Rendre compte ou éclairer

Le programme TPRM d’un groupe industriel mondial avait considérablement mûri en trois ans : évaluations complètes, registre des risques bien conçu et rythme de reporting mensuel incluant des présentations au conseil d’administration. Le format du rapport mensuel avait été fixé au cours de la deuxième année du programme et n’avait pas changé : nombre total de fournisseurs évalués (174), constats prioritaires ouverts (23), constats en cours de correction (47) et note de risque moyenne du portefeuille (61). Le conseil recevait ce rapport chaque trimestre. En six mois de reporting constant, le conseil avait reçu dix-huit données confirmant que le programme fonctionnait à une échelle stable. Ce que le conseil n’avait pas reçu en six mois de reporting : quel fournisseur avait vu sa posture de sécurité se dégrader le plus depuis sa dernière évaluation ; quelle serait l’exposition financière cumulée si les trois fournisseurs les plus à risque subissaient simultanément une violation ; si des fournisseurs avaient connu des incidents de sécurité détectés par le système de notation continue du programme ; si les ressources d’évaluation de l’équipe TPRM étaient affectées aux relations dont le risque augmentait le plus ; et quelles décisions concrètes en matière de risque le conseil devait prendre. Le rapport confirmait l’existence du programme. Il n’éclairait pas le conseil.

Reporting et analyse, de quoi s’agit-il vraiment ?

Le reporting consiste à communiquer les indicateurs et les activités du programme : décomptes, moyennes, taux d’achèvement et points d’avancement qui décrivent ce que le programme a fait. L’analyse consiste à exploiter ces indicateurs pour produire des renseignements exploitables : repérer les tendances qui signalent un risque croissant, déterminer où l’exposition financière est concentrée, identifier les décisions à prendre et ce que les résultats du programme signifient pour la position de risque de l’organisation. La différence entre reporting et analyse est celle qui sépare un programme qui produit des résultats d’un programme qui produit des décisions.

Les indicateurs de volume sont la forme la plus courante de reporting sans analyse. Le nombre de fournisseurs évalués, de constats ouverts et de constats corrigés confirme que le programme fonctionne et produit des résultats. Il n’indique pas si ces résultats portent sur les risques les plus importants. Un programme qui évalue cent soixante-quatorze fournisseurs peut les avoir tous classés à faible risque alors que les trois fournisseurs les plus exposés aux données des clients n’en font pas partie. Le nombre de fournisseurs évalués prouve l’activité du programme, pas la couverture des risques.

La pertinence des analyses pour chaque public constitue la deuxième dimension de la différence entre reporting et analyse. Des publics différents ont besoin d’analyses différentes tirées du même programme TPRM. L’équipe TPRM a besoin d’indicateurs opérationnels (taux d’achèvement des évaluations, respect des SLA de correction, répartition des constats) pour piloter le programme au quotidien. Le CISO a besoin d’analyses de gestion des risques (quelles expositions aux fournisseurs augmentent, où des investissements supplémentaires sont nécessaires, quelle est la couverture des risques du programme) pour décider de l’allocation des ressources. Le conseil d’administration a besoin d’analyses de gouvernance : quelle exposition financière l’organisation porte au travers de ses relations fournisseurs, si l’appétence au risque est respectée et quelles décisions requièrent son attention ou son autorité. Un format de rapport mensuel unique qui sert mal un public sert encore plus mal les autres.

• Indicateurs de volume qui remplacent l’analyse des risques : des décomptes d’activités qui confirment le fonctionnement du programme sans révéler l’importance des risques
• Aucune analyse des tendances : indicateurs ponctuels sans comparaison de leur évolution
• Aucun contexte d’exposition financière : constats de risque sans lien avec l’impact financier
• Format de rapport unique pour plusieurs publics : indicateurs opérationnels présentés à un public chargé de la gouvernance au niveau du conseil d’administration
• Aucun point nécessitant une décision mis en évidence : des rapports qui informent sans inciter à agir

Pourquoi c’est important

La différence entre reporting et analyse est un enjeu pour le TPRM parce que la valeur de gouvernance du programme dépend de la qualité des décisions qu’il permet de prendre, et non du volume de ses résultats. Un conseil d’administration qui reçoit pendant six mois des indicateurs d’activité constants sans qu’on lui demande de prendre la moindre décision en matière de risque n’a pas gouverné le risque fournisseur : il a reçu des confirmations de l’activité du programme. Lorsque le fournisseur le plus à risque subit une violation et que le conseil demande quelle alerte lui a été donnée et quelles décisions auraient permis de prévenir ou d’atténuer la violation, répondre que le programme a produit des rapports mensuels constants aux chiffres stables ne suffira pas.

