Lacunes de la responsabilité en matière de gouvernance

Le programme TPRM d’une entreprise mondiale de produits de consommation disposait d’une documentation de gouvernance mature : une matrice RACI pour chaque relation avec un fournisseur de niveau 1, un document-cadre de gouvernance précisant les droits de décision, une procédure d’escalade aux délais définis et une politique de gestion des fournisseurs approuvée par le conseil d’administration. Lorsqu’un fournisseur critique de plateforme de commerce électronique a révélé un mardi à 19 h une violation touchant les données de commandes clients de l’entreprise, la réponse de gouvernance structurée promise par la documentation a laissé place à trois heures d’escalade circulaire. L’unité métier propriétaire de la relation fournisseur a fait remonter à l’équipe informatique parce que la violation concernait des systèmes. L’équipe informatique a fait remonter à l’équipe GRC parce que la notification des violations était une obligation de conformité. L’équipe GRC a demandé à l’unité métier si la clause contractuelle de notification exigeait un préavis de trente jours ou une notification immédiate. L’unité métier l’ignorait : le contrat se trouvait dans le système de gestion documentaire de l’équipe juridique et personne n’avait les identifiants de connexion. Le contact d’urgence de l’équipe juridique était indisponible. À 10 h du soir, trois heures après le début de l’incident, l’organisation n’avait pas déterminé son obligation de notification, n’avait pas appelé le fournisseur pour escalader et n’avait pas briefé le CISO. La matrice RACI décrivait correctement les rôles. Aucun des titulaires de rôle n’avait les connaissances, l’autorité ou le sens personnel de la responsabilité nécessaires pour agir de manière décisive sans attendre que quelqu’un d’autre fasse le premier pas.

Que sont réellement les lacunes de responsabilité dans la gouvernance ?

La responsabilité en matière de gouvernance est le sentiment personnel d’obligation et d’appropriation, ressenti par une personne précise, qui la pousse à veiller à ce qu’une relation fournisseur soit gouvernée efficacement, à ce que les risques soient gérés et, lorsque les choses tournent mal, à ce que des mesures décisives soient prises sans attendre d’autorisation ni d’instruction. Elle se distingue de la gouvernance documentée, qui précise les rôles, les responsabilités, les procédures d’escalade et les droits de décision dans des cadres et des matrices. La gouvernance documentée dit aux gens quoi faire. La responsabilité personnelle les pousse à le faire un mardi à 11 h du soir, sans tableau RACI sous les yeux.

Le problème de la documentation sans appropriation constitue la lacune. Les cadres de gouvernance, les matrices RACI et les procédures d’escalade sont créés par des équipes qui comprennent les exigences de gouvernance et les documentent avec soin. Ils sont lus, quand ils le sont, par les personnes auxquelles ils attribuent des rôles dans le cadre d’une formation à la gouvernance, et non dans le contexte opérationnel d’une violation chez un fournisseur. Lorsque la violation survient, les personnes dotées de rôles documentés interrogent le cadre de gouvernance au lieu d’agir à partir d’une responsabilité intériorisée. Le cadre est consulté. L’action est retardée par cette consultation.

Le problème de la dilution des responsabilités réparties aggrave la lacune documentaire. Lorsque la responsabilité de la gouvernance est répartie entre plusieurs équipes (unité métier, informatique, GRC, juridique), chacune détient une responsabilité partielle et une pleine capacité à faire remonter le problème à une autre équipe. La dilution de la responsabilité que la sociologie décrit dans les groupes s’applique directement à la gouvernance documentée : lorsque chacun est responsable d’une partie du problème, personne ne se sent pleinement responsable du résultat global. L’unité métier fait remonter parce que des systèmes sont en cause. L’informatique fait remonter parce que la conformité est en cause. L’équipe GRC fait remonter parce que le contrat a été conclu par l’unité métier. Trois heures d’escalade ne produisent aucune action.

