Interview avec Sandra Emme

swissVR Monitor : Quel rôle incombe généralement au conseil d’administration lorsqu’il s’agit d’assurer la cyber-résilience des entreprises ?

Sandra Emme : Ce qui me frappe souvent dans mes échanges avec des membres de conseils d’administration, c’est que beaucoup d’entre eux ne sont pas conscients du rôle important qui leur incombe. Permettez-moi d’aller un peu plus loin. Garantir la cyber-resilience n’est pas une tâche informatique délégable, mais fait partie intégrante de la haute direction de l’entreprise, dont la responsabilité est inaliénable, conformément à l’article 716a du Code suisse des obligations.

Le conseil d’administration doit considérer les cyber-risques, au même titre que les risques financiers ou opérationnels, comme des risques stratégiques pour l’entreprise et les intégrer de manière structurée dans la gestion des risques à l’échelle de l’entreprise. Sa mission principale réside dans le pilotage stratégique : il définit la tolérance au risque, met à disposition les ressources financières nécessaires et garantit une gouvernance claire.

Le conseil d’administration doit également recevoir régulièrement des informations sur la situation en matière de menaces, exiger des indicateurs de sécurité et vérifier l’efficacité des plans d’urgence. Il est conseillé de documenter ce processus afin de pouvoir démontrer les responsabilités fiduciaires, le devoir de diligence et la continuité. En cas d’incident, les obligations légales de déclaration doivent être respectées, ce que le conseil d’administration doit superviser dans le cadre de sa haute surveillance.

swissVR Monitor : D’après notre enquête menée auprès des membres de conseils d’administration, seule la moitié environ des conseils d’administration teste son dispositif de gestion de crise en cas de cyberattaque. Quels sont les risques concrets pour l’autre moitié des conseils d’administration ?

Sandra Emme : Si un conseil d’administration néglige fondamentalement la question de la cyber-résilience, il manque à son devoir legal de diligence. En cas de cyberattaque grave entraînant des pertes financières considérables, le conseil d’administration s’expose à une responsabilité civile personnelle engageant son patrimoine privé, ainsi qu’à des conséquences pénales si les obligations légales de declaration n’ont pas été respectées.

Par ailleurs, les exercices de simulation de crise destinés au conseil d’administration ne visent expressément pas à ce que celui-ci intervienne sur le plan opérationnel en cas d’urgence – cela serait contre-productif et entraverait le travail de la cellule de crise de la direction. Il s’agit plutôt de vérifier si l’organisation est préparée et si les flux d’information vers le conseil d’administration fonctionnent correctement. Sans exercice préalable, le conseil risque, en cas d’urgence, de prendre de mauvaises décisions stratégiques et de perdre un temps précieux.

Les risques concrets sont au nombre de quatre. Le premier est la responsabilité juridique : le conseil d’administration n’est pas responsible de l’attaque elle-même, mais d’une préparation insuffisante ou d’erreurs stratégiques commises pendant la crise, telles que la violation des obligations de publication ad hoc ou des obligations de déclaration en matière de protection des données. Dans de tels cas, les assurances cyber et les assurances de responsabilité civile des mandataires sociaux (D&O) peuvent également refuser de couvrir les dommages.

Le deuxième risque réside dans l’incapacité à agir en situation de crise : sans entraînement, le conseil d’administration ne sait pas quelles décisions stratégiques il doit prendre sous une pression énorme en termes de temps (par exemple, déblocage de fonds exceptionnels, information des actionnaires majoritaires ou des autorités de régulation). Le troisième risque est le dilemme lié à une demande de rançon : sans discussion préalable, le conseil d’administration ne sait pas, au moment de l’attaque, s’il doit céder aux demandes de rançon ni comment s’y prendre, et ne dispose pas des ressources nécessaires à cette fin.

Le quatrième risque concerne les préjudices financiers et les dommages réputationnels : un incident de cybersécurité entraîne Presque toujours une atteinte à la réputation, même en cas de bonne gestion de crise. Toutefois, si le conseil d’administration n’est pas préparé et que la communication manque de coordination, ce préjudice s’amplifie considérablement et peut menacer l’existence même de l’entreprise, en particulier pour les PME.

Mon conseil : organisez des exercices de simulation de crise (tabletop exercises) et assurez-vous que la direction a conclu un contrat de réponse aux incidents (Incident Response Retainer), c’est-à-dire un contrat de disponibilité avec des experts externes pour une aide immédiate. Un tel contrat est souvent considéré comme un atout par les assureurs cyber, voire exigé.

swissVR Monitor : De même, seule la moitié environ des members du conseil d’administration reçoit de la part de la direction des informations sur les incidents de cybersécurité survenus au sein de l’entreprise. Outre ces incidents, sur quels autres aspects le conseil d’administration devrait-il recevoir un reporting régulier de la part de la direction en matière de cybersécurité ?

Sandra Emme : Un reporting qui se contente, par exemple, d’énumérer les incidents passés ne répond pas aux exigences stratégiques du conseil d’administration. L’accent doit être mis sur la gestion des risques. Le conseil d’administration doit prendre des décisions d’investissement concrètes et fondées. Le mieux est de quantifier les cyber-risques en francs suisses : quel niveau de risque sommes-nous prêts à accepter ?

Un reporting prospectif devrait couvrir les dimensions suivantes. Premièrement, les principaux cyber-risques et les mesures de mitigation, c’est-à-dire la réponse aux questions suivantes : quelles sont actuellement les plus grandes menaces pour le modèle économique et quelles mesures la direction prend-elle pour réduire ces risques ?

