Le Top 10 des enjeux TI

Quelles sont les préoccupations des CA experts en informatique cette année? Voici les réponses de l’enquête 2010.

Par Robert Parker
Illustration : Ryan Snook

L’enquête de cette année sur les dix enjeux TI à surveiller fait ressortir un contraste entre les anciennes et les nouvelles technologies et leur incidence sur les entreprises. Dix des 21 questions posées avaient trait à des technologies ou des enjeux bien connus avec lesquels tout le monde se sent à l’aise. Les 11 autres portaient sur des technologies moins connues et plus complexes. Si celles-ci peuvent représenter des défis tout aussi importants pour les entreprises, le fait qu’elles arrivent plus loin dans la liste peut être lié à leur adoption limitée par les répondants ou au fait que ceux-ci connaissent mal les risques, les exigences et les responsabilités qui y sont associés. Pour analyser les dix enjeux à surveiller, nous avons tenu compte des technologies les plus récentes et de leur incidence sur les entreprises, dans le contexte des enjeux plus établis. Cette année, les exigences de conformité sont arrivées en tête de liste.

1. Le respect des exigences en matière de conformité
Ces dix dernières années, les entreprises ont dû faire face à une intensification des contrôles législatifs et réglementaires et des obligations d’information, qui s’est doublée d’une évolution incessante des normes dans les domaines des technologies et des affaires jusqu’à celui de l’information financière. Qu’on songe aux nouvelles règles visant le secteur des cartes de paiement, aux lois sur la protection de la vie privée et des dossiers de santé, aux exigences de Bâle II pour les institutions financières et aux nouvelles Normes internationales d’information financière.

Qui dit évolution des lois, des règlements ou des pratiques commerciales dit habituellement évolution des logiciels d’application et bases de données connexes. Les normes exigent l’adoption de nouvelles politiques et procédures, de nouvelles façons de faire des affaires et de nouveaux programmes de formation pour les employés. Elles nécessitent un remaniement des processus et des technologies afin d’assurer une conformité efficace. Les changements doivent être analysés, planifiés, programmés, achevés, testés et mis en œuvre à l'intérieur d’échéanciers très serrés. Aux prises avec des problèmes d’ordre opérationnel et souvent des budgets qui fondent, les services de TI doivent vivre avec une multitude de changements.

Par conséquent, les organisations peuvent mettre en place des solutions qui représentent un compromis entre, d’une part, l’efficience et l’efficacité à long terme des structures, des approches systématiques et du contrôle et, d’autre part, des processus simples et ponctuels plus rapides et moins coûteux. Par exemple, certaines sociétés canadiennes qui devaient se conformer à la Loi Sarbanes-Oxley ont dû s’en remettre aux feuilles de calcul et à d’autres solutions improvisées pour documenter les contrôles et la conformité, car la modification ou le remplacement des systèmes en place coûtait trop cher ou prenait trop de temps.

Néanmoins, on s’entend généralement sur le fait que les feuilles de calcul ont des lacunes sur le plan de la rigueur et de la méthode par rapport aux applications professionnelles, et sont dépourvues des processus de qualité nécessaires et des contrôles adéquats d’utilisation et de sécurité. Avec le temps, leur maintien et leur contrôle deviennent de plus en plus difficiles. Par conséquent, le recours aux feuilles de calcul et aux processus ponctuels ne permet pas toujours de répondre aux exigences des organismes de réglementation; le risque d’information inexacte ou trompeuse peut s’accroître.

Les entreprises présentes dans plusieurs ressorts territoriaux ont ressenti très durement l’obligation de se conformer à une multitude de règles et de lois parfois contradictoires. Par exemple, dans le domaine de la protection des renseignements personnels, un gouvernement peut adopter une loi établissant un seuil élevé susceptible de donner l’impression au public que ces pratiques sont la norme partout. C’est le cas, par exemple, des obligations de transparence adoptées par la Californie en 2003. Ces pratiques peuvent entraîner des coûts supplémentaires pour les entreprises.

Pour respecter les nouveaux échéanciers qui leur sont imposés, les entreprises doivent adopter une stratégie efficace et efficiente. Des techniques consistant notamment à établir des points de repère tenant compte des exigences communes avant de s’attaquer aux aspects uniques des lois et des règlements gagnent en popularité, tout comme le suivi de l’évolution des lois, de la réglementation et de la jurisprudence, qui vise à ce que les pratiques des organisations tiennent compte des exigences en vigueur ou des attentes du public.