• Documentation sans appropriation : rôles RACI attribués mais non assumés personnellement
• Responsabilité répartie favorisant la dilution : plusieurs responsables partiels permettant une escalade sans fin
• Contrat inaccessible pendant l’incident : connaissances de gouvernance non disponibles en pratique
• Personne n’est responsable de l’ensemble de la relation : chacun est responsable d’une partie, personne du tout
• Procédure d’escalade se substituant à l’action décisive : on consulte le cadre au lieu d’exercer sa responsabilité personnelle

Pourquoi c’est important

Les lacunes de responsabilité dans la gouvernance comptent pour la TPRM parce qu’une gestion efficace des risques fournisseurs, en particulier dans les situations à fort enjeu comme les incidents de sécurité chez un fournisseur, exige des personnes qui s’approprient personnellement le résultat et agissent de manière décisive. Les contrôles réglementaires des programmes de gouvernance des fournisseurs demandent de plus en plus non seulement si des cadres de gouvernance existent, mais aussi s’ils produisent une supervision efficace : si les personnes investies de rôles de gouvernance les exercent activement et si les incidents sont gérés avec l’urgence voulue. Un programme doté d’une documentation parfaite et d’une escalade circulaire de trois heures lors d’une violation a démontré l’écart entre les deux.

La conséquence sur les délais de notification est le coût opérationnel le plus concret des lacunes de responsabilité. Le délai de notification des violations de soixante-douze heures du GDPR, les exigences de déclaration des incidents dans les services financiers et les obligations contractuelles de notification ont tous des délais précis qui commencent à courir à partir d’événements déclencheurs définis. Une période d’escalade de trois heures sans aucune action concrète consomme une part significative de ces délais. La responsabilité personnelle qui aurait produit une action immédiate, celle de quelqu’un qui aurait appelé le CISO depuis le parking, est la réalité de gouvernance que les cadres ne peuvent pas faire exister par la seule documentation.

Là où la plupart des équipes se trompent

L’échec le plus constant consiste à croire que la gouvernance documentée est une gouvernance efficace. La documentation précise. La responsabilité exécute. Les deux sont nécessaires. Aucune ne remplace l’autre. Les programmes qui produisent une excellente documentation de gouvernance sans vérifier que la responsabilité qu’elle suppose existe réellement ont une gouvernance sur le papier et des lacunes dans la pratique.

• Croire que la gouvernance documentée est une gouvernance efficace
• Responsabilité non testée avant l’incident qui l’exige
• Contrat inaccessible en pratique aux responsables de la gouvernance
• Procédure d’escalade se substituant à l’appropriation personnelle
• Aucune personne unique responsable de l’ensemble de la relation

À quoi ressemblent les bonnes pratiques

Les programmes matures de responsabilité en matière de gouvernance complètent la documentation par des responsables désignés qui ont personnellement examiné le contrat, connaissent les obligations de notification et ont exercé les circuits d’escalade lors d’exercices sur table avant qu’un incident réel ne l’exige.

• Responsable désigné ayant lu personnellement le contrat
• Exercice sur table vérifiant si la gouvernance documentée produit une action réelle
• Contrat accessible en pratique : le responsable désigné y a directement accès à tout moment
• Briefing personnel sur la responsabilité : les responsables désignés sont informés de leurs responsabilités en langage clair, et ne reçoivent pas seulement la matrice RACI
• Synthèse de l’obligation de notification dans un document que le responsable désigné peut retrouver en cinq minutes pendant un incident

Outils

Guides de réponse aux incidents : guides IR propres à chaque fournisseur avec des synthèses de contrat accessibles

Des guides de réponse aux incidents propres à chaque fournisseur, qui comprennent les obligations contractuelles de notification, les contacts d’escalade et des synthèses des pouvoirs de décision, et auxquels le responsable désigné peut accéder sans naviguer dans des systèmes de gestion documentaire, fournissent les connaissances de gouvernance pratiques que les matrices RACI décrivent sans les rendre accessibles en pratique. Pour les praticiens TPRM, créer pour chaque fournisseur de niveau 1 une fiche d’incident d’une page résumant le responsable désigné, l’obligation de notification et le circuit d’escalade fournit le point d’ancrage accessible de la responsabilité que la documentation n’offre pas.

Programmes d’exercices sur table : lignes directrices de la FEMA pour les exercices sur table, plateformes de simulation de crise

Les exercices sur table qui simulent des scénarios de violation chez un fournisseur vérifient si les rôles de gouvernance documentés se traduisent par une action décisive réelle, en révélant les boucles d’escalade, les lacunes de connaissances et la dilution des responsabilités que la documentation masque. Pour les praticiens TPRM, organiser chaque année des exercices sur table de violation chez un fournisseur qui testent spécifiquement les procédures d’escalade documentées fournit la validation de la responsabilité que l’examen documentaire ne peut pas fournir.

