En bref : La diligence du conseil d’administration en cybersécurité se prouve avec un rapport d’audit indépendant, daté et suivi d’un plan d’action, pas avec une présentation rassurante de l’équipe TI. Un conseil qui subit un incident sans avoir déjà exigé, examiné et suivi ce rapport s’expose à voir sa diligence personnellement contestée.
Vous siégez à un conseil d’administration ou vous le présidez. Vous n’êtes pas informaticien, et ce n’est pas votre rôle de l’être. Mais la question qui vous occupe n’est pas technique : c’est celle de savoir si, le jour où un incident survient, le dossier de votre CA tient debout. Cet article est écrit pour répondre à celle-là.
Dans cet article
Les administrateurs sont-ils personnellement responsables en cybersécurité ?
Pas pour l’attaque elle-même. Personne ne reproche à un CA de s’être fait pirater : même les organisations les mieux préparées subissent des incidents. Ce qu’on reproche, en cas de litige, c’est l’absence de diligence du conseil d’administration en cybersécurité avant l’incident.
Les administrateurs de sociétés au Québec sont soumis à un devoir de prudence et de diligence codifié, autant dans le Code civil du Québec que dans les lois sur les sociétés, dont la Loi sur les sociétés par actions. Ce devoir n’est pas propre à la cybersécurité : il couvre l’ensemble de la gestion des risques de l’organisation. Mais un incident cyber, parce qu’il touche souvent des renseignements personnels et parce qu’il génère une preuve numérique abondante, est un terrain où ce devoir se teste concrètement.
Ce texte reste volontairement général sur les articles précis du Code civil et de la loi applicable : la formulation exacte d’une obligation légale n’est pas un exercice de vulgarisation, c’est un exercice de droit, et elle mérite une révision par un juriste avant d’être citée comme conseil.
Ce qui compte pour vous, ici, c’est le principe : un administrateur qui n’a jamais demandé où en est la cybersécurité de son organisation ne peut pas, après coup, prétendre avoir agi avec prudence et diligence sur ce risque précis. L’Institut des administrateurs de sociétés en fait d’ailleurs un axe explicite de sa gouvernance du risque cyber : le rôle du CA n’est pas de gérer la sécurité, il est de s’assurer qu’elle est gérée, et de pouvoir le démontrer.
Une société par actions et un organisme à but non lucratif ne portent pas exactement le même régime de responsabilité, et les administrateurs externes n’ont pas toujours les mêmes protections que les dirigeants. Ce sont des nuances à trancher avec votre conseiller juridique, pas dans un article de blogue. Le principe de base, lui, ne change pas d’une structure à l’autre : la diligence se prouve, elle ne se présume pas.
Que doit demander le CA, et à quelle fréquence ?
La diligence du conseil d’administration en cybersécurité exige un rapport d’audit indépendant et un point à l’ordre du jour au moins une fois par année. Un CA qui n’a jamais mis la cybersécurité à son ordre du jour ne peut pas dire qu’il l’a surveillée. Le Centre canadien pour la cybersécurité, dans son guide destiné aux dirigeants et aux conseils, recommande que le sujet fasse l’objet d’un point récurrent, pas d’une discussion ponctuelle déclenchée par un article de journal sur une attaque chez un concurrent. CPA Canada formule la même attente pour le comité d’audit : la surveillance des risques technologiques fait partie de son mandat de surveillance des risques, au même titre que les risques financiers ou opérationnels.
La fréquence exacte dépend de la taille de votre organisation et de la sensibilité de vos données, mais un rythme annuel formel, avec une possibilité d’escalade immédiate en cas d’incident ou de changement de fournisseur ou de système, est le plancher que la plupart des cadres de gouvernance recommandent aujourd’hui. Un point une fois par mandat, ce n’est pas de la surveillance, c’est une formalité.
Voici les sept questions qu’un CA diligent pose, au minimum une fois par année, et qu’il consigne au procès-verbal :
- Depuis combien de temps un audit indépendant, distinct d’une auto-évaluation de notre fournisseur TI, a-t-il examiné nos systèmes ?
- Quels sont les risques les plus élevés relevés par ce rapport, et où en est le plan d’action pour chacun ?
- Qui, dans l’organisation, porte la responsabilité de chaque mesure corrective, et pour quelle date ?
