Responsabilités accrues des administrateurs liées au développement de l’IA


Aujourd’hui, je porte à votre attention un article qui montre clairement que l’importance grandissante accordée aux  facteurs ESG, ainsi que l’utilisation exponentielle de l’intelligence artificielle (IA), crée de nouvelles obligations de supervision des risques par le conseil d’administration.

Non seulement les administrateurs doivent-ils se soucier d’avoir la bonne couverture d’assurance responsabilité des administrateurs, mais ils doivent également prendre en compte plusieurs facteurs qui peuvent accroitre leurs responsabilités de supervision des activités clés de l’entreprise ?

L’article qui suit a été publié par Avi  Gesser, Bill Regner et Anna Gressel de la firme juridique Debevoise & Plimpton et édité dans le Forum du Harvard Law School sur la gouvernance corporative.

Je vous invite à lire de larges extraits de la version française de l’article, effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.

AI Oversight Is Becoming a Board Issue

 

AI Compliance Oversight is Here… and So Are Next-Gen Compliance Officers | Corporate Compliance Insights

 

Alors que de plus en plus d’entreprises adoptent l’intelligence artificielle (IA), les administrateurs de nombreux conseils d’administration commencent à réfléchir à leurs obligations de surveillance. Une partie de cet intérêt est liée à l’intérêt croissant des administrateurs pour les questions environnementales, sociales et de gouvernance (ESG). Il est de plus en plus reconnu que, malgré toutes ses promesses, l’IA peut présenter de graves risques pour la société, notamment l’atteinte à la vie privée, les émissions de carbone et la perpétuation de la discrimination. Mais il y a aussi une base plus traditionnelle à l’intérêt récent des administrateurs d’entreprise pour l’IA : à mesure que la prise de décision algorithmique fait partie de nombreuses fonctions commerciales essentielles, elle crée le type de risques d’entreprise auquel les conseils d’administration doivent prêter attention.

La prévalence de l’IA ressort clairement des récentes dépenses des entreprises. Selon le rapport sur l’indice d’IA 2022 de l’Université de Stanford , les investissements privés dans l’IA en 2021 ont totalisé environ 93,5 milliards de dollars, soit plus du double de l’année précédente. Mais en contrepartie de cette évolution, il y a des risques commerciaux importants. En outre, l’examen public de la reconnaissance faciale, des algorithmes de crédit, des outils d’embauche et d’autres systèmes d’IA crée un risque réglementaire et de réputation substantiel pour les entreprises, en particulier en ce qui concerne les préjugés.

L’IA et l’ESG englobent un large éventail de problèmes d’entreprise, avec des chevauchements considérables, notamment :

Environnemental

À mesure que les modèles d’IA augmentent en taille et en complexité, la puissance de traitement informatique nécessaire augmente également, ce qui peut avoir une empreinte carbone très importante .

Social

Les entreprises qui déploient l’IA pour les décisions d’embauche, de prêt, de logement ou d’assurance doivent envisager des moyens d’évaluer et, si nécessaire, de remédier à la discrimination potentielle associée à ces initiatives. Certaines applications d’IA ont également été critiquées pour avoir exacerbé les inégalités de revenus, déplacé un grand nombre d’emplois, facilité les violations des droits de l’homme et manipulé le comportement des individus.

Gouvernance 

Pour que les programmes d’IA répondent aux exigences réglementaires croissantes, ainsi qu’aux normes éthiques émergentes, les risques décrits ci-dessus doivent être identifiés et atténués par une gouvernance d’entreprise appropriée, y compris des politiques, des procédures, une formation et une surveillance.

Le paysage réglementaire en évolution rapide

Au cours des dernières années, les régulateurs du monde entier ont commencé à adopter des lois ou à fournir des orientations réglementaires sur les systèmes d’IA. La Commission européenne est largement considérée comme à la tête de ces efforts en tentant d’adopter une réglementation complète et intersectorielle sur l’IA . En outre, les régulateurs de Hong Kong, de Singapour, des Pays-Bas et des États-Unis, parmi tant d’autres, se sont exprimés ouvertement sur la nécessité d’une gouvernance d’entreprise appropriée pour faire face aux risques liés à l’IA, y compris les risques liés aux biais, à la dérive des modèles, à la confidentialité, la cybersécurité, la transparence et les défaillances opérationnelles. Une caractéristique notable de plusieurs déclarations réglementaires émergentes, en particulier dans le secteur financier, est leur insistance expresse sur l’importance de la surveillance des risques liés à l’IA au niveau du conseil d’administration. 

Considérations clés pour les conseils d’administration sur l’IA

Par conséquent, pour les entreprises où l’IA est devenue (ou est susceptible de devenir dans un proche avenir) un risque de conformité réglementaire critique, il existe plusieurs problèmes que les administrateurs peuvent souhaiter examiner :

Responsabilité du conseil :

Envisagez d’inclure l’IA comme point périodique à l’ordre du jour du conseil. Comme pour l’ESG, la surveillance de l’IA peut être confiée à l’ensemble du conseil d’administration, à un comité existant ( par exemple , audit ou technologie) ou à un comité nouvellement formé dédié à l’IA. Certaines entreprises ont décidé de confier la responsabilité de l’IA au comité responsable de la cybersécurité. Si le conseil d’administration craint de ne pas disposer de l’expertise nécessaire pour superviser les opportunités et les risques liés à l’IA, il devrait envisager d’ajouter un ou plusieurs administrateurs ayant cette expérience ou de faire en sorte que certains membres du conseil d’administration reçoivent une formation en IA.

Sensibilisation aux utilisations et aux risques critiques de l’IA :

Pensez à vous assurer que les administrateurs sont conscients des systèmes d’IA les plus critiques que l’entreprise utilise, de la nature des données utilisées pour former et exploiter ces systèmes et des risques associés pour l’entreprise (y compris les risques opérationnels, risques réglementaires et de réputation), ainsi que toute mesure prise pour atténuer ces risques.

