La supervision est l'exercice de l'orientation et de la responsabilisation sur le programme de sécurité par ceux qui sont, en dernier ressort, responsables de l'organisation. Elle est assurée par les conseils d'administration, les comités exécutifs et les comités dédiés au risque ou à la sécurité, qui examinent le programme, interrogent ses responsables, en approuvent l'orientation et tiennent la direction comptable des résultats. La supervision est délibérément distincte de la conduite quotidienne de la sécurité.
Dans la gouvernance stratégique, la supervision fournit l'orientation et l'examen critique qui maintiennent le programme aligné sur les objectifs de l'organisation et son appétence au risque. Ceux qui ont la charge de la supervision ne mettent pas en œuvre les contrôles : ils fixent les attentes, approuvent la stratégie et les ressources et vérifient que les risques sont gérés dans les limites convenues.
La supervision est importante car la sécurité implique des arbitrages lourds de conséquences sur le risque, l'investissement et les priorités, qui relèvent du niveau le plus élevé. Lorsque la direction s'engage activement, la sécurité reçoit l'autorité et les ressources dont elle a besoin et reste connectée aux objectifs de l'entreprise. Lorsque la supervision est faible ou purement symbolique, les programmes dérivent, les risques s'accumulent sans être vus et la responsabilisation se brouille.
Une supervision efficace repose sur des revues stratégiques régulières, un reporting clair et honnête et une prise de décision structurée dans laquelle les acceptations de risque importantes et les investissements majeurs sont explicitement examinés et consignés. Définir quelles décisions requièrent une approbation de la direction, et veiller à ce que les dirigeants disposent de l'information pour bien les prendre, est central pour rendre la supervision significative plutôt que formelle.
Références#
- ISO/IEC 27001, qui exige l'engagement de la direction au plus haut niveau et la revue de direction.
- COBIT, de l'ISACA, qui distingue la supervision de gouvernance de l'exécution de la gestion.