Atelier risques cyber pour le conseil d’administration et la direction
Pour les conseils d’administration et les directions qui doivent évaluer les risques cyber sans disposer d’une base de décision claire. L’atelier structure les risques d’affaires, les questions ouvertes et les prochaines décisions.
Lors d’un premier entretien, nous vérifions si l’atelier correspond à votre situation.
Variante de l’atelier de sécurité informatique existant
Vous connaissez votre budget cyber. Mais quels risques subsistent ?
En bref
L’atelier risques cyber est une variante, axée sur la direction, de notre atelier de sécurité informatique. Il s’adresse au conseil d’administration et à la direction. Au centre : les processus d’affaires, les lacunes d’information et les décisions que l’organe dirigeant doit prendre.
Un budget montre combien vous investissez dans la sécurité. Il ne montre pas quels processus sont menacés, combien de temps ils peuvent être interrompus ni quels risques subsistent. C’est précisément ce que l’atelier met en ordre.
L’atelier ne constitue pas une preuve de sécurité. Il ne garantit ni la conformité ni l’absence de responsabilité. Il crée une base structurée sur laquelle vous pouvez décider.
À qui s’adresse l’atelier
L’atelier convient si l’un ou plusieurs de ces points s’appliquent :
Vous siégez au conseil d’administration ou à la direction et devez évaluer les risques cyber.
Vos rapports montrent surtout le budget et les activités, mais guère les risques d’affaires.
Vous souhaitez savoir quelles questions poser à la direction ou à l’informatique.
Les responsabilités et les voies de rapport pour les risques cyber ne sont pas encore clairement réglées.
Quand l’atelier n’est pas adapté
Une autre voie est préférable si
vous gérez en ce moment un incident de sécurité. Sa maîtrise opérationnelle est alors prioritaire, par exemple avec votre partenaire informatique et les services compétents.
vous avez besoin d’une preuve technique, par exemple pour un client. Conviennent alors un test d’intrusion ou un audit.
vous souhaitez surtout faire évaluer votre infrastructure informatique. Notre atelier de sécurité informatique est conçu pour cela.
Différence avec l’atelier de sécurité informatique
Les deux ateliers commencent par un état des lieux. Ils s’adressent toutefois à d’autres personnes et livrent d’autres résultats.
| Critère | Atelier risques cyber | atelier de sécurité informatique |
|---|---|---|
| Public cible | Conseil d’administration et direction | Responsables informatiques et direction |
| Angle | Processus d’affaires, lacunes d’information et décisions | Infrastructure informatique, risques et vulnérabilités |
| Résultat | Base de décision et plan de mesures avec responsabilités | Plan d’action avec mesures de protection et priorités |
Nous déterminons lors d’un premier entretien quelle variante vous convient.
Situations typiques
Une séance du conseil d’administration approche
Les risques cyber figurent à l’ordre du jour. Vous voulez aborder la séance avec des questions claires et une vision commune.
Le rapport de sécurité n’est pas clair
Le rapport contient des feux tricolores, des indicateurs et des budgets. Les risques d’affaires qu’ils recouvrent et ce qu’il faut décider restent flous.
Des clients posent des exigences
Des clients ou des partenaires posent des questions sur votre sécurité de l’information. La direction veut savoir ce que cela implique pour les priorités et les responsabilités.
Responsabilités non définies
Personne n’est clairement responsable des risques cyber, ou les rôles du conseil d’administration, de la direction et de l’informatique se chevauchent.
Ce que vise l’atelier
L’atelier vise quatre résultats. Nous en fixons la forme et la profondeur avec vous au préalable.
- Vue d’ensemble des risques d’affaires cyber prioritaires : les processus dont l’interruption toucherait le plus votre entreprise, avec un scénario concret pour chacun.
- Lacunes d’information documentées : les données, preuves ou responsabilités qui manquent aujourd’hui pour évaluer ces risques.
- Base de décision pour les organes dirigeants : les questions et options sur lesquelles le conseil d’administration et la direction devraient se prononcer.
- Plan de mesures priorisé avec responsabilités : qui clarifie ou met en œuvre quoi, et d’ici quand.
Déroulement
L’atelier comporte trois étapes. Nous convenons de la durée et des dates lors du premier entretien.
Préparation
Nous examinons les documents existants, par exemple le dernier rapport de sécurité. Au préalable, nous clarifions les principaux processus d’affaires et vos questions ouvertes.
Atelier commun
Le conseil d’administration et la direction discutent avec nous des risques, des lacunes d’information et des décisions nécessaires.
Restitution des résultats
Nous présentons les résultats et discutons du plan de mesures et des points ouverts avec les responsables.
Ce que l’atelier n’est pas
L’atelier structure les risques et les décisions. Il ne remplace pas un contrôle.