La communication du CISO en constitue la dimension pratique. Les RSSI qui présentent le risque fournisseur au conseil d’administration doivent traduire les résultats du programme en termes de risque sur lesquels le conseil peut agir : fourchettes d’exposition financière, comparaison avec l’appétence au risque, décisions précises relevant de l’autorité ou de l’information du conseil, et indicateurs de tendance montrant si la position de risque s’améliore ou se dégrade. Un CISO qui présente au conseil des indicateurs d’activité du programme communique sur le fonctionnement du programme à un public chargé de la gouvernance des risques, un décalage de format qui prive le conseil des informations dont il a besoin pour gouverner.

Là où la plupart des équipes se trompent

La défaillance la plus fréquente consiste à concevoir les rapports autour des données les plus faciles à collecter plutôt qu’autour des décisions que le public doit prendre. Le nombre de fournisseurs, le nombre de constats et la note moyenne se calculent facilement à partir des données du programme. L’analyse des tendances, les estimations de l’exposition financière et l’identification des décisions à prendre exigent un investissement analytique supplémentaire auquel les cycles de reporting consacrent rarement du temps.

• Concevoir les rapports autour des données disponibles plutôt que des besoins de décision du public
• Aucune analyse des tendances : absence de contexte sur l’évolution
• Rapports au conseil d’administration fondés sur des indicateurs opérationnels plutôt que sur des analyses de gouvernance
• Aucun contexte d’exposition financière dans les résultats du programme
• Aucune incitation à décider dans le reporting : informer sans orienter l’action

À quoi ressemblent les bonnes pratiques

Les programmes de reporting TPRM matures conçoivent des produits de reporting différents pour des publics différents (tableaux de bord opérationnels pour l’équipe du programme, notes de gestion des risques pour le CISO et rapports de gouvernance pour le conseil d’administration), chacun étant conçu autour des décisions que prend son public plutôt qu’autour des données d’activité du programme.

• Reporting propre à chaque public : rapports opérationnels, de direction et de gouvernance conçus en fonction des besoins de décision de chaque public
• Analyse des tendances dans tous les rapports : la position de risque s’améliore-t-elle ou se dégrade-t-elle
• Contexte d’exposition financière : constats de risque rattachés à des fourchettes d’impact financier
• Points nécessitant une décision mis en évidence : éléments précis exigeant une action ou l’exercice d’une autorité
• Comparaison avec l’appétence au risque : la position de risque du portefeuille respecte-t-elle la tolérance définie

Outils

Tableaux de bord TPRM : ProcessUnity, Venminder, OneTrust

Les plateformes TPRM dotées de capacités de reporting et d’analyse offrent plusieurs vues de tableau de bord : des tableaux de bord opérationnels pour la gestion du programme et des synthèses de direction pour la communication de gouvernance. Pour les praticiens du TPRM, utiliser les analyses de la plateforme pour produire des résultats propres à chaque public plutôt qu’un format de rapport unique permet la différenciation du reporting qu’exige une communication fondée sur l’analyse.

Informatique décisionnelle : Power BI, Tableau

Les plateformes de BI connectées aux données GRC et TPRM permettent des analyses et des visualisations personnalisées (analyse des tendances, modélisation de l’exposition financière, mise en évidence des exceptions) que le reporting GRC standard ne produit pas. Pour les praticiens du TPRM, utiliser des outils de BI sur les données TPRM apporte la profondeur d’analyse qui transforme les résultats du programme en éclairages utiles.

