Épisode 1 — Cybersécurité, RGPD, RSE : et si le cloisonnement était le vrai risque ?
Une intuition confirmée
Depuis quelques années, je travaille à l'intersection du QSE et de la cybersécurité. Et j'observe régulièrement la même scène.
Dans une même organisation, trois personnes traitent en parallèle des sujets qui se ressemblent sans jamais se parler.
L'une passe ses journées à s'assurer que les données clients sont bien protégées et que les consentements sont en règle.
L'autre cartographie les vulnérabilités techniques et surveille les accès.
La troisième travaille sur les engagements environnementaux et l'éthique des achats numériques.
Chacune a raison dans son périmètre. Mais ensemble, elles produisent trois fois le même travail, souvent avec des conclusions qui se contredisent.
J'ai suivi récemment une formation portée par le CNAM sur ce qu'ils appellent la Charte Cyber Éco Éthique. Elle met des mots et une méthode sur quelque chose que je percevais depuis longtemps de façon intuitive : cybersécurité, protection des données et responsabilité numérique sont en réalité trois angles d'attaque pour un même problème fondamental.
Et traiter ces sujets séparément coûte cher — en argent, en temps, et en énergie humaine.
Ce qu'on perd à travailler en vase clos
Prenons une situation concrète que beaucoup reconnaîtront.
Une PME décide de renouveler son outil de messagerie. La DSI évalue les options techniques. Le DPO vérifie la conformité des données. Et quelqu'un en RSE s'interroge sur la localisation des serveurs et l'empreinte carbone de la solution.
Trois analyses. Trois réunions. Trois rapports. Et souvent, trois conclusions qu'il faut ensuite réconcilier — parfois sous pression d'un délai ou d'un budget qui n'attendait pas.
Ce n'est pas une question de mauvaise organisation. C'est le résultat naturel d'une culture où chaque discipline a construit son propre territoire, son propre vocabulaire, ses propres outils.
Le problème, c'est que ça crée de la friction là où on aurait besoin de fluidité.
Les équipes passent plus de temps à se coordonner qu'à avancer. Les décisions tardent. Et à force de multiplier les formations, les chartes et les procédures sur des sujets proches, les collaborateurs finissent par décrocher — non pas parce qu'ils s'en fichent, mais parce que la charge est devenue ingérable.
Une méthode en quatre temps
La formation que j'ai suivie propose un cadre structuré en quatre axes de travail, que j'explore dans les épisodes suivants.
Sans entrer dans le détail ici, l'idée directrice est la suivante : une gouvernance numérique solide repose sur la capacité à réduire ce qui est inutile, à mesurer ce qui compte, à impliquer les personnes plutôt qu'à leur imposer des règles, et à inscrire tout cela dans la durée plutôt que dans un document qu'on archive.
Ce n'est pas un cadre théorique de plus. C'est une façon de penser la conformité non comme une contrainte à subir, mais comme un actif à entretenir.
Pourquoi c'est devenu urgent
La pression réglementaire s'intensifie sur tous les fronts en même temps.
NIS 2 élargit les obligations de cybersécurité à des secteurs qui s'en croyaient exemptés. Le RGPD continue de s'appliquer avec une maturité croissante des contrôles. La CSRD pousse les entreprises à rendre des comptes sur leurs pratiques numériques dans leurs rapports de durabilité. Et les donneurs d'ordre transmettent ces exigences à leurs fournisseurs, souvent sans accompagnement.
Pour une PME, répondre séparément à chacune de ces pressions est épuisant et coûteux.
Y répondre de façon unifiée, avec une gouvernance commune, c'est transformer une charge multiple en démarche cohérente.
C'est ce changement de posture que j'explore dans cette série.
Dans l'épisode 2 : les quatre axes de la méthode en détail, avec des exemples concrets tirés du terrain — pourquoi une mise à jour non appliquée peut coûter bien plus qu'un incident technique, et comment la sensibilisation devient un levier commun plutôt qu'une case à cocher.