2. Les effets de la récession
Avec la récession, un grand nombre d’entreprises ont été contraintes de se restructurer afin de réduire leurs coûts. Les réorganisations et le regroupement des rôles et responsabilités qui en ont découlé ont rendu difficile la séparation efficace des tâches et des responsabilités. (Dans cette catégorie, 60,9 % des répondants ont indiqué que la capacité de maintenir des contrôles efficaces constituait un enjeu.)

Sans l’ombre d’un doute, la récession frappe durement les entreprises, mais rogner sur la sécurité et les contrôles peut accroître la vulnérabilité aux menaces internes et aux cybermenaces. Les entreprises ont exploré de nouvelles technologies telles que la virtualisation, les architectures orientées services et l’infonuagique sous ses diverses formes (stockage, traitement et infrastructure) pour réaliser des gains d’efficacité et contrôler les coûts.

La récession a aussi donné lieu à des rachats par les employés et à des départs à la retraite anticipés qui ont réduit les coûts de main-d’œuvre, mais ont aussi entamé, voire effacé, une partie de la mémoire des entreprises. Cela est vrai surtout des services de TI où la connaissance de l’entreprise, de ses processus d’affaires et de ses systèmes est indispensable à une utilisation efficace et à la disponibilité continue des TI.

La récession a eu d’autres effets secondaires désagréables, dont un risque accru de fraude, à l’externe comme à l’interne, et d’actes malveillants. Une étude d’Ernst & Young s.r.l. réalisée en 2009 a révélé que 75 % des entreprises participantes craignaient des représailles d’ex-employés mécontents et concentraient leurs efforts sur la prévention de la perte de données, en y attachant, dans certains cas, plus d’importance qu’à la conformité à la réglementation.

Selon une enquête de Panda Security dont les résultats ont été publiés dans le USA Today, beaucoup d'entreprises américaines ne disposent pas de système de cybersécurité de base et n’ont pas de logiciels de filtrage Web (52 %), de programmes de formation sur les menaces (39 %), d’antipourriels (29 %), d’anti-logiciels espions (22 %) et de pare-feu (16 %). La récession a eu des effets dévastateurs sur les entreprises, et les initiatives de réduction des coûts ont fait très mal aux services de TI. Si elles doivent assurer leur survie, les entreprises doivent veiller à ce que les mesures prises n’affaiblissent pas la structure de contrôle des TI et les exposent à des risques plus grands encore.

3. La gestion de l’information
On entend par gestion de l’information la collecte et la gestion des données provenant d’une ou de plusieurs sources et leur diffusion à un ou plusieurs publics. Elle englobe la collecte, le traitement, le stockage, la conservation, la récupération, le partage et la destruction de l’information, et elle a une incidence sur les parties ayant un intérêt ou un droit envers cette information. L’organisation et le contrôle de la structure, du traitement et de la diffusion de l’information en font aussi partie. Un grand nombre d’organisations s’y retrouvent difficilement dans les fondamentaux de la gestion de l’information, notamment la propriété, la responsabilité, l'obligation de rendre compte et l’utilisation, toutes des composantes essentielles pour assurer la qualité et l'intégrité de cette information.

Les réorganisations ont obligé plusieurs entreprises à rationaliser leurs processus et systèmes d’affaires, entre autres à intégrer des systèmes disparates tout en veillant à ce que leurs systèmes de sécurité et de contrôle demeurent adéquats. Dans cette catégorie, 60,9 % des répondants ont dit s’inquiéter au sujet du maintien de contrôles adéquats à l’étape de l’intégration des systèmes, et 56,5 % en ont fait autant au sujet des initiatives de prévention des pertes de données, puis des préoccupations quant au maintien de l’intégrité des données, à la surcharge de données et à la nécessité de recourir à des mécanismes de protection accrus comme le chiffrement.