Enjeux de gouvernance

Le défi de gouvernance des lacunes de responsabilité est qu’elles sont invisibles lors de l’examen de la documentation. L’examen d’une matrice RACI confirme que les rôles sont attribués. Seuls les tests de réponse aux incidents révèlent si les titulaires de ces rôles disposent des connaissances, des accès et du sens personnel de l’appropriation nécessaires pour les exercer sans accompagnement en gouvernance pendant un incident réel. L’investissement dans les exercices sur table et les briefings personnels sur la responsabilité est celui qui révèle et comble la lacune avant que l’incident ne l’exige.

• Désigner un responsable unique pour chaque relation avec un fournisseur de niveau 1
• Briefer personnellement le responsable désigné, et pas seulement lui attribuer le rôle RACI
• Veiller à ce que le responsable désigné ait lu le contrat et connaisse les obligations de notification
• Créer une fiche d’incident fournisseur d’une page : responsable désigné, obligation de notification, contacts clés
• Réaliser des exercices sur table annuels : vérifier si la gouvernance documentée produit une action réelle

Si vous êtes une petite équipe

Choisissez votre fournisseur le plus à risque et réalisez un test de responsabilité de dix minutes. Posez deux questions à la personne que la matrice RACI désigne comme responsable : quelle est l’obligation de notification prévue par votre contrat avec ce fournisseur s’il subit une violation touchant nos données, et qui appelleriez-vous en premier dans l’organisation du fournisseur si une violation était révélée ce soir à 19 h ? Si l’une des réponses est « il faudrait que je vérifie » ou « je ne suis pas sûr », vous avez trouvé la lacune de responsabilité. La solution n’est pas davantage de documentation : c’est une conversation de trente minutes avec le responsable désigné, l’accès au contrat et une fiche d’incident fournisseur qu’il peut trouver sans identifiants.

• Réaliser un test de responsabilité de dix minutes : obligation de notification et premier appel d’escalade
• Créer une fiche d’incident d’une page pour chaque fournisseur de niveau 1
• Veiller à ce que le responsable désigné ait lu le contrat et connaisse les obligations de notification
• Réaliser un exercice sur table annuel pour tester les procédures de gouvernance documentées

Ce qu’il faut exiger

Demandez directement :

« Quelle est la personne unique, au sein de votre organisation, personnellement responsable de notre relation fournisseur, celle qui appellerait directement notre responsable désigné si une violation touchant nos données était découverte un mardi à 19 h, et qui veillerait au respect de l’obligation contractuelle de notification sans attendre la fin d’une escalade interne ? »

Preuves attendues

• Personne nommée responsable de l’ensemble de la relation
• Coordonnées directes : numéro de mobile pour la notification des incidents en dehors des heures ouvrées
• Confirmation qu’ils connaissent les obligations contractuelles de notification
• Procédure d’escalade qui commence par la responsabilité personnelle plutôt que par la procédure documentée

Il faut demander à un fournisseur doté d’un cadre de gouvernance bien documenté de nommer la personne qui passe l’appel de 11 h du soir. Le cadre décrit la structure. La personne qui passe l’appel incarne la responsabilité.

Comment le prouver

• Registres de désignation des responsables
• Documentation des fiches d’incident fournisseur
• Registres des exercices sur table
• Documentation des briefings sur la responsabilité

À retenir

Les lacunes de responsabilité dans la gouvernance sont l’espace qui sépare ce que le cadre prévoit de ce qui se passe réellement un mardi à 11 h du soir, lorsque la notification de violation arrive et que personne n’a les identifiants d’accès au contrat. La matrice RACI attribuait correctement les rôles. La procédure d’escalade décrivait exactement les étapes. La politique approuvée par le conseil d’administration énonçait clairement l’intention. Aucun de ces documents ne contenait le sens personnel de l’appropriation qui aurait produit un briefing du CISO à 7:05, un appel au directeur général du fournisseur à 7:15 et un examen du contrat à 7:30 du soir. Désignez le responsable. Briefez-le personnellement. Donnez-lui le contrat. Donnez-lui la fiche d’incident d’une page. Testez la responsabilité avant que l’incident ne l’exige. La gouvernance documentée décrit ce qui devrait se passer. La responsabilité personnelle produit ce qui se passe réellement. Les deux comptent. Une seule peut être testée avant d’être nécessaire.