Publicly Disclosed Corporate Security Governance in Critical-Service Firms: Accountability Structures and Disclosure-Specificity Signals

Dans le monde moderne, certaines entreprises occupent une position unique : elles gèrent les systèmes essentiels qui permettent à la société de fonctionner. Ce sont les entreprises qui alimentent nos lumières, déplacent nos trains, connectent nos réseaux numériques et gèrent les flux d'argent. Parce que leur travail est si vital, les gouvernements et le public attendent d'elles qu'elles soient sûres, résilientes et prêtes à affronter les problèmes. Pour garantir cela, ces entreprises sont appelées à gérer les risques avec soin et à informer le public de la manière dont elles le font. Cette communication publique est appelée la divulgation. Il s'agit de l'acte de rédiger ce qu'une entreprise prévoit de faire, qui est responsable et comment elle vérifie son travail. Cependant, il existe une différence cruciale entre rédiger un plan et l'appliquer réellement. Une entreprise peut publier un document détaillé sur la sécurité sans pour autant avoir un système sûr en place, tout comme une personne peut promettre de faire de l'exercice sans jamais mettre les pieds dans une salle de sport. Le défi pour les observateurs extérieurs est qu'ils ne peuvent pas pénétrer à l'intérieur de ces entreprises pour voir la véritable machinerie. Ils ne peuvent que lire les documents que les entreprises choisissent de partager. Cela crée un écart entre ce qui est dit et ce qui est fait, un écart que les chercheurs doivent naviguer avec prudence pour comprendre le véritable état de la sécurité des entreprises.

Une étude récente de Karim Hardy, chercheur à l'École Nationale Supérieure des Mines de Paris, s'est donné pour mission de cartographier précisément ce que ces entreprises essentielles disent dans leurs rapports publics. L'étude s'est concentrée sur vingt-quatre sociétés cotées en Europe qui fournissent des services critiques tels que l'énergie, le transport, l'infrastructure numérique et la banque. Le chercheur a rassemblé trente et un documents publics de ces entreprises, principalement leurs rapports annuels pour l'année 2025, et les a lus avec un ensemble de questions très spécifiques en tête. Au lieu d'essayer de deviner la performance réelle de ces entreprises, l'étude a posé une question plus simple et plus précise : à quel point les entreprises sont-elles spécifiques lorsqu'elles parlent de leurs règles de sécurité ? Le chercheur a examiné dix domaines différents de la gestion de la sécurité, allant de l'identité du membre du conseil d'administration chargé de superviser la sécurité, à la manière dont ils gèrent leurs fournisseurs, jusqu'à la façon dont ils apprennent de leurs erreurs. Chaque mention dans les documents a été classée selon quatre niveaux de détail. Le niveau le plus bas était une promesse vague de sécurité. Le niveau suivant consistait à nommer une personne ou un groupe spécifique en charge. Le niveau le plus élevé était une description claire d'un système opérationnel comprenant des contrôles, des retours d'expérience et un moyen de mesurer le succès.

Les résultats ont révélé un modèle clair dans ce que ces entreprises sont prêtes à partager. Les informations les plus cohérentes et les plus détaillées trouvées dans les rapports concernaient la manière dont les risques de sécurité sont liés à la stratégie globale de l'entreprise. Presque toutes les entreprises, vingt-trois sur vingt-quatre, décrivent un processus spécifique et nommé pour intégrer la sécurité dans leurs plans de gestion des risques principaux. Elles déclarent clairement qui est responsable et comment cela s'inscrit dans un cadre plus large. Cela suggère que pour ces entreprises, parler du lien entre la sécurité et la stratégie commerciale est devenu une pratique standard et bien définie dans leur rédaction publique. Cependant, le tableau change radicalement lorsque le chercheur examine la manière dont ces entreprises gèrent leurs partenaires et fournisseurs extérieurs. Ce domaine, connu sous le nom de gouvernance des tiers, est celui où les descriptions sont les moins détaillées. Bien que seize entreprises aient mentionné un certain niveau de surveillance de leurs fournisseurs, cinq entreprises n'en ont pas du tout parlé dans les documents examinés. Même parmi celles qui en parlaient, les descriptions étaient souvent moins détaillées que celles concernant la stratégie interne. Cela ne signifie pas que ces entreprises échouent à gérer leurs fournisseurs ; cela signifie simplement que les documents publics ne montrent pas le même niveau de détail spécifique pour cette partie de leur travail que pour leur planification interne.

L'étude a également examiné si ces entreprises appartenaient à des groupes distincts et prévisibles, tels que les entreprises « axées sur la stratégie » ou les entreprises « axées sur la résilience ». Le chercheur a recherché des combinaisons récurrentes de divulgations détaillées pour voir si un type d'entreprise stable émergeait. Bien que certains modèles apparaissent fréquemment, comme les entreprises qui sont fortes à la fois dans la stratégie interne et dans le reporting externe, ces modèles se chevauchaient trop pour créer des catégories nettes. Une entreprise peut être forte dans un domaine et faible dans un autre sans correspondre à une étiquette unique. La recherche a conclu que tenter de forcer ces entreprises dans des types rigides serait trompeur. Au contraire, la description la plus honnête est que ces entreprises partagent un langage commun pour parler de leurs plans de sécurité internes, mais qu'elles varient considérablement dans la quantité d'informations qu'elles révèlent sur leurs relations extérieures.

Une conclusion importante de l'étude concernait la source de l'information elle-même. Le chercheur a découvert que presque tous les détails spécifiques trouvés dans ces rapports étaient liés à la cybersécurité et aux technologies de l'information. Lorsque le chercheer a supprimé toute mention d'ordinateurs, de données ou de réseaux numériques de l'analyse, la quantité d'informations exploitables a chuté drastiquement. Sur les centaines de détails spécifiques trouvés, seule une petite fraction demeurait sans être explicitement liée à la sécurité numérique. Cela suggère que lorsque ces entreprises parlent de sécurité dans leurs rapports publics, elles parlent principalement de menaces numériques. D'autres aspects importants de la sécurité, tels que la protection physique des bâtiments, la prévention de la fraude ou la gestion de crise pour des événements non numériques, étaient beaucoup moins visibles dans les documents. Cela ne signifie pas que ces autres domaines sont ignorés, mais cela signifie que le registre public est fortement biaisé vers le monde numérique.

L'étude a veillé à tracer une ligne stricte entre ce qui était écrit et ce qui se passait réellement. Le chercheur a souligné que trouver une description détaillée dans un rapport ne prouve pas que le système fonctionne bien dans la réalité. Une entreprise peut rédiger un plan parfait et échouer tout de même à l'exécuter. Inversement, une entreprise peut disposer d'un système robuste mais choisir de ne pas le décrire en détail dans son rapport public. L'étude n'a pas mesuré la sécurité, la résilience ou l'efficacité. Elle a seulement mesuré la spécificité des mots utilisés dans les documents publics. En maintenant cette limite claire, la recherche fournit une carte fiable de ce qui est visible pour le public, sans faire d'hypothèses sur ce qui se cache derrière les portes closes de ces organisations essentielles. Ce travail sert de rappel que, bien que les rapports publics offrent une fenêtre sur la gouvernance des entreprises, cette fenêtre ne montre que ce que l'entreprise choisit d'exposer, et souvent, cet exposé est fortement centré sur le domaine numérique.