Projet de digitalisation : quels sont les professionnels concernés ?

Qu’un métier porte un projet de digitalisation et la DSI est la première sollicitée. Une collaboration suffisante pour avancer ? Quid de la RSE, de la sécurité, des data, des données personnelles, du juridique et de l’archivage ? Mieux vaut associer les professionnels concernés.

CET ARTICLE A INITIALEMENT ÉTÉ PUBLIÉ DANS ARCHIMAG N°376
Découvrez Le Brief de l'IT, la newsletter thématique gratuite d'Archimag dédiée aux professionnels des data, de l'IT, de la digitalisation et de la transformation numérique !

Au-delà des problématiques métier et de la DSI, la digitalisation interpelle inévitablement des professionnels aux missions charnières. À savoir la direction de la responsabilité sociétale des entreprises (RSE), le responsable de la sécurité des systèmes d'information (RSSI), le chief data officer (CDO), le délégué à la protection des données (DPO), le juriste et l’archiviste.

La direction RSE

La RSE désigne la prise en compte par les entreprises, dans leurs activités, des enjeux environnementaux, sociaux, économiques et éthiques. C’est une démarche largement volontaire et transversale, endossée par différents responsables comme mission supplémentaire ou, de plus en plus, par une direction RSE.

Aujourd’hui, un projet de digitalisation intègre un objectif de développement durable - on vise le "zéro papier" et les métiers concernés attendent d’abord cette approche. Mais l’entreprise a davantage à gagner d’une digitalisation qui, plus largement, endosserait l’ensemble des ambitions de la RSE avec notamment des choix informatiques durables. Il est donc intéressant d’associer au projet, dès l’amont, la direction RSE.

Digitaliser est l’occasion d’optimiser les flux de travail et les procédures, ce qui peut avoir un impact positif sur les conditions de travail des salariés. De plus, la digitalisation apporte une traçabilité des échanges. Elle autorise un recueil de données dont l’analyse permet de nourrir les tableaux de bord et de mesurer la progression des objectifs RSE. En outre, elle permet à l’entreprise de présenter de manière transparente ses engagements environnementaux en interne comme vers son environnement externe et d’améliorer son image.

Le RSSI (responsable de la sécurité des systèmes d'information)

Le RSSI définit et développe la politique de sécurité de l’information de son entreprise. On compte sur lui pour protéger l’entreprise des cyberattaques. Lui revient aussi la sécurité interne, notamment en direction des collaborateurs (gestion des mots de passe, etc.). Le RSSI a nécessairement connaissance du SI et des processus. Dès lors, un projet de digitalisation le concerne directement.

Odile Duthil, directrice cybersécurité du Groupe Caisse des Dépôts et administratrice du Clusif, témoigne. Dans sa position, elle rend compte à la direction des risques du groupe, non au DSI, pour une question d’indépendance et de "contrepouvoir" par rapport à ce dernier. Ici, un projet de dématérialisation est lancé par le métier qui recourt à la DSI pour le monter selon une méthodologie qui impose de solliciter le RSSI, le CDO, le DPO, le juridique, les achats. Pour sa part, la RSSI échange surtout avec le DPO et le CDO.

"Le RSSI est au départ de l’expression des besoins", décrit Odile Duthil ; "car la cybersécurité est au cœur du sujet". Avec plusieurs contraintes à traiter ensuite par la DSI : les données du projet sont-elles sensibles ? Comment veut-on les traiter ? À partir de là, la RSSI procède à une analyse des risques avec des scénarios d’attaque et indique comment les parer, en formulant des directives sur l’authentification, le chiffrement, l’hébergement. Puis la DSI choisit un prestataire.

La RSSI intervient ensuite à nouveau, fait remplir des questionnaires de sécurité et l’on s’achemine vers la contractualisation.

Le CDO (chief data officer)

Le CDO est responsable des données. Le périmètre de ses fonctions va de la gouvernance (stratégie) à la gestion (collecte, organisation, traitement…). La sécurité des données, soit les mesures de protection mises en place pour empêcher qu’elles soient modifiées ou consultées par des personnes non autorisées, et leur maintenance, notamment au regard de leur cycle de vie, sont au cœur de ses préoccupations.

