Les professionnels de la conformité sont trop sollicités : voici ce qui doit changer
La confidentialité et la protection des données ont été propulsées dans la conscience collective avec l’avènement du RGPD en 2018. Depuis lors, les consommateurs exigent davantage des organisations avec lesquelles ils font affaire – dans la manière dont ils traitent leurs informations personnelles, traitent les demandes d’accès et d’effacement/transfert, et obtenir le consentement. Le défi pour les organisations est que, précisément au moment où elles ont besoin de davantage de professionnels de la conformité pour les aider à gérer la charge de travail accrue, il y en a moins.
Deux nouvelles études illustrent l’ampleur du défi. Les experts estiment que l’amélioration des programmes de formation sera essentielle et que les outils automatisés pourraient également contribuer à combler certaines lacunes persistantes en matière de compétences.
Quel est le problème?
La première mauvaise nouvelle vient du fournisseur d’apprentissage en ligne Skillcast. L'entreprise estimations qu'un seul professionnel de la conformité pourrait être responsable des données de plus de 14,300 250 personnes et entreprises. Ses calculs sont basés sur les données de LinkedIn sur les professionnels de la conformité et sur des estimations de la taille de l'effectif moyen et de la clientèle des entreprises du FTSE XNUMX. Si cela est exact, cela indique une grave pénurie de professionnels qualifiés dans le domaine.
Une autre confirmation vient de l'organisme de gouvernance informatique ISACA. La moitié (48 %) des répondants à l'enquête récemment publiée par l'association professionnelle La confidentialité en pratique 2024 un rapport affirme que le respect de la vie privée et les rôles juridiques sont de plus en plus demandés. Ils sont encore plus nombreux (55 %) à affirmer que les organisations ont besoin de rôles plus techniques en matière de confidentialité. En fait, l'expérience avec différents types de technologies et/ou d'applications est citée par une majorité (65 %) comme le plus grand déficit de compétences. Le manque de ressources compétentes est cité par plus des deux cinquièmes (43 %) des organisations comme l'un des principaux obstacles à la mise en place d'un programme de protection de la vie privée.
Le financement est également clairement un problème : 41 % déclarent que leur programme est sous-financé et seulement 42 % affirment que son programme est adéquatement financé. Chris Dimitriadis, directeur de la stratégie mondiale de l'ISACA, a déclaré à ISMS.online que les déficits de financement suggèrent que la confidentialité n'est pas une priorité pour les organisations.
« Cela ne veut pas dire qu'ils ne pensent pas que ce soit important ; au contraire, ils ne voient pas comment la confidentialité les aide à atteindre les objectifs de leur organisation, d'autant plus que les résultats ne sont pas nécessairement tangibles », poursuit-il.
« Mais c’est une erreur. Même si cela nécessite des dépenses initiales, donner la priorité à la confidentialité permettra aux entreprises de protéger leurs données, renforçant ainsi la confiance des consommateurs et préservant les relations avec les fournisseurs – tout cela contribuant à la croissance de l’entreprise.
À l’inverse, le manque de compétences pourrait avoir un impact sérieux sur la capacité des organisations à gérer efficacement les risques liés à la conformité en matière de confidentialité et de protection des données. Seul un tiers (36 %) des personnes interrogées déclarent trouver facile de comprendre leurs obligations en matière de confidentialité. Et moins de la moitié (45 %) se déclarent « très ou totalement confiants » dans la capacité de leur équipe chargée de la protection de la vie privée à se conformer aux nouvelles lois et réglementations.
Comment les organisations peuvent-elles combler les déficits de compétences du secteur ?
Le défi est que la demande de compétences en matière de respect de la vie privée ne fera qu’augmenter.
« La combinaison des progrès rapides des technologies numériques et des changements réglementaires en cours signifie que les entreprises sont constamment en train de rattraper leur retard. Même si la réglementation ne change pas, si l’écosystème numérique change, alors l’interprétation de la loi en fonction des particularités d’une technologie émergente comme l’IA peut être différente », affirme Dimitriadis.
« Les entreprises ne peuvent pas se permettre d'enfreindre les nouvelles réglementations ou de risquer une atteinte à leur réputation. La demande de compétences techniques et de conformité ne fera qu'augmenter à mesure que les consommateurs et les entreprises scrutent de plus en plus les organisations avec lesquelles ils choisissent d'interagir en fonction de leur approche de la confidentialité des données.
Alors quelle est la solution ? Les organisations ont plusieurs options :
Focus sur les compétences transférables
Le rapport de l'ISACA révèle qu'une expérience juridique ou de conformité est le facteur d'embauche le plus important pour 97 % des personnes interrogées, suivie par une expérience pratique préalable dans un rôle de protection de la vie privée (92 %). Mais en se concentrant sur ces qualités, les employeurs risquent de réduire le bassin de candidats, affirme Dimitriadis.
« Les employeurs doivent faire un acte de foi et reconnaître que les gens possèdent des compétences précieuses et transférables – et former quelqu'un dès le niveau débutant, ou même recycler quelqu'un d'un autre secteur, en vaut la peine », ajoute-t-il.
Recycler les employés existants
De la même manière, les organisations pourraient recycler les membres du personnel existant qui ne travaillent pas actuellement dans le domaine de la conformité en matière de protection de la vie privée, mais qui possèdent des compétences transférables qui permettraient d’aplanir la courbe d’apprentissage pour eux. Selon l'ISACA, plus de la moitié (52 %) des organisations ayant répondu proposent actuellement une formation pour permettre au personnel non spécialisé dans la protection de la vie privée d'accéder à des rôles liés à la protection de la vie privée.
Faire appel à des consultants externes
L'ISACA indique que 39 % des organisations ont augmenté leur recours à des employés contractuels ou à des consultants externes. Bien que coûteuse et parfois une mesure provisoire, cette mesure peut donner un répit à l’organisation et l’aider à remplir ses obligations de conformité tout en formulant une stratégie à plus long terme.
Mieux utiliser l’IA et l’automatisation
La bonne nouvelle est que les outils de conformité intègrent de plus en plus d’intelligence. Les meilleurs d’entre eux sont conçus pour rationaliser les processus qui étaient autrefois une lourde tâche manuelle pour les employés. Cela peut libérer des ressources internes limitées pour les consacrer à des tâches à plus forte valeur ajoutée et/ou permettre aux nouvelles recrues de se mettre rapidement à niveau.
« Il y a eu beaucoup d'activités en matière de conformité des données autour de l'introduction du RGPD. De nombreux consultants se sont qualifiés pour l'occasion. Il semble maintenant que les gens ont évolué, ce qui entraîne des lacunes en matière de conformité en matière de protection des données », a déclaré Vivek Dodd, PDG de Skillcast, à ISMS.online.
« Les organisations doivent tirer parti de leurs travailleurs qualifiés en améliorant la délégation et la productivité. Les deux peuvent être réalisés en utilisant davantage les outils logiciels et l’IA pour faciliter la surveillance de la conformité.
Dimitriadis de l'ISACA est d'accord, jusqu'à un certain point.
« L’IA est capable de résoudre certains problèmes de confidentialité et d’améliorer le travail effectué par les humains, par exemple en identifiant des modèles invisibles pour les humains et en y réagissant en temps réel », conclut-il.
« Cependant, il ne peut pas remplacer les travailleurs humains, mais il peut atténuer une partie de la pression exercée sur les équipes chargées de la protection de la vie privée. Des travailleurs formés seront toujours nécessaires pour garantir que l’IA est utilisée, formée et configurée correctement et en toute sécurité.