Comprendre l’allocation des ressources :

Envisagez d’exiger des mises à jour périodiques sur les ressources consacrées au développement et aux opérations de l’IA et sur la quantité de celles-ci consacrées à la conformité réglementaire et à l’atténuation des risques.

Responsabilité de la haute direction :

Envisagez d’attribuer la responsabilité de la gestion des risques liés à l’IA et de la conformité réglementaire (y compris les divulgations des risques réglementaires de l’entreprise liés à l’IA, le cas échéant) à un membre particulier de la direction ou à un comité de direction.

Structures de conformité :

Les conseils d’administration doivent envisager de s’assurer qu’il existe des structures efficaces de conformité et de rapport sur l’IA au niveau de la direction pour faciliter la surveillance du conseil d’administration, ce qui peut inclure des évaluations périodiques des risques liés à l’IA et la surveillance des systèmes d’IA à haut risque, ainsi que des politiques, des procédures, et de la formation. Ces politiques peuvent inclure des procédures pour répondre à un incident matériel lié à l’IA, répondre aux plaintes des dénonciateurs liés à l’IA et gérer les risques pour tous les fournisseurs qui fournissent à l’entreprise des ressources essentielles liées à l’IA.

Briefings du conseil d’administration sur les incidents matériels d’IA :

Les conseils d’administration doivent veiller à être informés de manière appropriée de la réponse de l’entreprise aux incidents graves d’IA et aux impacts connexes, de l’état d’avancement de toute enquête matérielle et de l’efficacité de la réponse de l’entreprise.

Procès-verbaux et documents du conseil :

Les administrateurs doivent s’assurer que leurs activités de surveillance de l’IA, ainsi que les efforts de conformité de la direction, sont bien documentés dans les procès-verbaux du conseil et dans les documents à l’appui.

Conclusion

De nombreux administrateurs peuvent être mal à l’aise avec la responsabilité de surveiller les risques liés à l’IA en raison de leur manque d’expertise dans ce domaine. Mais, comme la SEC l’a clairement indiqué en matière de cybersécurité, les conseils d’administration doivent trouver un moyen d’exercer leurs obligations de surveillance, même dans les domaines techniques, si ces domaines présentent un risque pour l’entreprise, ce qui est déjà le cas pour l’IA dans certaines entreprises. 

Cela ne signifie pas que les administrateurs doivent devenir des experts en IA, ou qu’ils doivent être impliqués dans les opérations quotidiennes d’IA ou la gestion des risques. Mais les administrateurs d’entreprises ayant d’importants programmes d’IA devraient réfléchir à la manière dont ils assureront une surveillance efficace au niveau du conseil d’administration en ce qui concerne les opportunités et les risques croissants présentés par l’IA.

La professionnalisation de la gouvernance


Voici un article qui vient de paraître sur le site du Collège des administrateurs de sociétés

Dans cet article*, je tente de faire la lumière sur l’évolution fulgurante du concept de gouvernance d’entreprise et sur les raisons qui ont mené à sa professionnalisation.

Bonne lecture !

Professionnalisation de la gouvernance

La professionnalisation de la gouvernance

Dans cet article, nous tenterons de faire la lumière sur l’évolution fulgurante du concept de gouvernance d’entreprise et sur les raisons qui ont mené à sa professionnalisation.

Mais d’abord, qu’entend-on par professionnalisation de la gouvernance ? La professionnalisation, c’est essentiellement le processus de reconnaissance d’un corpus de connaissances, de compétences et d’expériences relatif à l’exercice des activités de la gouvernance d’entreprise.

Ainsi, on parlera de l’évolution du métier d’administrateur vers un statut de professionnel de la gouvernance qui combine une formation continue dans les domaines du savoir pertinents et un code de conduite adapté à la profession (déontologie).

LA PROFESSIONNALISATION DE LA GOUVERNANCE : UN PROCESSUS EN PLEINE EXPANSION

Depuis une vingtaine d’années, on assiste à une professionnalisation accrue de la fonction d’administrateur qui se manifeste par une modification et un élargissement du rôle et des responsabilités des conseils. Les CA sont de plus en plus sollicités et questionnés au sujet de leurs décisions et de l’entreprise.

À l’avenir, on exigera toujours plus des administrateurs. C’est pourquoi la formation en gouvernance est essentielle et devient même une exigence pour certaines organisations. Les administrateurs sont désormais invités à suivre des formations en gouvernance de sociétés, notamment des programmes menant à des certifications universitaires.

Le processus de professionnalisation de la gouvernance est en évolution rapide. La gouvernance, comme discipline, tend vers une pratique de plus en plus accomplie au fur et à mesure du développement d’une assise ancrée dans la recherche de son efficacité. Plusieurs organisations de formation, telles que le Collège des administrateurs de sociétés de l’Université Laval, se sont donné comme mission de « promouvoir la bonne gouvernance de sociétés en offrant des formations reconnues et à la fine pointe des meilleures pratiques » (1).

Il est important de souligner que la notion de gouvernance n’est pas nouvelle en soi. De tous temps, les sociétés humaines ont été gouvernées par des régimes qui ont instauré diverses configurations d’exercice du pouvoir. La gouvernance sociale a toujours été un domaine réservé aux sciences sociales, plus spécialement aux sciences politiques.

Ce qui est nouveau dans le monde de la gouvernance, surtout depuis une vingtaine d’années, c’est l’application du concept au domaine des organisations privées, cotées en bourse, OBNL, sociétés d’État, etc. En effet, si l’on se réfère au corpus des sciences de la gestion, la gouvernance, comme champ d’enseignement et de recherche, y est relativement absente. On peut affirmer que la prise en compte de la portée de la gouvernance d’entreprises est très récente, et que sa professionnalisation est en bonne voie d’être affirmée et renforcée grâce aux nombreuses recherches académiques sur la question.

