Le modèle, tel qu'il est écrit
Le modèle a changé de nom en 2020, et ce détail en dit plus long qu'il n'y paraît. L'Institut des auditeurs internes, qui l'avait publié en 2013 sous le titre Three Lines of Defense, l'a révisé en juillet 2020 sous le titre The Three Lines Model. Le mot « défense » n'a pas disparu par élégance : le texte révisé déplace explicitement le centre de gravité vers la contribution de la gestion des risques à l'atteinte des objectifs et à la création de valeur, la protection de la valeur restant un objet parmi d'autres. On ne défend plus une place forte, on soutient une organisation qui poursuit des objectifs.
Le document tient en une dizaine de pages et s'organise autour de six principes : la gouvernance, les rôles de l'organe de direction, les rôles du management en première et deuxième ligne, les rôles de la troisième ligne, l'indépendance de cette troisième ligne, et la création comme la protection de la valeur. Cette liste vaut la peine d'être connue telle quelle, parce que la moitié des discussions sur les trois lignes portent sur des questions que le modèle a déjà tranchées.
L'organe de direction, conseil d'administration ou son équivalent, rend des comptes aux parties prenantes pour la surveillance de l'organisation, par l'intégrité, le leadership et la transparence. Il ne gère rien : il fixe l'orientation, il délègue, il surveille. C'est lui qui reçoit l'assurance, et c'est pour lui que le reste du dispositif existe.
Le management porte les rôles de première et de deuxième ligne. Les rôles de première ligne dirigent l'action et l'affectation des ressources pour atteindre les objectifs, ce qui inclut la prise et la gestion des risques associés, y compris les risques de sécurité. Les rôles de deuxième ligne apportent une expertise complémentaire, un support, une surveillance et une contestation en matière de gestion des risques, et rendent compte de l'adéquation des pratiques. Retenez ce mot de contestation : il figure dans le texte, et c'est celui qu'on oublie le plus souvent en pratique.
L'audit interne constitue la troisième ligne. Il communique une assurance et un conseil indépendants et objectifs, au management comme à l'organe de direction, sur l'adéquation et l'efficacité de la gouvernance et de la gestion des risques. Son indépendance à l'égard des responsabilités du management est présentée comme critique pour son objectivité, son autorité et sa crédibilité. Le texte le décrit joliment comme les yeux et les oreilles de l'organe de direction.
Autour de ce triangle, des prestataires externes d'assurance interviennent : auditeurs légaux, organismes de certification, régulateurs, cabinets mandatés. Ils apportent une assurance supplémentaire répondant à des attentes légales et réglementaires. Ils ne sont pas dans le modèle ; ils s'appuient dessus.
Le point le plus négligé du document. Les lignes ne désignent pas des éléments de structure, mais une différenciation utile entre des rôles. Le texte va jusqu'à préciser que des fonctions, des équipes et même des individus peuvent porter à la fois des responsabilités de première et de deuxième ligne. Autrement dit, une organisation n'a pas besoin de trois services pour appliquer le modèle, et le fait d'avoir trois services ne prouve pas qu'elle l'applique. La question n'est jamais « avons-nous la bonne case dans l'organigramme », elle est « ces rôles sont-ils tenus, et savons-nous qui les tient ».
La vision indépendante, et ce qu'elle coûte
Le cœur du modèle n'est pas la numérotation des lignes. C'est l'idée qu'une organisation a besoin d'un regard qui ne soit pas celui de ceux qui exécutent.
Pourquoi ? Parce que celui qui conçoit une mesure de sécurité est le plus mal placé pour juger si elle fonctionne. Ce n'est pas une question d'honnêteté, c'est une question d'angle mort. L'ingénieur qui a construit une segmentation réseau la juge sur son intention de conception ; il vérifiera qu'elle fait ce qu'il a voulu qu'elle fasse. Il ne pensera pas spontanément à vérifier ce qu'elle laisse passer et qu'il n'avait pas envisagé. Le regard indépendant sert précisément à poser les questions que le concepteur n'a pas de raison de se poser.
L'indépendance est graduée, pas binaire. Trois degrés utiles à distinguer :
| Degré | Qui | Ce qu'il apporte | Ce qui le limite |
|---|---|---|---|
| Séparation des tâches | Un pair, dans la même équipe | Détecte l'erreur d'exécution | Même formation, mêmes angles morts, même chef |
| Deuxième ligne | Une fonction distincte, sous le même management | Détecte l'écart au cadre, conteste la méthode | Dépend budgétairement de ce qu'elle contrôle |
| Troisième ligne | L'audit interne, rattaché à l'organe de direction | Peut contredire le management sans risque de carrière | Cadence lente, périmètre annuel, distance technique |
L'indépendance a un prix, et il est utile de l'énoncer clairement plutôt que de le découvrir. Elle coûte du temps : un regard extérieur doit d'abord comprendre le contexte que l'équipe possède déjà. Elle coûte de la compétence : plus la fonction est indépendante, plus elle est éloignée de la technique, et plus le risque grandit qu'elle conteste ce qu'elle n'a pas compris. Et elle coûte de la friction : une organisation où personne ne conteste jamais rien fonctionne plus vite, jusqu'au jour où elle ne fonctionne plus du tout.
