{"id":887,"date":"2026-09-30T07:00:00","date_gmt":"2026-09-30T12:00:00","guid":{"rendered":"https:\/\/factero.ca\/blog\/?p=887"},"modified":"2026-09-04T13:01:14","modified_gmt":"2026-09-04T18:01:14","slug":"diligence-ca-cybersecurite-rapport-audit","status":"publish","type":"post","link":"https:\/\/factero.ca\/blog\/diligence-ca-cybersecurite-rapport-audit\/","title":{"rendered":"Cybers\u00e9curit\u00e9 au conseil d&rsquo;administration : le rapport qui prouve votre diligence"},"content":{"rendered":"<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\"><p class=\"wp-block-paragraph\"><strong>En bref :<\/strong> <strong>La diligence du conseil d&rsquo;administration en cybers\u00e9curit\u00e9 se prouve avec un rapport d&rsquo;audit ind\u00e9pendant, dat\u00e9 et suivi d&rsquo;un plan d&rsquo;action, pas avec une pr\u00e9sentation rassurante de l&rsquo;\u00e9quipe TI.<\/strong> Un conseil qui subit un incident sans avoir d\u00e9j\u00e0 exig\u00e9, examin\u00e9 et suivi ce rapport s&rsquo;expose \u00e0 voir sa diligence personnellement contest\u00e9e.<\/p><\/blockquote>\n\n<figure class=\"wp-block-image size-large has-custom-border\"><img decoding=\"async\" src=\"https:\/\/factero.ca\/blog\/wp-content\/uploads\/illustrations\/gouvernance_ti.png\" alt=\"diligence du conseil d'administration en cybers\u00e9curit\u00e9 : le rapport qui la prouve\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px\"\/><\/figure>\n\n<p class=\"wp-block-paragraph\">Vous si\u00e9gez \u00e0 un conseil d&rsquo;administration ou vous le pr\u00e9sidez. Vous n&rsquo;\u00eates pas informaticien, et ce n&rsquo;est pas votre r\u00f4le de l&rsquo;\u00eatre. Mais la question qui vous occupe n&rsquo;est pas technique : c&rsquo;est celle de savoir si, le jour o\u00f9 un incident survient, le dossier de votre CA tient debout. Cet article est \u00e9crit pour r\u00e9pondre \u00e0 celle-l\u00e0.<\/p>\n\n<div class=\"wp-block-rank-math-toc-block\" id=\"rank-math-toc\"><h2>Dans cet article<\/h2><nav><ul><li class=\"\"><a href=\"#les-administrateurs-sont-ils-personnellement-responsables-en-cybersecurite\">Les administrateurs sont-ils personnellement responsables en cybers\u00e9curit\u00e9 ?<\/a><\/li><li class=\"\"><a href=\"#que-doit-demander-le-ca-et-a-quelle-frequence\">Que doit demander le CA, et \u00e0 quelle fr\u00e9quence ?<\/a><\/li><li class=\"\"><a href=\"#un-rapport-de-notre-fournisseur-ti-suffit-il-comme-preuve-de-diligence\">Un rapport de notre fournisseur TI suffit-il comme preuve de diligence ?<\/a><\/li><li class=\"\"><a href=\"#a-quoi-ressemble-un-dossier-de-diligence-du-conseil-d-administration-en-cybersecurite-qui-tient-devant-un-tribunal\">\u00c0 quoi ressemble un dossier de diligence du conseil d&rsquo;administration en cybers\u00e9curit\u00e9 qui tient devant un tribunal ?<\/a><\/li><li class=\"\"><a href=\"#comment-integrer-ca-au-calendrier-du-ca-sans-en-faire-une-montagne\">Comment int\u00e9grer \u00e7a au calendrier du CA sans en faire une montagne ?<\/a><\/li><li class=\"\"><a href=\"#foire-aux-questions\">Foire aux questions<\/a><\/li><li class=\"\"><a href=\"#sources-citees\">Sources cit\u00e9es<\/a><\/li><\/ul><\/nav><\/div>\n\n<h2 id=\"les-administrateurs-sont-ils-personnellement-responsables-en-cybersecurite\" class=\"wp-block-heading\">Les administrateurs sont-ils personnellement responsables en cybers\u00e9curit\u00e9 ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Pas pour l&rsquo;attaque elle-m\u00eame. Personne ne reproche \u00e0 un CA de s&rsquo;\u00eatre fait pirater : m\u00eame les organisations les mieux pr\u00e9par\u00e9es subissent des incidents. Ce qu&rsquo;on reproche, en cas de litige, c&rsquo;est l&rsquo;absence de diligence du conseil d&rsquo;administration en cybers\u00e9curit\u00e9 avant l&rsquo;incident.