Les conséquences d’une gouvernance fragmentée entre IT, conformité et métiers

Les angles morts aux interfaces entre silos

Dans une gouvernance fragmentée, chaque silo gère son périmètre avec sa propre logique et ses propres processus. La DSI gère les systèmes. La conformité gère les obligations réglementaires. Les métiers gèrent leurs processus opérationnels. Ces trois silos ont chacun leur légitimité — mais leurs interfaces créent structurellement des angles morts. Un risque qui implique un système IT, des données réglementées et un processus métier ne trouve pas naturellement de propriétaire unique dans une gouvernance fragmentée. Chaque silo se déclare partiellement responsable — et personne ne l'est entièrement. Ces angles morts aux interfaces sont précisément là où les risques les plus critiques se développent sans surveillance.

Les décisions contradictoires

La fragmentation de la gouvernance produit régulièrement des décisions contradictoires entre silos. La DSI déploie un service cloud pour des raisons de performance et de coût, sans avoir consulté la conformité sur les implications de transfert de données hors du territoire. La conformité impose des exigences de chiffrement sur certaines catégories de données sans avoir consulté la DSI sur la faisabilité technique et l'impact sur les performances. Les métiers adoptent un outil SaaS pour améliorer leur productivité sans avoir consulté la DSI ni la conformité. Chacune de ces décisions est prise de bonne foi dans son périmètre — leur combinaison crée une exposition non anticipée et une incohérence de gouvernance.

L'information qui ne circule pas

Dans une gouvernance fragmentée, l'information pertinente ne circule pas naturellement entre les silos qui en ont besoin. La DSI identifie une anomalie dans les journaux réseau qui pourrait indiquer une compromission, mais n'a pas de canal établi pour alerter rapidement le RSSI et le responsable conformité simultanément. Le responsable conformité identifie un prestataire tiers qui ne respecte pas ses engagements contractuels de sécurité, mais n'informe pas systématiquement la DSI qui maintient des accès avec ce prestataire. Les métiers détectent un comportement suspect d'un collaborateur, mais ne savent pas à qui le signaler. Ces ruptures dans la circulation de l'information sont des conditions de l'aggravation des incidents.

Les mécanismes de coordination transversale

La solution à la gouvernance fragmentée n'est pas la fusion des silos — chacun détient une expertise légitime et distincte. La solution est la création de mécanismes de coordination transversale qui permettent aux silos de travailler ensemble sur les risques qui les concernent simultanément. Un comité de gouvernance cyber qui réunit régulièrement les représentants de chaque silo. Des processus d'escalade transversaux qui définissent quels acteurs doivent être impliqués pour quel type de décision. Des canaux de communication dédiés aux alertes rapides entre silos. Et un référentiel commun de risques qui permet à chaque silo de comprendre les risques identifiés dans les autres périmètres. Ces mécanismes préservent les expertises distinctes tout en réduisant les angles morts aux interfaces.

L'instance de coordination : un rôle pour la direction

La direction générale est la seule instance naturellement transversale dans toute organisation. C'est elle qui peut imposer la coordination entre silos, en désignant explicitement une instance de coordination inter-silos et en lui donnant l'autorité nécessaire pour prendre des décisions transversales. C'est elle qui peut exiger que les décisions ayant des implications pour plusieurs silos soient prises conjointement plutôt que séquentiellement. Et c'est elle qui peut évaluer si les mécanismes de coordination fonctionnent — en posant régulièrement la question "les trois silos sont-ils alignés sur les risques qui les concernent simultanément ?"