Je jugerais la confiance entre un CEO et un CISO à ce qui se passe lorsque leurs intérêts semblent diverger. Un lancement est prêt, un engagement commercial a été rendu public, et le responsable de la sécurité explique qu’une faiblesse encore présente change la décision à prendre. Peut-il exposer le problème sans calculer d’abord le prix professionnel d’une intervention malvenue ? Le CEO peut-il contester sa recommandation sans passer pour indifférent aux dommages possibles ? Si ces deux conversations ne sont pas possibles, une relation agréable peut dissimuler une coopération fragile.
CEO et CISO doivent pouvoir être en désaccord devant une décision difficile. Une présentation mensuelle de conformité ne suffit pas. Elle peut contribuer à la supervision, mais elle arrive généralement après que les mots ont été choisis, les détails non résolus écartés et le message négocié. Je voudrais une relation qui fonctionne aussi avant cette mise en ordre, quand les faits sont incomplets et que chaque possibilité impose une perte différente.
Chacun doit de la clarté à l’autre. Le CISO doit rendre intelligibles l’exposition, les incertitudes, les solutions possibles et les limites de sa recommandation. Le CEO doit expliciter les priorités de l’entreprise, les pouvoirs de décision et la manière dont seront accueillies les informations dérangeantes. Aucune de ces obligations n’exige un accord. Elles rendent le désaccord plus utile et moins tributaire du courage personnel de celui qui prend la parole.
Pouvoir signaler un problème encore mal compris
Je dirais explicitement au CISO qu’une alerte précoce n’exige pas un diagnostic complet. Un dirigeant obligé d’établir tous les faits avant de parler risque de laisser passer le moment où une décision peut encore préserver des options. Dès le premier échange, il est possible de distinguer ce qui a été observé, ce qui en est déduit et ce qui reste inconnu. Ces distinctions donnent au CEO une base pour agir sans transformer un soupçon en certitude.
Cette permission doit résister à une alerte inopportune. Si ma première réaction de CEO consiste à demander pourquoi l’équipe de sécurité perturbe les objectifs du trimestre, je change le sens pratique de mon invitation. La prochaine alerte arrivera peut-être plus tard, entourée de précautions défensives et privée d’incertitudes pourtant utiles. Je commencerais plutôt ainsi : qu’est-ce qui demande notre attention maintenant ? Quelles actions préservent nos possibilités ? Quand les prochains éléments devraient-ils arriver ? La question des responsabilités peut suivre, sans devenir le droit d’entrée dans la discussion.
Je distinguerais le fait d’apporter une mauvaise nouvelle du fait d’avoir causé le problème. Un CISO peut être responsable d’un contrôle défaillant, d’une escalade insuffisante ou d’une mauvaise évaluation ; signaler la découverte n’est pas pour autant une faute supplémentaire. Inversement, la permission d’alerter tôt n’autorise pas les accusations sans fondement. J’attendrais des descriptions précises, des limites de confiance explicites et une correction rapide lorsque les éléments évoluent. La franchise et la rigueur doivent se soutenir.
Mon test serait concret : si le CISO découvrait ce soir qu’un contrôle présenté comme opérationnel n’est pas fiable, quelle serait, selon lui, ma première réaction demain ? Une réponse sur nos valeurs ne suffirait pas. Je voudrais savoir qui il contacterait, ce qu’il pourrait dire avant la fin de l’enquête et si quelqu’un chercherait à atténuer le message avant qu’il me parvienne. C’est dans ce parcours réel que l’autorisation de parler prend son sens.
Donner au désaccord une structure utilisable
La confiance ne dispense pas d’une méthode de décision. Pour une recommandation importante, je demanderais au CISO de présenter cinq éléments : l’activité concernée, la défaillance plausible, les éléments disponibles et leurs incertitudes, les choix possibles et l’échéance de décision. Le CEO peut ainsi examiner le raisonnement sans contester la légitimité de la sécurité comme sujet. Cette structure évite aussi qu’un constat technique urgent se transforme en demande indéfinie adressée à toute l’entreprise.
L’activité doit être décrite assez précisément pour être évaluée. « Nous avons un grave problème d’accès » laisse trop de travail à celui qui écoute. « Un compte fournisseur peut modifier les instructions de paiement d’un client sans seconde validation » désigne une action, un processus exposé et une conséquence possible. Je demanderais ensuite quelles protections existent déjà, si cet accès est utilisé et ce qui pourrait se produire avant l’effet de l’intervention proposée. Les réponses peuvent modifier l’urgence sans rendre la faiblesse acceptable.