La deuxième dimension concerne la protection des « joyaux de la couronne » : dans quelle mesure nos systèmes les plus critiques pour l’activité et nos données les plus précieuses sont-ils protégés ? Les copies de sauvegarde, par exemple, doivent impérativement être séparées du réseau principal – et donc protégées contre tout chiffrement externe.

La troisième dimension concerne la capacité de réaction (résilience) ou les indicateurs relatifs au délai moyen de détection : en d’autres termes, combien de temps faut-il en interne pour se rendre compte que le réseau de l’entreprise a été attaqué ? Combien de temps fautil pour réagir ? Et : lorsqu’un éditeur de logiciels externe signale une faille de sécurité, combien de temps faut-il à l’équipe interne pour corriger cette vulnérabilité critique ?

La quatrième dimension porte sur la chaîne d’approvisionnement et les tiers, c’est-à-dire l’évaluation des cyber-risques tout au long de la chaîne d’approvisionnement, laquelle représente souvent une porte d’entrée majeure. La cinquième dimension concerne les risques liés aux personnes et à l’IA : les résultats des formations ainsi que l’évaluation stratégique de la sécurité des outils d’IA utilisés.

La sixième et dernière dimension englobe un regard externe indépendant, à savoir les résultats d’audits de cybersécurité indépendants, de tests d’intrusion ou d’évaluations du niveau de maturité, ainsi que les scores de sécurité, afin d’obtenir une référence objective.

swissVR Monitor : La grande majorité des conseils d’administration ne compte aucun membre disposant d’une expertise en cybersécurité. Dans quels cas un conseil d’administration devrait-il recruiter une personne possédant une expertise en cybersécurité ou en informatique ?

Sandra Emme : Tous les membres d’un conseil d’administration ne doivent pas nécessairement être des experts en informatique, mais une « cécité technologique » au sein de l’ensemble du conseil s’accompagne d’énormes risques stratégiques. Un recrutement ciblé est particulièrement conseillé lorsque le « déficit de mise en oeuvre » s’accentue. Le conseil d’administration a besoin d’un membre qui joue le rôle de « traducteur » afin d’examiner d’un oeil critique les declarations de la direction en matière d’informatique.

Les transformations en profondeur constituent une autre raison justifiant un recrutement ciblé : par exemple, lors d’une migration mondiale vers de nouveaux systèmes ERP, dans le cadre d’une stratégie « cloud first » ou lorsque l’IA bouleverse le modèle économique principal. Un membre du conseil d’administration disposant de l’expertise requise est également indispensable lorsqu’il existe un retard à combler en matière de maturité cyber. Si des audits cyber mettent en évidence des lacunes, les conseils d’administration ne doivent pas attendre que l’entreprise soit victime d’une attaque majeure et que les actionnaires exigent des changements au niveau du personnel et le renforcement de l’expertise au sein du conseil.

Pour les entreprises cotées, un recrutement ciblé est également pertinent, car les investisseurs et les conseillers en vote exigent de plus en plus des administrateurs dotés de compétences numériques. Au moins un membre devrait posséder une expérience avérée dans les domaines de la technologie et de la cybersécurité.

Dans les entreprises de taille moyenne, il est souvent plus difficile de trouver un expert informatique à temps plein au sein du conseil d’administration, et un tel profil risque de mobiliser de manière trop spécifique l’un des rares sièges disponibles. Il est recommandé de constituer un comité consultatif externe ou de solliciter un RSSI externe en tant qu’intervenant invité afin d’assurer un regard indépendant sur les rapports en matière de cybersécurité.

swissVR Monitor : Dans quels cas est-il judicieux pour un conseil d’administration de créer un comité chargé de la cybersécurité ou de l’informatique ?

Sandra Emme : De manière générale, la mise en place d’un tel comité s’impose de plus en plus comme une bonne pratique dans tous les secteurs. La création d’un comité informatique ou cyber dédié deviant toutefois impérative lorsque la complexité de l’environnement informatique est telle que l’ensemble du conseil d’administration ou le comité d’audit classique ne dispose pas du temps nécessaire pour en acquérir une compréhension approfondie. Cela vaut en particulier dans le cas d’une convergence OT/IT. Lorsque, dans les entreprises manufacturières, les installations de production (Operational Technology) et l’informatique classique fusionnent, de nouveaux vecteurs d’attaque extrêmement complexes apparaissent dans l’automatisation industrielle.

D’autres raisons justifient la création d’un tel comité lorsque l’entreprise doit réduire une dette informatique importante, investit massivement dans l’IA ou doit gérer des intégrations informatiques complexes à la suite d’acquisitions.

Un comité dédié à l’informatique ou à la cybersécurité est également utile pour les analyses approfondies : il permet d’approfondir des sujets présentant un intérêt stratégique particulier pour une entreprise, par exemple les stratégies SOC (Security Operations Center), la protection de la chaîne d’approvisionnement, les développements en matière de cybersécurité ou d’IA/IoT dans le cadre de la stratégie d’innovation.

Enfin, la pression réglementaire peut également justifier la mise en place d’un tel comité. Pour les entreprises cotées en bourse ou fortement réglementées, un « Technology & Cyber Committee » est essential pour examiner en profondeur les questions d’architecture, les budgets informatiques importants et les audits de sécurité, puis pour formuler des recommandations étayées à l’intention de l’ensemble du conseil d’administration.