À cet effet, mentionnons le Forum du Harvard Law School sur la gouvernance
« corporative »
 qui a publié 6 400 billets (provenant de plus de 5 000 contributeurs), lesquels ont été largement cités dans plus de 800 articles de revue de droit et de publications en gouvernance. (2)

On constate une intensification marquée des recherches et des publications de la part d’entreprises de consultation en gouvernance telles que Spencer| Stuart, Deloitte, McKinsey, PwC, pour n’en nommer que quelques-unes, qui produisent des rapports annuels sur l’état de la gouvernance des entreprises cotées en bourse. L’un des documents les plus exhaustifs sur la situation de la gouvernance au Canada est le
« 2020 Canada Spencer Stuart Index » (SSBI) qui présente des statistiques détaillées et comparatives, et brosse un tableau complet des constats eu égard aux grandes tendances en gouvernance. (3)

Au Québec, et ailleurs dans le monde, les écoles de gestion concentrent leurs enseignements sur les disciplines éminemment utiles aux gestionnaires (le management, les ressources humaines, la finance, l’assurance, l’immobilier, le marketing, les systèmes opérationnels de décision, les technologies et les systèmes d’information, la comptabilité, etc.), mais, encore aujourd’hui, elles accordent trop peu d’attention à la gouvernance des sociétés, notamment aux activités fiduciaires des administrateurs, nommés pour assurer l’équilibre du pouvoir entre les propriétaires (les actionnaires), les parties prenantes (employés clients, fournisseurs, entités sociales, etc.) et les gestionnaires (les dirigeants choisis pour gérer l’entreprise).

Au cours des dernières décennies, la gouvernance des sociétés a subi d’importants changements, dont les plus marquants concernent la composition de l’actionnariat, la primauté du conseil d’administration, l’activisme des actionnaires et des investisseurs et la prééminence des autorités réglementaires. Ces transformations se traduisent par une évolution significative du rôle et du fonctionnement des conseils d’administration et de ses comités. Ainsi, depuis une vingtaine d’années, les exigences de formation, de compétence et d’expérience des administrateurs n’ont cessé de croître ; si bien qu’un bon niveau de connaissance des outils et des pratiques de gouvernance devient une part essentielle du cursus en administration. Ces nouveaux développements ont grandement contribué à la professionnalisation de la gouvernance.

LES CONSEILS D’ADMINISTRATION EN MUTATION

L’environnement des conseils d’administration a été ébranlé par la nouvelle dynamique imposée par les changements dans la composition des CA, par l’avènement des actionnaires activistes (qui sont perçus comme des intrus à la recherche de rendements à court terme) et par les nouvelles dispositions émanant des autorités réglementaires qui imposent de nouvelles obligations aux entreprises et aux administrateurs.

Au chapitre de l’actionnariat mondial, un rapport de l’OCDE (4) publié en 2019 montrait que l’actionnariat des 10 000 sociétés les plus importantes représentait 90 % de la capitalisation totale. Le capital est de plus en plus concentré.

  • La principale catégorie d’actionnaires est celle des investisseurs institutionnels (fonds de pension, compagnies d’assurance, gestionnaires d’actifs), qui détiennent 41 % du capital de l’ensemble des sociétés cotées du monde;
  • Les sociétés privées (y compris les holdings) et les particuliers possèdent chacun 18 % de la capitalisation mondiale;
  • Le secteur public (gouvernements nationaux et locaux, fonds souverains, entreprises d’État) possède 14 % de la capitalisation mondiale;
  • Plus de 8 % des entreprises cotées dans le monde ont un actionnariat majoritairement public.

Dorénavant, les investisseurs institutionnels veulent se prononcer sur les orientations des entreprises dans lesquelles ils investissent. Les représentants des actionnaires recherchent des administrateurs chevronnés pour orienter et superviser les intérêts de groupes très diversifiés.

C’est la reconnaissance de sérieuses lacunes dans la formation des administrateurs qui a incité plusieurs grandes organisations à proposer des activités de développement débouchant sur des certifications en gouvernance, souvent universitaires. Comme on l’a mentionné précédemment, les activités fiduciaires des administrateurs de sociétés étaient très peu considérées et encadrées par les institutions d’enseignement supérieures.

Un peu partout dans le monde, on a assisté à la création de programmes de formation et de certifications des administrateurs. Ainsi, au Québec, le Collège des administrateurs de sociétés « doit sa création à l’initiative de quatre grands partenaires convaincus de la nécessité de renforcer la gouvernance de sociétés : (1) l’Autorité des marchés financiers (2) la Caisse de dépôt et placement du Québec (3) le ministère du Conseil exécutif et (4) la Faculté des sciences de l’administration de l’Université Laval. En plus de ces quatre visionnaires, le Collège bénéficie de l’appui d’un bon nombre de partenaires d’excellence associés et ses formations en gouvernance sont reconnues par plusieurs ordres et organismes professionnels » (5).

LA RÉGLEMENTATION IMPOSE SA LOI !

Selon nous, les scandales Enron et WorldCom représentent un tournant dans la réglementation en gouvernance des sociétés. En effet, c’est dans la foulée de ces événements que le gouvernement américain a adopté, en 2002, la loi Sarbanes-Oxley (SOX) qui impose à toutes les entreprises de déposer auprès de la SEC (l’organe de régulation des marchés boursiers américains) des états financiers produits par des auditeurs indépendants, et certifiés personnellement par les dirigeants de l’entreprise. Cette loi rend donc les hauts dirigeants pénalement responsables de l’exactitude et de la validité des résultats financiers. (6)

C’est à cette époque que les autorités de réglementation des marchés financiers, à l’échelle mondiale, ont renforcé les règles qui s’appliquent à la gouvernance des entreprises (règles de décision, de composition du conseil, de transparence, de surveillance, d’éthique et de reddition de comptes). On milite en faveur de l’instauration de nouveaux mécanismes de renforcement de la professionnalisation de la gouvernance des entreprises.