<\/p>\n\n<p class=\"wp-block-paragraph\">Les administrateurs de soci\u00e9t\u00e9s au Qu\u00e9bec sont soumis \u00e0 un devoir de prudence et de diligence codifi\u00e9, autant dans le Code civil du Qu\u00e9bec que dans les lois sur les soci\u00e9t\u00e9s, dont la Loi sur les soci\u00e9t\u00e9s par actions. Ce devoir n&rsquo;est pas propre \u00e0 la cybers\u00e9curit\u00e9 : il couvre l&rsquo;ensemble de la gestion des risques de l&rsquo;organisation. Mais un incident cyber, parce qu&rsquo;il touche souvent des renseignements personnels et parce qu&rsquo;il g\u00e9n\u00e8re une preuve num\u00e9rique abondante, est un terrain o\u00f9 ce devoir se teste concr\u00e8tement.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce texte reste volontairement g\u00e9n\u00e9ral sur les articles pr\u00e9cis du Code civil et de la loi applicable : la formulation exacte d&rsquo;une obligation l\u00e9gale n&rsquo;est pas un exercice de vulgarisation, c&rsquo;est un exercice de droit, et elle m\u00e9rite une r\u00e9vision par un juriste avant d&rsquo;\u00eatre cit\u00e9e comme conseil.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce qui compte pour vous, ici, c&rsquo;est le principe : un administrateur qui n&rsquo;a jamais demand\u00e9 o\u00f9 en est la cybers\u00e9curit\u00e9 de son organisation ne peut pas, apr\u00e8s coup, pr\u00e9tendre avoir agi avec prudence et diligence sur ce risque pr\u00e9cis. L&rsquo;Institut des administrateurs de soci\u00e9t\u00e9s en fait d&rsquo;ailleurs un axe explicite de sa gouvernance du risque cyber : le r\u00f4le du CA n&rsquo;est pas de g\u00e9rer la s\u00e9curit\u00e9, il est de s&rsquo;assurer qu&rsquo;elle est g\u00e9r\u00e9e, et de pouvoir le d\u00e9montrer.<\/p>\n\n<p class=\"wp-block-paragraph\">Une soci\u00e9t\u00e9 par actions et un organisme \u00e0 but non lucratif ne portent pas exactement le m\u00eame r\u00e9gime de responsabilit\u00e9, et les administrateurs externes n&rsquo;ont pas toujours les m\u00eames protections que les dirigeants. Ce sont des nuances \u00e0 trancher avec votre conseiller juridique, pas dans un article de blogue. Le principe de base, lui, ne change pas d&rsquo;une structure \u00e0 l&rsquo;autre : la diligence se prouve, elle ne se pr\u00e9sume pas.<\/p>\n\n<h2 id=\"que-doit-demander-le-ca-et-a-quelle-frequence\" class=\"wp-block-heading\">Que doit demander le CA, et \u00e0 quelle fr\u00e9quence ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>La diligence du conseil d&rsquo;administration en cybers\u00e9curit\u00e9 exige un rapport d&rsquo;audit ind\u00e9pendant et un point \u00e0 l&rsquo;ordre du jour au moins une fois par ann\u00e9e.<\/strong> Un CA qui n&rsquo;a jamais mis la cybers\u00e9curit\u00e9 \u00e0 son ordre du jour ne peut pas dire qu&rsquo;il l&rsquo;a surveill\u00e9e. Le Centre canadien pour la cybers\u00e9curit\u00e9, dans son guide destin\u00e9 aux dirigeants et aux conseils, recommande que le sujet fasse l&rsquo;objet d&rsquo;un point r\u00e9current, pas d&rsquo;une discussion ponctuelle d\u00e9clench\u00e9e par un article de journal sur une attaque chez un concurrent. CPA Canada formule la m\u00eame attente pour le comit\u00e9 d&rsquo;audit : la surveillance des risques technologiques fait partie de son mandat de surveillance des risques, au m\u00eame titre que les risques financiers ou op\u00e9rationnels.