Gouvernance, droit & économie du risque

Gouvernance, droit & économie du risque

Le droit est devenu, sans qu’on l’ait vraiment décidé, un moteur technique : RGPD, NIS2, DORA, le Cyber Resilience Act, chaque texte européen impose des choix d’architecture précis, pas seulement des obligations de papier. Ignorer cette évolution, c’est traiter la conformité comme une case à cocher en fin de projet, alors qu’elle façonne le projet depuis le premier jour quand on s’y prend correctement.

La gestion du risque, elle, reste souvent réduite à une formule simpliste, probabilité fois impact, qui masque plus qu’elle n’éclaire. La dette de sécurité se capitalise exactement comme une dette financière : chaque contrôle repoussé « pour plus tard » a un coût qui grossit en silence, et personne ne le voit venir tant que quelqu’un ne fait pas les comptes.

C’est là que l’économie prend le relais : un contrôle de sécurité a un coût total de possession qu’on sous-estime presque toujours, et les mauvaises pratiques persistent souvent de façon parfaitement rationnelle, parce que celui qui porte le risque n’est pas celui qui paierait pour le réduire. Expliquer à une direction financière pourquoi il faut payer pour un incident qui n’a pas eu lieu, c’est tout un art, et ça se travaille.

Le reste (mesure et preuve, relation aux tiers, processus métier, zones grises entre surveillance légitime et intrusive, géopolitique des sanctions numériques) découle de la même tension : faire la différence entre ce qui rassure sur le papier et ce qui protège réellement, et ce n’est presque jamais la même chose.