Chacun fait bien son travail, et l'entreprise répond cinq fois à la même question.

AVIS D’EXPERT

Dans une entreprise, la conformité n’est pas tenue par une personne : elle est répartie entre une dizaine de responsables. Cette répartition produit une conséquence que personne n’observe, parce que personne ne la subit en entier. La même information y est établie plusieurs fois, par des équipes différentes, et le coût de la conformité tient moins au nombre de règles qu’à cette répétition invisible.

Un responsable de la sécurité des systèmes d’information me racontait l’an dernier une histoire ordinaire. En l’espace de quelques mois, cinq personnes lui avaient demandé la même chose : l’état des accès aux applications sensibles, qui les détient, depuis quand, et qui les a validés. La déléguée à la protection des données en avait besoin pour tenir son registre. Le contrôle interne préparait sa campagne de tests annuelle. L’audit interne conduisait une mission sur les habilitations. La direction commerciale répondait au questionnaire de sécurité d’un grand client. Le courtier, enfin, instruisait le renouvellement de la police cyber. Il y avait là cinq demandes, cinq formats et cinq échéances. Il avait répondu cinq fois, séparément, en reconstituant chaque fois la même information. Aucun des cinq demandeurs ne savait que les quatre autres avaient posé la même question.


Personne n’est en faute, et c’est précisément le problème.

Il faut insister sur ce point, car il est contre-intuitif. Aucune de ces cinq personnes n’a commis d’erreur. Chacune relevait d’une obligation distincte, avec son calendrier, son vocabulaire et son destinataire. Chacune était fondée à s’adresser à celui qui détient l’information. Toutes ont fait correctement leur travail. C’est pour cette raison que rien ne change. Une organisation corrige ce que quelqu’un ressent. Or la répétition, parce qu’elle est répartie, n’est ressentie par personne dans sa totalité : chaque demandeur n’en supporte qu’un cinquième, c’est-à-dire presque rien. Le seul à voir l’ensemble est celui qui répond, et il n’a ni le mandat ni la légitimité pour réorganiser le dispositif de conformité de son entreprise. Il se contente de trouver que l’année a été chargée.


Le fait est unique, les lectures sont multiples.

La confusion vient de ce que l’on traite comme cinq sujets ce qui est en réalité un fait et cinq lectures de ce fait. Le fait est unique : qui accède à quoi, depuis quand, validé par qui, revu à quelle date. Il ne dépend d’aucune réglementation et existerait même si aucun texte n’avait jamais été écrit. Les lectures, elles, sont multiples et légitimement différentes. Le règlement sur la protection des données s’intéresse à la finalité et à la minimisation. La directive sur la sécurité des réseaux s’intéresse à la maîtrise du risque opérationnel. La norme ISO 27001 s’intéresse à l’existence d’un contrôle documenté et testé. Le client s’intéresse à la protection de ses propres données. L’assureur s’intéresse à la probabilité d’un sinistre. Ces cinq lectures ne se recouvrent pas, et il serait absurde de vouloir les fusionner. Elles portent pourtant toutes sur le même fait. Établir ce fait une fois et le relire cinq fois est possible. Le rétablir cinq fois l’est également, à ceci près que l’opération coûte cinq fois plus cher et garantit qu’à la longue les cinq réponses divergeront.