Pour chaque choix, je voudrais comprendre les conséquences de l’action comme celles de l’attente. Une recommandation de suspension doit préciser quelles tâches légitimes s’arrêtent, quelles solutions de remplacement existent et sur quelle base l’accès serait rétabli. Une tolérance temporaire doit expliquer ce qui demeure possible, qui peut détecter une difficulté et quelle condition met fin à l’exception. « Accepter » et « refuser » décrivent rarement suffisamment une décision de direction.
En tant que CEO, je questionnerais les hypothèses et les compromis. Quels éléments rendent cette option préférable ? Qu’est-ce qui vous ferait changer d’avis ? Quel coût avons-nous oublié ? J’attendrais du CISO la même exigence envers l’argument commercial. Le délai est-il contractuel ou simplement souhaité ? Peut-on réduire le périmètre du lancement ? Qui supporte les conséquences si nos hypothèses échouent ? La confiance donne à chacun accès au raisonnement qui soutient la position de l’autre.
Un vocabulaire commun doit avoir des limites
Je conviendrais d’un petit vocabulaire du risque avant d’en avoir besoin dans l’urgence. Critique, tolérable, temporaire ou maîtrisé peuvent masquer des jugements différents. Pour un CEO, un incident maîtrisé signifie peut-être que ses conséquences commerciales ne peuvent plus s’étendre. Pour un responsable de la sécurité, cela peut seulement signifier qu’une voie d’accès a été bloquée tandis que l’enquête continue. Les deux peuvent être sincères et produire malgré tout un malentendu dangereux.
Je rattacherais ces mots à des conditions observables. Si l’incident est maîtrisé, quel accès ou quelle activité a cessé ? Qu’est-ce qui reste à vérifier ? Qu’est-ce qui pourrait rouvrir le problème ? Si une exception est temporaire, quand expire-t-elle et que faut-il accomplir avant de la renouveler ? Si l’exposition est importante, quel engagement client, quelle capacité opérationnelle ou quelle obligation de gouvernance justifie ce jugement ? Le vocabulaire doit révéler les raisons de l’évaluation, et non les remplacer.
Je refuserais également qu’une couleur constitue toute la conversation. Le rouge peut indiquer l’urgence, un dommage possible, l’absence d’informations ou le non-respect d’une exigence interne. Ces différences comptent pour choisir. Je voudrais que le CISO distingue une conséquence potentiellement grave des indices montrant qu’elle se produit, et qu’il distingue les deux de l’incertitude due à une visibilité limitée. Cette incertitude peut elle-même justifier une action, mais il faut alors la nommer comme raison de cette action.
Le CEO a une obligation correspondante envers le langage des affaires. « Priorité stratégique » ne peut pas signifier la disparition de toute contrainte. « Aucun retard » ne peut pas vouloir dire silencieusement que toute exposition devient acceptable. Je préciserais quels engagements sont fixes, lesquels peuvent évoluer et quelles hypothèses les soutiennent. Un vocabulaire partagé suppose une traduction réciproque : la sécurité devient compréhensible pour l’entreprise, et la pression commerciale peut être examinée par la sécurité.
Convenir des interruptions avant d’en avoir besoin
Je définirais avec le CISO les motifs d’escalade pendant que nous avons le temps de réfléchir. Ils devraient refléter les conséquences et les besoins de décision, pas seulement la gravité technique. Un accès non autorisé soupçonné dans un processus sensible, une perte de confiance dans la capacité de restauration, une condition de validation non respectée ou un engagement client majeur menacé peuvent demander une attention directe. L’accord doit préciser ce qui rend un sujet assez urgent pour interrompre le CEO.
Pour chaque motif, je désignerais le premier destinataire, son remplaçant s’il est indisponible et les pouvoirs utilisables pendant la prise de contact. Un accès direct reste fragile s’il dépend d’un seul dirigeant répondant sur un seul appareil. Je voudrais un message bref indiquant le problème, le choix immédiat, le dernier moment où la décision peut raisonnablement être prise et les actions déjà engagées par délégation. Une présentation complète pourra suivre lorsqu’elle sera utile.
Je prévoirais aussi une voie pour les préoccupations qui n’entrent dans aucune catégorie prédéfinie. Le CISO doit pouvoir dire : « Cela n’atteint pas notre seuil habituel, mais cette combinaison m’inquiète. » La raison doit être consignée et examinée. Si le sujet s’avère ensuite moins grave, le recours exceptionnel ne doit pas être traité comme une faute pour ce seul motif. Sinon, le dispositif apprend aux personnes à attendre des signes familiers face à une situation qui ne l’est pas.
