En matière de cybersécurité, c'est au conseil d'administration qu'incombe la responsabilité finale.
C'est le message que la Commission américaine des opérations boursières (SEC) a transmis lors de la journée « 9 mars 2022 », lorsqu'elle a dévoilé de nouvelles règles proposées imposant des obligations accrues en matière de divulgation concernant la gouvernance des risques cybernétiques et le signalement des incidents dans les documents réglementaires.
Quelle est la motivation de l'agence ? Le nombre et le coût des cyberattaques de grande ampleur sont en forte hausse, tout comme les attentes des actionnaires en matière de transparence.
Bien que la SEC soit encore en train de finaliser ces nouvelles règles, une chose est claire : l'agence exigera bientôt des conseils d'administration qu'ils communiquent chaque année des informations d'un niveau de détail sans précédent concernant leur gouvernance en matière de sécurité, ainsi que sur l'existence et la date de toute violation majeure.
Il convient notamment de noter que les administrateurs devront préciser qui est « responsable » de la supervision — un comité existant, tel que le comité d'audit ou le comité des risques, un nouveau comité chargé de la cybersécurité, ou l'ensemble du conseil d'administration — et comment cette supervision est exercée. Les réglementations à venir poussent les conseils d'administration non seulement à réévaluer leur structure de contrôle, mais aussi à repenser la composition du conseil lui-même.
Afin de se préparer à l'évolution du cadre réglementaire , voici quatre questions relatives à la gouvernance en matière de cybersécurité que les conseils d'administration devraient placer en tête de leurs priorités.
1. Le conseil d'administration devrait-il recruter un expert en cybersécurité ?
Aujourd'hui, la présence d'une expertise en cybersécurité au sein des conseils d'administration relève davantage de l'exception que de la règle. Selon le Center of Audit Quality, seules 34 % des 500 entreprises du S&P comptent un expert en cybersécurité au sein de leur conseil d'administration.
Les nouvelles règles de la SEC exigeraient que les entreprises indiquent si certains membres de leur conseil d'administration, le cas échéant, possèdent une expertise en matière de cybersécurité. Il ne s'agit pas tant d'une obligation de nommer un expert chargé de superviser les risques cybernétiques que d'une mesure visant à garantir aux investisseurs la transparence quant aux capacités de surveillance du conseil d'administration.
«Si vous cherchez un RSSI pour votre conseil d’administration, vous aurez du mal à en trouver un, car ils sont très recherchés. »Carolyn Frantz, codirectrice du groupe « Sociétés cotées » chez Orrick
Quoi qu'il en soit, les conseils d'administration devraient-ils chercher à recruter un expert en cyber-risques pour compléter leur équipe ? Beaucoup ont l'intention de le faire : en 2021, 65 % des conseils d'administration ont déclaré que la cybersécurité constituait un domaine d'expertise recherché au sein du conseil, contre 36 % en 2018, selon un rapport d'Ernst & Young.
La recherche risque d'être difficile. « Si vous recherchez un RSSI pour votre conseil d’administration, vous aurez du mal à en trouver un, car ils sont très sollicités et leur nombre est ment limité », explique Carolyn Frantz, codirectrice du groupe dédié aux sociétés cotées au sein du cabinet d’avocats spécialisé dans les technologies Orrick.
Frantz souligne que, si vous trouvez un candidat au poste de RSSI, « celui-ci doit également posséder un large éventail de compétences qui apportent une valeur ajoutée à votre conseil d'administration. » « Vous ne devez pas nommer quelqu’un au sein de votre conseil d’administration uniquement parce qu’il possède une seule compétence. »
Un autre écueil dont les conseils d'administration doivent tenir compte est le risque qu'ils s'appuient trop fortement sur un « expert » pour se soustraire à leur propre responsabilité de surveillance, met en garde Joe Nocera, associé spécialisé dans les risques cybernétiques et le marketing réglementaire chez PricewaterhouseCoopers (PwC).
