La loi 25 et la gouvernance informatique : pourquoi les entreprises québécoises ne peuvent plus se permettre d’adopter une approche réactive

Les entreprises québécoises gèrent désormais leurs activités sensibles en matière de confidentialité à l’aide de logiciels de gestion documentaire et de gestion des dossiers, de Microsoft 365, de sauvegardes, de disques partagés, de droits d’accès, de contrats et d’applications spécifiques aux clients. La loi n° 25 et la gouvernance informatique : pourquoi les entreprises québécoises ne peuvent plus se permettre d’adopter une approche réactive ne se limite pas à un simple débat juridique ou sur la protection de la vie privée.

Elle a une incidence sur les personnes chargées d’approuver les accès, sur la manière dont les équipes signalent les incidents, sur la bonne restauration des sauvegardes et sur la façon dont les responsables évaluent les risques. Alors que 85 % des organisations ont été victimes d’un incident de perte de données au cours de l’année écoulée, la gouvernance permet d’établir des règles plus claires pour le travail quotidien et d’assurer des transferts de tâches plus sûrs.

Emilee Vincelli, assistante de direction chez Proximit, fait remarquer : « La gouvernance fonctionne lorsqu’elle est liée à de véritables autorisations, à de véritables systèmes et à de vraies personnes, et non lorsqu’elle reste enfermée dans un dossier que personne n’ouvre. »

La loi 25 et la gouvernance informatique : pourquoi les entreprises québécoises ne peuvent plus se permettre d’adopter une approche réactive

Une informatique réactive entraîne un manque de clarté quant aux responsabilités. Personne ne sait qui a autorisé l’accès au dossier d’un client, si les sauvegardes ont été testées, quel prestataire gère la plateforme comptable, ni comment un incident doit être signalé à la direction.

• Les décisions d’accès dérivent : les employés, les prestataires et les fournisseurs accumulent des autorisations sur Outlook, Teams, les dossiers partagés, les systèmes de gestion des documents juridiques, les outils comptables, les VPN et les applications spécifiques aux clients. La gouvernance des identités reste difficile, 58 % des organisations ayant du mal à faire respecter les privilèges et 54 % ne disposant pas d’automatisation pour la gestion du cycle de vie. L’adoption des outils peut également dériver : l’IA « fantôme » a été impliquée dans environ une violation sur cinq et a alourdi le coût moyen d’environ 670 000 dollars.

• Les incidents ne sont pas clairement attribués : lorsqu’une règle suspecte apparaît dans la boîte de réception ou qu’un ordinateur portable signale la présence d’un logiciel malveillant, les équipes perdent du temps à déterminer qui doit approuver la mise en quarantaine, qui doit examiner les journaux et qui doit en informer la direction.

• Les sauvegardes doivent pouvoir être vérifiées : grâce à une surveillance quotidienne et à des tests de restauration trimestriels, la sauvegarde passe du stade de simple hypothèse à celui d’un processus métier récupérable pour Microsoft 365, les serveurs locaux et les données métier.

• Les budgets sont liés aux risques : les efforts en matière de conformité et de sécurité sont freinés lorsque les dépenses ne sont engagées qu’à la suite de tickets d’assistance ou de pannes. La planification du vCIO, les QBR, les audits et les processus standardisés permettent de relier les budgets informatiques au contrôle d’accès, aux tests de sauvegarde, au support applicatif et aux priorités en matière de conformité.

La loi n° 25 et la gouvernance informatique dans le cadre des activités quotidiennes des entreprises québécoises

La gouvernance prend tout son sens lorsqu’elle s’inscrit dans le cadre du travail quotidien : une demande d’ouverture de dossier pour un nouveau collaborateur, une autorisation d’accès à une boîte aux lettres partagée, une demande de départ, une dérogation à l’authentification multifactorielle, l’achat d’un logiciel, la facturation d’un fournisseur ou encore un rapport destiné à la direction à la suite d’une alerte de sécurité. C’est là que les obligations en matière de protection de la vie privée rejoignent les opérations quotidiennes. Les politiques doivent préciser qui peut accéder aux dossiers des clients, quels systèmes contiennent des informations personnelles et comment les modifications sont documentées, sans pour autant ralentir chaque demande. La gestion des identités mérite une attention particulière, car 58 % des organisations ont du mal à faire respecter les privilèges et 54 % ne disposent pas d’automatisation pour la gestion du cycle de vie. L’utilisation de l’IA fait désormais partie de cette même routine, car l’« IA fantôme » a été impliquée dans environ une violation sur cinq et a alourdi le coût moyen d’environ 670 000 dollars.