En retour, je demanderais au CISO de respecter la finalité de l’escalade. Toute difficulté opérationnelle ne doit pas devenir une demande d’intervention du CEO. Lorsque les pouvoirs existants suffisent, il faut les exercer et rendre compte selon le rythme convenu. Des interruptions répétées pour le même sujet non résolu peuvent révéler un problème de responsabilité ou de ressources nécessitant une décision explicite. Il faut traiter cet obstacle, plutôt que pousser le CISO à rendre chaque nouveau message plus alarmant.
Hypothèse : un lancement avec une voie d’accès non vérifiée
Imaginons une entreprise qui prépare le lancement d’un service avec un partenaire de distribution. Le CISO constate que les équipes d’assistance du partenaire peuvent atteindre les dossiers clients en production par une voie d’accès qui n’a pas reçu l’examen prévu. Le responsable commercial estime qu’un report compromettrait des engagements déjà pris envers les clients. Le CEO doit décider avant le prochain jour ouvré. Il s’agit d’une situation illustrative, pas du récit d’un incident réel.
Je demanderais des options qui modifient l’exposition, et pas seulement des opinions sur le lancement. Une possibilité serait de reporter tout le service jusqu’à la vérification de l’accès. Une autre serait de lancer un service plus limité en désactivant l’accès de l’assistance du partenaire. Une troisième pourrait autoriser un accès restreint soumis à des contrôles précis, à condition de pouvoir réellement les mettre en place et les vérifier avant le lancement. Si le service limité ne peut fonctionner sans l’accès contesté, ce n’est pas une solution viable : il faut le retirer de la comparaison.
Chaque option viable aurait des conséquences explicites. Le report laisse du temps pour examiner le problème, avec des coûts commerciaux et opérationnels. Le lancement réduit peut préserver certains engagements tout en transférant l’assistance aux équipes internes. L’accès restreint peut maintenir davantage de fonctionnalités, mais laisse subsister l’exposition que les restrictions ne couvrent pas. Je demanderais qui a confirmé la faisabilité opérationnelle de chaque option. Une condition de sécurité inexécutable ne protège personne du seul fait qu’elle figure dans une note de validation.
Le CISO devrait recommander une option et expliquer pourquoi, en précisant les conditions minimales en deçà desquelles il déconseillerait de poursuivre. Le CEO devrait exposer la raison commerciale pour laquelle il accepte ou écarte cette recommandation. Si je choisissais un lancement limité, je nommerais le responsable métier, les vérifications nécessaires, l’expiration du dispositif et l’événement qui entraînerait la suspension de l’accès. Je ne demanderais pas au CISO de réécrire son évaluation pour rendre mon choix inévitable. Son désaccord peut conserver toute son utilité dans la trace de la décision.
Qui assume le choix, et qui peut l’arrêter ?
Je distinguerais l’évaluation technique, la recommandation, l’autorisation et l’exécution. Le CISO peut apprécier l’exposition et recommander des protections, tandis qu’un responsable métier porte le service concerné. Le CEO peut arbitrer un compromis entre plusieurs fonctions. Les personnes chargées d’appliquer les contrôles ont besoin de pouvoirs et de moyens clairs. Appeler tout cela « validation sécurité » empêche de voir qui a réellement choisi de poursuivre et qui doit agir si les conditions ne sont plus remplies.
La volonté du CEO d’accepter un risque ne crée pas une autorité sans limites. Certaines exigences découlent d’engagements ou d’obligations qui demandent une interprétation distincte et ne peuvent être écartées par un accord privé entre deux dirigeants. J’associerais à ces décisions les responsables compétents du juridique, de la conformité ou de l’activité. Il faut établir la véritable marge de décision avant d’invoquer l’autorité de la direction comme si elle réglait toute question.
Je définirais à l’avance le pouvoir d’arrêt lorsque l’attente pourrait annuler l’utilité d’une protection. Ce pouvoir nécessite un périmètre, une condition de déclenchement, une obligation de notification et un chemin de réexamen. Un CISO pourrait être autorisé à suspendre un accès précis dans certaines circonstances sans recevoir un pouvoir illimité d’interruption de tous les services. À l’inverse, une autorité théorique ne sert à rien si un autre dirigeant peut discrètement annuler la mesure sans l’examen requis.
