Aux yeux de la plupart des dirigeants d'entreprise, la conformité n'est pas un sujet des plus attrayants. Ils peuvent la percevoir comme une nécessité pour éviter les pressions réglementaires, mais aussi comme une tâche pouvant être confiée à un employé subalterne ou, du moins, gérée ponctuellement.
Mais la technologie étant désormais essentielle à la survie de la plupart des entreprises modernes, les criminels exploitant cette situation et les organismes de réglementation et autres parties prenantes faisant pression sur les entreprises pour qu'elles prennent la conformité plus au sérieux, une telle approche n'est plus viable.
La conformité et la gouvernance doivent désormais faire l'objet d'un exercice continu, soutenu par des cadres unifiés et l'adhésion de la direction, afin de contrer la multitude croissante de risques liés à l'information, à la cybersécurité et à la chaîne d'approvisionnement auxquels sont confrontées les entreprises et leurs parties prenantes. Mais comment y parvenir ?
Le cyber-risque est un risque pour l'entreprise
Selon Stephanie Locke, responsable produit chez Nightingale HQ, entreprise spécialisée en intelligence artificielle, l'un des principaux facteurs expliquant le passage d'une simple formalité administrative à une priorité stratégique dans les opérations quotidiennes des entreprises réside dans « l'étendue même des lois, réglementations, normes et bonnes pratiques » auxquelles elles sont désormais tenues de se conformer. Elle précise que la non-conformité peut avoir des conséquences financières et de réputation considérables.
Parmi les lois et réglementations ayant impulsé cette évolution, on peut citer la directive européenne sur la sécurité des réseaux et de l'information 2 (NIS2) et sa loi de référence sur l'intelligence artificielle, sans oublier les différentes normes de protection des données en vigueur dans le monde. Étant donné l'omniprésence de la technologie dans tous les aspects du fonctionnement d'une organisation, Locke affirme que les conseils d'administration suivent de près ces règles et considèrent désormais le risque informatique comme un risque d'entreprise.
Face à l'évolution rapide de l'écosystème technologique et du cadre réglementaire visant à le contrôler, Locke affirme que les entreprises sont désormais contraintes de gérer le risque cybernétique en continu et non plus de manière ponctuelle. Elle ajoute : « L'IA, en particulier, crée de nouveaux risques opérationnels, juridiques et de réputation, et les premières mesures d'application devraient refléter l'impact perturbateur du RGPD lors de son lancement. »
Partageant cet avis, Jake Moore, conseiller mondial en cybersécurité chez ESET, éditeur de logiciels antivirus, affirme que l'essor de cadres juridiques tels que NIS2 et la loi européenne sur l'IA a transformé le « risque cyber en un risque d'entreprise ». De ce fait, il souligne que ces deux lois exigent une « responsabilisation au niveau de la direction » et insistent sur le fait que « la conformité dicte désormais les modèles opérationnels, et non l'inverse ».
Il déclare à IO : « Le coût d’une erreur est élevé, et cocher des cases ne suffit pas toujours. La mise en conformité peut prendre plus de temps, mais elle prouve que les organisations peuvent opérer en toute sécurité et à grande échelle. »
Les organismes de réglementation deviennent plus intelligents
Les autorités réglementaires ne se contentent pas d'accélérer l'introduction et la modification des lois sectorielles. Grâce aux progrès de l'intelligence artificielle, elles travaillent également beaucoup plus rapidement en coulisses pour détecter les entreprises susceptibles d'enfreindre leurs règles.
Selon Lee Bryan, fondateur et PDG d'Arcus Compliance, fournisseur de solutions de conformité, l'intelligence artificielle permet aux organismes de réglementation d'« analyser à grande échelle les produits, les emballages, les données et la documentation » et ce, pour des « catégories entières ». Cette technologie leur permet également de « repérer instantanément les lacunes, les incohérences et les fausses déclarations ».
Il ajoute qu'un changement aussi important dans le fonctionnement des organismes de réglementation signifie que les marques ne peuvent plus « se cacher derrière le volume, la géographie ou des contrôles manuels lents », ce qui signifie qu'elles n'ont d'autre choix que de traiter la conformité comme une activité commerciale cruciale sous peine de sanctions réglementaires.
Ce n'est plus une simple réflexion après coup
Les organismes de réglementation ne sont pas les seuls à attendre des entreprises qu'elles prennent la conformité au sérieux.
D’autres parties prenantes, comme les investisseurs, les clients et les partenaires, examinent de plus en plus attentivement la politique de sécurité et de confidentialité des entreprises avant de signer des contrats – et même après.