- Nos obligations en cas d’incident touchant des renseignements personnels, sous la Loi 25, sont-elles documentées et déjà répétées, pas seulement écrites ?
- Notre police d’assurance cyber couvre-t-elle les scénarios que le rapport identifie comme probables, ou seulement ceux qu’elle a toujours couverts ?
- Le dernier rapport a-t-il été présenté au CA en personne et consigné au procès-verbal, ou seulement transmis par courriel sans discussion ?
- Si un incident survenait demain, quelle est la première pièce que nous déposerions pour démontrer que le CA savait et avait agi ?
La septième question est la plus révélatrice. Si personne autour de la table ne peut y répondre spontanément, c’est que le dossier de diligence n’existe pas encore, même si la sécurité, elle, est peut-être excellente.
Un rapport de notre fournisseur TI suffit-il comme preuve de diligence ?
Non, et c’est le point que les CA comprennent le plus tard, souvent après un incident. Un rapport produit par l’équipe ou le fournisseur qui opère vos systèmes est utile pour la gestion opérationnelle. Comme preuve de diligence devant un tiers, assureur, actionnaire ou tribunal, il vaut peu : celui qui exploite le système et celui qui l’évalue ne devraient pas être la même partie.
Ce n’est pas une question de compétence ni d’honnêteté de votre équipe TI. C’est une question de posture. Un fournisseur qui s’auto-évalue a un intérêt, même involontaire, à présenter son propre travail sous un jour favorable. Un CA qui s’appuie uniquement sur cette auto-évaluation reproduit, à l’échelle de la gouvernance, l’erreur qu’il ne tolérerait jamais en matière financière : personne n’accepterait qu’un directeur financier soit aussi le seul vérificateur de ses propres états financiers.
Nous avons déjà écrit sur ce rôle particulier de l’audit indépendant, celui de porte-voix de l’équipe TI face à une direction qui n’a pas toujours le temps ou le vocabulaire pour entendre ses préoccupations. Devant le CA, le même rapport joue un second rôle, distinct du premier : il devient une pièce de gouvernance, datée et signée, qui démontre que l’organisation a cherché à savoir plutôt que d’espérer que tout aille bien.
Un audit informatique indépendant n’a pas besoin d’être exécuté par la plus grande firme du marché pour avoir cette valeur. Il doit être indépendant de l’exploitant, daté, et suivi d’un plan d’action que le CA revoit ensuite. C’est ce triptyque, indépendance, date, suivi, qui fait la différence entre une pièce de gouvernance et un document de relations publiques internes.
À quoi ressemble un dossier de diligence du conseil d’administration en cybersécurité qui tient devant un tribunal ?
Un dossier qui tient est fait de pièces datées et cohérentes entre elles, produites avant l’incident et jamais retouchées après. C’est une question que je peux aborder d’un angle que peu de cabinets de gouvernance peuvent offrir : j’agis comme témoin expert devant les tribunaux québécois en matière de faux documents, et cette expérience change ce qu’on regarde dans un dossier de diligence. Dans un litige, la question qu’on pose n’est presque jamais « y a-t-il eu un incident ? ». Un incident, en matière de cybersécurité, arrive à des organisations bien gérées comme à des organisations négligentes. La question qui compte est : « qu’avait fait le CA avant que l’incident survienne ? »
Du fauteuil du témoin expert, ce sont toujours les mêmes pièces qui tiennent : un rapport d’audit, un procès-verbal qui en discute, un plan d’action avec des échéances et des noms, un suivi qui montre que les échéances ont été respectées ou, à défaut, expliquées. Ce qui s’effondre, ce sont les reconstitutions après coup : le courriel retrouvé mais jamais discuté au CA, la politique qui existe sur papier mais qu’aucun procès-verbal ne mentionne, le plan d’action daté du mois suivant l’incident et présenté comme s’il datait d’avant.
Un procès ne se gagne pas avec de bonnes intentions. Il se gagne avec des dates et des signatures qui concordent, dans un dossier qu’on peut déposer sans avoir besoin de l’expliquer.
C’est aussi pour cette raison que la cohérence documentaire compte autant que le contenu technique du rapport. Un rapport excellent, mais jamais mentionné dans un procès-verbal, se défend mal : rien ne prouve que le CA en a pris connaissance et en a discuté, plutôt que de l’avoir reçu par courriel et classé sans le lire.