« J’ai assisté à des réunions de conseil d’administration où l’un des administrateurs possédait une expérience en cybersécurité et où les autres membres avaient tendance à s’en remettre à lui sur tous les sujets », explique M. Nocera, qui siège lui-même au sein de plusieurs conseils d’administration d’organismes à but non lucratif. « C'est un peu comme si on se disait : “Oh, Sally travaillait auparavant pour une entreprise spécialisée dans la cybersécurité, donc je n'ai pas à m'en faire.” »
Selon M. Nocera, l'un des domaines dans lesquels un expert peut véritablement apporter une valeur ajoutée consiste à rehausser le niveau d'expertise du conseil d'administration. Les experts peuvent encourager les administrateurs à suivre des formations dans le cadre de programmes tels que la formation certifiante « » en cybersécurité ( ), proposée par l'Association nationale des administrateurs d'entreprise (NACD). (À ce jour, seuls environ 700 de ses 23 000 membres ont obtenu un certificat.)
Veuillez noter que la SEC a expressément précisé ce point dans sa proposition relative à la norme « » () : « Nous n’avons pas l’intention que la désignation d’un expert en cybersécurité au sein du conseil d’administration réduise les devoirs, les obligations ou la responsabilité des autres membres du conseil. »
En d'autres termes : même si l'arrivée au sein du conseil d'administration d'un administrateur possédant une expertise en cybersécurité sera utile pour la supervision en général, c'est finalement l'ensemble du conseil d'administration qui assume la charge — et la responsabilité — de cette supervision.
2. Quel comité du conseil d'administration devrait être « responsable » de la cybersécurité ?
Aujourd'hui, plus de deux conseils d'administration sur trois (66 %) confient la responsabilité de la supervision de la cybersécurité à leur comité d'audit , selon une enquête intitulée « 2021 » réalisée par le Deloitte Center for Board Effectiveness, en partenariat avec la Society for Corporate Governance. Parmi les personnes interrogées, 15 % attribuent la responsabilité au comité des risques. Deloitte a constaté que seules 9 % des entreprises confient cette responsabilité à un comité dédié à la cybersécurité.
«La cybersécurité est avant tout un enjeu de gestion des risques. » « La sécurité parfaite n'existe pas. »Joe Nocera, associé spécialisé dans les risques informatiques et le marketing réglementaire chez PricewaterhouseCoopers
« Ce n’est pas parce que la majorité agit ainsi que c’est forcément la bonne solution », déclare M. Nocera. « Nous avons constaté que les organisations qui confient la gestion de la cybersécurité à un comité des risques sont celles qui gèrent le mieux ce risque. »
Pourquoi privilégier le comité des risques plutôt que le comité d'audit ? Les listes de tâches « » des comités d’audit sont déjà surchargées : contrôle des rapports financiers et des contrôles internes, protection des données, questions d’éthique et de conformité, et bien d’autres encore. La cybersécurité constituant un risque de plus en plus important pour l'entreprise, les membres du comité risquent de disposer d'une marge de manœuvre limitée pour se consacrer à la gouvernance.
« La cybersécurité est avant tout un enjeu de gestion des risques », déclare M. Nocera. « La sécurité parfaite n'existe pas. » La question est la suivante : quel niveau de risque sommes-nous prêts à accepter et restons-nous dans les limites de notre appétit pour le risque actuel ? ”
3. Le conseil d'administration devrait-il créer un comité chargé de la cybersécurité ?
Les conseils d'administration pourraient choisir de se passer complètement des comités d'audit et des comités des risques dans les années à venir, selon le géant du conseil Gartner, qui prévoit que le nombre de conseils d'administration dotés de comités dédiés à la cybersécurité quadruplera d'ici cinq ans, passant de 10 % en 2021 à 40 % d'ici 2025.
