Points clés
- Dans de nombreuses organisations, le risque numérique est piloté par personne — chaque acteur pense que la responsabilité appartient à un autre.
- La direction délègue au DSI, le DSI délègue au RSSI, le RSSI signale sans avoir l'autorité pour décider : ce système de délégation en cascade produit une responsabilité orpheline.
- La clarification des responsabilités est un acte de gouvernance fondamental que seule la direction générale peut réaliser.
- Le rôle de chaque acteur doit être précis et documenté, avec des interfaces claires entre les fonctions qui gèrent le risque numériques sous des angles différents.
Le problème de la responsabilité orpheline
La responsabilité orpheline est l'une des configurations les plus dangereuses en matière de risque numérique. Elle survient quand chaque acteur pense que la responsabilité appartient à un autre. La direction pense avoir délégué au DSI. Le DSI pense que le RSSI s'en occupe. Le RSSI pense qu'il a alerté mais n'a pas l'autorité pour décider. Le responsable conformité pense que les risques numériques relèvent du technique. Et les directions métiers pensent que "ça, c'est de l'IT". Dans cette configuration, un risque peut être connu de plusieurs acteurs sans qu'aucun ne prenne la responsabilité de le traiter — précisément parce que tout le monde croit que quelqu'un d'autre le fait.
Les rôles distincts de chaque acteur
Une clarification efficace des responsabilités suppose de définir précisément le rôle de chaque acteur. La direction générale définit le niveau de risque acceptable, approuve la politique de sécurité, alloue les ressources et prend les décisions stratégiques. Le RSSI identifie les risques, évalue l'exposition, recommande des mesures de traitement, supervise leur mise en œuvre et alerte la direction sur les évolutions significatives. Le DSI opère les systèmes selon les exigences définies par le RSSI et la direction. Le responsable conformité s'assure que les exigences réglementaires sont intégrées dans les décisions de gouvernance. Les directions métiers identifient les processus critiques, contribuent à l'évaluation des impacts et appliquent les politiques dans leur périmètre.
Les zones de friction entre acteurs
Même avec des rôles bien définis, des zones de friction émergent aux interfaces entre acteurs. La plus fréquente oppose le RSSI et le DSI : l'un veut contraindre des décisions techniques pour des raisons de sécurité, l'autre veut maintenir la flexibilité pour les projets. Une deuxième oppose la direction de la conformité et le RSSI : l'une approche le risque par les obligations réglementaires, l'autre par les menaces réelles. Une troisième oppose la direction générale et les acteurs techniques : la première veut avancer vite, les seconds veulent prendre le temps de sécuriser. Ces frictions sont normales — elles reflètent des légitimités différentes. La gouvernance est précisément le mécanisme qui permet de les résoudre sans que l'une ne prime systématiquement sur les autres.
La clarification comme acte de gouvernance fondamental
Clarifier qui est responsable de quoi dans la gestion du risque numérique est un acte de gouvernance fondamental que seule la direction générale peut réaliser. Cette clarification ne peut pas être laissée aux acteurs eux-mêmes — chacun tendrait naturellement à défendre son périmètre et à limiter ses responsabilités. Elle doit être conduite par la direction générale, qui dispose de l'autorité pour imposer une définition des rôles que chaque acteur est tenu de respecter. Cette clarification doit être documentée — dans une politique de gouvernance, un RACI ou tout autre format adapté à la culture de l'organisation — et révisée quand l'organisation ou l'environnement évolue.
Rendre la clarification visible et suivie d'effet
Une clarification des responsabilités n'a de valeur que si elle est suivie d'effet dans les comportements réels. Cela suppose que les responsables désignés rendent effectivement compte de leurs résultats, que les interfaces entre acteurs fonctionnent dans la pratique et pas seulement sur le papier, et que la direction générale s'assure périodiquement que la clarification produit les effets attendus. Un mécanisme simple — demander régulièrement à chaque responsable de rendre compte de l'état de son périmètre — est suffisant pour créer la dynamique de responsabilité qui transforme la clarification formelle en gouvernance réelle.