Le mot, et ce qu'il recouvre vraiment
Dans la plupart des organisations, « gouvernance » sert à désigner tout ce qui n'est ni technique ni opérationnel. Un comité mensuel, un tableau de bord, une politique en attente de signature, un plan d'action : tout cela finit rangé sous le mot. Le résultat est qu'on ne sait plus ce qu'on désigne, et qu'un poste intitulé « gouvernance » peut recouvrir des métiers sans rapport entre eux.
La définition la plus utile est aussi la plus vieille. Gouverner, c'est diriger et contrôler la conduite d'autrui au moyen de règles publiées et d'une autorité assumée. Trois éléments s'y trouvent, et aucun n'est facultatif. Des règles, qui doivent être écrites et connues, sinon il n'y a rien à appliquer. Une autorité, qui doit être identifiable, sinon il n'y a personne à qui demander des comptes. Et un contrôle, qui doit produire une information en retour, sinon personne ne sait si les règles sont suivies.
ISO/IEC 27014 pose la définition en une ligne : la gouvernance de la sécurité de l'information est le système par lequel les activités de sécurité de l'information d'une organisation sont dirigées et contrôlées. Le mot « système » compte : il ne s'agit pas d'un document, ni d'un comité, ni d'une personne, mais d'un ensemble de dispositifs qui tiennent ensemble.
Gérer est un autre métier. Gérer, c'est obtenir un résultat qui ne se produirait pas tout seul : affecter des gens, tenir un budget, respecter une échéance, corriger un écart. Les deux verbes n'ont ni le même horizon, ni le même client, ni le même produit. La gouvernance produit une direction et une assurance ; la gestion produit un résultat.
Une manière rapide de les séparer : posez la question « qui décide ? ». Si la réponse est une personne ou une instance qui répond de l'organisation devant des tiers – propriétaires, actionnaires, citoyens, membres, conseil d'administration – vous êtes dans la gouvernance. Si la réponse est une personne qui répond d'un périmètre à l'intérieur de l'organisation, vous êtes dans la gestion. Le comité de direction qui arrête le niveau de risque acceptable gouverne. Le responsable qui choisit l'outil de détection gère.
La distinction n'est pas une élégance de vocabulaire. Elle décide de qui est en faute quand quelque chose tourne mal, et cette question-là finit toujours par se poser.
Organe de direction et direction générale
ISO/IEC 27014 fait un choix qui vaut la peine d'être souligné : au lieu de parler de « haute direction » en bloc, elle coupe ce bloc en deux et nomme séparément les deux moitiés.
L'organe de direction, governing body, est la personne ou le groupe de personnes qui répond de la performance et de la conformité de l'organisation. Selon la forme juridique, c'est un conseil d'administration, un conseil municipal, un conseil d'établissement, un comité de direction souverain, ou, dans une petite entreprise, le propriétaire lui-même. Il n'a pas à exister formellement pour exister en fait : quelqu'un, quelque part, répond de l'organisation devant l'extérieur.
La direction générale, executive management, est la personne ou le groupe qui a reçu de l'organe de direction la responsabilité déléguée de mettre en œuvre les stratégies et les politiques. La norme cite, à titre d'exemples, les fonctions de président-directeur général, de directeur financier, de directeur des opérations, de directeur des systèmes d'information et de responsable de la sécurité de l'information.
Les deux groupes sont reliés par deux flux de sens contraire, et la gouvernance tient précisément dans ces deux flux.
Ce qui descend est la direction. L'appétit pour le risque, la stratégie de sécurité, la politique, l'allocation des ressources. Ces décisions ne sont pas des recommandations : elles fixent le cadre à l'intérieur duquel la direction générale a le droit de choisir.
Ce qui remonte est la performance. Les résultats de la mesure, les écarts, les incidents significatifs, les changements de l'environnement légal ou réglementaire qui modifient le risque. Ce flux-là est le plus fragile des deux, parce qu'il traverse des gens qui n'ont pas toujours intérêt à ce qu'il arrive intact.
Une organisation où seul le flux descendant fonctionne produit des politiques que personne ne peut appliquer. Une organisation où seul le flux montant fonctionne produit des tableaux de bord que personne ne lit, parce qu'aucune décision n'en dépend.
Ce que la confusion coûte
Confondre les deux verbes produit deux pathologies opposées, et l'une comme l'autre se diagnostiquent en quelques questions.
Première pathologie : l'organe de direction gère. Le conseil se fait présenter le choix d'une solution de détection, discute des versions à déployer, arbitre entre deux fournisseurs. Le symptôme est un ordre du jour qui ressemble à celui d'un comité de projet. Le coût est double : le conseil consomme son temps rare sur des décisions que d'autres prendraient mieux, et il perd la position de recul qui lui permettait de contester. On ne conteste pas une décision qu'on a soi-même prise.
Seconde pathologie, plus fréquente : personne ne gouverne. Les décisions qui engagent l'organisation sont prises aux niveaux inférieurs, par ceux à qui la question se pose concrètement. Le responsable de la sécurité arbitre seul, faute de mieux, ce que l'organisation accepte de risquer. Le chef de projet décide seul de mettre en production sans correctif, parce que la date de livraison a été promise. La doctrine d'audit est sévère sur ce point : si les décisions finales se prennent aux niveaux inférieurs, les dirigeants ont manqué à leur devoir de contrôle. Ce n'est pas une faute de l'analyste ; c'est une faute de gouvernance, et elle se constate au sommet.
Le second symptôme est le plus intéressant, parce qu'il se mesure. Prenez cinq décisions de sécurité prises dans les douze derniers mois et qui ont eu une conséquence visible : un projet retardé, un budget réaffecté, un risque accepté, un fournisseur écarté, une exigence assouplie. Pour chacune, demandez qui l'a signée. Si aucune signature n'existe au-dessus du responsable de la sécurité, votre organisation n'a pas de gouvernance de la sécurité : elle a un responsable de la sécurité qui gouverne à la place de ceux dont c'est le travail, sans en avoir l'autorité ni la protection.
Il y a une troisième situation, plus rare et plus difficile à traiter : l'organe de direction gouverne, mais sur une information fausse. Il décide bien, à partir de ce qu'on lui a dit. C'est le procès du flux montant, et c'est la raison pour laquelle ISO/IEC 27014 ajoute aux processus de gouvernance un processus que les modèles de gouvernance des TI n'ont pas : communiquer. Nous y viendrons au module suivant.