par Dans beaucoup d’organisations, la relation entre la direction générale et l’équipe informatique se limite à deux moments : la panne et le budget. Le reste du temps, chacun travaille de son côté. Le dirigeant n’interroge pas, de peur de ne pas comprendre la réponse ou de paraître dépassé. L’équipe informatique ne remonte pas les risques, de peur d’être perçue comme alarmiste ou de demander encore des moyens.
Ce silence a un coût. Il laisse se développer des risques que personne, au niveau de la direction, n’a jamais pesés. J’enseigne la gouvernance des systèmes d’information et j’accompagne des organisations sur ces questions ; la recommandation que je formule le plus souvent tient en peu de mots : posez des questions simples, régulièrement, et exigez des réponses simples.
Voici les cinq questions que je recommande à tout dirigeant.
Question 1 : quels sont nos trois risques informatiques les plus graves aujourd’hui ?
Cette question oblige l’équipe informatique à hiérarchiser. Une liste de quarante risques n’aide personne à décider. Trois risques, expliqués en langage clair avec leur conséquence possible sur l’activité, permettent une discussion utile.
Ce qu’une bonne réponse contient : le risque, sa probabilité estimée, son impact sur l’activité, et ce qui est déjà fait pour le réduire.
Signal d’alerte : l’équipe répond « tout est sous contrôle », ou ne peut pas citer de risque sans consulter un document.
Question 2 : combien de temps pourrions-nous fonctionner si le système principal tombait ?
C’est la question de la continuité d’activité. Elle porte sur deux chiffres : le temps nécessaire pour reprendre l’activité (RTO) et la quantité de données que l’on accepterait de perdre (RPO).
Ce qu’une bonne réponse contient : des chiffres mesurés lors d’un exercice réel, pas des estimations.
Signal d’alerte : « Nous avons un plan », sans date du dernier test.
Question 3 : qui peut accéder à nos données les plus sensibles, et qui le vérifie ?
Les comptes à privilèges, ceux des administrateurs systèmes, des prestataires ou des comptes techniques, sont les clés de l’organisation. Une grande partie des incidents graves passe par eux, qu’il s’agisse d’une attaque extérieure ou d’un abus interne.
Ce qu’une bonne réponse contient : le nombre de comptes à privilèges, la manière dont leurs accès sont tracés, et la fréquence des revues.
Signal d’alerte : des comptes partagés dont le mot de passe est connu de plusieurs personnes, ou des accès de prestataires ouverts en permanence.
Question 4 : quand avons-nous restauré une sauvegarde pour la dernière fois ?
Toutes les organisations font des sauvegardes. Beaucoup moins vérifient qu’elles peuvent les restaurer. Or une sauvegarde n’a de valeur que le jour où l’on en a besoin, et ce jour-là, il est trop tard pour découvrir qu’elle est incomplète ou corrompue. Face aux rançongiciels, qui cherchent désormais à chiffrer ou détruire aussi les sauvegardes, la question est devenue centrale.
Ce qu’une bonne réponse contient : une date récente, le périmètre restauré, le temps nécessaire, et l’existence d’une copie hors ligne.
Signal d’alerte : un silence gêné.
Question 5 : si vous aviez 10 % de budget en plus, où le mettriez-vous ?
C’est la question la plus révélatrice. Elle montre ce que l’équipe informatique considère comme le point faible prioritaire, et elle ouvre une conversation sur les arbitrages plutôt que sur les demandes.
Ce qu’une bonne réponse contient : une réponse précise, argumentée en termes de risque réduit ou de service amélioré.
Signal d’alerte : une réponse qui ne parle que de matériel neuf, sans lien avec un risque ou un objectif.
Comment poser ces questions
Le ton compte autant que les questions. L’objectif n’est pas de piéger l’équipe informatique, mais de construire une compréhension partagée. Quelques recommandations :
- poser ces questions régulièrement, par exemple une fois par trimestre, et pas seulement après un incident ;
- demander des réponses courtes, sur une page, sans jargon ;
- accepter les réponses inconfortables sans chercher immédiatement un responsable ;
- noter les engagements pris et y revenir à la réunion suivante.
| Question | Domaine | Fréquence conseillée |
| Trois risques les plus graves | Gestion des risques | Trimestrielle |
| Temps de fonctionnement en cas de panne | Continuité d’activité | Semestrielle, après chaque exercice |
| Accès aux données sensibles | Sécurité, accès à privilèges | Trimestrielle |
| Dernière restauration | Sauvegarde, résilience | Trimestrielle |
| 10 % de budget en plus | Arbitrage, stratégie | Annuelle, avant le budget |
Pour les étudiants et futurs cadres
Un exercice utile, en formation, consiste à inverser les rôles : les étudiants jouent le rôle de l’équipe informatique et doivent répondre à ces cinq questions pour une organisation fictive, en une page. L’exercice montre très vite que la difficulté n’est pas technique. Elle consiste à traduire une réalité technique en enjeu compréhensible pour un décideur. C’est une compétence rare, et c’est souvent elle qui distingue un bon technicien d’un futur responsable.
Conclusion
Un dirigeant n’a pas besoin de devenir informaticien pour gouverner l’informatique. Il a besoin de cinq bonnes questions, posées régulièrement, et d’une équipe qui sait qu’elle peut y répondre honnêtement. La gouvernance des systèmes d’information commence souvent par une conversation de trente minutes.