Hors du périmètre de l’atelier
Pas de test d’intrusion : une attaque mandatée et contrôlée, qui met au jour des vulnérabilités techniques, est une prestation distincte, le test d’intrusion.
Pas d’audit complet : l’atelier ne vérifie pas systématiquement les mesures et les preuves au regard d’une norme.
Pas de certification : seul un organisme accrédité confirme la conformité, par exemple à ISO 27001.
Pas d’intervention de crise opérationnelle : en cas d’incident en cours, sa maîtrise est prioritaire.
Ni preuve de sécurité ni garantie : l’atelier ne confirme ni la sécurité, ni la conformité, ni l’absence de responsabilité.
L’atelier peut montrer où de telles prestations seraient utiles. C’est vous qui décidez si vous les mandatez, et auprès de qui.
Conseil, pilotage et contrôle
Ces trois rôles devraient rester séparés. C’est la condition pour que votre base de décision reste crédible.
Trois rôles
Conseil : l’atelier structure les risques et les décisions. Il ne met pas en œuvre de mesures.
Pilotage continu de la sécurité : une personne désignée tient à jour les mesures, les preuves et les rapports tout au long de l’année. Cela peut se faire en interne ou par un mandat de CISO externe.
Contrôle indépendant : une entité qui ne pilote pas elle-même vérifie si les mesures sont efficaces. Si SIDD assure le pilotage continu, SIDD ne contrôle pas en même temps ce travail de manière indépendante.
Suite facultative
Après l’atelier, vous décidez si et comment poursuivre. Une suite n’est pas une condition préalable.
- Pilotage continu : si personne en interne ne tient à jour les mesures et les rapports, un CISO externe peut assumer ce rôle.
- ISO 27001 seulement en cas de besoin réel : si des clients, l’autorité de surveillance ou votre modèle d’affaires exigent un certificat, nous accompagnons la mise en place d’un SMSI selon ISO 27001. Un SMSI est un système de management de la sécurité de l’information. Il n’est pas une condition préalable à de bonnes décisions au conseil d’administration.
Contexte : ce que montre une étude sur les décisions des boards britanniques
Étude
Au premier semestre 2021, Opdenbusch, Hielscher et Sasse ont interrogé 18 dirigeants de grandes organisations britanniques (NDSS 2025). Les décisions des boards sur les risques cyber s’y résumaient le plus souvent au budget. Certaines questions n’étaient pas posées, par incertitude.
L’étude est qualitative, non représentative, et ne dit rien des entreprises suisses ni de l’efficacité de cet atelier. Elle décrit un schéma auquel l’atelier s’attaque.
Pour en savoir plus, lisez nos articles Un budget cyber ne vaut pas surveillance et Ce qu’un bon rapport doit montrer.
Questions fréquentes
Qui devrait participer ?
Les membres du conseil d’administration et de la direction. Selon le sujet, il est utile d’associer la personne responsable de la sécurité de l’information pour répondre aux questions. Nous clarifions la composition lors du premier entretien.
Comment nous préparer ?
Les documents existants sont utiles, par exemple le dernier rapport de sécurité, une vue d’ensemble des principaux processus d’affaires et les questions ouvertes de l’organe. Nous convenons au préalable de ce dont nous avons concrètement besoin. Aucune connaissance technique n’est nécessaire.
Que recevons-nous comme résultat ?
L’objectif est une vue d’ensemble des risques d’affaires cyber prioritaires, des lacunes d’information documentées, une base de décision pour les organes dirigeants et un plan de mesures priorisé avec responsabilités. Nous fixons la forme et l’étendue au préalable.
L’atelier constitue-t-il une preuve pour les clients, les assureurs ou l’autorité de surveillance ?
Non. L’atelier ne contrôle aucune mesure et ne confirme ni la sécurité, ni la conformité, ni l’absence de responsabilité. Si vous avez besoin d’une preuve, nous vous indiquons quel contrôle entre en ligne de compte.
En quoi se distingue-t-il de l’atelier de sécurité informatique ?
L’atelier de sécurité informatique évalue surtout l’infrastructure informatique. L’atelier risques cyber s’adresse au conseil d’administration et à la direction et place les risques d’affaires et les décisions au centre.
Combien coûte l’atelier, et combien de temps dure-t-il ?
L’étendue, la durée et le coût dépendent des participants, des documents et du nombre de processus examinés. Nous les fixons après le premier entretien.
Cette page ne remplace pas un conseil juridique dans un cas particulier.
L’atelier correspond-il à votre situation ?
Lors d’un premier entretien, nous discutons de votre situation de départ et des personnes concernées. Ensemble, nous vérifions si l’atelier est la bonne prochaine étape.