Ce coût explique pourquoi les petites structures compriment les trois lignes en une seule personne. Ce n'est pas de l'ignorance du modèle : c'est un arbitrage.
Surveiller n'est pas exécuter
« Oversight », en français « surveillance » ou « pilotage », est le mot le plus mal traduit et le plus mal compris du modèle. Il ne signifie ni contrôler à la place de, ni valider chaque décision. Il signifie garder une vue d'ensemble suffisante pour savoir si le dispositif tient, et disposer du moyen d'intervenir quand il ne tient plus.
La distinction la plus utile au quotidien est celle-ci : exécuter, c'est produire le résultat ; surveiller, c'est produire un jugement sur le résultat produit par un autre. Dès qu'une équipe répond « nous » à la question « qui a fait la mesure », elle est en première ligne pour cette activité, quel que soit son nom sur l'organigramme.
Passez vos activités au filtre du tableau suivant. La colonne où elles tombent détermine votre ligne, pas l'inverse.
| Activité | Exécution (1re ligne) | Surveillance (2e ligne) |
|---|---|---|
| Gestion des accès | Créer, modifier, retirer les comptes | Définir la règle, revoir les écarts, mesurer le délai de retrait |
| Correctifs | Déployer les correctifs | Fixer les délais attendus, suivre le taux de respect, instruire les dérogations |
| Journalisation | Exploiter le SOC, traiter les alertes | Vérifier la couverture des sources par rapport au risque déclaré |
| Fournisseurs | Contractualiser, exploiter le service | Définir le questionnaire, contester une évaluation complaisante |
| Sensibilisation | Diffuser le module, relancer les retardataires | Mesurer l'effet réel, décider du changement d'approche |
| Analyse de risque | Fournir les données et l'expertise du système | Conduire l'analyse, arbitrer la méthode, garantir la comparabilité |
Trois signes indiquent qu'une deuxième ligne a glissé vers l'exécution, et ils sont faciles à repérer. Elle possède des accès de production. Son nom apparaît comme responsable dans un plan d'action de remédiation. Et elle est appelée en renfort quand une échéance approche. Aucun de ces trois signes n'est une faute morale ; chacun est une information sur ce que l'organisation attend réellement d'elle.
Où se place l'équipe GRC cyber
Réponse courte : la GRC cyber porte des rôles de deuxième ligne. Réponse honnête : elle en sort régulièrement, et il vaut mieux le savoir que le nier.
Elle est en deuxième ligne quand elle écrit le cadre normatif, quand elle conduit une analyse de risque, quand elle instruit une dérogation, quand elle conteste l'évaluation d'un fournisseur, quand elle consolide une reddition de comptes pour la direction.
Elle bascule en première ligne, sans toujours s'en rendre compte, quand elle exploite elle-même un outil de conformité qui produit des résultats qu'elle est ensuite seule à interpréter, quand elle remplit à la place des équipes les questionnaires clients, quand elle porte le plan d'action au lieu de le suivre, ou quand elle assure le secrétariat d'un comité dont elle rédige aussi les conclusions.
Le cas le plus fréquent, et le plus inconfortable, concerne le responsable de la sécurité lui-même. Dans la majorité des organisations de taille moyenne, il dirige à la fois des opérations de sécurité, donc de la première ligne, et une fonction d'encadrement, donc de la deuxième. Le modèle de 2020 l'admet explicitement : les rôles peuvent être combinés, à condition que la combinaison soit connue et assumée. Ce que le modèle demande alors, c'est que l'assurance indépendante vienne de plus haut, c'est-à-dire de la troisième ligne ou de l'externe.
En pratique, cela se traduit par une règle simple et utile : l'équipe GRC peut évaluer ce qu'elle n'a pas produit. Dès qu'elle évalue son propre travail, il faut nommer quelqu'un d'autre, ou accepter que ce qu'elle produit ne soit pas de l'assurance, mais une auto-évaluation. Les deux sont légitimes. Les confondre ne l'est pas.
La prétendue quatrième ligne
L'expression « quatrième ligne » circule pour désigner les auditeurs externes, les organismes de certification et les régulateurs. Elle est commode, et elle est inexacte.
Le modèle de 2020 place ces acteurs à l'extérieur du dispositif, et ce n'est pas une subtilité de vocabulaire. Une ligne, au sens du modèle, est une composante de l'organisation, financée par elle, qui rend des comptes à son organe de direction. Un régulateur ne rend de comptes à personne dans l'organisation qu'il contrôle ; un certificateur travaille selon un référentiel et une portée négociés contractuellement, et il n'a aucune obligation de couvrir ce qui compte le plus pour vous.
La conséquence pratique est celle-ci : on ne peut pas déléguer une ligne à l'extérieur. Une organisation sans audit interne qui déclare que « le commissaire aux comptes joue ce rôle » n'a pas une troisième ligne externalisée, elle n'a pas de troisième ligne. Elle a un avis externe sur un périmètre choisi par un tiers. C'est utile, ce n'est pas la même chose, et l'organe de direction doit savoir laquelle des deux il reçoit.