Du risk management au business enablement : transformer la gestion des risques en avantage compétitif

Compréhension des dirigeants : un prérequis pour le business enablement

La gestion des risques sert à maintenir le risque organisationnel dans des seuils définis tout en permettant la réalisation des objectifs stratégiques. La cybersécurité, en tant que fonction de gestion des risques, ne peut être efficace de manière isolée. Son succès dépend d'une équipe dirigeante engagée et informée qui comprend à la fois le langage et les implications du cyber-risque.

La gouvernance commence au sommet

Les conseils d'administration sont de plus en plus responsables de la supervision de la cybersécurité. Selon le rapport de PwC Overseeing Cyber Risk: The Boards Role, les conseils soutiennent la gestion des cyber-risques en :

• Intégrant la cyber dans les décisions stratégiques

• Comprenant le programme de gestion des risques

• Surveillant la résilience

• Réévaluant les modèles de supervision

Mais une gouvernance efficace nécessite plus qu'une simple supervision de la cybersécurité ; elle exige un engagement transversal. Un point de départ pour le business enablement se situe lorsque les leaders de la cybersécurité adoptent des stratégies basées sur les données et mettent en œuvre des contrôles alignés sur l'appétence au risque et les objectifs stratégiques de l'organisation.

La méconnaissance cyber des boards

Malgré leurs nouvelles obligations réglementaires en matière cyber, les conseils d'administration manquent encore de grilles de lecture et de vocabulaire pour traiter efficacement ces risques. Cela se traduit par :

• Un reporting fragmenté entre les unités métier

• Un manque de corrélation entre risque et objectifs stratégiques

• L'absence de taxonomie partagée pour l'exposition cyber

Les dirigeants doivent aller au-delà des listes de contrôle de conformité et adopter des approches basées sur les risques pour la gouvernance du cyber-risque.

Direction générale et business enablement cybersécurité

Dans son livre Enterprise Risk Management: From Incentives to Controls, James Lam décrit un ensemble de questions diagnostiques pour évaluer la supervision cyber des dirigeants :

1. Quels sont les principaux cyber-risques par gravité et probabilité ?

2. Y a-t-il des objectifs métier directement menacés ?

3. Avons-nous des KRI alignés avec notre appétence au risque définie ?

4. Quelles ont été les pertes et incidents réels de l'entreprise, et avions-nous identifié ces risques dans les rapports d'évaluation précédents ?

5. Sommes-nous conformes aux lois, réglementations et politiques de risque d'entreprise ?

Les dirigeants capables de répondre à ces questions démontrent non seulement une maîtrise de la cybersécurité mais aussi une préparation stratégique. Cela signifie également qu'ils se sont engagés de manière significative avec le DAF, le DSI et le RSSI, qui sont bien positionnés pour aider à répondre à ces questions.

Déployer le business enablement : DAF, DSI et RSSI comme partenaires stratégiques

Le travail pratique du business enablement en cybersécurité est façonné par les relations avec les deuxièmes et premières lignes de défense, en particulier le DAF, le DSI et le RSSI.

Pourquoi ces partenariats comptent

Gartner rapporte que les organisations avec des partenariats DAF-DSI solides ont :

• 51% plus de chances d'obtenir des financements pour les initiatives numériques

• 39% plus de chances de respecter le budget

Cependant, seulement 30% de ces partenariats sont considérés comme "hautement fonctionnels" en raison de désalignements dans la terminologie, les métriques et les priorités métier.

C'est là que le RSSI joue un rôle clé : faire le pont entre initiatives numériques, valeur métier et gestion des risques.

En traduisant les vulnérabilités techniques en scénarios d'impact métier et en quantifiant les cyber-risques en termes financiers, le RSSI aide à aligner les mondes de la cyber et de la planification opérationnelle.

• DAF : garantit que l'investissement en cybersécurité s'aligne sur les objectifs financiers et les attentes de ROI

• DSI : intègre les protections cyber dans l'infrastructure numérique et l'innovation

• RSSI : traduit les risques techniques en langage métier, permettant des décisions basées sur la valeur

Redéfinir le RSSI : de gestionnaire de contrôles à conseiller stratégique en risques

Le périmètre de travail du Responsable de la Sécurité des Systèmes d'Information a subi un changement massif. Dans le passé, la cybersécurité était principalement une fonction cloisonnée. Les RSSI étaient principalement responsables des contrôles techniques et de la conformité du programme de sécurité de l'organisation.

Aujourd'hui, suite à la transformation numérique, le RSSI n'est plus seulement responsable du risque cyber et technologique au sein des systèmes internes de l'organisation. Les processus métier critiques sont désormais externalisés à des tiers. Cela signifie que la cybersécurité des fournisseurs et partenaires peut également relever de leur responsabilité. Les employés ont besoin de formation en sensibilisation à la cybersécurité pour réduire le risque de cyberattaques via les outils qu'ils utilisent quotidiennement.