Gartner a formulé cette prévision dans son rapport intitulé « janvier 2021 », et la proposition de la SEC pourrait renforcer les arguments en faveur d’une séparation de la supervision de la cybersécurité des autres fonctions du comité — en particulier son obligation pour les entreprises de déposer un formulaire 8-K auprès de la SEC dans un délai de quatre jours ouvrés à la suite d’un « incident de cybersécurité » significatif.
« Les entreprises subissent quotidiennement des attaques mineures de type « », de logiciels malveillants ou , ainsi que des attaques de hameçonnage », note M. Nocera. « Il n’est pas réaliste de rendre compte à chaque fois de chacun de ces incidents au conseil d’administration. » « Le conseil d'administration doit définir des critères permettant de déterminer ce que la SEC pourrait considérer comme « significatif », notamment les types d'incidents qui nécessiteraient la tenue d'une réunion extraordinaire du conseil d'administration. »
L'évaluation de l'importance des incidents cybernétiques, y compris pour déterminer quand ces incidents doivent être portés à l'attention de l'ensemble du conseil d'administration, pourrait et devrait relever de la responsabilité d'un comité de cybersécurité, suggère James Turgal, vice-président de la société de conseil et de solutions en cybersécurité Optiv.
M. Turgal recommande qu’un tel comité suive « un modèle hybride » et comprenne des dirigeants de haut niveau, des membres du comité d’audit et des membres du conseil d’administration formés aux questions de cybersécurité, capables d’aligner la stratégie de cybersécurité et les processus de gouvernance de l’entreprise sur les nouvelles exigences de publication d’informations de la SEC.
4. À quelle fréquence le comité doit-il faire le point devant l'ensemble du conseil d'administration ?
Pour de nombreux conseils d'administration aujourd'hui, la cybersécurité ne figure à l'ordre du jour qu'une fois par an . Près de 77 % des entreprises privées indiquent que cette question est abordée chaque année, tout comme c'est le cas pour 40 % des grandes capitalisations et 52 % des entreprises de taille intermédiaire, selon Deloitte.
Une fois par an suffit-il pour assurer un contrôle rigoureux ? Ce n'est pas l'avis de M. Nocera, qui recommande qu'un comité fasse le point avec le conseil d'administration sur les questions de cybersécurité six fois par an, ou au moins une fois par trimestre, même pour les entreprises qui ne se considèrent pas comme exposées à un risque élevé.
Ces réunions d’information devraient non seulement aborder les risques cybernétiques urgents du moment, mais également les plans stratégiques pluriannuels ; les plans d’intervention en cas d’incident, de reprise d’activité et de relations publiques ; la formation et la sensibilisation à la cybersécurité auprès de la direction et des employés ; ainsi que la maturité et la résilience globales de l’organisation en matière de cybersécurité.
Revenir à l'essentiel
M. Turgal estime lui aussi qu’une sensibilisation des membres du conseil d’administration aux cybermenaces actuelles et en constante évolution, dans un langage accessible, est indispensable à une surveillance efficace. « Les membres du conseil d’administration se doivent de poser les questions qui fâchent et de mettre la direction au défi afin de créer et de préserver la valeur pour les actionnaires », déclare-t-il. « Sans bases, vous ne savez pas ce que vous ignorez. »
Et à ce stade, les membres du conseil d'administration s'accordent à dire qu'ils n'en savent pas assez. Seuls 33 % des administrateurs estiment que leur conseil d'administration comprend les vulnérabilités informatiques de leur entreprise, selon une enquête de PwC — ce qui constitue un obstacle majeur à la mise en place d'une gouvernance adéquate.
Par conséquent, la première étape vers une surveillance efficace, notamment au regard des futures réglementations de la SEC, ne consistera peut-être pas pour les administrateurs à recruter un expert en cybersécurité, à créer un comité dédié à la cybersécurité, ni même à multiplier les réunions d'information à l'intention de l'ensemble du conseil d'administration.
Dans un premier temps, ils peuvent et doivent acquérir des bases solides en matière de cybersécurité afin de pouvoir non seulement poser les bonnes questions, mais aussi comprendre les réponses.
