Gouvernance de l’information et des données, pour la performance et la conformité de l’entreprise

Par Chantal Ménard, conférencière, conseillère en gestion de l’information, Hydro-Québec

Une collaboration étroite est nécessaire entre les parties prenantes de la gouvernance de l’information pour atteindre le niveau souhaité de maturité de cette gouvernance. Les responsabilités et les dépendances entre les parties prenantes sont clairement définies dans le modèle de référence de gouvernance de l’information d’ARMA International (Information Governance Reference Model – IGRM) afin que chaque composante (rôle) puisse effectuer une gestion efficace et efficiente des informations. En résumé, voyons les rôles et responsabilités du juridique, de la sécurité de l’information, de la gestion de l’information et de l’informatique.

Juridique: Détermine le profil de risque de l’entreprise en fonction de son exposition aux litiges, aux exigences nationales et internationales en matière de confidentialité et de protection des données personnelles et de la propriété intellectuelle. Gère les risques et les effets sur l’activité des lois et des politiques relatives à la confidentialité. Réagit aux préoccupations des autorités de contrôle et des clients par rapport à l’utilisation des informations personnelles identifiables. Donne des conseils à propos de la protection et des précautions appropriées pour des informations spécifiques à risque élevé et leurs effets sur les contrôles des risques de gouvernance de l’information.

Sécurité de l’information : Développe, met en œuvre et gère l’approche sécurité, la stratégie, la directive et les programmes de l’entreprise. Crée des encadrements, sélectionne la technologie, met en œuvre les directives et surveille et informe les parties à propos des logiciels malveillants, des fuites, du piratage et d’autres événements reliés. Transmet les directives et les procédures à l’ensemble de l’entreprise. Permet l’adoption de normes de sécurité dictées par des parties prenantes, entre autres les administrations publiques. Informe les parties nécessaires en cas de fuite d’informations. Émet des codes de classification de sécurité des données (conjointement avec gestion de l’information et le juridique). Reste conforme avec les autorités de contrôle de protection des données.

Gestion de l’information : Développe et diffuse la directive et le programme de gouvernance de l’information. Soutient la mise en œuvre à l’aide de formations et de communications continues. Détermine et mesure la conformité. Sensibilise et informe les employés sur le cycle de vie de l’information, sur les flux informationnels et sur les cas d’usages des outils numériques. Participe à des projets informatiques pour l’évaluation et la mise en œuvre de logiciels. Propose son soutien aux différentes directions opérationnelles. Reste à l’affût des tendances en matière de gestion de l’information. Communique et collabore avec les parties prenantes clés pour l’implantation et le maintien de la politique et du programme.

Informatique : S’aligne davantage avec les directions opérationnelles et leurs objectifs. Augmente la capacité à gérer et à exploiter le volume élevé de données créées et reçues. Élimine des coûts, particulièrement ceux des technologies redondantes et du stockage. Collabore avec la gouvernance de l’information pour établir les plans appropriés de reprise et de continuité des activités après sinistre. Collabore avec tous les autres rôles de gouvernance de l’information pour comprendre le choix des technologies et les exigences de déploiement de chacun.

Gouvernance de l’information, définition et grands principes

Dans son glossaire de termes relatifs à la gestion des enregistrements et à la gouvernance de l’information (ARMA International TR 22-2016), ARMA International définit la gouvernance de l’information comme une « stratégie, cadre interdisciplinaire composé de normes, processus, rôles et mesures qui tiennent les organisations et les individus responsables du bon traitement des actifs informationnels.

Principe de base : l’information (ainsi que la donnée) est un actif d’entreprise.

Crédit : Kami Phuc – CC BY 2.0

Modèles de référence pour mettre en place une gouvernance de l’information

Il existe deux modèles complémentaires permettant d’établir et de déployer la gouvernance de l’information dans une entreprise : Information Governance Reference Model – IGRM et IGBOK: The Information Governance Body of Knowledge. Le IGRM souscrit aux principes GARP® d’ARMA International en identifiant les groupes d’acteurs clés de la gouvernance de l’information et en décrivant leurs intersections et les objectifs pour l’organisation. Ce modèle illustre la relation entre le devoir, la valeur et l’information et démontre la collaboration existante entre les groupes de parties prenantes pour atteindre les objectifs souhaités. Le IGBOK fournit aux parties prenantes de la gouvernance de l’information (gestion de l’information, technologie de l’information, droit, conformité / risque, confidentialité, sécurité et chefs d’unité opérationnelle) des instructions claires, concises et pratiques dont elles ont besoin gérer efficacement les actifs informationnels de leur organisation. Il contient des conseils stratégiques, des orientations politiques, de processus pratiques et des modèles de valeur

8 principes en gouvernance de l’information (ARMA Generally Accepted Recordkeeping Principles®)

Il existe 8 principes à mettre en place lorsqu’une entreprise souhaite réaliser une gouvernance de l’information :

1. Responsabilité

Un haut dirigeant (ou une personne exerçant une autorité comparable) doit superviser le programme de gouvernance de l’information et déléguer la responsabilité de la gestion des enregistrements et de l’information aux personnes concernées. L’organisation adopte des politiques et des procédures qui guident le personnel et assurent la conformité du programme.

2. Transparence

Les processus et les activités d’affaires d’une organisation, y compris son programme de gouvernance de l’information, doivent être documentés d’une manière ouverte et vérifiable, et cette documentation doit être mise à la disposition de l’ensemble du personnel et des parties intéressées.

