Le Contrôle Comme Angle Central De La Stratégie IT

Par Bruno Sivanandan Roques de Borda, Consultant en cybersécurité

‍

La cybersécurité et la conformité comme fondations de la transformation

‍

J'ai commencé ma carrière en abordant les projets IT sous un angle architectural. C'est-à-dire en regardant les systèmes d'information depuis le haut, en considérant l'ensemble de leurs composants et la manière dont ils interagissent entre eux, pour tenter d'identifier les schémas et les principes qui permettraient de bâtir une infrastructure solide et durable — de la même façon qu'une maison ne résiste pas à l'épreuve du temps si elle repose sur des fondations trop superficielles. En prolongeant ce parallèle, j'en suis arrivé à la conclusion que les fondations d'un système devaient précisément être posées sur la cybersécurité et la conformité. L'expérience ne m'a jamais contredit depuis.

‍

La raison en est simple. Quelle que soit la transformation qu'une organisation envisage — un programme ERP, une extension de réseau, une migration vers le cloud, une plateforme de données, un nouveau prototype d'IA —, les mêmes questions ressurgissent en l'espace de quelques jours. Comment le système est-il sécurisé ? Quelles données sont concernées ? Qui y a accès ? Quels processus sont affectés ? Quels tiers sont connectés ? Et comment cette nouvelle initiative s'inscrit-elle dans le tableau plus large du patrimoine numérique de l'entreprise ?

‍

Ces questions sont des prérequis si l'on veut construire, sur le long terme, un système cohérent avec la stratégie de l'entreprise et adaptable à un paysage technologique et commercial qui ne cessera pas de bouger.

‍

‍

Les systèmes numériques sont désormais une affaire de conseil d'administration

‍

C'est pourquoi la cybersécurité et la conformité ne devraient pas être traitées comme de simples contraintes techniques ou juridiques. Dans le meilleur des cas, elles obligent une organisation à se comprendre elle-même. Elles la contraignent à cartographier ce qui existe, à clarifier les responsabilités, à identifier son exposition, à documenter ses contrôles et à produire la preuve que le système est réellement piloté.

‍

Y parvenir implique quelque chose d'important : la direction générale est en mesure de garder le contrôle sur l'intégralité du système d'information. Chaque composant, chaque terminal, chaque traitement de données, chaque équipement réseau, chaque tiers, chaque application, chaque dépendance et chaque responsabilité impliquée.

‍

Seule une vision aussi complète permet d'éviter que des angles morts ne s'ouvrent entre les équipes ou les fournisseurs, et de maintenir des responsabilités clairement délimitées. C'est aussi ce qui permet de compiler l'information sous une forme intelligible au niveau du conseil, afin de prendre des décisions saines sur le risque, sur les contraintes budgétaires et sur les priorités de transformation, en cohérence avec la stratégie de l'entreprise.

‍

Les systèmes numériques sont devenus une affaire de conseil d'administration parce qu'ils portent désormais les opérations, la finance, l'expérience client, le reporting, la conformité, la sécurité, la propriété intellectuelle et, de plus en plus, des capacités reposant sur l'IA. Pour beaucoup d'entreprises, le système numérique n'est plus un ensemble d'outils que l'activité utilise : il devient l'environnement dans lequel l'activité s'exerce réellement.

‍

Au fond, ce qui change, c'est la gouvernance avec laquelle le conseil pilote la transformation du système. Les conseils d'administration et les comités exécutifs ne peuvent pas se contenter de mises à jour techniques isolées et de rapports de projets fragmentés. Ce dont ils ont besoin, c'est d'une vision structurée du système d'exploitation numérique : ce qui est critique, ce qui est exposé, ce qui est protégé, ce qui coûte cher, ce qui est obsolète, et ce qu'il faut transformer ensuite.

‍

Au niveau du conseil, le contrôle numérique prend forme autour de trois questions.

‍

Premièrement : connaissons-nous notre risque ? Cela suppose de comprendre les actifs critiques, les données sensibles, les obligations réglementaires, les dépendances vis-à-vis des tiers, les points faibles opérationnels et l'impact probable en cas d'incident.

‍

Deuxièmement : savons-nous où va le budget ? À travers les logiciels, les fournisseurs, l'infrastructure cloud, les licences, la cybersécurité, la conformité, la maintenance, la remédiation et les projets de transformation.

‍

Troisièmement : choisissons-nous les bonnes choses à transformer ? Tous les efforts de modernisation n'ont pas la même valeur. Les bonnes priorités sont celles qui réduisent le risque, éliminent le gaspillage, renforcent la résilience, améliorent l'usage, soutiennent la stratégie de l'entreprise et préparent l'organisation à des exigences qui ne sont pas encore arrivées.