<\/p>\n\n<p class=\"wp-block-paragraph\">La fr\u00e9quence exacte d\u00e9pend de la taille de votre organisation et de la sensibilit\u00e9 de vos donn\u00e9es, mais un rythme annuel formel, avec une possibilit\u00e9 d&rsquo;escalade imm\u00e9diate en cas d&rsquo;incident ou de changement de fournisseur ou de syst\u00e8me, est le plancher que la plupart des cadres de gouvernance recommandent aujourd&rsquo;hui. Un point une fois par mandat, ce n&rsquo;est pas de la surveillance, c&rsquo;est une formalit\u00e9.<\/p>\n\n<p class=\"wp-block-paragraph\">Voici les sept questions qu&rsquo;un CA diligent pose, au minimum une fois par ann\u00e9e, et qu&rsquo;il consigne au proc\u00e8s-verbal :<\/p>\n\n<ol class=\"wp-block-list\"><li>Depuis combien de temps un audit ind\u00e9pendant, distinct d&rsquo;une auto-\u00e9valuation de notre fournisseur TI, a-t-il examin\u00e9 nos syst\u00e8mes ?<\/li><li>Quels sont les risques les plus \u00e9lev\u00e9s relev\u00e9s par ce rapport, et o\u00f9 en est le plan d&rsquo;action pour chacun ?<\/li><li>Qui, dans l&rsquo;organisation, porte la responsabilit\u00e9 de chaque mesure corrective, et pour quelle date ?<\/li><li>Nos obligations en cas d&rsquo;incident touchant des renseignements personnels, sous la Loi 25, sont-elles document\u00e9es et d\u00e9j\u00e0 r\u00e9p\u00e9t\u00e9es, pas seulement \u00e9crites ?<\/li><li>Notre police d&rsquo;assurance cyber couvre-t-elle les sc\u00e9narios que le rapport identifie comme probables, ou seulement ceux qu&rsquo;elle a toujours couverts ?<\/li><li>Le dernier rapport a-t-il \u00e9t\u00e9 pr\u00e9sent\u00e9 au CA en personne et consign\u00e9 au proc\u00e8s-verbal, ou seulement transmis par courriel sans discussion ?<\/li><li>Si un incident survenait demain, quelle est la premi\u00e8re pi\u00e8ce que nous d\u00e9poserions pour d\u00e9montrer que le CA savait et avait agi ?<\/li><\/ol>\n\n<p class=\"wp-block-paragraph\">La septi\u00e8me question est la plus r\u00e9v\u00e9latrice. Si personne autour de la table ne peut y r\u00e9pondre spontan\u00e9ment, c&rsquo;est que le dossier de diligence n&rsquo;existe pas encore, m\u00eame si la s\u00e9curit\u00e9, elle, est peut-\u00eatre excellente.<\/p>\n\n<h2 id=\"un-rapport-de-notre-fournisseur-ti-suffit-il-comme-preuve-de-diligence\" class=\"wp-block-heading\">Un rapport de notre fournisseur TI suffit-il comme preuve de diligence ?<\/h2>\n\n<p class=\"wp-block-paragraph\"><strong>Non<\/strong>, et c&rsquo;est le point que les CA comprennent le plus tard, souvent apr\u00e8s un incident. Un rapport produit par l&rsquo;\u00e9quipe ou le fournisseur qui op\u00e8re vos syst\u00e8mes est utile pour la gestion op\u00e9rationnelle. Comme preuve de diligence devant un tiers, assureur, actionnaire ou tribunal, il vaut peu : celui qui exploite le syst\u00e8me et celui qui l&rsquo;\u00e9value ne devraient pas \u00eatre la m\u00eame partie.