3. Intégrité

Le programme de gouvernance de l’information doit être élaboré de telle sorte que l’information produite par l’organisation ou gérée pour celle-ci offre une garantie raisonnable et appropriée d’authenticité et de fiabilité.

4. Protection

Le programme de gouvernance de l’information doit être élaboré de façon à pouvoir assurer un niveau raisonnable de protection des enregistrements et de l’information qui sont privés, confidentiels, privilégiés, secrets, classifiés ou essentiels à la continuité des affaires ou qui nécessitent une protection pour quelle qu’autre raison que ce soit.

5. Conformité

Le programme de gouvernance de l’information doit être conçu pour se conformer aux lois applicables, à toute autre autorité contraignante ainsi qu’aux politiques de l’organisation.

6. Disponibilité

Une organisation doit gérer ses enregistrements et son information de façon que l’information recherchée puisse être trouvée et récupérée rapidement, efficacement et avec précision.

7. Conservation

Une organisation doit conserver ses enregistrements et son information pendant une période appropriée, en considération de ses exigences légales, réglementaires, fiscales, opérationnelles et historiques.

8. Disposition

Une organisation doit assurer une disposition appropriée et sans risque des enregistrements et de l’information qu’elle n’est plus tenue de conserver en vertu des lois applicables et de ses politiques.

Objectifs de la gouvernance de l’information

• Garantir que les données et les informations sont exactes et complètes, accessibles, opportunes et dignes de confiance;
• Créer une compréhension commune des processus d’affaires clés, des flux informationnels et des données et informations qui les soutient;
• Comprendre l’impact des modifications apportées aux processus d’affaires et aux systèmes clés sur la qualité des données et des informations;
• Reconnaître que la qualité des données et de l’information est une condition préalable pour mener efficacement ses processus d’affaires, et ce, avec toutes les principales parties prenantes;
• Aligner les objectifs de l’entreprise pour identifier et résoudre régulièrement la qualité des données et des informations et les problèmes reliés au risque de leur perte.
• Avoir les données et les informations les plus récentes et les plus précises pour prendre des décisions d’entreprise éclairées.
• Faire des économies permanentes dans la plupart des projets, grâce à l’alignement stratégique des ressources de l’entreprise et des actifs informationnels.
• Obtenir une conformité adéquate à la réglementation et à la législation en matière de gestion de l’information, et ce, de façon continue.
• Avoir une cohérence dans le traitement des informations de l’entreprise à tous les niveaux, pour améliorer la satisfaction et la confiance des parties prenantes et réduire les délais d’exécution des projets.
• Avoir un niveau de confiance plus élevé au sein de l’organisation quant au fait que les projets peuvent être terminés proprement, dans les délais impartis et dans les limites du budget.
• Avoir des communications interdisciplinaires pour affecter les bonnes personnes au bon moment selon leur rôle dans la gouvernance de l’information.
• Avoir une approche cohérente de la gestion des actifs d’information de l’entreprise pour permettre à l’organisation de mieux faire face aux changements technologiques et à la croissance de l’information.
• Avoir un traitement plus rapide de tout litige potentiel ou demande d’informations avec l’utilisation d’informations actuelles et cohérentes.
• Réaliser une matrice de gouvernance pour lier toutes les informations afin que les décisions soient opportunes et précises.
• Répondre à la réglementation et aux encadrements sur la protection des données personnelles.

Avantages:

• Harmonisation et soutien des objectifs stratégiques et avantage concurrentiel;
• Réduction des coûts associés à la gestion et à la recherche d’informations;
• Éviter les violations de données coûteuses;
• Analyses améliorées et capacités de rapport précis;
• Résilience accrue des opérations informatiques et reprise après sinistre plus efficace;
• Réduire la duplication des données et les inefficacités des processus;
• Déterminer les sources potentielles de données pour les « Data Lake » et l’analytique;
• Identifier les systèmes pertinents pour répondre efficacement aux demandes internes ou externes.

Conclusion

La mise en place d’une gouvernance de l’information nécessite une expertise professionnelle. ARMA International est une communauté de professionnels du secteur de la gestion de l’information et de la gouvernance de l’information. Nos experts disposent de la perspective stratégique et des connaissances requises pour établir et implanter une gouvernance de l’information et des données dans votre entreprise. Cette gouvernance vous aidera à gérer et exploiter les informations et les données de manière optimale, tout en réduisant les coûts et en atténuant les risques associés.

***

* Ce texte a également été publié par l’auteure sur LinkedIn le 21 novembre 2019. Il a été reproduit ici avec l’approbation et la collaboration de l’auteure.

À propos de l’auteure : Chantal Ménard est conseillère en gestion de l’information à Hydro-Québec depuis 10 ans. Elle est spécialisée en gestion de l’information (GED), des connaissances (KM) et des plates-formes collaboratives (SharePoint). Mme Ménard a occupé divers postes comme chargée de cours universitaires (UQAM et Université Laval) et comme conférencière (ARMA, AAQ, Université de Montréal et de Sherbrooke). Elle a notamment participé au stage technique international archives (STIA) à Paris en 2016, comme responsable du module collecte et gestion de l’archivage des documents numériques. Elle s’intéresse particulièrement à la gestion des connaissances, à la transformation digitale des entreprises et à l’innovation technologique.