Ainsi, aux États-Unis, l’ancien président de la SEC, Richard Breeden a produit, en mai 2003, un rapport comportant 78 recommandations. Ce rapport devrait à terme devenir la base de la réforme de la gouvernance d’entreprise, et ses propositions devaient s’imposer à toutes les grandes et moyennes entreprises. (7)

Il apparaissait nécessaire, à beaucoup, que se termine l’ère, pendant laquelle des patrons régnaient sans limites et sans partage sur des sociétés dans lesquelles personne n’osait poser les vraies questions. Les propositions de Richard Breeden devaient permettre l’instauration de multiples règles ayant pour but de limiter les initiatives des PDG tout puissants, en tentant de rendre la totalité des administrateurs indépendants de la direction de l’entreprise. Les nouveaux conseils d’administration des entreprises fautives ont procédé, en juillet 2003, à l’adoption de toutes les propositions du rapport.

Voici quelques-unes des propositions qui ont fait leur chemin dans les nouvelles réglementations.

  • Interdiction du cumul des fonctions de PDG et de PCA (président du Conseil d’administration).
  • Inéligibilité au Conseil d’administration de tout responsable de société travaillant avec la société à administrer.
  • Meilleure rémunération des administrateurs, mais obligation de consacrer 25 % du revenu à l’achat d’actions de la société à administrer.
  • Interdiction aux administrateurs de siéger au Conseil d’administration de plus de deux firmes cotées en bourse.
  • Obligation au Conseil d’administration de se réunir au moins 8 fois par an.
  • Obligation aux membres du Conseil d’administration d’aller visiter les installations et sites de l’entreprise.
  • Obligation aux membres du Conseil d’administration de recevoir chaque année une formation spéciale pour mieux comprendre l’entreprise et son secteur.
  • Interdiction à un administrateur de conserver son poste plus de dix ans.
  • Obligation de remplacer chaque année un des administrateurs, afin d’éviter que la collégialité du conseil n’aboutisse à la passivité.
  • Interdiction de payer les dirigeants avec des options d’achat de titres.
  • Création d’un plafond de rémunération pour les dirigeants.
  • Renforcement de la démocratie directe donnée aux actionnaires de base.

On note dans les points cités qu’il n’est pas fait mention de règles s’appliquant à la diversité et à l’inclusion, ni aux obligations de divulgation extensives, ni à l’attention à apporter aux parties prenantes. Ces considérations feront l’objet d’autres modifications aux différents codes de gouvernance.

UNE GOUVERNANCE GUIDÉE PAR LA CRÉATION DE VALEUR

Dans la littérature sur la conception des systèmes de gouvernance, on retrouve différentes tendances! Quelle est celle qui vous inspire et qui vous semble réaliste ?

Plusieurs systèmes de gouvernance choisissent de privilégier la création de valeur pour l’actionnaire (shareholder value en anglais). Dans cette approche, les intérêts des dirigeants s’alignent sur ceux des actionnaires et des investisseurs financiers. L’organisation du conseil d’administration et la réglementation en matière de transparence et de rémunération des dirigeants sont négociées en vue d’atteindre cet objectif.

Un autre système de gouvernance valorise plutôt la création de valeur pour l’ensemble des parties prenantes (stakeholder value en anglais). Dans ce cas, on cherchera à créer de la richesse entre les différentes ressources humaines et matérielles par coopération avec différents types de parties prenantes : clients, fournisseurs, employés, actionnaires, collectivités territoriales… La performance est mesurée au regard de l’ensemble des partenaires. Ce type de gouvernance favorisera le développement de deux types de capital : le capital financier, mais aussi le capital humain (savoir-faire, compétences, innovation).

Enfin, il est important de souligner l’apport d’Yvan Allaire, président du conseil d’administration de l’Institut sur la gouvernance d’organisations publiques et privées (IGOPP), qui propose une gouvernance créatrice de valeur. Selon sa conception, l’objectif financier d’une entreprise devrait être la maximisation de la valeur à long terme de la compagnie, un objectif qui dépasse le seul intérêt de l’actionnaire pour englober toutes les parties concernées. (8)

LE DÉPLOIEMENT DE L’OFFRE DE FORMATION EN GOUVERNANCE

Il apparaît essentiel, à ce stade-ci, de souligner la réalisation des efforts entrepris par les institutions canadiennes afin de répondre à la forte demande de formation de professionnels à la fine pointe de la gouvernance, mais aussi d’innover par la conception de programmes de certification de haut niveau à l’intention des administrateurs de sociétés.

D’abord, notons que les formations en gouvernance sont maintenant omniprésentes dans toutes les institutions d’enseignement au Canada. Les formations recoupent généralement les thématiques suivantes : gouvernance des sociétés cotées, gouvernance des PME, gouvernance des TI, gouvernance des OBNL, gouvernance des coopératives, gouvernance des sociétés d’État.

Les formations abordent un ensemble de thèmes spécifiques, par exemple, l’évaluation des administrateurs et des CA, la rémunération de la direction et des membres du CA, l’audit interne et externe, l’établissement de stratégies, la gestion des risques, le développement durable et ESG, la performance financière, la gestion de crises, les comités du CA, etc. Les formations sont souvent axées sur les nouvelles habilitées à développer ainsi que sur le savoir-être, par exemple, le leadership de la présidence du CA, la culture de la confiance, les habiletés politiques, les habilités en ressources humaines, etc.

Enfin, on note que les formations continues en gouvernance au Canada sont offertes dans diverses localisations, et que les rythmes d’apprentissage proposés sont variés. Les formations sont de plus en plus offertes en ligne, surtout depuis le début de la pandémie de Covid-19.

