Le comité sécurité : à quoi il sert vraiment, et pourquoi le vôtre s’enlise

Un comité sécurité qui se réunit trimestriellement, écoute une présentation d’indicateurs et se sépare sans décision n’est pas un comité. C’est une réunion d’information.

La différence tient à trois choses : ce qu’on y apporte, qui y siège, et ce qu’on en sort.

Pourquoi c’est devenu une obligation implicite

L’article 20 de NIS 2 impose aux organes de direction d’approuver les mesures de gestion des risques et d’en superviser la mise en œuvre, avec une responsabilité possible en cas de manquement.

Côté ISO 27001, la clause 5 exige un engagement démontré de la direction, et la clause 9.3 impose une revue de direction à intervalles planifiés, avec des éléments d’entrée et de sortie définis.

Dans les deux cas, il faut pouvoir prouver que la direction a vu, compris et décidé. Le compte rendu du comité est cette preuve.

Ce qui fait qu’un comité s’enlise

On y présente une activité, pas des décisions. Nombre d’alertes, avancement des chantiers, incidents du trimestre. C’est intéressant et cela n’appelle aucun arbitrage.

Les participants n’ont pas le pouvoir de décider. Un comité composé exclusivement de la DSI et du RSSI ne peut arbitrer ni un budget, ni une priorité métier, ni une acceptation de risque.

Les sujets sont techniques. Un directeur financier ne peut pas se prononcer sur une politique de durcissement. Il peut se prononcer sur « accepte-t-on quatre jours d’arrêt de facturation ».

Rien n’est tracé. Sans compte rendu actant les décisions et les refus, le comité ne produit aucune preuve — et personne n’est engagé.

Ce qu’il faut y apporter

Trois catégories, et rien d’autre.

1. Les décisions à prendre. Chacune formulée comme une question fermée, avec les options et leurs conséquences. « Faut-il ouvrir l’accès distant aux prestataires sans authentification renforcée jusqu’en mars, ou décaler le projet X ? »

2. Les risques à accepter formellement. Un risque qu’on ne traite pas doit être accepté par quelqu’un qui en a l’autorité, et cela doit être écrit. C’est l’acte qui protège l’organisation et la direction.

3. Les alertes sur trajectoire. Ce qui ne tiendra pas l’échéance, et pourquoi. Annoncé tôt, c’est une information ; annoncé tard, c’est une faute — même logique que pour les missions de conseil.

Qui doit y siéger

Au minimum : un représentant de la direction générale disposant d’un pouvoir d’arbitrage budgétaire, la direction des systèmes d’information, le RSSI ou son équivalent, et un représentant métier des activités critiques.

Selon les sujets : juridique, ressources humaines, achats — ces derniers étant indispensables dès qu’on parle de chaîne d’approvisionnement.

Un comité de douze personnes ne décide pas. Cinq à sept est un format qui fonctionne.

Un ordre du jour qui marche

1. Suivi des décisions précédentes — cinq minutes, et cela change tout : sans ce point, les décisions ne s’appliquent pas.
2. Incidents significatifs et enseignements — quinze minutes.
3. Décisions à prendre — le cœur, la moitié du temps.
4. Risques à accepter ou refuser — formalisé, tracé.
5. Points d’alerte sur les trajectoires.

Les indicateurs sont envoyés avant, pas présentés pendant. Un comité qui consacre quarante minutes à commenter des graphiques n’a plus le temps de décider.

La fréquence

Trimestrielle pour la plupart des organisations. Mensuelle pendant un projet de certification ou une mise en conformité sous échéance. Au-delà du trimestre, les sujets s’accumulent et le comité devient une session de rattrapage.

Le test qui ne trompe pas

À la fin de l’année, comptez les décisions prises en comité et effectivement appliquées. Si le nombre est proche de zéro, le problème n’est ni la fréquence ni le format : c’est que le comité n’a jamais eu de pouvoir réel, et il faut le dire.

Sources

• ISO/IEC 27001:2022, clauses 5 (leadership) et 9.3 (revue de direction)
• Directive (UE) 2022/2555 (NIS 2), article 20

Aller plus loin

Nous animons ces instances dans le cadre de missions de gouvernance, risques et conformité, y compris en format RSSI à temps partagé.