<\/p>\n\n<p class=\"wp-block-paragraph\">Ce n&rsquo;est pas une question de comp\u00e9tence ni d&rsquo;honn\u00eatet\u00e9 de votre \u00e9quipe TI. C&rsquo;est une question de posture. Un fournisseur qui s&rsquo;auto-\u00e9value a un int\u00e9r\u00eat, m\u00eame involontaire, \u00e0 pr\u00e9senter son propre travail sous un jour favorable. Un CA qui s&rsquo;appuie uniquement sur cette auto-\u00e9valuation reproduit, \u00e0 l&rsquo;\u00e9chelle de la gouvernance, l&rsquo;erreur qu&rsquo;il ne tol\u00e9rerait jamais en mati\u00e8re financi\u00e8re : personne n&rsquo;accepterait qu&rsquo;un directeur financier soit aussi le seul v\u00e9rificateur de ses propres \u00e9tats financiers.<\/p>\n\n<p class=\"wp-block-paragraph\">Nous avons d\u00e9j\u00e0 \u00e9crit sur ce r\u00f4le particulier de l&rsquo;audit ind\u00e9pendant, celui de <a href=\"https:\/\/factero.ca\/blog\/audit-independant-porte-voix-equipe-ti\/\">porte-voix de l&rsquo;\u00e9quipe TI<\/a> face \u00e0 une direction qui n&rsquo;a pas toujours le temps ou le vocabulaire pour entendre ses pr\u00e9occupations. Devant le CA, le m\u00eame rapport joue un second r\u00f4le, distinct du premier : il devient une pi\u00e8ce de gouvernance, dat\u00e9e et sign\u00e9e, qui d\u00e9montre que l&rsquo;organisation a cherch\u00e9 \u00e0 savoir plut\u00f4t que d&rsquo;esp\u00e9rer que tout aille bien.<\/p>\n\n<p class=\"wp-block-paragraph\">Un <a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit informatique ind\u00e9pendant<\/a> n&rsquo;a pas besoin d&rsquo;\u00eatre ex\u00e9cut\u00e9 par la plus grande firme du march\u00e9 pour avoir cette valeur. Il doit \u00eatre ind\u00e9pendant de l&rsquo;exploitant, dat\u00e9, et suivi d&rsquo;un plan d&rsquo;action que le CA revoit ensuite. C&rsquo;est ce triptyque, ind\u00e9pendance, date, suivi, qui fait la diff\u00e9rence entre une pi\u00e8ce de gouvernance et un document de relations publiques internes.<\/p>\n\n<div class=\"wp-block-buttons is-layout-flex wp-block-buttons-is-layout-flex\"><div class=\"wp-block-button\"><a class=\"wp-block-button__link has-custom-bleu-background-color has-background has-custom-font-size wp-element-button\" href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\" style=\"border-top-left-radius:7px;border-top-right-radius:7px;border-bottom-left-radius:7px;border-bottom-right-radius:7px;font-size:clamp(14px, 0.875rem + ((1vw - 3.2px) * 0.179), 16px);\">Planifier un appel exploratoire<\/a><\/div><\/div>\n\n<h2 id=\"a-quoi-ressemble-un-dossier-de-diligence-du-conseil-d-administration-en-cybersecurite-qui-tient-devant-un-tribunal\" class=\"wp-block-heading\">\u00c0 quoi ressemble un dossier de diligence du conseil d&rsquo;administration en cybers\u00e9curit\u00e9 qui tient devant un tribunal ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Un dossier qui tient est fait de pi\u00e8ces dat\u00e9es et coh\u00e9rentes entre elles, produites avant l&rsquo;incident et jamais retouch\u00e9es apr\u00e8s. C&rsquo;est une question que je peux aborder d&rsquo;un angle que peu de cabinets de gouvernance peuvent offrir : j&rsquo;agis comme <a href=\"https:\/\/factero.ca\/blog\/temoin-expert-ti-tribunaux-quebecois\/\">t\u00e9moin expert devant les tribunaux qu\u00e9b\u00e9cois<\/a> en mati\u00e8re de faux documents, et cette exp\u00e9rience change ce qu&rsquo;on regarde dans un dossier de diligence. Dans un litige, la question qu&rsquo;on pose n&rsquo;est presque jamais \u00ab y a-t-il eu un incident ? \u00bb. Un incident, en mati\u00e8re de cybers\u00e9curit\u00e9, arrive \u00e0 des organisations bien g\u00e9r\u00e9es comme \u00e0 des organisations n\u00e9gligentes. La question qui compte est : \u00ab qu&rsquo;avait fait le CA avant que l&rsquo;incident survienne ? \u00bb<\/p>\n\n<p