Face à la recrudescence des cyberattaques ciblant les chaînes d'approvisionnement, comme celle subie par SolarWinds, Locke de Nightingale affirme que les entreprises sont conscientes des risques que peuvent engendrer les fournisseurs de technologies tiers s'ils ne respectent pas les bonnes pratiques et les réglementations en matière de cybersécurité. Elle ajoute : « De ce fait, la sécurité et la protection de la vie privée sont devenues des éléments essentiels des vérifications préalables commerciales et d'investissement. »
Plus précisément, en matière de vérification préalable numérique, George Tziahanas – vice-président de la conformité chez Archive360, spécialiste des logiciels d'archivage – explique que les clients potentiels pourraient être dissuadés de travailler avec des entreprises incapables d'expliquer comment elles stockent, gèrent et suppriment les données, et considèrent cela comme un « risque opérationnel ».
Les parties prenantes existantes exigent également un haut niveau de conformité réglementaire de la part des entreprises avec lesquelles elles collaborent, afin d'éviter toute implication dans des incidents liés à la chaîne d'approvisionnement. Selon Tziahanas, tout manquement à cette obligation pourrait entraîner des sanctions contractuelles, des mesures réglementaires et une atteinte à la réputation des entreprises.
Éviter les silos
Le non-respect des réglementations ne se résume pas à une simple formalité administrative. Tziahanas explique que des lacunes telles que « des contrôles incohérents, des enregistrements incomplets et des données peu fiables » peuvent entraîner des problèmes comme « des déclarations erronées, des attestations non conformes et une conservation excessive des documents ».
Pour éviter cela, les entreprises devraient idéalement intégrer tous les aspects de la conformité – risques, sécurité, confidentialité et continuité – au sein d'une gouvernance unifiée. Selon Moore d'ESET, cette démarche permettra de passer d'une approche réactive de la conformité et de la gestion des risques à une approche proactive, ce qui générera des économies et permettra d'éviter des coûts cachés.
John Phillips, directeur général EMEA de FloQast, fournisseur de logiciels comptables, perçoit lui aussi les avantages d'une approche unifiée et proactive en matière de conformité et de gestion des cyber-risques. Selon lui, les équipes qui adoptent cette approche peuvent « anticiper les changements internes et externes, s'aligner rapidement avec la direction et concentrer leurs ressources là où elles auront le plus d'impact ».
Le respect des règles et des bonnes pratiques du secteur dès les premières étapes d'un nouveau projet ou produit peut également s'avérer bénéfique à long terme. Par exemple, Tziahanas d'Archive360 affirme que cela permettra d'éviter des « adaptations coûteuses », car les « règles de classification, de conservation et de suppression » auront déjà été définies et mises en œuvre.
Une conformité rigoureuse permettra également aux entreprises de nouer des relations solides avec leurs parties prenantes, fondées sur la confiance, ajoute Tziahanas. C’est la clé pour « accélérer les cycles de transaction et faciliter l’entrée sur le marché ».
Étapes pratiques
En matière d'élaboration et de mise en œuvre d'une stratégie de conformité solide, les référentiels sectoriels reconnus tels que l'ISO 27001, l'ISO 42001, le SOC 2 et l'ISO 27701 peuvent constituer un bon point de départ.
Décrivant ces cadres comme un « guide pratique de gouvernance », Locke, de Nightingale HQ, affirme qu'ils fournissent aux entreprises tous les « fondamentaux » nécessaires pour respecter leurs obligations en matière de conformité et de gouvernance. Elle ajoute que ces cadres permettent également aux organisations et à leurs parties prenantes de s'engager sur des « attentes et des engagements partagés » concernant la conformité et la gouvernance.
Une visibilité claire des risques est également essentielle. Bryan, d'Arcus Compliance, explique que les dirigeants d'entreprise peuvent ignorer les risques auxquels ils sont exposés car « les données, la documentation et les fournisseurs sont dispersés dans différents systèmes ». Il estime que l'adoption de « systèmes agiles, d'une approche fondée sur les risques et d'une véritable culture de la conformité » permet de remédier à ce problème.
Pour Moore d'ESET, l'adhésion de la direction est essentielle à la réussite des plans de conformité et de gouvernance. Mais cela ne peut se faire qu'en sensibilisant les dirigeants à l'évolution rapide des cybermenaces et à leurs conséquences potentielles sur l'entreprise, explique-t-il.
De prime abord, la conformité semble une tâche fastidieuse visant uniquement à satisfaire les organismes de réglementation. Pourtant, elle peut s'avérer bénéfique pour les entreprises en leur permettant d'identifier et de résoudre les risques avant qu'ils ne causent des dommages importants. Parallèlement, elle peut attirer de nouveaux clients et renforcer les liens avec les clients existants, tous préoccupés par les récentes cyberattaques visant les chaînes d'approvisionnement et soucieux de s'assurer que les entreprises avec lesquelles ils collaborent prennent ces risques au sérieux.