Une exception signée ne clôt pas le sujet. Je demanderais qui reste chargé de détecter l’événement qui change le choix, si cette personne dispose de la visibilité nécessaire et à qui revient la décision si la correction promise prend du retard. L’acceptation par la direction doit établir une responsabilité continue. Elle ne doit pas devenir un mécanisme par lequel chacun transfère sa responsabilité à un document.
Contester la recommandation sans discréditer son auteur
J’attendrais du CEO qu’il demande ce que coûte une recommandation : dépenses directes, capacité d’ingénierie détournée, difficultés opérationnelles, fonctionnalités perdues et contraintes pour les clients ou les salariés. Ces questions permettent de juger si la réponse proposée est proportionnée et réalisable. Le CISO ne devrait pas avoir à défendre l’existence de la fonction sécurité chaque fois qu’elles sont posées. La discussion doit rester attachée au choix précis que nous examinons.
J’attendrais également du CISO qu’il explique à quoi pourrait ressembler l’échec sans s’appuyer sur le scénario le plus effrayant que l’on puisse imaginer. Quel enchaînement relie la faiblesse à une conséquence pour l’entreprise ? Quelles étapes sont plausibles dans les conditions présentes ? Lesquelles supposent des hypothèses invérifiables ? Que remarquerions-nous, et qu’est-ce qui pourrait rester invisible ? Une réponse utile peut être incertaine. Sa valeur tient à un raisonnement assez clair pour être discuté.
Je ne transformerais pas une décision en cours en épreuve publique de loyauté. Si je conteste le CISO en réunion de direction, je dois nommer l’hypothèse ou le compromis en cause. Je ne dois pas suggérer que sa recommandation traduit de la lâcheté, une volonté de blocage ou une incapacité à comprendre l’entreprise. Le CISO doit la même retenue à ses collègues : questionner un calendrier ne permet pas d’insinuer que son responsable souhaite exposer autrui à un dommage. Les intentions prêtées aux personnes remplacent mal l’examen de leur proposition.
Une fois la décision prise, les deux dirigeants doivent la communiquer fidèlement. Le CISO peut dire que la direction a retenu une option assortie de conditions tout en maintenant une recommandation professionnelle différente. Le CEO peut soutenir le rôle du responsable de la sécurité sans prétendre que l’accord était unanime. Je préfère une présentation cohérente d’une décision contestée à une mise en scène du consensus qui laisse chacun dans le doute sur ce qui a été autorisé.
Réparer la confiance par les faits et le comportement
La confiance peut se dégrader après une alerte exagérée, une escalade manquée, une condition ignorée ou une réaction du dirigeant qui rend la franchise coûteuse. Je traiterais le manquement précis plutôt que d’exiger un retour à la normale. Quelles informations étaient disponibles ? Quelle attente chacun pensait-il devoir respecter ? Où le comportement s’est-il écarté de l’accord ? Qu’est-ce qui change avant le prochain choix important ? Ces questions donnent un contenu concret à la réparation.
Si une alerte se révèle inexacte, je distinguerais une évaluation raisonnable dans l’incertitude d’un raisonnement négligent. Examiner la qualité de la décision exige de revenir à ce qui pouvait être connu à ce moment-là. Il faut aussi demander si le CISO a corrigé rapidement son appréciation et si les incertitudes initiales étaient visibles. Un résultat défavorable ne prouve pas automatiquement un mauvais jugement, et un résultat favorable ne valide pas une recommandation sans fondement.
J’appliquerais la même exigence au CEO. Si j’ai approuvé une disposition temporaire puis laissé disparaître son échéance, je dois assumer ce manquement. Si j’ai demandé une information précoce avant d’humilier la personne qui l’apportait, une nouvelle invitation à parler librement ne répare pas la contradiction. Je reconnaîtrais mon comportement, rétablirais le circuit de décision et montrerais une autre réaction lors de la prochaine alerte dérangeante.
Je réexaminerais périodiquement cette relation à partir de décisions réelles : les alertes sont-elles arrivées alors que des options restaient ouvertes ? Les recommandations exposaient-elles leurs hypothèses ? Les conditions fixées par la direction ont-elles reçu des moyens et été appliquées ? Le désaccord est-il resté dans la trace écrite ? Je demanderais aussi ce que le CISO a cessé de soulever parce que les conversations précédentes n’aboutissaient à rien. La confiance devient opérationnelle lorsque chacun peut apporter une vérité gênante et repartir avec une décision claire, dont la responsabilité est assumée. C’est cette relation que je chercherais à entretenir.