Au Canada, on compte trois programmes d’exception. Les trois programmes sont affiliés à de grandes institutions universitaires, tandis que seuls les deux premiers mènent à une certification universitaire (ASC et C.Dir.). Les diplômés de chacun des trois programmes obtiennent le droit d’utiliser une désignation reconnue à l’échelle internationale à la fin de leur parcours.

formation gouvernance

L’offre de programmes de formation continue en gouvernance au Canada est très vaste, ce qui démontre concrètement les grandes préoccupations des institutions universitaires pour la professionnalisation de la gouvernance. Mais, il est important de noter que ce phénomène s’étend à l’ensemble des pays de par le monde.

FORTE CROISSANCE DE LA FORMATION EN GOUVERNANCE À L’ÉCHELLE INTERNATIONALE

On dénombre des centaines d’organisations internationales dont la mission est la formation et la recherche en gouvernance. Parmi les plus importantes, on peut citer :

  • L’Institute of Directors (IOD) en Grande-Bretagne, avec plusieurs instituts dans les pays du Commonwealth; (9)
  • ECODA, une organisation qui regroupe les instituts de formation de tous les pays européens; (10)
  • La National Association of Corporate Directors (NACD), la première et la plus puissante organisation américaine qui offre un programme de certification des administrateurs de sociétés. (11)

L’ensemble de ces organisations est chapeauté par le Global Netwok of Director Institutes (GNDI), qui produit le Global Network of Director Institutes 2020–2021 Survey Report, un document de recherche qui brosse un portrait de l’état de la gouvernance dans le monde en temps de pandémie. (12)

CONCLUSION

Ainsi, comme on l’a vu, la prolifération des organisations dédiées à la formation et à la certification des administrateurs est un signe éloquent de la professionnalisation de la gouvernance au Canada et dans le monde.

Les tâches et les responsabilités des administrateurs ont dorénavant une portée plus dominante en même temps que les pratiques de saine gouvernance deviennent quasi-universelles. La gouvernance est maintenant un concept incontournable ; les administrateurs sont de plus en plus nombreux à rechercher la certification de leurs compétences et de leurs habiletés à siéger aux conseils d’administration.

La place réservée aux femmes sur les CA poursuit sa progression, malgré le fait que le mouvement soit trop lent. Dans l’ensemble, la composition des CA est constituée de personnes mieux formées et fait appel à une plus grande diversifié ethnoculturelle, mais le taux de renouvellement des administrateurs est encore trop faible pour assurer une évolution rapide des mentalités ainsi qu’une diversification des qualifications. Eu égard au renouvellement des conseils, les études montrent que l’âge moyen des administrateurs continue d’augmenter et que la nomination de jeunes administrateurs est moins fréquente que les années antérieures. (13)

Voici certaines valeurs recherchées chez les administrateurs dans l’exécution de leurs tâches : l’indépendance de la direction, la volonté de création de valeur pour toutes les parties prenantes, la mise à jour des apprentissages en gouvernance, la maîtrise du secteur d’activité et des nouvelles technologies. Les conseils d’administration doivent se métamorphoser afin de faire un meilleur usage des compétences autour de la table. À cet égard, je vous invite à prendre connaissance du complément à cet article qui porte sur la matrice des profils et compétences des membres d’un CA, présentant ainsi un modèle développé par l’équipe du Collège (14).

L’orientation et la stratégie doivent devenir les centres d’intérêt des administrateurs, et leur travail doit essentiellement se faire par l’intermédiaire des différents comités du conseil mis en place. L’une des meilleures façons d’améliorer les processus de décision, en sus de la formation continue en gouvernance, est l’évaluation de la contribution des administrateurs, menée sous la responsabilité de la présidence du comité de gouvernance.

La professionnalisation de la gouvernance est en marche ! Rien ne peut arrêter ce mouvement…

_____________________

RÉFÉRENCES

    • L’article a été publié par Jacques Grisé, Ph.D., F.Adm.A, conseiller/expert en gouvernance, professeur titulaire de management à la retraite de la faculté des sciences de l’administration de l’université Laval.

Top 10 des billets publiés sur Harvard Law School Forum au 29 juillet 2021


Voici, comme à l’habitude, le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 29 juillet 2021.

Cette semaine, j’ai relevé les dix principaux billets.

Bonne lecture !

Harvard Law -Tesla's Governance Record & ESG | Blog | Truvalue Labs

  1. EESG Activism After ExxonMobil
  2. Corporate Governance in the Face of an Activist Investor
  3. Commenters Weigh in on SEC Climate Disclosures Request for Public Input
  4. SEC Increasingly Turns Focus Toward Strength of Cyber Risk Disclosures
  5. Connecting the Dots: Breaking the ESG Code
  6. Buybacks: Look Before You Leap
  7. Stewardship Excellence: ESG Engagement In 2021
  8. Voluntary Environmental and Social Disclosures
  9. Spotlight on Boards and Board Oversight of Business Strategy and Risk Management in a Post-Pandemic World
  10. Does Socially Responsible Investing Change Firm Behavior?

Ce que les entreprises doivent savoir sur les attaques de ransomware modernes et comment y répondre


Voici un sujet qui interpelle sérieusement les conseils d’administration et la responsabilité fiduciaire des administrateurs, notamment avec l’accroissement des activités liées à la cybercriminalité.

L’article a été publié par Antonia M. Apps et Adam Fee , associés de Milbank et Matthew Laroche, conseiller juridique spécial chez Milbank sur le Forum du HLS on Corporate Governance.

Les auteurs examinent les principales caractéristiques des ransomwares modernes que les entreprises devraient prendre en compte, notamment la façon dont les acteurs des ransomwares ciblent désormais des entreprises spécifiques, menaçant de publier les données les plus sensibles de leurs victimes en ligne, et collaborer avec d’autres cybercriminels pour accroître la sophistication des attaques.

