.
Il s’agit de gouvernance.
Il s’agit de responsabilité.
Il s’agit de prise de décision éclairée.
Et dans un environnement où chaque organisation dépend de la technologie, ces capacités deviennent tout aussi importantes que la technologie elle-même.
