Je partirais des décisions qui se bloquent souvent entre fonctions. La sécurité peut repérer une exposition, les finances contrôlent les fonds et les opérations, le créneau de changement. Comme PDG, je réunirais ces pouvoirs dans une instance décisionnelle régulière.
L’instance
Je présiderais une revue mensuelle avec le RSSI, les responsables techniques, financiers, opérationnels et des métiers concernés. À l’ordre du jour : arbitrages en suspens, dépendances communes et engagements exigeant une intervention. Les délégataires géreraient le quotidien ; les incidents urgents suivraient une voie de réponse immédiate.
Chaque proposition préciserait délai de décision, preuves, options réalisables et capacité requise par option. J’exigerais la présence de responsables pouvant engager des ressources ou de suppléants autorisés. Le débat fixerait un décideur nommé et une consigne exécutable. Le consensus ne conditionnerait pas l’action.
Le parcours
Je poserais trois questions. Le sujet relève-t-il des pouvoirs et moyens d’un responsable ? Le lui renvoyer pour exécution. Oblige-t-il des équipes concurrentes à revoir leurs priorités ? Trancher dans l’instance. Dépasse-t-il une limite de risque approuvée ou relève-t-il du seul conseil ? Obtenir la décision du conseil ; la direction répond de la protection temporaire.
Je comparerais préjudice client, coût du retard, faisabilité opérationnelle et exposition résiduelle. S’il manque des preuves, je demanderais quelle vérification peut changer le choix et jusqu’à quand décider sans danger. Avancer une échéance impose d’avancer la décision.
La surveillance
Le NIST CSF 2.0 place stratégie, rôles, politiques et surveillance dans sa fonction Govern. J’utiliserais ces résultats pour examiner notre organisation ; l’instance mensuelle est ma proposition de mise en œuvre.
Je demanderais au conseil d’approuver les limites stratégiques de risque et de vérifier leur respect par la direction. Celle-ci choisit les contrôles, attribue le travail et répond de son exécution. Le conseil doit connaître les écarts majeurs, désaccords persistants et preuves de suivi. Le RSSI aurait un accès direct au conseil pour contester mon récit.
Exemple hypothétique
Supposons que paie et facturation client requièrent les mêmes ingénieurs pour séparer les accès privilégiés. Chacune veut la priorité. Avec leurs responsables, je comparerais prochains paiements dus, droits exposés et restrictions provisoires possibles. L’instance pourrait réserver le premier créneau à la paie et limiter l’accès de facturation jusqu’au sien. Les finances devraient accepter la charge induite. Si l’accord dépasse une limite approuvée, je le ferais remonter avant d’agir.
Le suivi
À la revue suivante, je vérifierais financement, planification et tenue des protections. Une dépendance non satisfaite rouvrirait l’allocation. Je jugerais le modèle : permet-il une décision autorisée avant que les délais dictent l’issue, et le conseil peut-il la suivre jusqu’à l’action ?