Dimension 1 : Actifs stratégiques
Actifs physiques
L'infrastructure conditionne la capacité de résilience opérationnelle des entreprises. Une concentration sur un nombre limité de sites (production, sites logistiques, data centers, …) peut optimiser l'efficacité, mais expose l'entreprise à des vulnérabilités en cas de perturbation. À l'inverse, les organisations disposant de solutions alternatives peuvent s'adapter rapidement sans perdre le contrôle de leurs opérations, notamment lorsqu'un site est à l'arrêt.
Questions clés :
• Sur combien de sites indépendants repose la majorité de nos opérations critiques (sites de production, data centers, sites logistiques, …) ?
• Combien de temps et dans quelles proportions les opérations peuvent-elles continuer si un site est à l'arrêt ?
Exemple de dépendance
Les opérations reposent sur un nombre restreint de sites, systèmes ou équipements. L'activité est économiquement liée à un nombre réduit de régions ou sous-régions du monde.
Pratique souveraine
Les activités critiques peuvent être transférées sans interruption majeure et dans une fenêtre de temps restreinte vers un autre site ou dispositif.
Actions recommandées :
Identifier les opérations dépendantes d'un nombre restreint de sites et créer des redondances si nécessaire. Cela peut inclure une capacité de secours contractuelle ou la duplication d'équipements critiques.
Actifs immatériels
La technologie et la propriété intellectuelle sont des piliers de souveraineté. Dès lors qu'une partie de leur usage, de leur propriété ou de leurs droits est externalisée, l'activité s'expose aux priorités, aux contraintes et aux délais de tiers, créant un risque de dépendance.
Questions clés :
• Contrôlons-nous les technologies essentielles à nos activités ?
• Pourrions-nous continuer à opérer si les conditions d'accès aux technologies ou aux licences changeaient ?
Exemple de dépendance
La technologie clé sous licence et la continuité du modèle dépendent de tiers.
Pratique souveraine
L'entreprise détient ou codétient la propriété intellectuelle et peut modifier ou remplacer les composants de façon autonome.
Actions recommandées :
Clarifier quelles technologies sont détenues et lesquelles sont sous licence. En matière de partenariats, sécuriser l'accès à la documentation. Etablir un audit complet de la propriété intellectuelle et des technologies utilisées le plus régulièrement par l'entreprise.
Capital humain
L'entreprise est une somme de compétences réparties et il est nécessaire d'assurer qu'elles sont correctement distribuées et sécurisées. L'expertise critique est parfois concentrée entre un nombre limité d'individus. Lorsque la responsabilité ou la compétence est centralisée, l'organisation s'expose à une vulnérabilité en cas de changement de priorités ou de départ imprévu.
Questions clés :
• Dans quelle mesure se trouverait-on en difficulté si un ou plusieurs profils clés quittaient l'entreprise ?
• Comment assurons-nous le dédoublement / la succession des personnes référentes sur les compétences critiques ?
Exemple de dépendance
Un nombre restreint d'individus détient une compétence ou un savoir essentiel à la poursuite de l'activité.
Pratique souveraine
Le savoir est partagé, documenté et transférable entre les différentes fonctions de l'organisation.
Actions recommandées :
Cartographier les détenteurs de l'expertise, documenter les savoirs clés et organiser leur diffusion via un partage structuré des responsabilités. Organiser la succession et le doublement systématiques des personnes référentes.
Innovation et R&D
La R&D façonne les compétences différenciantes de demain. Lorsqu'elle dépend de partenariats ou de financements externes, les priorités d'innovation peuvent s'aligner sur des intérêts tiers, générant un risque de dépendance. La maîtrise de la feuille de route R&D devient alors un levier critique pour
orienter l'innovation vers les priorités fondamentales de l'entreprise
et préserver son avantage compétitif.
Questions clés :
• Comment sont définies les priorités d'innovation ? Comment est organisée la veille technologique ?
• Les technologies développées sont-elles protégées contractuellement ?
Exemple de dépendance
La R&D est partiellement soumise aux priorités des parties externes (dans leurs priorités de recherche par exemple).
Pratique souveraine
L'entreprise définit ses priorités et contrôle l'accès aux résultats et données.
Actions recommandées :
Définir clairement les responsabilités sur l'orientation R&D et sécuriser en amont les droits de propriété intellectuelle, tant sur les résultats que sur les données produites. Développer une expertise interne dédiée afin d'accroître la différenciation sur le marché. Piloter en interne la veille et l'innovation R&D et les intégrer aux priorités du Comité Exécutif.
Gouvernance des données
La souveraineté des données ne se résume pas à leur lieu de stockage. Juridiction applicable, droits d'accès, gestion des clés de chiffrement et maîtrise de l'infrastructure déterminent si les données peuvent être exploitées librement ou doivent se conformer aux règles imposées par des acteurs externes.
Questions clés :
• À quelles réglementations sont soumises nos données critiques ?
• Qui contrôle l'accès physique aux données de l'entreprise ?
Exemple de dépendance
Certaines données sensibles sont soumises au régime d'une juridiction étrangère avec un contrôle interne limité (ex. Cloud Act aux États-Unis).
Pratique souveraine
L'entreprise contrôle l'accès, les clés et les décisions de stockage, avec une parfaite connaissance de son niveau d'exposition aux juridictions extraeuropéennes.
Actions recommandées :
Cartographier l'architecture de données critiques et les cadres juridiques applicables. Garder le contrôle des clés de chiffrement et des autorisations internes. Attribuer une responsabilité claire pour éviter les incertitudes lors des audits ou demandes clients. Disposer d'un contrôle interne outillé, audité et tracé sur la gouvernance des données.