CA et nouvelles technologies

Depuis quelques années, les conseils d’administration et leurs membres doivent composer avec l’apparition des nouvelles technologies sur le marché. Eux qui ont pour mission principale de veiller aux intérêts de l’entreprise qu’ils administrent et de ses actionnaires, comment sont-ils touchés par ces mutations? Et comment peuvent-ils y faire face¹?

Des changements considérables
Le monde d’aujourd’hui est aux prises avec des mutations technologiques considérables. Tout comme les individus, les entreprises doivent y faire face. Les spécialistes s’accordent pour désigner huit technologies qui ont un effet significatif pour les entreprises²:
• L’incontournable intelligence artificielle (IA) avec son automatisation des processus robotiques, son apprentissage machine, son traitement du langage naturel, son informatique conversationnelle et ses réseaux neuronaux;
• La réalité virtuelle et la réalité augmentée;
• Les drones;
• La chaîne de blocs;
• L’Internet des objets;
• L’impression 3D;
• La robotique;
• L’informatique nuagique.

Le Forum économique mondial offre un panorama encore plus large de ces technologies plus vastes dans un rapport publié en 2017³.

Le risque sous toutes ses formes
Gérer les risques n’est pas nouveau pour les entreprises, loin de là. Après tout, celles-ci ont toujours évolué dans un contexte fait d’incertitudes, de dangers, d’événements imprévisibles! Cela fait bien longtemps qu’elles ont appris à vivre dans cette conjoncture. Les autorités réglementaires et les organisations internationales s’intéressent aux risques, d’autant plus qu’ils sont devenus transnationaux et qu’ils se sont démultipliés⁴. La gestion des risques associés à la nature de leurs activités, au secteur de celles-ci ou encore à leur marché géographique est un enjeu fondamental, contemporain et indissociable de l’exercice du pouvoir des entreprises devenues «filles de la mondialisation», interconnectées et dépendantes de systèmes hérités et de fournisseurs externes.

Quant aux risques liés aux mutations technologiques, ils revêtent une intensité particulière ces dernières années. Devenus nombreux et variés, ils se déclinent sous plusieurs aspects. Comme le précise l’Autorité des marchés financiers (AMF) dans un document qui propose une ligne directrice sur la gestion des risques liés aux technologies de l’information et de la communication (TIC): «Régulièrement le risque lié aux TIC est considéré comme une composante du risque opérationnel. Toutefois, même les risques stratégiques et de réputation peuvent comporter une composante liée aux TIC, particulièrement lorsque celles-ci permettent la réalisation d’initiatives d’affaires. C’est aussi le cas pour le risque de crédit, où une faible sécurité des TIC peut mener à des cotes de crédit erronées⁵.»

Ainsi, les entreprises sont-elles devenues plus vulnérables aux cyberattaques, à la cybercriminalité, au vol de données personnelles, au non-accès aux données, à l’interruption des affaires, à la divulgation ou la diffusion de données, à la compromission liée à un tiers et aux menaces d’extorsion. Plus une seule n’y échappe!

Gérer un risque de nouvelle génération
Pour pallier ces risques, les entreprises ont besoin d’une gouvernance 3.0 ou renouvelée. Rappelons le vol de données survenu chez Desjardins. L’affaire aurait touché environ 4,2 millions de clients dont les informations personnelles ont été attaquées⁶. De quoi faire trembler les entreprises québécoises et canadiennes et même l’économie.

«Les individus qui sont à même de soupeser et de gérer [les risques technologiques] sont aujourd’hui les administrateurs et dirigeants. La haute direction a le devoir d’exercer une supervision adéquate des infrastructures informatiques. Les membres du conseil d’administration d’une entreprise sont, sauf restrictions apportées par une convention unanime des actionnaires, responsables de la supervision et de la gestion générale des activités de l’entreprise alors que les dirigeants sont responsables de la gestion de ses affaires courantes⁷.»

Dans le système canadien, le CA a en effet un rôle pivot:
• Il est investi de l’autorité décisionnelle qui se traduit par la gestion des activités commerciales et des affaires internes de la société.
• Il est la clef de voûte du système de gouvernance des sociétés⁸, notamment en définissant et en pilotant la stratégie de l’entreprise⁹. Dans ce cadre, une gestion des risques¹⁰ doit être faite. Le CA doit en définir le processus, le surveiller et en assurer une amélioration continue. Or, une telle gestion englobe tous les risques, de toutes les activités, à tous les niveaux, de l’élaboration de la stratégie à la réalisation des activités.

Les technologies émergentes constituent un outil essentiel pour façonner l’avenir des industries et permettre aux entreprises de demeurer concurrentielles. Mais elles représentent aussi, et surtout, un risque pour toute entreprise. En conséquence, le CA doit gérer ce risque. Comment? En étant en mesure d’examiner comment l’entreprise planifie le futur, comment les technologies émergentes renforcent ou menacent les stratégies de demain et comment faire face aux risques associés à ces technologies¹¹. De plus, le CA doit identifier les événements favorables ou défavorables susceptibles d’affecter la création de valeurs dans l’entreprise pour en gérer les effets sur l’actif et le passif.

