Épisode 3 — De l'intention à l'action : une charte qui vit, et ce que le QSE nous a appris avant tout le monde
Suite de l'épisode 2 — Quatre façons de penser la sécurité autrement
Les deux premiers épisodes ont posé le constat et la méthode.
Le constat : cloisonner cybersécurité, RGPD et RSE coûte plus qu'on ne le pense.
La méthode : quatre axes de travail qui traversent les trois disciplines et permettent de les piloter ensemble.
Reste la question la plus pratique de toutes.
Comment on fait, concrètement ?
Une charte, oui — mais pas n'importe laquelle
La Charte Cyber Éco Éthique est l'outil central de la démarche que j'ai explorée en formation. Et je veux être honnête sur ce que ça signifie, parce que le mot "charte" a mauvaise réputation dans beaucoup d'organisations.
On a tous vu des chartes informatiques que personne ne lit. Des chartes éthiques affichées en salle de pause et oubliées le lendemain. Des documents signés par réflexe lors de l'intégration, rangés dans un classeur, jamais rouverts.
Le problème n'est pas la charte en elle-même. C'est la façon dont elle est conçue et déployée.
Une charte rédigée en vase clos par une équipe juridique ou informatique, sans consulter les personnes qui vont devoir l'appliquer, produit inévitablement des règles déconnectées du terrain. Interdire un outil sans proposer d'alternative. Imposer une procédure qui ralentit un processus critique. Exiger un comportement sans expliquer pourquoi il protège quelque chose d'important.
Ces règles-là ne tiennent pas. Elles sont contournées, pas par malveillance, mais parce qu'elles créent plus de friction qu'elles n'en résolvent.
Co-construire pour que ça tienne
Ce qui change avec une approche bien menée, c'est qu'on commence par écouter avant d'écrire.
Concrètement, ça veut dire impliquer des personnes issues des différents métiers de l'organisation — pas pour valider un texte déjà rédigé, mais pour tester les règles avant de les figer. Soumettre les contraintes envisagées à ceux qui travaillent avec les outils concernés. Identifier les points de friction avant qu'ils ne deviennent des points de contournement.
C'est une étape qui prend du temps. Mais elle en fait gagner beaucoup plus ensuite, parce qu'elle remplace des règles théoriques par des règles réalistes.
Et une règle réaliste a infiniment plus de chances d'être respectée qu'une règle parfaite sur le papier.
La légitimité ne s'improvise pas
Il y a un autre aspect que j'ai trouvé particulièrement bien traité dans la formation : la question de la légitimité.
Une charte interne qui encadre les usages numériques des collaborateurs n'est pas un document anodin. Elle peut toucher au droit du travail, à la surveillance des activités, aux conditions d'utilisation des outils personnels en contexte professionnel.
Pour qu'elle soit opposable — c'est-à-dire pour qu'on puisse s'y référer en cas de manquement — elle doit suivre un chemin précis. Vérification de la conformité au code du travail. Consultation des représentants du personnel, ou à défaut présentation transparente à l'ensemble des équipes. Intégration au règlement intérieur.
Ce n'est pas de la bureaucratie. C'est ce qui donne à la charte sa force réelle. Sans cette étape, on a un document de bonne intention. Avec, on a un outil de gouvernance.
Une charte qui vieillit, c'est une charte morte
Une fois déployée, la tentation est grande de considérer que le travail est fait.
C'est exactement là que beaucoup de démarches s'essoufflent.
Les menaces évoluent. Les outils changent. La réglementation se met à jour — parfois brutalement, comme on l'a vu avec l'invalidation du Privacy Shield qui a rendu illégaux du jour au lendemain des transferts de données vers des prestataires américains pourtant contractualisés depuis des années.
Une charte qui ne prévoit pas sa propre évolution devient obsolète sans qu'on s'en aperçoive. Et une organisation qui applique des règles dépassées n'est ni protégée ni conforme, même si elle croit l'être.
La bonne approche, c'est de traiter la charte comme un document vivant — avec des mises à jour mineures au fil de l'eau, des révisions majeures quand le contexte l'exige, et un bilan annuel qui permet de mesurer ce qui a changé et ce qui fonctionne vraiment.
Ce que le QSE et le management des SI nous ont appris avant tout le monde
Je veux terminer cet épisode — et cette série — par une réflexion un peu plus large.
Parce qu'à lire les principes de la Charte Cyber Éco Éthique, j'ai eu une impression de déjà-vu. Pas de plagiat, pas de copie — mais une familiarité évidente.
La co-construction avec le terrain. L'évaluation régulière. L'amélioration continue. Le document vivant qui se met à jour. Les parties prenantes impliquées dans la gouvernance. Les indicateurs pour mesurer ce qui fonctionne.
Ce sont les fondements du management par les systèmes. Ce sont les principes de l'ISO 9001, de l'ISO 14001, de l'ISO 27001. Ce sont des réflexes que les équipes QSE et les responsables de systèmes d'information ont développés depuis des décennies.
La gestion documentaire maîtrisée, les audits internes, les revues de direction, le traitement des non-conformités, les plans d'amélioration — tout cela existe déjà dans les organisations qui ont structuré leur démarche qualité ou leur système de management de la sécurité de l'information.
Ce n'est pas un hasard.
La sécurité numérique au sens large — cybersécurité, données personnelles, sobriété numérique — a les mêmes besoins structurels que la qualité ou l'environnement. Elle a besoin d'un cadre, de responsabilités claires, d'une évaluation régulière, et d'une culture d'amélioration continue.
Ce que la Charte Cyber Éco Éthique apporte, c'est une façon de fédérer ces trois dimensions sous un même toit — et de le faire avec la même rigueur méthodologique que les démarches QSE ont normalisée depuis longtemps.
Pour les organisations qui ont déjà cette culture, c'est une extension naturelle. Pas un chantier supplémentaire, mais une façon de valoriser ce qui existe en l'élargissant.
Pour celles qui partent de zéro, c'est une invitation à ne pas réinventer la roue — et à s'appuyer sur des méthodes qui ont fait leurs preuves bien au-delà du numérique.
Pour conclure cette série
Ces trois épisodes ne sont pas un plaidoyer pour une charte en particulier ni pour une formation spécifique.
Ils sont le reflet d'une conviction que je porte depuis longtemps et que cette formation a contribué à formaliser : la gouvernance numérique responsable n'est pas un sujet technique réservé aux experts de chaque discipline.
C'est un sujet de management. Et comme tout sujet de management bien conduit, il repose sur des principes simples : comprendre ce qu'on veut protéger, impliquer les bonnes personnes, mesurer ce qui compte, et tenir dans la durée.
Ce n'est pas plus compliqué que ça. C'est juste plus rare qu'on ne le voudrait.