class=\"wp-block-paragraph\">Du fauteuil du t\u00e9moin expert, ce sont toujours les m\u00eames pi\u00e8ces qui tiennent : un rapport d&rsquo;audit, un proc\u00e8s-verbal qui en discute, un plan d&rsquo;action avec des \u00e9ch\u00e9ances et des noms, un suivi qui montre que les \u00e9ch\u00e9ances ont \u00e9t\u00e9 respect\u00e9es ou, \u00e0 d\u00e9faut, expliqu\u00e9es. Ce qui s&rsquo;effondre, ce sont les reconstitutions apr\u00e8s coup : le courriel retrouv\u00e9 mais jamais discut\u00e9 au CA, la politique qui existe sur papier mais qu&rsquo;aucun proc\u00e8s-verbal ne mentionne, le plan d&rsquo;action dat\u00e9 du mois suivant l&rsquo;incident et pr\u00e9sent\u00e9 comme s&rsquo;il datait d&rsquo;avant.<\/p>\n\n<p class=\"wp-block-paragraph\">Un proc\u00e8s ne se gagne pas avec de bonnes intentions. Il se gagne avec des dates et des signatures qui concordent, dans un dossier qu&rsquo;on peut d\u00e9poser sans avoir besoin de l&rsquo;expliquer.<\/p>\n\n<p class=\"wp-block-paragraph\">C&rsquo;est aussi pour cette raison que la coh\u00e9rence documentaire compte autant que le contenu technique du rapport. Un rapport excellent, mais jamais mentionn\u00e9 dans un proc\u00e8s-verbal, se d\u00e9fend mal : rien ne prouve que le CA en a pris connaissance et en a discut\u00e9, plut\u00f4t que de l&rsquo;avoir re\u00e7u par courriel et class\u00e9 sans le lire.<\/p>\n\n<p class=\"wp-block-paragraph\">Un CA qui veut comprendre comment se pr\u00e9pare ce type de dossier peut s&rsquo;appuyer sur notre <a href=\"https:\/\/factero.ca\/fr\/services\/temoin-expert\/\">accompagnement de t\u00e9moin expert<\/a>, pens\u00e9 pour anticiper ce que cherche la partie adverse.<\/p>\n\n<h2 id=\"comment-integrer-ca-au-calendrier-du-ca-sans-en-faire-une-montagne\" class=\"wp-block-heading\">Comment int\u00e9grer \u00e7a au calendrier du CA sans en faire une montagne ?<\/h2>\n\n<p class=\"wp-block-paragraph\">Le r\u00e9flexe de plusieurs CA est de repousser le sujet, en se disant qu&rsquo;il exigera un chantier disproportionn\u00e9. Ce n&rsquo;est pas n\u00e9cessaire, et ce n&rsquo;est m\u00eame pas souhaitable : un dossier de diligence ne se construit pas en accumulant des politiques que personne ne lit, il se construit en ajoutant un point r\u00e9current, court et suivi, \u00e0 un calendrier qui existe d\u00e9j\u00e0.<\/p>\n\n<p class=\"wp-block-paragraph\">Trois gestes suffisent pour d\u00e9marrer.<\/p>\n\n<ul class=\"wp-block-list\"><li>Fixez un point cybers\u00e9curit\u00e9 annuel formel \u00e0 l&rsquo;ordre du jour du CA ou du comit\u00e9 d&rsquo;audit, avec un rapport ind\u00e9pendant \u00e0 l&rsquo;appui, pas une mise \u00e0 jour verbale de cinq minutes.<\/li><li>Exigez que ce rapport d\u00e9bouche sur un plan d&rsquo;action avec des responsables et des \u00e9ch\u00e9ances nomm\u00e9s, et faites-en le suivi l&rsquo;ann\u00e9e suivante avant de commander le rapport suivant : un plan qu&rsquo;on ne revoit jamais n&rsquo;a de valeur que sur papier.<\/li><li>Consignez tout au proc\u00e8s-verbal, la pr\u00e9sentation, la discussion, les questions pos\u00e9es, pas seulement la conclusion.<\/li><\/ul>\n\n<p class=\"wp-block-paragraph\">Ce calendrier ne retire rien \u00e0 votre \u00e9quipe TI, il ne la contourne pas non plus. Le r\u00f4le du CA n&rsquo;est pas de g\u00e9rer la s\u00e9curit\u00e9 \u00e0 la place de l&rsquo;\u00e9quipe qui la g\u00e8re au quotidien : c&rsquo;est de lui <a href=\"https:\/\/factero.ca\/blog\/donner-equipe-ti-outils-de-son-ambition\/\">donner les outils de son ambition<\/a>, y compris le mandat clair et le budget pour qu&rsquo;un audit ind\u00e9pendant existe, plut\u00f4t que de la laisser seule avec la responsabilit\u00e9 et sans les moyens de la d\u00e9montrer.