Réponse courte : L’approbation d’un budget ne remplace pas une décision compréhensible sur les risques d’affaires. Un conseil d’administration peut approuver un budget cyber et laisser malgré tout ouvert quels processus sont menacés, combien de temps ils peuvent être interrompus et quels risques subsistent.

Cela tient moins à l’engagement qu’au format : si le rapport et le point de l’ordre du jour sont centrés sur le budget, il reste peu de place pour les risques. Cet article explique pourquoi la question du budget ne suffit pas à elle seule et propose cinq questions pour la prochaine séance.

Le point de départ est une étude par entretiens sur la manière dont les boards décident des risques cyber. Les informations essentielles :

Les résultats sont donc des indications, non des références. Ils décrivent un schéma qui peut se retrouver dans des organes suisses, sans que ce soit forcément le cas.

La question du budget est légitime. Mais elle mesure l’effort, pas l’effet. Un « oui » signifie que des moyens sont disponibles. Il ne signifie pas que les processus les plus importants sont protégés ou qu’ils fonctionneraient à nouveau à temps après une attaque.

Une personne interrogée occupant le poste de CISO a indiqué qu’on lui avait demandé d’innombrables fois si le rythme et le budget étaient adaptés. Ces questions l’auraient rarement mise au défi. D’autres CISO jugeaient leur budget tantôt trop serré, tantôt trop généreux. Un budget sans lien avec des risques concrets est difficile à dimensionner correctement.

Les auteurs recommandent de ne pas piloter les risques cyber par le seul budget. Comme exemple de décision stratégique, ils citent la question de savoir quelle interruption due à une attaque serait tout au plus tolérable. Les questions suivantes s’en inspirent.

Les cinq questions sont une déduction pratique de SIDD à partir des indications de l’étude. Il ne s’agit pas d’un instrument que l’étude aurait développé ou testé. Elles ne supposent aucune connaissance technique, mais demandent des réponses dans le langage des affaires.

1. Quels processus d’affaires sont particulièrement menacés ?

Pourquoi elle est pertinente : Les risques cyber touchent une entreprise par ses processus, pas par des serveurs isolés. Ce n’est qu’une fois les processus critiques identifiés que le budget et les mesures peuvent être évalués à leur aune.

Une réponse utile contient :

• deux à cinq processus, par exemple le traitement des commandes, le calcul des salaires ou le portail client,
• pour chaque processus, les systèmes et les prestataires dont il dépend,
• un scénario concret, par exemple le chiffrement par un logiciel malveillant ou la panne d’un service cloud.

2. Combien de temps peuvent-ils être interrompus ?

Pourquoi elle est pertinente : La durée d’interruption tolérable est une décision d’affaires, pas un indicateur informatique. Elle détermine le niveau de protection et le type de restauration nécessaires.

Une réponse utile contient :

• pour chaque processus, la durée d’interruption maximale acceptable et la perte de données maximale acceptable,
• qui a proposé ces valeurs et qui les a confirmées,
• si la capacité de restauration actuelle atteint ces valeurs et, sinon, quelle est l’ampleur de l’écart.

3. Quelles preuves montrent que la protection et la restauration fonctionnent ?

Pourquoi elle est pertinente : Des affirmations comme « Nous avons des sauvegardes » décrivent des mesures, pas leur effet. Une preuve rend une évaluation vérifiable, même sans connaissances techniques. Cela réduit la dépendance à l’égard du rapport.

Une réponse utile contient :

• la date, le périmètre et le résultat du dernier test de restauration, c’est-à-dire du test qui vérifie que les systèmes peuvent être récupérés à partir de la sauvegarde,
• les résultats de tests d’intrusion, c’est-à-dire d’attaques mandatées et contrôlées contre vos propres systèmes, ou d’audits, chaque fois avec les points ouverts,
• qui a établi la preuve : votre propre équipe, le partenaire informatique ou une entité indépendante.

4. Quels risques subsistent malgré les mesures ?

Pourquoi elle est pertinente : Aucun budget n’élimine tous les risques. Un rapport sans risques résiduels ne laisse rien à décider au conseil d’administration. Seuls des risques résiduels nommés ouvertement peuvent être assumés en connaissance de cause ou encore réduits.

Une réponse utile contient :

• les principaux points ouverts et leurs effets sur les processus de la question 1,
• le degré de certitude de l’évaluation et les informations qui manquent encore,
• si le risque résiduel reste dans les limites des durées d’interruption de la question 2.

5. Quelle décision attend-on de nous maintenant ?

Pourquoi elle est pertinente : La surveillance devient concrète lorsque le conseil d’administration décide de quelque chose : une durée d’interruption, une priorité, un risque assumé en connaissance de cause. Le budget découle alors de ces décisions et ne les remplace pas.

Une réponse utile contient :

• une proposition clairement formulée avec deux ou trois options,
• l’effort et les conséquences de chaque option, y compris celle de ne rien changer,
• une personne responsable et une date pour le retour d’information.

Toutes les questions ne trouvent pas une réponse complète dès la première fois. Une réponse ouverte est alors un résultat en soi : elle montre où des informations manquent.

Le conseil d’administration exerce « la haute surveillance sur les personnes chargées de la gestion » (art. 716a, al. 1, ch. 5, CO). Il peut déléguer la gestion elle-même à une direction (art. 716b, al. 1, CO). Pour les risques cyber, il en découle une répartition simple :

• Le conseil d’administration surveille. Il pose les cinq questions, confirme les durées d’interruption tolérables, exige des preuves et statue sur les propositions. Il ne conduit pas lui-même de projets de sécurité.
• La direction pilote. Elle fixe les priorités, met les moyens à disposition, propose les durées d’interruption et répond de la mise en œuvre.
• Les responsables de la sécurité fournissent des informations fiables. Qu’il s’agisse du CISO, de la direction informatique ou d’un partenaire externe : ils décrivent des scénarios, présentent des preuves et nomment ouvertement les incertitudes.

La plupart des personnes interrogées dans l’étude ne voyaient pas le rôle du board en cas de crise dans une intervention opérationnelle. Il devrait être tenu informé et laisser à la direction le temps et l’espace nécessaires pour gérer la situation.

Inscrivez les cinq questions à l’ordre du jour de votre prochaine séance. Demandez à la direction d’y répondre par écrit à l’avance pour deux ou trois processus critiques. La séance peut ainsi être consacrée aux décisions plutôt qu’à l’introduction.

Notre article « Risques cyber au conseil d’administration : ce qu’un bon rapport doit montrer » montre à quoi peut ressembler un rapport qui répond à ces questions. Il contient un modèle d’une page et un exemple fictif complété.

Si vous souhaitez élaborer les réponses avec des spécialistes, l’atelier risques cyber pour CA et direction peut constituer un point de départ. Il s’agit d’une variante, axée sur la direction, de notre atelier de sécurité informatique.

Sources

Toutes les sources consultées le 20 octobre 2026.

• Opdenbusch, J. C., Hielscher, J., Sasse, M. A. : « Where Are We On Cyber? » A Qualitative Study On Boards’ Cybersecurity Risk Decision Making, NDSS Symposium 2025, DOI 10.14722/ndss.2025.240595 (en anglais)
• Code des obligations (CO, RS 220), art. 716a et 716b, Fedlex, état le 1er octobre 2026

Cet article est une information générale et ne constitue pas un conseil juridique. Les cinq questions sont une aide de travail de SIDD et non un résultat de l’étude citée.