Dans le cadre d’une dématérialisation, il doit pouvoir compter sur un système informatique adapté, tant pour le stockage que pour l’archivage des données. Le DSI a donc intérêt à recueillir ses préconisations à propos des serveurs, des bases ou des visualisations.

Le DPO (délégué à la protection des données)

Le DPO veille à la protection des données personnelles, avec en référence le RGPD. Il supervise la tenue du registre des traitements des données à caractère personnel, veille au respect de l’exercice de leurs droits par les personnes concernées… Pour Nicolas Samarcq, administrateur de l’AFCDP et président fondateur de Lexagone, "la bonne pratique dans un projet de dématérialisation est de se rapprocher du DPO dès la constitution de l’équipe projet".

Le DPO, qui travaille beaucoup avec le RSSI, pourra faire des préconisations de choix de matériel, avertira de prérequis, accompagnera sur les durées de conservation et la question de la destruction. L’une de ses revendications pourra être la pseudonymisation ou l’anonymisation des données lors de la numérisation. La notion de "privacy by design" intervient ici.

Le DPO demandera à ce que les paramétrages du logiciel de numérisation minimisent par défaut les possibilités de traitement et de transmission des données. Dans le domaine de la santé, il soulignera la nécessité de recourir à un prestataire certifié HDS (hébergeur de données de santé).

Le juriste

"Le juriste doit être associé en amont du projet", déclare Céline Avignon, avocate au sein du cabinet Lexing Alain Bensoussan, dans un article de blog. Elle précise : "le conseil prodigué sera d’autant plus pertinent qu’une expression de besoins est formulée et les limites et modalités du projet définies, même en mode agile".

Si les juristes d’entreprise insistent sur la nécessité de faire prendre en compte le droit avant toute décision, cela concerne aussi l’écosystème IT, dans un contexte de plus en plus réglementé. Il y a la question du droit d'auteur que l’on est censé détenir sur les documents à numériser et celle de la fiabilité de la copie numérique. On pense aussi à des projets mettant en œuvre la signature, la facture, le bulletin de paie, ou encore la lettre recommandée électroniques… qui réclament autant de spécifications juridico-techniques particulières.

Des questions connexes surgissent, par exemple, en matière de cybersécurité. Les clients d’une entreprise victime d’une attaque par ransomware peuvent faire un recours contre elle s’ils estiment qu’elle n’a pas suffisamment protégé leurs données. Les tribunaux se pencheront sur les mesures de sécurité appliquées, le suivi ou non de bonnes pratiques, telles que le chiffrement ou le cloisonnement des systèmes et des accès…

Autre aspect, le juriste, partie prenante de l’appel d’offres, étudie les contrats IT, souvent complexes, avec des aspects internationaux.

L'archiviste

Habilitations, durées de conservation, modes de consultation, formats de fichier, mais aussi valeur patrimoniale ou historique : très vite un projet de digitalisation est confronté à ces questions. L’archiviste répond présent. "Professionnels de l’infogestion, les archivistes d’entreprise sont de plus en plus sollicités dans les projets de dématérialisation", estime Jérémie Maria, président de la section entreprise de l’Association des archivistes français (AAF), et chef de projet archives historiques à la Fédération nationale des Banques Populaires (FNBP).

Dans les faits cependant, ils sont encore souvent sollicités "au fil de l’eau", avec des questions portant souvent sur l’interface avec un SAE ou le cycle de vie du document au sein d’un processus. L’archiviste alerte sur la notion de sort final (détruire ou conserver), notamment pour les archives historiques.

Un projet est l’occasion d’échanger avec les collègues RSSI, CDO, DPO (casquette parfois portée par l’archiviste), juristes, ce qui n’est pas si fréquent dans les grandes structures où chacun est rattaché à une direction propre parfois éloignée dans les locaux. Les qualités relationnelles constituent donc un levier qui compte dans les projets de digitalisation !