Scénario spécifique à un domaine : au sein d’un cabinet d’avocats, le départ d’un collaborateur doit entraîner sa suppression du système de gestion sécurisée des documents, du logiciel de gestion des dossiers, des groupes Microsoft 365, de l’accès VPN et de tous les emplacements contenant des dossiers clients. L’authentification multifactorielle (MFA) doit être imposée aux utilisateurs restants, et la validation des sauvegardes doit permettre de s’assurer que les dossiers en cours, les documents archivés et les archives de messagerie peuvent être restaurés. Proximit prend en charge les applications spécifiques aux clients au lieu de les considérer comme extérieures à l’environnement géré, sans aucune exclusion dans les systèmes que nous gérons.

L’étape suivante consiste à transformer ce contexte en une capacité opérationnelle reproductible.

Contrôle d’accès, validation des sauvegardes, gestion des incidents, rapports à la direction.

Pourquoi la loi n° 25 et la gouvernance informatique ont leur place dans la planification stratégique

La gouvernance informatique fonctionne lorsque la direction la considère comme faisant partie intégrante de la discipline opérationnelle, et non comme un projet secondaire auquel on ne s’attelle qu’une fois que la file d’attente des tickets s’est allongée ou qu’il est temps de renouveler le contrat d’un fournisseur.

1. Une répartition claire des responsabilités réduit les retards : les autorisations d’accès, les analyses d’incidents, les changements de prestataires et les rapports doivent être attribués à des responsables désignés. Lorsque les services opérationnels, financiers, la direction et l’informatique connaissent les étapes d’approbation, les demandes sont traitées sans ambiguïté.

2. Des budgets adaptés aux risques réels : la planification par le vCIO et la budgétisation informatique permettent de donner la priorité à l’authentification multifactorielle (MFA), à la couverture des sauvegardes, aux audits, aux contrôles Microsoft 365 et à la protection des terminaux avant que ces tâches ne deviennent urgentes. Cette planification est également cruciale pour les décisions relatives à l’IA, puisque 83 % des PDG affirment que le développement et le maintien de la souveraineté en matière d’IA sont essentiels à la stratégie d’entreprise.

3. Les tickets révèlent des schémas récurrents : les réinitialisations répétées de mots de passe, les erreurs d’autorisation, les pannes de gestion des dossiers ou les défaillances du VPN constituent autant de signaux liés à la gouvernance. Si un même problème revient sans cesse, la solution réside dans la formation, l’automatisation, la mise en place de politiques ou la révision des applications. L’abandon de l’utilisation ponctuelle de la technologie est déjà perceptible : la proportion d’organisations interrogées recourant à une approche ponctuelle de l’IA est passée de 19 % l’année dernière à 6 % aujourd’hui.

4. Les éléments probants favorisent la responsabilisation : les réseaux documentés, les systèmes, les autorisations, les comptes rendus des réunions trimestrielles sur les résultats (QBR), les résultats des tests de sauvegarde et les recommandations d’audit fournissent aux dirigeants des éléments concrets à examiner. La surveillance des fournisseurs est également essentielle, car près de 60 % des organisations ne disposent pas de contrôles de gouvernance adéquats pour les échanges de données avec des tiers.

5. La continuité d’activité est mise à l’épreuve : disposer de sauvegardes n’est pas la même chose que de savoir quels fichiers clients, boîtes mail, bases de données et applications peuvent être restaurés suffisamment rapidement pour permettre la poursuite du travail. Des priorités de reprise testées aident les responsables à déterminer quels systèmes doivent être remis en service en premier, qui doit approuver la restauration et qui doit communiquer avec les clients ou les équipes internes.