Plus concrètement, les CA doivent mettre en place plusieurs actions-clés:
1. Intégrer les discussions relatives à la technologie dans le processus de surveillance stratégique: les membres du CA voudront comprendre et approuver les plans de la direction visant à suivre les technologies prioritaires et à leur donner suite. Or, en incluant ces technologies dans l’examen continu de la stratégie, le CA peut se tenir au courant des risques connexes et y faire face¹².
2. S’assurer de prendre certaines mesures telles que vérifier la préparation d’un plan d’intervention en cas d’incident; réaliser régulièrement des exercices sur table et des simulations de cyberattaques en groupe, avec l’équipe d’intervention et d’autres professionnels de l’organisation; et ne pas hésiter à faire appel à un conseiller externe en cas de problème¹³.
3. Mener des examens attentifs sur les procédures de gouvernance liées aux enjeux de technologie parmi lesquelles la structure technologique organisationnelle incluant les mesures de protection mises en place; et établir une bonne gestion de l’information (qu’est-ce qui est conservé? À quel endroit? Pour combien de temps? Qui y a accès?…): les politiques, programmes, ou autres règlements internes sur la gouvernance en matière de cybersécurité¹⁴.
4. Former leurs membres: il est impératif que les membres du CA disposent de connaissances suffisantes et solides en matière de technologies émergentes. Il faut donc que les CA s’assurent que des programmes de formation fréquente des employés et des dirigeants soient mis en place. Une évidence? Sans doute, mais un article publié par le cabinet de services-conseils Deloitte révèle des lacunes à cet effet¹⁵.
5. Revoir leur composition et leur manière de fonctionner¹⁶. Les CA devraient ainsi se demander si leur composition est toujours adaptée à l’objectif de l’entreprise. En juin 2019, l’AMF affirmait qu’une gouvernance efficace et efficiente qui inclut les TIC ainsi que les technologies et les innovations liées à leur exploitation requiert un niveau approprié d’expertise, de qualifications professionnelles, de connaissances ou d’expériences pertinentes¹⁷. Tout un défi¹⁸! Mais, les CA doivent aller au-delà et revoir leur politique de rencontres. Leurs membres ne peuvent plus se permettre de se réunir une ou deux fois par an pour une révision stratégique alors qu’une cyberattaque peut effacer un tiers de la valeur des actions de l’entreprise en un seul jour¹⁹.
6. Nommer un cadre supérieur pour exécuter la stratégie numérique: chaque CA devrait désigner un membre (chef des technologies ou de l’information) qui assume la responsabilité personnelle de la technologie sans pouvoir déléguer son pouvoir²⁰. Solution simple, mais qui comporte plusieurs zones d’ombre: comment de jeunes directeurs qui ont grandi dans des cultures organisationnelles différentes et qui ont peu d’expérience d’un CA vont-ils mener un changement de culture sur ce plan? Derrière la simplicité de cette solution, quelle est la bonne formule à mettre en place (la pratique est en effet variable, comme le montre une étude récente d’Ernst and Young)?

EY Center for Board Matters, Insights on how boards approach digitalization, 2018, à la p. 6.

7. Créer un comité spécialisé dans les technologies: ce comité permettrait de développer une vision globale et de gérer les enjeux opérationnels liés à la mise en œuvre des stratégies et encadrements approuvés par le CA liés aux mutations technologiques. Ce comité sera un outil utile pour les administrateurs: il pourra diminuer les risques liés aux technologies, générer de nouveaux canaux de croissance, accompagner l’entreprise dans sa transformation numérique, gérer la réputation économique, gérer la relève informatique et la continuité des activités, et optimiser les coûts de l’informatique²¹.

Le monde d’aujourd’hui est numérique!
Nul ne peut nier que les nouvelles technologies ont des répercussions sur les CA et leurs fonctions²², ne serait-ce que parce que les organismes de réglementation et les règlements qui régissent leur environnement se durcissent et apportent leur lot de nouvelles responsabilités pour les CA²³. La gestion des risques est essentiellement stratégique. Elle consiste à mettre en place des manière de faire qui assurent le bon fonctionnement de l’entreprise et est du ressort des CA des entreprises. Or, dans leur gestion des risques de nouvelle génération, les CA sont loin de tenir la cadence imposée par la technologie. Pour bien saisir l’«impact techno», ils doivent donc urgemment se remettre en question afin de pouvoir rattraper leur retard²⁴…

Comme les CA sont souvent lents, trop même, à évoluer (le manque d’ouverture à la diversité en leur sein le démontre), ils ne pourront échapper longtemps à une responsabilité juridique dans le domaine des technologies. Voilà un incitatif puissant pour provoquer le changement! Les devoirs cardinaux de prudence, de diligence et de loyauté prévus aux articles 119 de la loi provinciale des sociétés par actions et 122 de son équivalent fédéral devront un jour ou l’autre être compris dans le contexte des mutations technologies; or, «(…) ils sont appelés à évoluer en suivant le rythme des changements rapides apportés aux normes et aux risques dans le domaine, à un point tel qu’il ne serait pas farfelu d’envisager l’apparition d’une obligation de vigilance et de mise à jour des connaissances des administrateurs et dirigeants sur le sujet²⁵.»

Nous sommes donc devant un virage incontournable. Car rappelons cette mise en garde émise par le cabinet Ernst and Young dans l’un de ses documents de fin d’exercice en 2018: «À elles seules, les cybermenaces sont telles que ce n’est qu’une question de temps avant que toutes les entreprises subissent une cyberattaque²⁶.»