La gestion de l’information gagne aussi en importance. La qualité des données englobe l’exhaustivité, l'exactitude, la rapidité, la pertinence, le caractère approprié, la disponibilité, la facilité de maintien et la sécurité. Cette qualité des données revêt maintenant plus d’importance en raison de l’utilisation accrue des données aux fins de la veille stratégique, et de la place grandissante du partage de l’information et des exigences d’exactitude. En raison de la valeur grandissante de l’information, la nécessité de la protéger ne peut que s’accroître. La veille stratégique, qui consiste à récolter l’information, est considérée comme un élément essentiel pour comprendre l’entreprise et ses clients. Les entreprises doivent donc s’assurer que l’information est gérée avec soin, et est accessible au besoin. La mise en place d’un programme de gestion de l’information est la première étape à envisager pour gérer le capital intellectuel.

4. La confiance du public
Le malaise face aux systèmes et aux applications des entreprises s’accentue. Les clients et les parties prenantes craignent que la sécurité et les contrôles déficients des technologies les exposent à des risques tels que le vol de données, le vol d’identité, la fraude par carte de crédit, les atteintes à la vie privée, etc.

Les cas de vol de l’identité d’une personne vivante ou décédée, qui vise à tirer un avantage, à obtenir un bien ou un intérêt dans un bien ou à nuire à la victime ou à une autre personne, augmentent d’année en année. Les consommateurs s’attendent à ce que leurs renseignements personnels soient protégés lorsqu’ils les confient à une entreprise. Les lois en la matière exigent quant à elles que les entreprises adoptent des mécanismes de protection appropriés, notamment si elles échangent de l’information avec des partenaires.

Grâce aux obligations de transparence en vigueur aux États-Unis, le public est informé de certaines atteintes à la sécurité des renseignements personnels, qui touchent parfois des Canadiens. Si le Canada n’a pas imposé d’obligations de transparence aussi rigoureuses, le public n’en est pas moins inquiet. Ces préoccupations sont aggravées par les menaces de virus, de chevaux de Troie, d’enregistreurs de frappe, d’hameçonnage et de détournement de domaine, visant toutes à nuire aux systèmes, à leurs utilisateurs et à l’information qu’ils traitent.

Une étude menée par McAfee Avert Labs a pu identifier 135 000 nouveaux programmes malveillants en 2007. À la fin de 2008, ce nombre était passé à 1,5 million, soit 3 500 nouveaux programmes malveillants chaque jour, et la tendance s’est poursuivie en 2009. Les entreprises accordent plus d’attention au phénomène et dépensent pour protéger leurs systèmes informatiques et leurs réseaux.

La technologie procure aux entreprises de nombreux avantages, mais elle engendre aussi des risques et obligations. Les entreprises doivent prêter attention aux préoccupations du public en veillant à l’intégrité et à la protection de l’information, à la qualité des processus et contrôles connexes et à la gestion efficace de l'information.

5. Les nouvelles technologies
Les nouvelles technologies créent des occasions et des risques. Un programme de gestion des risques d'entreprise, qui contrôle chaque initiative et les technologies qui la soutiennent, doit être en place pour que les risques engendrés par les nouvelles technologies soient bien compris et acceptés avant que celles-ci soient implantées.

L’infonuagique, qui crée un environnement virtuel où des ressources Internet fournissent l’infrastructure, les applications, les données et les fonctions de sécurité, est l’une des technologies qui suscitent des préoccupations. Selon la nature du nuage, les utilisateurs ne peuvent identifier ou définir à l’avance les voies de transmission, les sites de traitement et les emplacements de mémoire. Les données placées sur le nuage peuvent être chiffrées ou non, selon l’utilisateur. Les préoccupations portent notamment sur l’accessibilité des données et leur récupération, les questions de droit relatives à la délocalisation des renseignements personnels, en particulier sur la santé, et les droits de propriété. Les utilisateurs expriment des inquiétudes quant à l’emplacement des données, à la robustesse des contrôles qui y sont déployés et à l’accessibilité, en particulier aux fins de la continuité des activités.

Les réseaux sociaux grand public tels que Facebook, Twitter et LinkedIn de même que les plus spécialisés comme Classmates et MyLife sont de plus en plus utilisés dans les entreprises, et ce, surtout par les employés à des fins personnelles. Le temps que les employés y consacrent et la publication de données d’entreprise représentent des préoccupations importantes.