Intégrer la loi n° 25 et la gouvernance informatique au sein du support informatique

Il est difficile de changer les habitudes en matière de gouvernance, car les équipes gèrent déjà les tickets, les demandes des clients, les validations, les factures et les échéances. La tâche devient plus aisée lorsque les échanges avec le support technique débouchent sur de la documentation, des formations et une visibilité pour la direction, et ne se limitent pas à la simple clôture des tickets. La tendance générale va vers une adoption plus rigoureuse des technologies, le pourcentage d’organisations interrogées recourant à une approche ponctuelle de l’IA étant passé de 19 % l’année dernière à 6 % aujourd’hui. Les données de Proximit relatives à la prestation de services montrent pourquoi un support réactif est essentiel : les clients joignent de véritables techniciens par téléphone ou par e-mail, notre temps de réponse moyen est de 16 minutes, notre temps de résolution moyen est de 21 minutes, et 85 % des problèmes sont résolus dès le premier appel.

• Établissez un inventaire à jour : répertoriez les utilisateurs, les appareils, les applications, les dossiers partagés, les licences Microsoft 365, les accès VPN et les systèmes gérés par les fournisseurs. Dans le cadre d’une intégration structurée, nous consignons cet état des lieux dans un délai de 24 heures afin de détecter rapidement les accès cachés, les appareils non gérés et les applications spécifiques au client.

• Définissez les procédures de validation : établissez des étapes claires pour les nouveaux accès, les changements de rôle, les départs de collaborateurs, les achats de logiciels et les mesures de sécurité d’urgence. Un responsable ne devrait pas avoir à fouiller dans d’anciens e-mails pour savoir qui doit donner son accord.

• Passez en revue les tickets récurrents chaque trimestre : utilisez les QBR pour identifier les besoins en formation, les possibilités d’automatisation, l’instabilité des applications et les lacunes en matière de politiques. Les problèmes récurrents de connexion à Teams ou les erreurs du logiciel de facturation doivent donner lieu à un plan documenté, soutenu par des techniciens de niveau administrateur système qui maîtrisent l’environnement.

• Vérifier la couverture des sauvegardes : surveillez quotidiennement les sauvegardes dans le cloud et sur site, puis effectuez chaque trimestre des tests de restauration pour les e-mails, SharePoint, les serveurs de fichiers et les applications clés. Ainsi, la reprise après sinistre cesse d’être une simple case à cocher pour devenir un processus bien défini, avec des systèmes identifiés et des résultats attendus.

• Organisez des réunions d’évaluation de la direction : rassemblez les questions de conformité, de cybersécurité, de budgets, de continuité des activités et de projets à venir au sein d’un même échange constructif. Nous formons également les utilisateurs et les dirigeants afin que les principes de gouvernance soient bien compris par les personnes chargées d’approuver les accès, de vérifier les factures et d’utiliser les systèmes au quotidien.

Aller de l’avant avec la loi n° 25 et la gouvernance informatique

La gouvernance devient gérable lorsqu’elle s’articule autour de systèmes concrets, d’utilisateurs, de processus de validation, de contrôles de sécurité, de sauvegardes et de décisions de direction, notamment les comptes Microsoft 365, les dossiers partagés, les dossiers clients, les factures et les applications avec lesquelles votre équipe travaille au quotidien. Notre équipe basée à Montréal accompagne les PME québécoises en français et en anglais en leur proposant des services informatiques gérés, des solutions de cybersécurité, la gestion du cloud, la planification vCIO, des QBR, un accès direct à des techniciens et une assistance pour les applications spécifiques à chaque client.

Si vous souhaitez faire le point sur votre gouvernance informatique actuelle, les problèmes récurrents liés à l’assistance, votre conformité à la loi n° 25, vos systèmes, vos applications, vos sauvegardes et la planification de votre stratégie de direction, contactez Proximit. Nous vous aiderons à transformer des décisions informatiques dispersées en un rythme opérationnel plus clair et documenté, adapté au fonctionnement réel de votre entreprise.