Les auditeurs voient dans la gestion des données l'un des principaux risques pour les entreprises

Les auditeurs sont, par définition, au cœur de l’actualité des entreprises qu’ils «auscultent » et de leurs grandes problématiques aussi bien empiriques que spécifiques. C’est justement pour cibler les sujets les plus préoccupants du moment que plusieurs instituts d’audit interne européens viennent de s’associer pour mener une enquête auprès de la profession et rédiger une synthèse dans un copieux rapport. Des entretiens approfondis ont ainsi été menés avec un large éventail de secteurs clés (construction/infrastructure, établissements financiers, système d’information, industrie, secteur public, distribution, télécoms, services publics et énergie). Toutes ces organisations ont une capitalisation boursière cumulée supérieure à 724 milliards d’euros, un chiffre d’affaires de plus de 441 milliards d’euros, dans pas moins de 173 pays.

Quels enseignements majeurs ont-ils tiré de tous ces entretiens ? Le domaine de risques le plus communément identifié par les responsables de l’audit interne tous secteurs et nationalités confondus est la cybercriminalité. « Ce n’est pas une surprise, étant donnée l’ampleur de la menace et la mesure dans laquelle toutes les organisations dépendent des technologies. Ce thème est suivi par le Règlement général sur la protection des données et l’enjeu plus vaste de la gestion des données. Le rythme des innovations auxquelles les organisations doivent faire face vient en troisième position », souligne le rapport.

L’enjeu de la protection des données (RGPD) semble, en effet, un problème particulièrement prégnant aux yeux des sondés. Il faut dire que la date limite pour la mise en conformité se rapproche à grands pas (la mise en œuvre est prévue d’ici au mois de mai 2018). Et les pénalités pour non-conformité s’annoncent conséquentes : pour les violations les plus graves, les amendes peuvent atteindre jusqu’à 4 % du chiffre d’affaires annuel. A titre d’exemple, l’amende de 400 000 £ imposée par le bureau du Commissaire à l’information britannique au groupe TalkTalk dans le secteur du haut débit, pour ses manquements médiatisés à la sécurité des données il y a deux ans, aurait pu atteindre la somme astronomique de 59 millions de livres sterling en application du RGPD ! « En outre, un sondage récent auprès de 900 décideurs du monde entier indique que seuls 31% d’entre eux considèrent que leur organisation est en conformité avec le RGPD, alors qu’une étude montre que seules 2% des organisations semblent être totalement en conformité », assure chiffre à l’appui l’auteur du rapport.

« Les données sont devenues des sujets prioritaires parce que la gouvernance de ces données et leur gestion ne se limitent pas seulement à la sécurité et à la confidentialité – elles visent également les processus internes afin d’optimiser, de conserver les données, d’avoir conscience des données disponibles et de la manière dont elles sont utilisées et gérées à but commercial », précise ainsi un responsable de l’audit interne d’un fournisseur multinational de réseau mobile au Royaume-Uni.

D’ailleurs, il n’y a pas que l’Union européenne à s’intéresser à la protection des données. En juin 2017, la Chine a adopté sa propre loi qui vise à la fois la cybersécurité et la protection des données, fusionnant en substance les dispositions de la directive européenne sur la sécurité des réseaux et de l’information et le RGPD. Aux Etats-Unis, 92 % des sociétés locales considèrent que la conformité avec le RGPD de l’Union européenne est une priorité absolue dans leur programme 2017 concernant la protection et la sécurité des données, indique en parallèle une étude réalisée par PwC.

Reste maintenant aux entreprises à se préparer à cette mise en conformité. Vu la quantité de données (aussi bien sur leurs clients que sur leurs collaborateurs) qu’elles détiennent, il est évident qu’elles vont devoir engager de lourds efforts organisationnels et financiers.