Une étude réalisée au Royaume-Uni en 2010 a révélé que 61 % des décideurs en TI considèrent l’utilisation des médias sociaux par les employés comme la principale menace pour la sécurité. Pas moins de 55 % des employés ayant participé à l’étude ont admis qu’ils téléchargeaient, sur les ordinateurs des entreprises, des logiciels à partir d’Internet; 48 % de ces téléchargements n’avaient aucun rapport avec le travail. De plus, 58 % des employés interrogés ont admis qu’ils publiaient des données d’entreprise sur les réseaux sociaux. Si ces statistiques émanent du Royaume-Uni, rien ne permet de penser que la situation soit très différente au Canada.

Beaucoup d’organisations n’ont pas de politiques, de procédures ou d’outils permettant d’utiliser efficacement ces technologies ou d’en surveiller l’utilisation. On constate que 73 % des répondants ont adopté des politiques rigoureuses sur l’utilisation des médias sociaux et que 89 % ont des politiques régissant le téléchargement. L’étude démontre cependant qu’un répondant sur trois ne pouvait donner d’assurance au sujet du respect de ces politiques.

Les fonctionnalités BYOT (Bring your own technology) suscitent elles aussi des préoccupations. Les employés se servent d’outils personnels comme leurs propres ordinateurs, BlackBerry, iPhones, etc., pour effectuer leur travail, notamment pour consulter leurs courriels et en envoyer, planifier des réunions, répondre à des questions, effectuer des recherches ou accéder à des informations d’entreprise confidentielles. Les logiciels de sécurité et de contrôles qui permettraient de prévenir l’utilisation de ces fonctionnalités et de protéger les systèmes ne sont pas toujours présents. Enfin, 45,5 % des répondants se sont dits inquiets au sujet de l’utilisation des mémoires sur clés USB. Les organisations doivent établir des procédures de contrôle des nouvelles technologies et évaluer les occasions et les risques. Un programme de gestion des risques de TI, intégré au programme de gestion des risques à l’échelle de l’entité, assurerait l’évaluation continue de ces incidences et renseignerait la direction quant à l’exécution d’un programme de gouvernance des TI.

6. Informatique collaborative – entreprise étendue
De plus en plus, les entreprises fournissent à d’autres organisations des portails et des passerelles d’information visant à accroître l’interopérabilité et à améliorer l’efficacité. Dans certains cas, les utilisateurs ne savent pas que lorsqu’ils accèdent au site Web d’une entreprise, ils peuvent être dirigés vers celui d’une autre entreprise ou un site à l’étranger où l’information peut être stockée et les transactions, traitées.

Cette interopérabilité nécessite de nouvelles méthodes de mise au point des systèmes, en particulier dans un cadre multienvironnement. Elle soulève aussi des questions quant à la propriété intellectuelle et à sa gestion ainsi qu’à la création et à la gestion d’un environnement respectant les lois, en particulier dans le domaine de la protection des renseignements personnels.

Autre sujet d’inquiétude : l’absence de connaissances pratiques sur l’environnement dans son intégralité et la nécessité de s’en remettre à des rapports externes sur l’efficacité des mécanismes de sécurité et de contrôle dans les environnements exploités par des partenaires commerciaux.

Les problèmes liés à l’informatique collaborative et à l’entreprise étendue font ressortir la nécessité, pour les organisations, de définir leur stratégie de TI et leurs attentes en matière de sécurité, de contrôle, de qualité du service, d’information et de continuité des activités pour les fournisseurs et les partenaires commerciaux. Des procédures efficaces de surveillance et de signalement progressif sont aussi requises pour éviter des retards dans la résolution des problèmes.

7. L’infrastructure
L’infrastructure technologique ne se limite pas aux ordinateurs, réseaux, logiciels d’application et de base, utilitaires et dispositifs réunis dans le centre informatique d’une organisation. Elle s’étend aussi aux dispositifs qui peuvent y être reliés physiquement ou électroniquement.La portabilité des données constitue une préoccupation pour 70 % des répondants. Presque tous les jours, des dispositifs toujours plus perfectionnés font leur apparition sur le marché. Ils peuvent emmagasiner des gigaoctets de données en quelques secondes, et se glissent aisément dans la poche ou dans un sac à main.