<\/p>\n\n<p class=\"wp-block-paragraph\">Votre CA veut plus qu&rsquo;une pr\u00e9sentation rassurante de l&rsquo;\u00e9quipe TI une fois par ann\u00e9e. Il veut un <a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">rapport d&rsquo;audit ind\u00e9pendant<\/a> pens\u00e9 pour tenir l\u00e0 o\u00f9 \u00e7a compte : devant vos assureurs, devant vos actionnaires, et s&rsquo;il le faut, devant un tribunal. C&rsquo;est cela, la diligence du conseil d&rsquo;administration en cybers\u00e9curit\u00e9 : un dossier qui se construit avant l&rsquo;incident, jamais apr\u00e8s.<\/p>\n\n<p class=\"wp-block-paragraph\"><strong>Pour aller plus loin avec Factero :<\/strong><\/p><ul class=\"wp-block-list factero-services-lies\"><li><a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">rapport d&rsquo;audit informatique ind\u00e9pendant<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/temoin-expert\/\">t\u00e9moin expert TI en cas de litige<\/a><\/li><li><a href=\"https:\/\/factero.ca\/fr\/services\/vcio\/\">gouvernance TI r\u00e9currente assur\u00e9e par un vCIO<\/a><\/li><\/ul>\n\n<div style=\"height:90px\" aria-hidden=\"true\" class=\"wp-block-spacer is-style-wide\"><\/div>\n\n<h2 id=\"foire-aux-questions\" class=\"wp-block-heading\">Foire aux questions<\/h2>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>L&rsquo;assurance cyber remplace-t-elle la preuve de diligence du CA ?<\/summary><p class=\"wp-block-paragraph\">Non. Une police d&rsquo;assurance cyber transf\u00e8re un risque financier apr\u00e8s un incident : elle rembourse une partie des pertes, elle ne prouve pas que le CA avait agi avant que l&rsquo;incident survienne. Un assureur qui verse une indemnit\u00e9 n&rsquo;atteste rien sur la diligence des administrateurs. L&rsquo;assurance prot\u00e8ge le bilan de l&rsquo;organisation, le rapport d&rsquo;audit prot\u00e8ge sa gouvernance. Les deux r\u00e9pondent \u00e0 des besoins diff\u00e9rents et aucun ne remplace l&rsquo;autre.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Le CA doit-il cr\u00e9er un comit\u00e9 de cybers\u00e9curit\u00e9 distinct du comit\u00e9 d&rsquo;audit ?<\/summary><p class=\"wp-block-paragraph\">Pas n\u00e9cessairement. Pour la majorit\u00e9 des PME et des OBNL, CPA Canada situe la surveillance des risques technologiques dans le mandat existant du comit\u00e9 d&rsquo;audit, au m\u00eame titre que les risques financiers et op\u00e9rationnels : un comit\u00e9 distinct n&rsquo;est pas requis. Ce qui compte, c&rsquo;est qu&rsquo;un comit\u00e9 pr\u00e9cis en porte la responsabilit\u00e9 formelle, avec un point r\u00e9current \u00e0 son ordre du jour, plut\u00f4t que de laisser le sujet flotter entre tous les administrateurs sans qu&rsquo;aucun ne s&rsquo;en charge.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Combien co\u00fbte un audit de cybers\u00e9curit\u00e9 ind\u00e9pendant pour un conseil d&rsquo;administration ?