La fin de l’innocence numérique des conseils d’administration

Le mois dernier, j’évoquais une mutation silencieuse : l’irruption d’une conflictualité diffuse dans le quotidien des entreprises françaises. Une conflictualité sans déclaration formelle, sans front identifié, mais dont les effets sont déjà tangibles dans les chaînes d’approvisionnement, les systèmes d’information, les narratifs publics. En effet, pendant longtemps, le numérique a été perçu par les conseils d’administration comme un levier d’efficacité, d’innovation et de croissance. Une infrastructure, au mieux stratégique, mais rarement conflictuelle. Cette époque est révolue. Le numérique est désormais un champ de confrontation, un espace de rivalités géopolitiques, économiques et cognitives. Pour les conseils d’administration, c’est la fin d’une forme d’innocence : gouverner l’entreprise suppose désormais de comprendre et d’intégrer des dynamiques hybrides où technologies, puissance et influence s’entremêlent.

Ce constat appelait une question simple : qui, au sein de l’entreprise, est aujourd’hui responsable de cette nouvelle exposition ? La réponse est inconfortable : les conseils d’administration eux-mêmes. Car si l’entreprise est devenue un espace stratégique, alors sa gouvernance ne peut plus rester dans une posture d’observateur. La fin de l’innocence numérique des conseils marque précisément ce basculement : celui d’une gouvernance conçue pour un monde stable vers une gouvernance confrontée à une conflictualité hybride, permanente et ambiguë.

De la conflictualité diffuse à la responsabilité explicite

Dans mon précédent article, j’insistais sur un point : les menaces hybrides ne relèvent plus d’une juxtaposition de risques, mais d’une combinaison intégrée d’actions techniques, juridiques, informationnelles et économiques. C’est précisément ce qui les rend difficiles à appréhender… et dangereuses pour la gouvernance.

Car cette hybridation produit un effet critique : elle court-circuite les structures traditionnelles de décision. Le risque cyber n’est plus uniquement IT ; le risque juridique devient stratégique ; le risque réputationnel devient opérationnel ; le risque géopolitique s’invite dans les choix technologiques... Autrement dit, ce que le conseil percevait comme des risques séparés constitue désormais un système de vulnérabilités interconnectées. Et c’est là que réside la rupture : le conseil d’administration n’est plus seulement garant de la performance et de la conformité, il devient garant de la résilience stratégique dans un environnement conflictuel.

Pour un COMEX ou un board, parler de « menaces hybrides » reste souvent abstrait. Or, la réalité est beaucoup plus concrète et plus engageante. Ils doivent donc entendre plusieurs messages :

"Vous êtes exposés à des logiques de puissance, pas seulement à des risques"

Les stratégies hybrides, par nature, visent à affaiblir, contourner ou influencer un acteur sans confrontation directe.

L’entreprise devient alors une cible pertinente pour tester la résilience d’un État, pour influencer un secteur économique, pour fragiliser un débat public. Vous n’êtes pas seulement vulnérables en tant qu’organisation. Vous êtes instrumentalisables en tant que levier stratégique.

"Votre chaîne de valeur est une surface d’attaque"

Comme évoqué précédemment, la supply chain est devenue une ligne de front. Mais ce que les conseils d'administration sous-estiment encore, c’est que leurs fournisseurs sont des vecteurs d’accès, leurs partenaires sont des points d’influence, leurs dépendances technologiques sont des vulnérabilités politiques. Une attaque réussie ne vise pas nécessairement le cœur de système. Elle vise le point d’entrée le plus accessible dans l'écosystème.

"Votre réputation est désormais un actif opérationnel critique"

Nous sommes entrés dans une conflictualité cognitive, où l’objectif n’est pas de détruire mais de désaligner :

• désaligner vos parties prenantes,

• désaligner vos équipes,

• désaligner vos décisions.

Les campagnes d’influence ou de désinformation exploitent cette faille : elles n’attaquent pas vos infrastructures, elles attaquent votre capacité à décider.