Les éléments qui inquiètent sont le contrôle de version, l’emplacement des données, l’intégrité et la gestion de l'information et les questions juridiques et réglementaires, en particulier pour ce qui touche les renseignements personnels. Certains dispositifs de mémoire USB récents offrent une protection accrue sous forme de fonctions de chiffrement et de mots de passe, mais rares sont les entreprises qui les ont adoptés. D’autres proposent une capacité de stockage plus grande, pouvant atteindre un téraoctet, qui permet de conserver un volume d'information d’entreprise considérable. Des risques accrus se posent lorsque ces dispositifs sont reliés à des ordinateurs personnels en réseau et lorsque les employés sont autorisés à accéder aux ressources et à l'information d’entreprise.

Les dispositifs comme les lecteurs MP3, les appareils photo numériques et les téléphones peuvent être reliés aux réseaux par l’intermédiaire d’ordinateurs personnels, et sont un autre support pour télécharger et stocker l'information à partir des réseaux d’entreprise.

Le Comité consultatif des technologies de l’information (CCTI) de l’ICCA a publié un document d’information sur la sécurité orientée des données, qui traite de la formulation d’une politique de sécurité sur les données, immobiles ou mobiles, et qui fait valoir le chiffrement des données à titre de mécanisme de sécurité supplémentaire. Dans cette catégorie, 55 % des répondants se disent préoccupés par les communications sans fil en raison de la possibilité qu’un seul utilisateur autorisé ajoute des dispositifs ou d’autres utilisateurs sans que l’organisation ne s’en rende compte ou n’y consente. Les répondants ont indiqué, dans une même proportion, que la mise à niveau des logiciels les préoccupait. De nouveaux logiciels et de nouvelles versions sont sans cesse mis à la disposition des entreprises. Si adopter un produit dès sa sortie n’est peut-être pas la meilleure stratégie, les organisations qui s’entêtent à utiliser les mêmes logiciels ou versions risquent de voir le soutien du fournisseur diminuer ou s’évanouir et de devoir ainsi s’en remettre à une autre partie, ce qui n’est pas toujours possible.

8. La gouvernance des TI
La gouvernance des TI fait référence à l’alignement des objectifs et des activités du service des TI sur ceux de l'entreprise, et à la valeur que procure le fait d’investir dans les bons projets, de faire appel aux bonnes technologies et de pouvoir compter sur les bonnes compétences. Qui dit valeur dit tirer le meilleur parti des ressources appropriées, tout en évitant les excès. La gouvernance des TI s’entend du leadership et des structures et processus organisationnels qui font en sorte que le service des TI soutient et enrichit la stratégie et les objectifs de l’entreprise. Elle nécessite donc la participation du conseil d’administration, du comité de vérification, de la haute direction et des cadres hiérarchiques.

Outre l’absence d’activités efficaces de gouvernance des TI, les connaissances insuffisantes des conseils d'administration et des comités de vérification en la matière représentaient un enjeu (47,1 % des répondants ont fait état d’un piètre alignement des projets de TI sur la stratégie de l’entreprise). Les activités de gouvernance des TI peuvent aider l’entreprise à utiliser les TI pour qu’elles contribuent à la réalisation de ses objectifs. Celles-ci peuvent devenir un élément moteur de nouvelles stratégies et de nouveaux services (enchères en ligne, services de voyage, vente de produits,etc.).

9. Les ressources et compétences en TI
La disponibilité des ressources en TI, qui représentait l’enjeu numéro un en 2008, a chuté à la dixième place en 2009. Ce revirement s’explique peut-être par la récession, les annulations et reports de projets TI et les réductions d’effectifs qu’elle a entraînées dans de nombreuses organisations. La légère remontée à la neuvième place cette année est peut-être attribuable à l’amélioration des conditions économiques. Les projets de TI revenant à l’avant-plan, les pénuries de compétences et de main-d’œuvre qui étaient la norme avant la récession vont vraisemblablement s’aggraver.

Cette préoccupation recoupe plusieurs questions, la première étant la disponibilité des ressources compétentes. À la suite de la récession, et de la ruée vers l’externalisation à la fin des années 1990 et au début de 2000, beaucoup en sont venus à penser que les emplois dans le secteur des TI étaient rares. Les étudiants en TI se sont concentrés sur les services Internet, les réseaux locaux et les services d’assistance, et les candidats susceptibles de s’attaquer aux tâches plus rigoureuses de l’analyse commerciale et du développement, de la prise en charge et de la gestion de gros systèmes complexes se sont faits rares.