<\/summary><p class=\"wp-block-paragraph\">Il n&rsquo;existe pas de tarif fixe. Le co\u00fbt d\u00e9pend de la taille de l&rsquo;organisation, du nombre de syst\u00e8mes couverts et de la profondeur du mandat, d&rsquo;une \u00e9valuation cibl\u00e9e \u00e0 un audit complet avec tests d&rsquo;intrusion. Publier un prix g\u00e9n\u00e9rique induirait le CA en erreur : un mandat qui ne couvre pas les bons syst\u00e8mes ne vaut rien comme preuve de diligence, peu importe son prix. Demandez une soumission pr\u00e9cise pour un <a href=\"https:\/\/factero.ca\/fr\/services\/audit-informatique\/\">audit informatique ind\u00e9pendant<\/a> avant de fixer un budget au CA.<\/p><\/details>\n\n<details class=\"wp-block-details is-layout-flow wp-block-details-is-layout-flow\"><summary>Un organisme \u00e0 but non lucratif est-il soumis au m\u00eame devoir de diligence qu&rsquo;une soci\u00e9t\u00e9 par actions en cybers\u00e9curit\u00e9 ?<\/summary><p class=\"wp-block-paragraph\">Le principe de base ne change pas : la diligence se prouve, peu importe la structure. Mais le r\u00e9gime pr\u00e9cis de responsabilit\u00e9 et les protections offertes aux administrateurs externes diff\u00e8rent entre un OBNL et une soci\u00e9t\u00e9 par actions, une nuance \u00e0 trancher avec un conseiller juridique plut\u00f4t qu&rsquo;\u00e0 supposer. Un OBNL qui g\u00e8re des donn\u00e9es sensibles, dossiers de b\u00e9n\u00e9ficiaires, donn\u00e9es de sant\u00e9, n&rsquo;a aucune raison de traiter la cybers\u00e9curit\u00e9 avec moins de rigueur qu&rsquo;une entreprise commerciale.<\/p><\/details>\n\n<h2 id=\"sources-citees\" class=\"wp-block-heading\">Sources cit\u00e9es<\/h2>\n\n<ul class=\"wp-block-list has-small-font-size\"><li><a href=\"https:\/\/www.cpacanada.ca\/fr\" target=\"_blank\" rel=\"noopener nofollow\">CPA Canada \u2014 surveillance des risques par le comit\u00e9 d&rsquo;audit<\/a><\/li><li><a href=\"https:\/\/www.cyber.gc.ca\/fr\/\" target=\"_blank\" rel=\"noopener nofollow\">Centre canadien pour la cybers\u00e9curit\u00e9 \u2014 guide \u00e0 l&rsquo;intention des dirigeants et conseils<\/a><\/li><li><a href=\"https:\/\/www.icd.ca\/\" target=\"_blank\" rel=\"noopener nofollow\">Institut des administrateurs de soci\u00e9t\u00e9s (IAS) \u2014 gouvernance du risque cyber<\/a><\/li><li><a href=\"https:\/\/www.legisquebec.gouv.qc.ca\/fr\/document\/lc\/s-31.1\" target=\"_blank\" rel=\"noopener nofollow\">LegisQu\u00e9bec \/ Loi sur les soci\u00e9t\u00e9s par actions \u2014 devoirs des administrateurs<\/a><\/li><\/ul>\n\n<script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"L\\u0027assurance cyber remplace-t-elle la preuve de diligence du CA ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Non. Une police d\\u0027assurance cyber transf\u00e8re un risque financier apr\u00e8s un incident : elle rembourse une partie des pertes, elle ne prouve pas que le CA avait agi avant que l\\u0027incident survienne. Un assureur qui verse une indemnit\u00e9 n\\u0027atteste rien sur la diligence des administrateurs. L\\u0027assurance prot\u00e8ge le bilan de l\\u0027organisation, le rapport d\\u0027audit prot\u00e8ge sa gouvernance. Les deux r\u00e9pondent \u00e0 des besoins diff\u00e9rents et aucun ne remplace l\\u0027autre.\"}},{\"@type\":\"Question\",\"name\":\"Le CA doit-il cr\u00e9er un comit\u00e9 de cybers\u00e9curit\u00e9 distinct du comit\u00e9 d\\u0027audit ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Pas n\u00e9cessairement. Pour la majorit\u00e9 des PME et des OBNL, CPA Canada situe la surveillance des risques technologiques dans le mandat existant du comit\u00e9 d\\u0027audit, au m\u00eame titre que les risques financiers et op\u00e9rationnels : un comit\u00e9 distinct n\\u0027est pas requis. Ce qui compte, c\\u0027est qu\\u0027un comit\u00e9 pr\u00e9cis en porte la responsabilit\u00e9 formelle, avec un point r\u00e9current \u00e0 son ordre du jour, plut\u00f4t que de laisser le sujet flotter entre tous les administrateurs sans qu\\u0027aucun ne s\\u0027en charge.