"Vos décisions technologiques sont des choix géopolitiques implicites"

Choisir un fournisseur cloud, un modèle d’IA ou une architecture de données revient désormais à accepter une dépendance juridique, à s’inscrire dans une sphère d’influence, et à exposer l’entreprise à des dynamiques de sanctions ou de restriction.

La technologie n’est plus neutre. Elle est devenue un vecteur d’alignement stratégique, volontaire ou subi. Intégrer la géopolitique, c'est donc bien une discipline de gouvernance, pas un sujet d’expert. Et surtout pas pas un luxe intellectuel. C’est une nécessité opérationnelle. Mais il faut être clair : il ne s’agit pas de transformer les administrateurs en analystes géopolitiques.

Il s’agit de leur donner une grille de lecture décisionnelle : Où sont nos dépendances critiques ? Quels acteurs pourraient les instrumentaliser ? Quels scénarios de rupture sont plausibles ? Quelle est notre capacité réelle de continuité ? Le rôle du conseil est d’exiger cette structuration et de la challenger. Sans cette grille, la gouvernance reste aveugle.

Celle-ci doit aborder des sujets variés :

• Lecture des dépendances critiques (technologies clés, fournisseurs stratégiques, juridictions sensibles...)

• Scénarisation (sanctions économiques, cyberattaques coordonnées, campagnes d’influence, ruptures d’approvisionnement...)

• Capacités de réponse (diversification, redondance, mécanismes de crise, arbitrages rapides...)

Faut-il créer des comités des risques hybrides ?

La tentation organisationnelle est forte mais la question est mal posée. Dans de nombreux cas, oui mais avec une exigence forte : éviter la bureaucratisation.

Un comité dédié n’a de valeur que s’il croise réellement les disciplines (cyber, juridique, stratégie, communication), travaille sur des scénarios dynamiques, remonte directement au conseil, et influence les décisions stratégiques.

Sinon, il devient un exercice de conformité supplémentaire. Le sujet n’est donc pas de créer un comité supplémentaire. Le sujet est de réparer une fragmentation structurelle de la gouvernance.

Souveraineté numérique : sortir du faux débat

La dépendance technologique est une exposition stratégique. La souveraineté numérique est souvent caricaturée comme une contrainte ou un repli protectionniste. Pour un conseil d’administration, la question est plus pragmatique : quelles sont les dépendances que nous acceptons et lesquelles sont inacceptables ?

Une approche mature consiste donc à hiérarchiser les actifs critiques, définir des niveaux de contrôle requis, diversifier les fournisseurs, intégrer des critères de résilience dans les décisions d’investissement.

Former les COMEX à la conflictualité cognitive : un impératif sous-estimé

La conflictualité cognitive renvoie à la capacité à comprendre et à opérer dans un environnement où l’information est manipulée, les perceptions sont influencées, les décisions peuvent être biaisées. Dans ce cadre, former un COMEX implique de simuler des crises hybrides, danalyser des campagnes d’influence réelles, de travailler sur la prise de décision en environnement incertain,
ou encore de comprendre les mécanismes de manipulation cognitive.

L’entreprise peut-elle devenir un acteur stabilisateur ? Les entreprises structurent des dépendances, des flux et des standards. Elles peuvent donc éviter des dépendances excessives, maintenir des écosystèmes ouverts, favoriser l’interopérabilité et investir dans la résilience.

Une transformation du rôle des conseils d'administration

Les conseils d’administration doivent désormais comprendre des interdépendances complexes, arbitrer dans l’incertitude, intégrer des logiques de puissance dans leurs décisions. La conclusion, c'est qu'ils doivent passer de la lucidité à la décision La fin de l’innocence numérique n’est pas une crise passagère. C’est un changement de régime. Les entreprises évoluent désormais dans un environnement où la technologie est politique, les marchés sont fragmentés et l’information contestée.

C’est un changement de posture qui est attendu en réponse :

• Passer d’une logique de supervision à une logique d’anticipation

• Passer d’une lecture des risques à une compréhension des adversités

• Passer d’une gouvernance fragmentée à une gouvernance intégrée

La seule question stratégique pour un conseil d'administration est désormais : sommes-nous organisés pour comprendre ce qui nous arrive et décider à temps ?