Modèle de gestion des risques d'entreprise (ERM)
En tant que président du comité d'audit d'une société cotée en bourse, j'évalue en permanence le modèle de gestion des risques d'entreprise (ERM) afin de surveiller les différents facteurs de risque auxquels l'organisation est exposée. Il peut s'agir de risques opérationnels, tels que le départ de collaborateurs clés ou l'acquisition d'une nouvelle unité opérationnelle ; ou encore de risques liés à l'information financière, tels que la mise en place d'un nouveau système de traitement des transactions ou de nouveaux modèles de chiffre d'affaires. Mais le modèle traditionnel de gestion des risques d'entreprise (ERM) peine à intégrer un élément qui constitue sans doute l'un des risques les plus dangereux pour certaines entreprises aujourd'hui : le risque lié à la cybersécurité.
Dans le contexte actuel de la cybersécurité, toute entreprise qui gère et conserve des données sensibles devrait réfléchir à la manière dont le conseil d'administration supervise ce risque. Cela pourrait se faire par l'intermédiaire d'un responsable des risques cybernétiques ou d'un administrateur de référence au sein du comité d'audit de leur conseil d'administration.
En tant que président du comité d'audit, je veille à ce que le budget du plan d'exploitation annuel dispose des ressources, du personnel et des outils nécessaires pour soutenir les fonctions comptables et financières de l'entreprise. Si la cybersécurité représente un risque élevé pour une entreprise, il convient de mener une analyse d'une ampleur similaire afin de s'assurer que les services informatiques et de sécurité bénéficient d'un soutien adéquat.
La cybersécurité ne doit pas être une préoccupation secondaire
Il ne s'agit pas d'un contrôle pour le simple plaisir de contrôler. Dans une étude récente de la Bourse de New York (NYSE) (s'ouvre dans un nouvel onglet), un administrateur sur cinq a indiqué ne discuter de cybersécurité qu'après un incident interne ou un incident survenu dans le même secteur d'activité. Un président désigné ou un administrateur de référence est non seulement en mesure de poser les bonnes questions de manière proactive, mais peut également collaborer avec la direction pour établir un profil de référence des risques cybernétiques de l’entreprise, suivre les progrès réalisés par la direction en matière d’amélioration et d’atteinte des objectifs, et veiller à ce que des ressources suffisantes soient mises à disposition pour atténuer les risques de l’entreprise et garantir le maintien de la confiance des parties prenantes.
De nombreuses entreprises ont déjà constaté qu'elles n'avaient pas accordé suffisamment d'importance à la cybersécurité — le secteur bancaire est l'un des premiers à avoir pris conscience de ce problème. L'année dernière, le PDG Jamie Dimon a annoncé que JPMorgan Chase allait augmenter ses dépenses en matière de cybersécurité de 500 millions de dollars par an (s'ouvre dans un nouvel onglet). D'autres établissements financiers ont emboîté le pas et ont procédé à des augmentations similaires, hors cycle, de leurs dépenses en matière de cybersécurité. Au total, les établissements financiers ont prévu une enveloppe supplémentaire de 2 milliards de dollars pour moderniser leurs systèmes, en plus de leur niveau actuel de dépenses.
Les cyberrisques actuels exigent un changement de paradigme de la part des entreprises, mais beaucoup d'entre elles ne sont pas prêtes à s'adapter pour faire face à ces nouveaux enjeux. Au début de l'année 2000s, dans le sillage des scandales Enron et WorldCom, la loi Sarbanes-Oxley a imposé des réformes comptables strictes concernant la publication des informations financières des entreprises, ainsi que les systèmes de traitement des transactions sous-jacents, afin de prévenir la fraude comptable. Il s'en est suivi une augmentation considérable des dépenses liées à la mise en conformité afin de répondre à ces exigences. Aujourd'hui, lorsque l'on examine des violations de données coûteuses et largement médiatisées, telles que celles subies par Sony et Anthem, on constate que les entreprises ont besoin d'un nouvel élan en matière de processus de gestion des risques cybernétiques.
Questions à méditer
Si vous évoluez dans un secteur fortement exposé aux risques cybernétiques — c'est-à-dire si vous traitez et gérez des données financières et des données sensibles telles que les données à caractère personnel (PII), les données de santé (PIH), les données PCI et les données liées à la propriété intellectuelle —, il incombe au conseil d'administration et à l'équipe de direction de considérer cela comme un risque opérationnel potentiel.
Commencez par vous poser les questions suivantes :
- Quel est le niveau de risque cybernétique de l'entreprise, et quelles sont les sources et les types de données sensibles qui permettent d'établir cette évaluation ?
- L'entreprise a-t-elle réalisé une évaluation de référence des risques cybernétiques, et existe-t-il un processus continu permettant de suivre les progrès réalisés au fil du temps ?
- Existe-t-il un plan d'intervention en cas de cyberattaque ou un plan de gestion de crise ?
- Quelles informations seront communiquées au Conseil d'administration concernant les risques cybernétiques ? Existe-t-il un processus régulier permettant de faire le point avec le directeur des systèmes d'information au sein d'une commission du Conseil d'administration ?
- Devrions-nous désigner un administrateur référent au sein du comité d'audit, élargir officiellement le mandat de ce dernier pour y inclure le risque cyber, ou bien notre risque cyber est-il jugé suffisamment élevé pour justifier la création d'un comité dédié et permanent chargé du risque cyber ?
- Quel est le coût de la gestion des risques cybernétiques par rapport à celui d'une fuite de données ? Avons-nous analysé les cas de fuites survenus dans notre secteur afin de comprendre quel est le coût global d'une telle fuite ?
- L'entreprise devrait-elle envisager de souscrire une police d'assurance en matière de cybersécurité ou d'adopter d'autres nouvelles technologies de sécurité afin de réduire les risques et les coûts ?
En fin de compte, la gestion de la cybersécurité incombe à l’ensemble de l’équipe de direction : ce n’est pas seulement l’affaire du directeur informatique (CIO) ou du responsable de la sécurité des systèmes d’information (CISO), mais aussi celle du PDG et de l’équipe de direction. La présence de responsables de la cybersécurité au sein du conseil d'administration contribue à garantir un niveau d'examen adéquat, le conseil d'administration s'acquittant ainsi de sa responsabilité fiduciaire consistant à surveiller l'ensemble des risques de l'entreprise.
Eric Brown, directeur financier et directeur des opérations
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