Après avoir exploré les ransomwares modernes, l’article met l’accent sur des directives aux entreprises qui réagissent immédiatement après une attaque afin que celles-ci soient mieux placées pour contenir l’incident, reprendre leurs activités commerciales normales et évaluer de manière appropriée les risques juridiques et réglementaires.

Je vous invite à lire la version française de la publication effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.

Bonne lecture !

What Companies Need to Know About Modern Ransomware Attacks and How to Respond

Cybercriminalité : les coûts des dégâts sous-estimés

 

Les ransomwares sont une menace de cybersécurité croissante et évolutive à laquelle sont confrontées les organisations du monde entier. En 2020, les attaques de ransomwares ont été multipliées par sept à la fin de l’année, avec plus de 17 000 appareils détectant les ransomwares chaque jour. [1] En tant que défi supplémentaire, les ransomwares sont plus sophistiqués que jamais avec des variantes modernes conçues pour infliger d’immenses dégâts et les auteurs exigeant des paiements plus élevés. Au cours des derniers mois seulement, les ransomwares ont provoqué des perturbations catastrophiques dans les activités commerciales de, entre autres, Colonial Pipeline, le géant de la transformation alimentaire JBS USA Holdings Inc. et le système national de santé irlandais. [2]

Les attaques réussies coûtent des millions de dollars aux entreprises, y compris les perturbations de l’activité, le coût du personnel, le coût des appareils, le coût du réseau, les opportunités perdues, les atteintes à la réputation et le paiement potentiel d’une rançon. [3] Les cybercriminels sont exigeants et gagnent de plus en plus d’argent, le paiement moyen des ransomwares par événement passant d’environ 115 000 $ en 2018 à plus de 300 000 $ en 2020 ; et la rançon la plus élevée payée a plus que doublé, passant de 5 millions de dollars entre 2015 et 2019 à 11 millions de dollars en 2021. [4] Les gouvernements, les forces de l’ordre et les organismes de réglementation en ont pris note, les entreprises étant confrontées à des pressions pour se préparer et répondre efficacement aux attaques de ransomware. [5]

Compte tenu de l’environnement actuel des menaces, il est essentiel que les entreprises qui cherchent à gérer leurs risques de cybersécurité comprennent comment les ransomwares ont évolué pour devenir l’une des menaces de cybersécurité les plus dommageables aujourd’hui. Les entreprises sont confrontées à un examen juridique, réglementaire et politique accru à la suite de ces attaques, ce qui oblige les entreprises à mettre en place des structures de gestion et des contrôles appropriés, sous la surveillance du conseil d’administration, afin d’anticiper et de traiter les dommages importants qui peuvent être causés à la suite d’une attaque de ransomware.

Ci-dessous, nous examinons les principales caractéristiques des ransomwares modernes que les entreprises devraient prendre en compte, notamment la façon dont les acteurs des ransomwares ciblent désormais des entreprises spécifiques, menaçant de publier les données les plus sensibles de leurs victimes en ligne, et collaborer avec d’autres cybercriminels pour accroître la sophistication des attaques. Après avoir exploré les ransomwares modernes, nous recommandons ensuite des directives aux entreprises qui réagissent immédiatement après une attaque afin que les entreprises soient les mieux placées pour contenir l’incident, reprendre leurs activités commerciales normales et évaluer de manière appropriée les risques juridiques et réglementaires.

Principales caractéristiques des ransomwares modernes

Les attaques de ransomwares opéraient traditionnellement en accédant à un système, généralement via des e-mails de phishing, puis en verrouillant ou cryptant automatiquement les données en recherchant les fichiers avec certaines extensions. Dans le passé, la plupart des acteurs des ransomwares utilisaient une approche « spray and please » ou « shotgun » dans laquelle les ransomwares étaient distribués sans discernement à la recherche d’une organisation vulnérable. Bien que ces attaques opportunistes aient connu plusieurs succès notables, en 2018, les organisations s’étaient largement adaptées à la menace en mettant en œuvre des mesures de cybersécurité et des plans de reprise après sinistre et de continuité des activités en réponse aux attaques. En conséquence, les ransomwares traditionnels ont eu moins de succès et ont été, pendant un certain temps, largement éclipsés par d’autres cybermenaces. [6]

Au cours des 18 derniers mois, cependant, les ransomwares sont revenus au premier plan du paysage des cybermenaces. Les attaques de ransomware modernes sont plus sophistiquées et dommageables à plusieurs égards. Premièrement, les acteurs modernes des ransomwares utilisent fréquemment une approche ciblée, connue sous le nom de « chasse au gros gibier » ou « attaques opérées par l’homme », dans laquelle le ransomware est conçu pour des victimes spécifiques. Avant même qu’une attaque ne soit lancée, les acteurs des ransomwares procèdent à un profilage approfondi des victimes. [7] Les acteurs des ransomwares sont devenus plus compétents pour le faire pour plusieurs raisons, notamment la disponibilité de bases de données et d’autres outils qui aident à identifier les victimes en fonction de leur emplacement, de leur secteur d’activité, de leur taille et de leurs revenus ; et des plateformes de communication anonymes qui permettent des interactions sécurisées et une collaboration accrue des groupes de cybercriminels. Après avoir identifié une victime et obtenu l’accès à leur réseau, les acteurs du ransomware passent un temps considérable (généralement des semaines ou des mois) à prendre le contrôle de sections du réseau avant d’exécuter le ransomware. En passant plus de temps dans le système ciblé, les cybercriminels peuvent se déplacer latéralement pour accéder à davantage de parties du réseau, identifier les données les plus sensibles stockées par la victime et infiltrer les sauvegardes critiques, ce qui rend plus difficile la récupération des victimes après une attaque.[8]