La stratégie de cybersécurité garantit l'intégrité numérique et opérationnelle de l'entreprise. L'impact du risque cyber et technologique sur le résultat net est assez clair. La cybersécurité doit être stratégique et proactive.

De la gestion réactive à la gestion proactive des risques

Gartner a décrit quatre phases qu'un RSSI traversera au cours de sa carrière, selon la maturité de l'organisation. Passer d'une gestion implicite à explicite des risques stimule le business enablement. On pourrait aussi dire passer d'une gestion des risques basée sur la conformité et réactive à une gestion axée sur les objectifs et proactive.

• Gestionnaire de contrôles

• Propriétaire de décisions risque

• Facilitateur de confiance

• Activateur de valeur
  ‍

Les deux premières phases, Gestionnaire de contrôles et Propriétaire de décisions risque, sont clairement axées sur la performance des contrôles qui remplissent les exigences de conformité et les modèles de maturité. C'est dans ces deux dernières phases en tant que Facilitateur de confiance et Activateur de valeur, que le RSSI peut stimuler le business enablement.

Comprendre et communiquer l'impact du risque en termes financiers peut changer la façon dont le risque est perçu par toutes les parties prenantes. Cela permet aussi d'allouer les ressources efficacement, garantissant une croissance dans les limites du risque acceptable. Pour atteindre ce niveau de compréhension, les RSSI complètent leurs approches qualitatives par des méthodologies quantitatives.
‍

Traduire le cyber-risque en termes métier

Les conseils d'administration ont besoin d'insights sur les risques pertinents pour l'entreprise. Lorsque les RSSI quantifient l'impact financier des cyberattaques potentielles, il devient plus facile pour les dirigeants de comprendre ce qui est en jeu et de prendre des décisions d'investissement éclairées.

La quantification FAIR (Factor Analysis of Information Risk) est une approche puissante pour réconcilier le désalignement dans le langage et les métriques avec un langage standard et des facteurs mesurables pour communiquer le risque en termes financiers, ce qui permet aux décideurs de prioriser les activités et de renforcer la collaboration stratégique. Elle fournit une méthodologie quantitative pour estimer la fréquence et l'ampleur probables des pertes, et est largement utilisée aux côtés de cadres tels que NIST CSF, EBIOS RM et ISO/IEC 27005.

Gérer les interdépendances du cyber-risque

Les risques ne sont jamais isolés. Dans le paysage numérique des affaires, une défaillance peut se propager à travers les chaînes d'approvisionnement, les écosystèmes de fournisseurs et les systèmes internes.

Quantifier les risques individuels de manière isolée peut créer un sentiment de précision sans exactitude. Sans tenir compte des interdépendances qui existent au sein d'un processus métier critique, les organisations risquent de négliger comment une zone d'exposition peut en amplifier une autre.

Par exemple, une vulnérabilité dans le système d'authentification d'un fournisseur cloud pourrait simultanément :

• Exposer des données clients confidentielles

• Déclencher des violations réglementaires

• Retarder la livraison de services et impacter les revenus

Pour gérer efficacement le cyber-risque, il faut combiner vision granulaire et modélisation globale afin de capturer l'intégralité de l'exposition. Les interdépendances ne se révèlent que lorsque toutes les parties prenantes sont impliquées.

KRI pour le business enablement

Les indicateurs clés de risque (KRI) sont des métriques d'alerte précoce qui signalent les changements dans l'exposition au risque. Contrairement aux métriques de conformité, les KRI sont directement liés à la performance métier.

Les KRI efficaces sont :

• Quantifiables et comparés

• Suivis dans le temps

• Informent les décisions

• Contextualisés dans la stratégie d'entreprise

• Rentables et opportuns

‍

En cybersécurité, les KRI peuvent inclure :

• Taux de clics sur le phishing – lié à la sensibilisation à la cybersécurité

• Temps moyen de détection/réponse aux incidents – lié à la résilience

• Exposition des tiers – liée aux achats et à la chaîne d'approvisionnement

• Application des correctifs – liée à la préparation de l'infrastructure

Les KRI peuvent être utilisés par les RSSI pour argumenter l'allocation de ressources ou la priorisation des initiatives de sécurité. Ils peuvent être intégrés dans les tableaux de bord exécutifs et revus régulièrement. Les seuils sont définis en fonction de l'appétence et de la tolérance au risque définies en collaboration avec le conseil, le DSI et le DAF.

Business enablement par la cyber-résilience

La cybersécurité est fondamentale pour le business enablement. Alors que les organisations poursuivent leur transformation numérique et s'appuient de plus en plus sur un modèle d'entreprise étendue, la capacité à comprendre, quantifier et gérer le cyber-risque devient un avantage concurrentiel.

Donner aux RSSI les moyens de travailler aux côtés des DAF, DSI et du conseil d'administration garantit que les investissements en cybersécurité sont alignés sur les objectifs stratégiques, informés par les données et réactifs au risque métier. Avec les bons cadres et un engagement transversal, la cybersécurité devient un moteur proactif de résilience opérationnelle et de croissance.