Comment un DSI informe le conseil : altitude, honnêteté et jamais de démonstration

À quoi sert l’exposé#

Un DSI informe le conseil pour que celui-ci puisse répondre à trois questions dont il devra rendre compte : l’institution investit-elle dans la bonne technologie, est-elle sûre, et que se passe-t-il quand elle s’arrête. C’est là tout l’objet. L’exposé n’est ni un rapport d’avancement de la fonction technologique, ni une initiation à ce que contient le patrimoine, ni une vitrine. Tout ce qui, dans l’exposé, n’aide pas le conseil à répondre à l’une des trois questions prend le temps dont le conseil avait besoin pour la réponse.

Les conseils le savent. Ils le disent rarement, parce que la technologie est longtemps arrivée à la table dans une langue qu’ils ne parlent pas, et un conseil qui ne peut suivre un exposé tend à remercier l’orateur plutôt qu’à l’interrompre. Le silence n’est pas une approbation. C’est le bruit d’un conseil qui a décidé de poser ses questions ailleurs.

La démonstration#

La démonstration est la défaillance caractéristique du DSI, et il vaut la peine de comprendre pourquoi elle se produit plutôt que de simplement l’interdire. On propose une démonstration parce que c’est la chose vraie la plus facile à montrer. Quelque chose fonctionne ; le voici en marche. L’alternative — dire au conseil ce qui ne fonctionne pas, ce à quoi il est exposé et ce que cela coûtera — est plus difficile à préparer et plus difficile à dire, et la démonstration occupe le créneau pour que la chose difficile n’ait jamais à être dite.

Un conseil qui a vu une démonstration en sait moins qu’avant d’entrer. On lui a donné une impression de compétence à la place d’une réponse, et il gardera cette impression jusqu’au jour où le patrimoine s’arrêtera, jour où il se souviendra de la démonstration et non de l’exposé qui aurait dû la remplacer.

Un conseil qui a vu une démonstration en sait moins qu’avant d’entrer.

L’altitude#

L’altitude est la discipline qui consiste à présenter le patrimoine comme un investissement, un risque et une capacité, jamais comme des systèmes. Le test est simple : un administrateur peut-il convertir chaque énoncé en décision ? Un nom de plateforme ne se convertit en rien. Un portefeuille — tant pour exploiter, tant pour croître, tant pour transformer, et voici ce que l’équilibre dit de nous — se convertit. De même une exposition énoncée comme ce que l’on demande au conseil d’accepter, et une capacité perdue énoncée comme ce que l’institution ne peut faire aujourd’hui et ce qu’il en coûterait de le pouvoir.

L’altitude gouverne aussi ce que l’on omet. Le conseil n’a besoin ni de l’architecture, ni de la feuille de route trimestre par trimestre, ni du comparatif des fournisseurs. Il a besoin des trois réponses, des décisions qu’on lui demande de prendre, et des choses qu’il serait gêné d’apprendre plus tard par quelqu’un d’autre.

L’honnêteté, et qui répond du cyber#

L’honnêteté de l’exposé est le plus mise à l’épreuve sur le cyber, parce que c’est là que le DSI est le plus tenté de s’effacer et de laisser parler le responsable de la sécurité des systèmes d’information. La répartition des responsabilités doit être énoncée au conseil en termes clairs, et c’est au DSI de l’énoncer.

• Le RSSI répond de la défense : sa conception, son fonctionnement et sa qualité.
• Le DSI répond devant le conseil de l’exposition : ce que l’institution pourrait perdre, où elle est concentrée, et ce qui a été répété pour le jour où elle s’arrête.
• Le conseil répond de ce qu’il a choisi d’accepter, ce qu’il ne peut faire que si l’exposition lui a été énoncée en des termes qu’il aurait pu refuser.

Un dirigeant qui se cache derrière le RSSI a délégué la conversation et non le risque. Le conseil découvrira la différence le jour où cela compte, et il tiendra le DSI à la responsabilité que le DSI a refusé d’énoncer.

Ce qu’il faut offrir#

L’exposé qui gagne la confiance prend les devants. Il existe toujours une question que le conseil aurait dû poser et n’a pas posée — sur la concentration chez un fournisseur, sur un composant que personne ne peut corriger, sur une adoption qui relève du théâtre plutôt que de la capacité, sur ce qui a été appris la dernière fois que quelque chose s’est arrêté. Le DSI qui la soulève en premier a dit au conseil une chose qu’il aurait pu apprendre ailleurs, et un conseil qui apprend un risque par son DSI fait confiance au siège comme jamais ne le fera un conseil qui l’apprend par la presse.

Il en va de même pour la mauvaise nouvelle. Annoncée tôt, par le siège, l’exposition énoncée et les options chiffrées, elle est la preuve la plus forte qu’un conseil puisse recevoir que le siège est tenu. Annoncée tard, ou découverte, elle met fin à la confiance que les exposés devaient construire.

Que faire ensuite#

Reprenez le dernier dossier technologique présenté au conseil et rayez chaque nom de système. Ce qui reste est l’exposé que le conseil a réellement reçu. S’il ne répond pas aux trois questions, n’énonce pas la répartition des responsabilités cyber et n’offre pas au moins une chose que le conseil n’a pas demandée, le prochain dossier est l’endroit où commencer — et le versant des administrateurs de cette même conversation est exposé dans La surveillance des risques par le conseil : les questions auxquelles les administrateurs devraient savoir répondre. Le mandat du CIO travaille l’art d’informer un conseil — altitude, honnêteté, jamais de démonstration — avec des dirigeants technologiques qui répondent des résultats.