Enjeux de gouvernance

La difficulté de gouvernance du passage du reporting à l’analyse tient à l’investissement analytique nécessaire. Produire des analyses demande du temps pour étudier les données du programme et en dégager les tendances, estimer l’exposition financière et identifier les points nécessitant une décision, un temps que les cycles de reporting prévoient rarement. La réponse de gouvernance consiste à concevoir, à chaque cycle de reporting, un seul produit d’analyse de qualité plutôt que plusieurs rapports d’activité identiques, en consacrant le temps disponible au travail d’analyse qui transforme les données en décisions.

• Concevoir les rapports au conseil d’administration autour des décisions, pas des indicateurs : quelle action le conseil doit-il entreprendre
• Inclure une analyse des tendances dans chaque rapport : l’orientation du risque, pas seulement son niveau actuel
• Inclure une fourchette d’exposition financière pour les relations fournisseurs les plus à risque
• Mettre explicitement en évidence les points nécessitant une décision : ce qui relève de l’autorité ou de l’information du conseil d’administration
• Inclure une comparaison avec l’appétence au risque : le risque du portefeuille respecte-t-il la tolérance

Si vous êtes une petite équipe

Lors de votre prochaine présentation au conseil d’administration, remplacez les quatre indicateurs constants du programme par trois analyses précises : quelle relation fournisseur présente l’exposition financière estimée la plus élevée en cas de violation, et quelle est la fourchette de cette estimation ; quel fournisseur a vu sa posture de sécurité se dégrader le plus depuis sa dernière évaluation, et ce qui est fait à ce sujet ; et quelle décision en matière de risque nécessite que le conseil en soit informé ou exerce son autorité sans figurer actuellement à son ordre du jour. Ces trois analyses demandent quinze minutes de travail d’analyse de plus que les quatre indicateurs. Elles suscitent la discussion de gouvernance que les quatre indicateurs n’ont pas permis d’engager.

• Remplacer les indicateurs d’activité par trois analyses précises lors de la prochaine présentation au conseil d’administration
• Inclure une estimation de l’exposition financière pour le fournisseur le plus à risque
• Inclure un indicateur de tendance : le fournisseur dont la posture se dégrade le plus
• Inclure un point de décision nécessitant que le conseil d’administration en soit informé ou exerce son autorité

Ce qu’il faut exiger

Demandez directement :

« Au-delà des réponses au questionnaire standard et de la note de risque, pouvez-vous fournir un bref résumé de l’évolution de votre posture de sécurité et de votre profil de risque au cours des douze derniers mois, en précisant quels risques ont augmenté, quelles améliorations ont été apportées et ce que le conseil d’administration de votre organisation considérerait comme le risque important actuel de votre programme de sécurité ? »

Preuves attendues

• Évaluation honnête de l’évolution du profil de risque du fournisseur au cours des douze derniers mois
• Risques ouverts importants dans le programme de sécurité du fournisseur
• Améliorations apportées au cours des douze derniers mois
• Préoccupations prospectives en matière de risque

Il convient de demander à un fournisseur dont le questionnaire obtient chaque année une note constante ce qui a changé dans son profil de risque depuis la dernière évaluation. La note confirme la situation actuelle. Le récit de l’évolution fournit le contexte de tendance que la note ne peut pas donner.

Comment le prouver

• Documentation des produits de reporting propres à chaque public
• Analyse des tendances dans les rapports de gouvernance
• Estimations de l’exposition financière dans le reporting au conseil d’administration
• Identification des points de décision dans les communications de gouvernance

À retenir

Le reporting prouve que le programme existe. L’analyse éclaire le conseil d’administration. Quatre chiffres constants pendant six mois prouvent que le programme TPRM fonctionne à une échelle stable. Ils n’indiquent pas au conseil si le risque augmente ou diminue, où l’exposition financière est concentrée, ni quelles décisions il doit prendre. Le conseil gouverne avec les informations qu’il reçoit. Si ces informations confirment l’activité du programme, il gouverne l’existence du programme. Si elles identifient les tendances du risque, l’exposition financière et les décisions à prendre, il gouverne le risque. Concevez le rapport en fonction de la décision que son public doit prendre. Les indicateurs découlent de la décision. La décision ne découle pas des indicateurs.