Deuxièmement, en conjonction avec le large accès aux données sensibles fourni par les attaques ciblées, les acteurs des ransomwares utilisent désormais la « double extorsion » dans laquelle le ransomware non seulement crypte les données de la victime, mais les exfiltre également du réseau de la victime. Cela donne aux cybercriminels une autre possibilité d’extorsion : si une victime ne paie pas la rançon, l’attaquant peut publier ou menacer de publier les données de la victime en ligne, vendre les données sur le dark web ou utiliser les données volées pour exploiter les vulnérabilités des systèmes associés. Les victimes sont confrontées à une pression importante pour payer des rançons dans ces circonstances, ce qui a entraîné une augmentation substantielle du montant des demandes de rançon et des paiements. [9]

Troisièmement, les attaques de ransomwares modernes sont souvent menées par plusieurs groupes collaborant sur différents aspects de l’infiltration. Un exemple est le modèle d’abonnement dit de ransomware-as-a-service (« RaaS »), dans lequel les développeurs de ransomware recherchent des affiliés pour mener des attaques et en échange reçoivent une part du produit. [dix]Dans ces scénarios, un groupe possède le ransomware et un ou plusieurs autres groupes contrôlent l’infrastructure compromise, ce qui permet aux cybercriminels d’utiliser des experts à chaque étape de l’attaque. Avec un accès plus large à un réseau de victimes, les cybercriminels sont également devenus plus efficaces pour monétiser différentes parties des actifs compromis. Par exemple, les acteurs des ransomwares peuvent choisir de déployer des ransomwares sur une partie d’un réseau victime tout en vendant l’accès à une autre, créant ainsi plusieurs sources de revenus pour la même attaque. [11] Cette dynamique rend également plus difficile pour les organisations de victimes d’évaluer la durée et l’étendue de la violation et d’identifier tous les auteurs.

Enfin, les acteurs modernes des ransomwares utilisent désormais généralement la crypto-monnaie comme méthode préférée de paiement des rançons. Dans le passé, les cybercriminels étaient contraints d’utiliser d’autres instruments financiers pour recevoir des paiements, tels que des plateformes de paiement par téléphone mobile ou des portefeuilles électroniques, localisés dans une région géographique particulière et/ou réglementés par les gouvernements. La crypto-monnaie, en revanche, contourne les réglementations et est capable de transférer de l’argent dans le monde entier, permettant aux cybercriminels d’initier des transferts d’argent transfrontaliers à haut volume de manière anonyme avec peu de risques.

Les acteurs modernes des ransomwares ont déployé certaines ou toutes les méthodes ci-dessus, obtenant plusieurs succès récents de grande envergure. Les exemples notables incluent :

DarkSide : Darkside est l’une des variantes de ransomware modernes les plus notoires et elle a fait des ravages dans le monde entier, infiltrant des organisations de divers secteurs dans plus de 15 pays. Introduit à l’origine en 2020 par un groupe de cyberhackers connu sous le nom de Carbon Spider, Darkside fonctionne comme un RaaS et utilise diverses méthodes pour obtenir un accès initial à son système cible, notamment via le phishing, l’exploitation du protocole RDP (« RDP ») et d’autres exploits . [12] Une fois que Darkside a infecté le réseau victime, il se déplace vers le contrôleur de domaine (un serveur qui vérifie les informations d’identification de l’utilisateur sur un réseau informatique), où il vole les informations d’identification et se déplace latéralement pour identifier d’autres actifs précieux à voler. Avant de lancer la charge utile du ransomware, Darkside exfiltre les fichiers critiques, en utilisant des sites de fuite basés sur TOR pour héberger les données volées. [13]

Le déploiement de Darkside le plus notoire a été l’attaque de mai 2021 contre Colonial Pipeline, une entreprise responsable de près de la moitié de l’approvisionnement en carburant de la côte est des États-Unis. [14] Darkside a utilisé une double extorsion en verrouillant les systèmes informatiques de Colonial Pipeline et en volant plus de 100 gigaoctets de données d’entreprise. [15] Cette attaque a provoqué une perturbation importante de la distribution de carburant aux États-Unis, et Colonial Pipeline a payé une rançon de 4,4 millions de dollars en bitcoins pour retrouver l’accès à ses systèmes. Le Federal Bureau of Investigation a ensuite récupéré une partie de la rançon en surveillant un registre bitcoin visible au public alors que les pirates transféraient la rançon bitcoin vers d’autres registres numériques, qui s’apparentent à des portefeuilles numériques personnels. Lorsqu’une partie importante de la rançon, environ 64 bitcoins, a été transférée à une adresse numérique pour laquelle le FBI avait obtenu une « clé privée » ( c’est -à- dire le mot de passe pour accéder à l’adresse), le FBI a obtenu un mandat de perquisition et a saisi le bitcoin . [16] D’autres victimes récentes de Darkside couvrent plusieurs secteurs, notamment les services financiers, le droit, la fabrication, les services professionnels, la vente au détail et la technologie. [17]

Nefilim : Nefilim a été identifié pour la première fois en mars 2020 et a été l’une des variantes les plus réussies pour violer les réseaux de victimes. Nefilim obtient généralement un accès initial à un réseau victime en exploitant des informations d’identification faibles sur le RDP exposé ou d’autres services connexes. Une fois à l’intérieur d’un réseau cible, les acteurs Nefilim téléchargent des outils administratifs supplémentaires pour faciliter les déplacements latéraux dans le réseau. Nefilim exfiltre ensuite les données, les publie sur des sites Web protégés par TOR et lance la charge utile du ransomware pour crypter le réseau de la victime. Au cours de la dernière année, Nefilim a publié en ligne environ deux téraoctets de données volées. [18]

Nefilim s’est distingué des autres familles de ransomwares en ciblant des entreprises dont le chiffre d’affaires annuel se chiffre en milliards de dollars. L’attaque la plus médiatisée de Nefilim a été dirigée contre l’organisation maritime australienne, Toll Group, en mai 2020. Toll Group aurait refusé de payer les demandes de rançon de Nefilim et, en conséquence, Nefilim a divulgué des données sensibles de Toll Group et a annoncé comment Toll Group pourrait être infiltré dans le futur. [19] Nefilim a également été identifié comme l’auteur d’un certain nombre d’autres attaques, notamment contre des victimes aux États-Unis, en Amérique du Sud, en Europe et en Asie.