Un CA qui veut comprendre comment se prépare ce type de dossier peut s’appuyer sur notre accompagnement de témoin expert, pensé pour anticiper ce que cherche la partie adverse.
Comment intégrer ça au calendrier du CA sans en faire une montagne ?
Le réflexe de plusieurs CA est de repousser le sujet, en se disant qu’il exigera un chantier disproportionné. Ce n’est pas nécessaire, et ce n’est même pas souhaitable : un dossier de diligence ne se construit pas en accumulant des politiques que personne ne lit, il se construit en ajoutant un point récurrent, court et suivi, à un calendrier qui existe déjà.
Trois gestes suffisent pour démarrer.
- Fixez un point cybersécurité annuel formel à l’ordre du jour du CA ou du comité d’audit, avec un rapport indépendant à l’appui, pas une mise à jour verbale de cinq minutes.
- Exigez que ce rapport débouche sur un plan d’action avec des responsables et des échéances nommés, et faites-en le suivi l’année suivante avant de commander le rapport suivant : un plan qu’on ne revoit jamais n’a de valeur que sur papier.
- Consignez tout au procès-verbal, la présentation, la discussion, les questions posées, pas seulement la conclusion.
Ce calendrier ne retire rien à votre équipe TI, il ne la contourne pas non plus. Le rôle du CA n’est pas de gérer la sécurité à la place de l’équipe qui la gère au quotidien : c’est de lui donner les outils de son ambition, y compris le mandat clair et le budget pour qu’un audit indépendant existe, plutôt que de la laisser seule avec la responsabilité et sans les moyens de la démontrer.
Votre CA veut plus qu’une présentation rassurante de l’équipe TI une fois par année. Il veut un rapport d’audit indépendant pensé pour tenir là où ça compte : devant vos assureurs, devant vos actionnaires, et s’il le faut, devant un tribunal. C’est cela, la diligence du conseil d’administration en cybersécurité : un dossier qui se construit avant l’incident, jamais après.
Pour aller plus loin avec Factero :
- rapport d’audit informatique indépendant
- témoin expert TI en cas de litige
- gouvernance TI récurrente assurée par un vCIO
Foire aux questions
L’assurance cyber remplace-t-elle la preuve de diligence du CA ?
Non. Une police d’assurance cyber transfère un risque financier après un incident : elle rembourse une partie des pertes, elle ne prouve pas que le CA avait agi avant que l’incident survienne. Un assureur qui verse une indemnité n’atteste rien sur la diligence des administrateurs. L’assurance protège le bilan de l’organisation, le rapport d’audit protège sa gouvernance. Les deux répondent à des besoins différents et aucun ne remplace l’autre.
Le CA doit-il créer un comité de cybersécurité distinct du comité d’audit ?
Pas nécessairement. Pour la majorité des PME et des OBNL, CPA Canada situe la surveillance des risques technologiques dans le mandat existant du comité d’audit, au même titre que les risques financiers et opérationnels : un comité distinct n’est pas requis. Ce qui compte, c’est qu’un comité précis en porte la responsabilité formelle, avec un point récurrent à son ordre du jour, plutôt que de laisser le sujet flotter entre tous les administrateurs sans qu’aucun ne s’en charge.
Combien coûte un audit de cybersécurité indépendant pour un conseil d’administration ?
Il n’existe pas de tarif fixe. Le coût dépend de la taille de l’organisation, du nombre de systèmes couverts et de la profondeur du mandat, d’une évaluation ciblée à un audit complet avec tests d’intrusion. Publier un prix générique induirait le CA en erreur : un mandat qui ne couvre pas les bons systèmes ne vaut rien comme preuve de diligence, peu importe son prix. Demandez une soumission précise pour un audit informatique indépendant avant de fixer un budget au CA.
Un organisme à but non lucratif est-il soumis au même devoir de diligence qu’une société par actions en cybersécurité ?
Le principe de base ne change pas : la diligence se prouve, peu importe la structure. Mais le régime précis de responsabilité et les protections offertes aux administrateurs externes diffèrent entre un OBNL et une société par actions, une nuance à trancher avec un conseiller juridique plutôt qu’à supposer. Un OBNL qui gère des données sensibles, dossiers de bénéficiaires, données de santé, n’a aucune raison de traiter la cybersécurité avec moins de rigueur qu’une entreprise commerciale.