\"}},{\"@type\":\"Question\",\"name\":\"Combien co\u00fbte un audit de cybers\u00e9curit\u00e9 ind\u00e9pendant pour un conseil d\\u0027administration ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Il n\\u0027existe pas de tarif fixe. Le co\u00fbt d\u00e9pend de la taille de l\\u0027organisation, du nombre de syst\u00e8mes couverts et de la profondeur du mandat, d\\u0027une \u00e9valuation cibl\u00e9e \u00e0 un audit complet avec tests d\\u0027intrusion. Publier un prix g\u00e9n\u00e9rique induirait le CA en erreur : un mandat qui ne couvre pas les bons syst\u00e8mes ne vaut rien comme preuve de diligence, peu importe son prix. Demandez une soumission pr\u00e9cise pour un audit informatique ind\u00e9pendant avant de fixer un budget au CA.\"}},{\"@type\":\"Question\",\"name\":\"Un organisme \u00e0 but non lucratif est-il soumis au m\u00eame devoir de diligence qu\\u0027une soci\u00e9t\u00e9 par actions en cybers\u00e9curit\u00e9 ?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Le principe de base ne change pas : la diligence se prouve, peu importe la structure. Mais le r\u00e9gime pr\u00e9cis de responsabilit\u00e9 et les protections offertes aux administrateurs externes diff\u00e8rent entre un OBNL et une soci\u00e9t\u00e9 par actions, une nuance \u00e0 trancher avec un conseiller juridique plut\u00f4t qu\\u0027\u00e0 supposer. Un OBNL qui g\u00e8re des donn\u00e9es sensibles, dossiers de b\u00e9n\u00e9ficiaires, donn\u00e9es de sant\u00e9, n\\u0027a aucune raison de traiter la cybers\u00e9curit\u00e9 avec moins de rigueur qu\\u0027une entreprise commerciale.\"}}]}<\/script>","protected":false},"excerpt":{"rendered":"<p>La diligence du conseil d&rsquo;administration en cybers\u00e9curit\u00e9 se prouve par un rapport d&rsquo;audit ind\u00e9pendant, dat\u00e9 et suivi. Les 7 questions \u00e0 poser chaque ann\u00e9e.<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[26],"tags":[1202,1200,1194,1204,108,1206,1198,1196],"class_list":["post-887","post","type-post","status-publish","format-standard","hentry","category-gouvernance_ti","tag-cyber-risk-board-reporting","tag-devoir-de-diligence-administrateur-ti","tag-diligence-du-conseil-dadministration-en-cybersecurite","tag-gouvernance-cybersecurite-ca","tag-gouvernance-ti","tag-que-doit-demander-un-ca-en-cybersecurite","tag-rapport-cybersecurite-conseil-dadministration","tag-responsabilite-des-administrateurs-cybersecurite"],"_links":{"self":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/887","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/comments?post=887"}],"version-history":[{"count":3,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/887\/revisions"}],"predecessor-version":[{"id":1380,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/posts\/887\/revisions\/1380"}],"wp:attachment":[{"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/media?parent=887"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/categories?post=887"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/factero.ca\/blog\/wp-json\/wp\/v2\/tags?post=887"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}