‍

‍

Le contrôle comme discipline stratégique

‍

C'est là que le contrôle devient une discipline stratégique. Il est le pont entre le risque numérique, la dépense numérique et la transformation numérique, et c'est lui qui crée la confiance managériale.

‍

Cette confiance joue dans deux directions. En interne, la direction acquiert l'assurance que l'entreprise exploite véritablement le potentiel des technologies dans lesquelles elle a investi. En externe, le contrôle est le premier moyen de bâtir la confiance : clients, investisseurs, auditeurs, régulateurs, assureurs et partenaires attendent de plus en plus d'une entreprise qu'elle démontre qu'elle comprend et gouverne son environnement numérique.

‍

Une fois cette confiance établie, la transformation devient bien plus facile à piloter. Une entreprise qui comprend son système peut intégrer plus vite une nouvelle technologie, parce qu'elle sait où cette technologie a sa place. Elle évite d'accumuler des outils déconnectés. Elle consolide ses plateformes. Elle réutilise ses éléments de preuve pour répondre à plusieurs obligations de conformité. Elle anticipe les exigences réglementaires au lieu de les subir. Et elle aligne l'ingénierie IT de terrain sur les priorités de la direction générale.

‍

En ce sens, le contrôle ne ralentit pas la transformation. C'est un investissement qui permet à une organisation d'avancer plus vite sans perdre en cohérence.

‍

‍

L'IA rend le contrôle numérique plus urgent

‍

Il est impossible, aujourd'hui, de parler de transformation numérique sans dire un mot de l'IA. Cette technologie ne change pas fondamentalement la discipline décrite plus haut. Au contraire : parce qu'elle accélère tout, elle la rend plus importante encore.

‍

L'IA introduit de nouveaux flux de données, de nouveaux paradigmes d'automatisation, de nouvelles dépendances vis-à-vis de tiers, une nouvelle exposition aux coûts et de nouveaux enjeux de responsabilité. Les outils et les agents d'IA doivent donc être intégrés au système de contrôle de l'entreprise comme n'importe quel autre composant. Ils ont besoin de propriétaires clairement identifiés, de périmètres d'accès, de cas d'usage approuvés, de journaux, de plafonds de coûts, de mécanismes de revue, de procédures d'incident et d'une responsabilité humaine.

‍

Les entreprises qui tireront le plus grand bénéfice de l'IA sont celles qui sauront relier l'expérimentation à la gouvernance, à l'architecture, à la sécurité, à la conformité et à la valeur métier.

‍

‍

Vers la maturité du contrôle numérique

‍

On considère comme allant de soi que les entreprises consacrent des efforts considérables au contrôle de leurs finances et à la remontée de l'information financière au niveau du conseil. Tout un écosystème s'est construit autour du contrôle financier : la réglementation y joue un rôle puissant, et de très nombreux acteurs ont standardisé leurs pratiques, leurs outils, leurs audits, leurs rapports et leur langage professionnel.

‍

L'industrie du numérique, elle, n'en est encore qu'à l'aube. La technologie continue d'évoluer rapidement, l'IA plus que tout. La réglementation est encore en train de se dessiner à travers le monde, tandis que les acteurs industriels adaptent toujours leurs opérations pour intégrer ces technologies sur la durée.

‍

Notre objectif est de participer à l'émergence d'une manière standard de conduire les parcours de transformation numérique de nos clients — une manière qui aligne le contrôle exercé par la direction générale et l'ingénierie IT de terrain, et qui tient les deux ensemble plutôt que de les laisser s'éloigner l'un de l'autre. C'est pourquoi nous abordons une mission en demandant d'abord ce qu'un client fait réellement tourner, avant de demander ce que nous pourrions construire pour lui. C'est aussi la réflexion qui a donné naissance à Baulders, notre plateforme de decision intelligence, conçue pour évaluer l'exposition critique, faire ressortir les facteurs de risque qui comptent vraiment et transformer un patrimoine numérique tentaculaire en quelque chose sur quoi une équipe dirigeante peut décider.

‍

Ce que nous voulons, c'est préparer nos clients à adopter plus vite les nouvelles technologies, tout en préservant la cohérence de leur système global et en anticipant les exigences de conformité qui les attendent. Le résultat n'est pas seulement une meilleure sécurité, ou une meilleure conformité. C'est l'optimisation de l'activité, et la pérennisation de la valeur pour chaque partie prenante.