Des vulnérabilités systémiques au capital de maîtrise : le chaînon manquant de la gouvernance numérique

Par Jacky Galicher

L'audition d'Henri Verdier devant la commission d'enquête de l'Assemblée nationale sur les vulnérabilités systémiques du numérique marque une étape importante. Elle rappelle que notre dépendance ne se limite pas au cloud ou aux infrastructures. Elle concerne aussi les plateformes, les données, les moteurs de recherche, les modèles d'intelligence artificielle et, plus largement, les conditions dans lesquelles se construisent nos décisions.

Le constat est juste.

Mais il appelle désormais une seconde étape.

Car identifier les vulnérabilités ne suffit plus. Encore faut-il être capable de mesurer la capacité réelle des organisations à y résister.

En effet, les DSI disposent aujourd'hui d'indicateurs de performance, de coûts, de cybersécurité, de conformité ou de qualité de service. Les projets sont arbitrés au regard des budgets, des délais, des risques juridiques et des bénéfices attendus.

En revanche, une question reste largement absente des tableaux de bord :

Une question absente des tableaux de bord

Le projet renforce-t-il notre capacité à maîtriser notre système d'information… ou augmente-t-il notre dépendance ?

Or, cette question devient centrale avec l'essor de l'intelligence artificielle générative.

Lorsqu'une administration adopte un modèle d'IA, une plateforme cloud ou un service SaaS, elle n'acquiert pas seulement une technologie. Elle adopte également une architecture, un modèle économique, un rythme d'évolution, des interfaces, parfois même une manière de produire de la connaissance et de prendre des décisions.

Autrement dit, chaque choix technique modifie progressivement le degré de liberté futur de l'organisation.

C'est précisément cette évolution que nos outils de gouvernance peinent encore à mesurer.

Le capital de maîtrise : une nouvelle capacité à mesurer

Nous savons évaluer un risque cyber.

Nous savons réaliser une analyse d'impact au titre du RGPD.

Le coût complet d'un projet, nous savons également le mesurer.

Mais nous ne savons toujours pas mesurer ce que chaque décision numérique fait gagner… ou perdre… à notre capital de maîtrise.

Par ailleurs, cette approche ne s'oppose pas à l'innovation.

Elle ne consiste pas davantage à rechercher une impossible autonomie absolue.

Elle invite simplement à intégrer une nouvelle dimension dans les arbitrages : la préservation de la capacité d'action future.

C'est là que la réflexion d'Henri Verdier ouvre une perspective féconde.

Les vulnérabilités systémiques décrivent les risques auxquels nos organisations sont confrontées.

Elles identifient les menaces extérieures ; le capital de maîtrise mesure la capacité intérieure à leur résister.

L'un relève du diagnostic.
L'autre peut devenir un véritable instrument de gouvernance.

Demain, un projet numérique ne devrait plus être évalué uniquement selon son coût, ses performances ou sa conformité réglementaire.

Il devrait également répondre à quelques questions simples.

Autant de critères qui déterminent la liberté de décision de demain.

Un exemple concret : SaaS ou open source

Prenons un exemple simple. Une administration doit choisir entre deux solutions pour automatiser le traitement d'un flux documentaire : un service SaaS propriétaire, prêt à l'emploi en six semaines, ou une solution bâtie sur des briques open source, plus lente à déployer, nécessitant une montée en compétence interne.

Cependant, sur les critères classiques — coût initial, délai, confort d'usage — le SaaS l'emporte largement. C'est d'ailleurs presque toujours ce type d'arbitrage qui l'emporte aujourd'hui dans les comités de pilotage.

Mais si l'on interroge le capital de maîtrise, le tableau change. Dans le premier cas, l'administration ne saura toujours pas, dans trois ans, comment fonctionne le traitement qu'elle a acheté ; elle dépendra entièrement de la feuille de route et de la tarification du fournisseur ; elle n'aura aucune option de réversibilité si le contrat évolue défavorablement. Dans le second cas, elle aura investi plus lentement, mais elle disposera d'une équipe capable de comprendre, faire évoluer et, le cas échéant, remplacer la solution.

Ce n'est pas dire que la première option est toujours mauvaise. Le capital de maîtrise révèle ici un coût invisible : la perte progressive de capacité d'action. C'est précisément ce coût que les arbitrages actuels ne savent pas mesurer.

Vers un nouvel indicateur de gouvernance

La souveraineté numérique ne se résume pas à la localisation des données ni au choix d'un fournisseur européen.

Elle repose d'abord sur la capacité durable des organisations à conserver la maîtrise de leurs choix.

C'est sans doute le prochain chantier de la gouvernance numérique.

La gouvernance numérique ne manque plus de diagnostics. Elle manque désormais d'un instrument de mesure.

Ainsi, après avoir appris à piloter les risques, les organisations devront apprendre à piloter ce qui conditionne leur liberté d'action : leurs dépendances numériques.

Et cela suppose de doter les décideurs d'un nouvel indicateur : le capital de maîtrise.

Le capital de maîtrise pourrait devenir ce que le coût complet est devenu pour la gestion des projets : un indicateur incontournable de la qualité des décisions numériques.

De la même manière que l'analyse d'impact relative à la protection des données (AIPD) s'est imposée avec le RGPD, une analyse d'impact des dépendances numériques pourrait devenir le prochain standard de la gouvernance des systèmes d'information.