Même si un grand nombre d’organisations sont passées à des plateformes plus petites, le personnel compétent en TI capable de régler des problèmes, de proposer des solutions, de prendre en charge les exigences définies par l’utilisateur et de mettre au point les logiciels nécessaires a encore sa place. Beaucoup d’organisations ont mis en œuvre des progiciels, certains très perfectionnés comme les systèmes ERP (planification des ressources d'entreprise). Cependant, même ces progiciels ne sont pas des solutions clés en main et nécessitent souvent une personnalisation importante par des options logicielles ou des liens programmes utilisateurs pour assurer un soutien efficace des processus d’affaires.

Les professionnels des TI doivent comprendre la technologie, les enjeux d’affaires et communiquer efficacement avec l’entreprise. Les entreprises devront peut-être, comme l’ont fait les cabinets d’expertise comptable, créer des programmes de formation maison afin d’enseigner aux diplômés les exigences propres à leur activité ou à leur secteur ainsi que les technologies et les logiciels utilisés. Il faudra peut-être envisager de créer des cours visant à former les étudiants aux processus et exigences sectoriels pour qu’ils acquièrent des compétences supplémentaires en analyse commerciale, en conception logicielle et en processus d’affaires.

10. La gestion des connaissances
La gestion des connaissances a un lien étroit avec la pénurie de ressources et de compétences en TI. Les répondants ont indiqué qu’avec le départ à la retraite de leurs employés, les organisations doivent se constituer un historique de leurs principaux systèmes, applications et processus d’affaires pour assurer la continuité des activités. De même, 64,7  % des répondants craignent que la perte de travailleurs compétents nécessite la mise en place de programmes d’embauche et de formation pour assurer le transfert des connaissances et des compétences perdues, et 58,8  % se sont dits préoccupés par le fait que la concentration des connaissances, chez les employés clés ou les fournisseurs, doit faire en sorte que l’organisation conserve sa capacité à maintenir ses systèmes d’exploitation et de soutien et les applications essentiels à ses processus d’affaires. Les organisations ne devraient pas externaliser, en plus des processus d’affaires, les connaissances et l’expérience internes.

Les répondants sont conscients de la valeur de l’information d’entreprise, qui peut alerter un concurrent sur des plans futurs. Les droits d’auteur, les brevets et les droits de propriété intellectuelle sont aussi vus comme des enjeux, en particulier lorsque des activités ou des fonctions de traitement de l’information sont externalisées ou délocalisées. Un grand nombre d’organisations ont mis en œuvre des programmes d’information d’entreprise pour répondre à cette préoccupation croissante.

Méthodologie et conclusions
Le CCTI a établi un cadre pour la réalisation de l’enquête et a cerné certains domaines d’intérêt que les répondants devaient sélectionner et classer dans leur liste des dix enjeux à surveiller.

Le large éventail des réponses reçues montre la diversité des organisations participantes, des environnements TI et de l’état d’avancement dans l’utilisation des nouvelles technologies. Le CCTI remercie les membres du comité, l’Alliance pour l’excellence en TI de l’ICCA et les membres de la section torontoise de l’ISACA pour leur appui.

Ces dix enjeux des TI à surveiller font état des liens entre les dix catégories et de leur incidence sur les entreprises canadiennes. Les organisations qui ne disposent pas d’une solution technologique donnée doivent s'en remettre davantage au rendement individuel de leurs employés. Il faut donc accorder une plus grande attention à la sensibilisation, à la formation et à la surveillance des interventions des employés. Il faudra donc concevoir de nouvelles politiques et procédures adaptées au contexte du XXIe  siècle. En créant un univers technologique toujours en expansion, qui permet d’accéder à des réseaux de communications sans fil mondiaux à partir d’appareils portatifs, nous avons involontairement ouvert la porte à des risques plus grands pour les entreprises.

Robert G. Parker, M.B.A., FCA, CA•CISA, CMC, associé à la retraite de Deloitte & Touche, a été président international de l’ISACA. Il est actuellement membre du comité de l’organisme sur les cadres et architecte principal du cadre de certification des TI. Il siège aussi au CCTI (ICCA) et au conseil du Centre for Information Integrity and Information Systems Assurance de l’Université de Waterloo.