Comment le conseil d’administration renforce la cyber-résilience

Au vu de la fréquence et de la sophistication galopantes des cyberattaques ces dernières années, le présent numéro du swissVR Monitor se focalise à nouveau, comme ce fut déjà le cas pour l’édition II/2023, sur le thème clé de la cyber-résilience. Au regard des dommages potentiels considérables que ces attaques peuvent causer aux entreprises, il est essentiel que les membres des conseils d’administration se saisissent de la question de la cyber-résilience dans le cadre de leur mandat et acquièrent une compréhension claire de leur propre rôle et des responsabilités qui en découlent. Le présent swissVR Monitor examine notamment les conséquences possibles des cyberattaques, les mesures mises en oeuvre par les entreprises pour y faire face ainsi que le reporting de la direction au conseil d’administration en matière de cybersécurité.

Incidents et conséquences des cyberattaques

Quatre membres de conseils d’administration sur dix (41%) indiquent que, à leur connaissance, leur entreprise a déjà été victime d’une cyberattaque. Ce chiffre a ainsi augmenté de 13 points de pourcentage en trois ans et a presque doublé (46%) par rapport à la Valeur de référence de 28% enregistrée dans le swissVR Monitor II/2023.

La hausse observée ces trois dernières années s’explique par l’augmentation du nombre de petites et moyennes entreprises victimes de cyberattaques. Leur proportion est passée de 20% à 37%, soit près du double, tandis qu’elle est restée pratiquement stable pour les grandes entreprises (II/2026 : 48% ; II/2023 : 45%). Si ces dernières restent davantage exposées en raison de leur taille, les petites et moyennes entreprises sont elles aussi de plus en plus nombreuses à être victimes de cyberattaques. L’importance de la cyber-resilience n’est donc pas une question de taille : elle revêt une importance vitale pour toutes les entreprises.

Les avancées dans le domaine de l’intelligence artificielle permettent aux attaquants de causer des dommages importants plus facilement et plus rapidement. La question se pose donc de savoir dans quelle mesure les entreprises sont spécifiquement préparées à faire face à cette menace supplémentaire.

Environ trois quarts des entreprises (74%, soit le cumul des trois barres inférieures) ne disposent actuellement d’aucune stratégie écrite couvrant les cyberattaques alimentées par l’IA. Parmi le quart restant, 8% disposent d’une telle stratégie, tandis que, dans la majorité des entreprises de ce groupe, le conseil d’administration est en outre informé de l’état de mise en oeuvre et de l’efficacité d’une telle stratégie (18%). Il convient toutefois de souligner que l’existence d’une stratégie contre les cyberattaques alimentées par l’IA, ainsi qu’un reporting au conseil d’administration sur son efficacité, ne permettent pas, seuls, de conclure directement qu’une entreprise serait effectivement en mesure de contrer ce type d’attaques en réalité.

La taille de l’entreprise joue également un rôle déterminant dans le degré de préparation. En effet, alors que seules 18% des petites entreprises disposent d’une stratégie pour faire face aux cyberattaques fondées sur l’IA, cette proportion atteint 40% dans les grandes entreprises. Cette différence pourrait s’expliquer par un lien entre la taille de l’entreprise et le nombre de cyberattaques auxquelles elle est exposée, ou par une institutionnalisation plus poussée des enjeux cyber dans les grandes entreprises, notamment grâce à l’existence d’un département informatique ou d’une fonction de Chief Information Security Officer (CISO).

Le conseil d’administration et la cyber-résilience

Le conseil d’administration peut développer son expertise en matière de cyber-résilience en puisant dans différentes sources. La majorité des conseils d’administration s’appuie sur la direction Générale pour obtenir les informations et l’expertise nécessaires dans ce domaine (62%). Seul un tiers des personnes interrogées (32%) indique que leur conseil compte un membre disposant d’une expertise en matière de cybersécurité ou d’informatique. Dans un quart des cas (24%), le conseil d’administration bénéficie des conseils d’un expert externe en cybersécurité ou en informatique, tandis que 8% des conseils d’administration ne disposent d’aucune information, ni expertise dans le domaine de la cyber-résilience.

Étant donné que les grandes entreprises comptent un plus grand nombre de conseils d’administration que les petites entreprises, il n’est guère surprenant que leurs conseils comptent également plus fréquemment des membres disposant d’une expertise en cybersécurité ou en informatique (41% contre 28%). Cette expertise est particulièrement présente chez les membres de CA d’entreprises des technologies de l’information et de la communication (53%) ainsi que chez ceux opérant dans le secteur des services aux entreprises (41%). À l’inverse, le secteur de la construction (20%), le secteur pharmaceutique et de la santé (19%) ainsi que l’industrie manufacturière et de la chimie (16%) affichent des valeurs inférieures à la moyenne.

Thèmes-clés au coeur des préoccupations du conseil d’administration

En tête des thèmes que les conseils d’administration souhaitent aborder au cours des 12 prochains mois figure le gain de performance / l’optimisation des processus internes (33%). Ce theme gagne ainsi trois places par rapport à l’édition précédente. Comme cela avait été analysé en détail dans cette dernière, cette évolution est probablement liée en premier lieu à l’introduction et au développement de l’intelligence artificielle au sein des entreprises.

Aux deuxième et troisième rangs des thématiques clés que les conseils d’administration souhaitent traiter au cours des 12 prochains mois figurent la gestion des risques (29%) ainsi que la numérisation / robotique / automatisation (28%). Par rapport à l’édition précédente, la gestion des risques recule ainsi d’une place, tandis que les themes liés à la numérisation progressent de trois rangs.

Il convient notamment de relever la progression de l’informatique (19%), de la gestion de la sécurité, y compris la cyber-résilience (18%) et de la mise sur le marché (stratégie marketing et commerciale) (18%), trois thèmes qui ne figuraient pas auparavant parmi les dix thèmes-clés. À l’inverse, l’élaboration d’une nouvelle stratégie d’entreprise enregistre le recul le plus marqué du classement, passant de la deuxième à la huitième place (18%).

Léger redressement des perspectives économiques

Les perspectives économiques, sectorielles et commerciales pour les 12 prochains mois se sont légèrement améliorées par rapport aux deux précédentes éditions du swissVR Monitor. Un léger redressement semble se dessiner, même si, celui-ci reste pour l’heure modéré. Ce constat est d’autant plus remarquable que l’économique suisse reste exposée à de nombreux risques et facteurs défavorables, à savoir les tensions dans le golfe Persique, la possibilité de l’instauration de nouveaux droits de douane sur les importations suisses aux États-Unis, la nouvelle appréciation du franc suisse par rapport aux autres devises, ainsi que la morosité persistante de la conjoncture sur d’importants marchés étrangers.

Interviews

À propos de l’enquête

Réalisée par l’association swissVR en collaboration avec Deloitte et la Haute école de Lucerne, l’enquête swissVR Monitor a pour objectif de recueillir, tous les six mois, l’opinion des membres de conseils d’administration suisses sur les perspectives conjoncturelles, sectorielles et commerciales ainsi que sur des questions de gouvernance d’entreprise. L’étude permet par ailleurs au grand public de découvrir le point de vue d’administratrices et d’administrateurs sur la manière dont ils/elles perçoivent leur rôle et sur la situation économique actuelle. Chaque numéro se focalise sur une thématique centrale et présente, dans ce cadre, des éclairages d’experts recueillis sous forme d’interviews. Fondée sur un sondage réalisé auprès de 281 membres de conseils d’administration, la présente édition du swissVR Monitor dresse un tableau fidèle des points de vue des conseils d’administration en Suisse et des défis qui les attendent.