REvil : REvil (également connu sous le nom de Sodinokibi) est apparu en 2019 et a commencé à cibler diverses industries aux États-Unis, en Australie, au Canada, en Finlande et à Hong Kong. Les variantes récentes de REvil accèdent généralement aux réseaux des victimes via des e-mails de spam malveillants, des vulnérabilités RDP et des sites Web compromis. Comme Darkside et Nefilim, après avoir eu accès au réseau des victimes, REvil utilise la double extorsion, dispose d’un site de fuite dédié à la publication de données sensibles et aurait tenté de mettre aux enchères des données volées en ligne. [20]

REvil a été identifié comme l’auteur de plusieurs attaques de ransomware très médiatisées, notamment (i) l’attaque de juin 2021 contre Grupo Fluery, une société brésilienne de diagnostic médical qui effectue environ 75 millions d’examens cliniques chaque année ; (ii) l’attaque de juin 2021 contre l’entreprise de transformation alimentaire JBS, qui a fermé des usines qui traitent environ un cinquième de l’approvisionnement en viande des États-Unis ; et (iii) l’attaque de mai 2020 contre le cabinet d’avocats Grubman Shire Meiselas & Sacks, qui aurait entraîné le vol de près d’un téraoctet de données client sensibles. [21] JBS a finalement payé à REvil 11 millions de dollars en crypto-monnaie pour protéger JBS contre d’autres interruptions d’activité, ce qui est le plus grand paiement de ransomware signalé publiquement à ce jour. [22]

Répondre à une attaque de ransomware moderne

À la lumière du récent succès des attaques de ransomwares modernes, nous nous attendons à ce que les ransomwares continuent de tourmenter les industries du monde entier dans les années à venir. Lorsqu’une attaque se produit, l’organisation victime doit agir de manière décisive pour contenir l’incident, et les premières 48 heures suivant l’attaque sont les plus critiques. Pendant ce temps, les organisations doivent agir rapidement pour évaluer l’attaque, isoler les systèmes affectés, identifier si les données sont récupérables via des fichiers de sauvegarde ou d’autres méthodes, et évaluer les risques juridiques et réglementaires, qui sont nombreux. Une organisation qui traite efficacement chacun de ces problèmes sera dans la position la plus forte possible pour reprendre ses activités normales et déterminer si elle doit ou non payer la rançon. Compte tenu de la sophistication des attaques de ransomware modernes,

Mobiliser l’équipe d’intervention en cas de violation: Les organisations doivent former une équipe pour coordonner la réponse à la violation. Idéalement, cette équipe avait déjà été identifiée et préparée bien avant que la violation ne se produise, et comprend la haute direction, la criminalistique, la sécurité de l’information, la technologie de l’information et les composants juridiques. À la lumière de la complexité des attaques de ransomware modernes, les organisations devraient envisager de faire appel à des enquêteurs judiciaires indépendants possédant une expertise en ransomware. Les organisations devraient également envisager sérieusement de retenir les services d’un avocat externe pour les guider dans la réponse aux incidents en vertu du secret professionnel de l’avocat, y compris les questions juridiques et réglementaires discutées ci-dessous. De plus, si l’organisation décide de faire appel à des enquêteurs médico-légaux indépendants, ces personnes devraient être retenues par un avocat externe pour préserver le privilège juridique de leur travail,

Évaluer les dommages: Les organisations doivent agir le plus rapidement possible pour évaluer l’ampleur de l’attaque. Cela inclut l’identification du ou des systèmes informatiques concernés, l’origine de l’attaque, la variante du ransomware ou tout autre logiciel malveillant utilisé pour infiltrer le système et toute connexion externe actuelle au système. Cette étape est plus compliquée lors de la réponse à une attaque de ransomware moderne car, comme décrit ci-dessus, l’attaque peut impliquer plusieurs cybercriminels qui ont passé des semaines ou des mois à se déplacer sur le réseau de la victime. Les organisations de victimes ne doivent pas supposer que l’identification de logiciels malveillants sur une section de leur système constitue l’intégralité de la violation. L’équipe d’intervention doit plutôt déterminer si ce logiciel malveillant a été utilisé dans le cadre d’une attaque de ransomware ciblée plus large. Si c’était,

Conserver les fichiers journaux : les fichiers journaux sont essentiels pour évaluer l’attaque par ransomware, et les organisations doivent prendre des mesures immédiates pour les préserver. Cela inclut l’augmentation de la taille par défaut des fichiers journaux sur les serveurs et la désactivation des tâches de maintenance automatisées telles que la suppression des fichiers temporaires et la rotation des journaux pour empêcher l’écrasement des journaux. Si la journalisation n’est pas activée sur un système affecté, l’organisation doit activer la journalisation immédiatement, ce qui peut également fournir des informations utiles à la suite de la violation.

Isoler et imager les systèmes affectés : Une fois les systèmes affectés identifiés, ils doivent être isolés. Ce processus comprend non seulement la suppression de ces systèmes du réseau lui-même, mais également la sécurisation des zones physiques potentiellement liées à la violation. Une fois que ces systèmes sont isolés, ils doivent également faire l’objet d’une image médico-légale, ce qui aidera à enquêter sur les origines et les causes de la violation. De plus, si l’organisation paie l’acteur du ransomware pour une clé de déchiffrement, il est possible que la clé contienne des bogues qui peuvent endommager les données pendant le processus de déchiffrement. Si cela se produit, l’image médico-légale peut être utilisée pour tenter de répéter le décryptage sans endommager les données d’origine.

Fichiers de sauvegarde sécurisés : la sécurisation des fichiers de sauvegarde le plus rapidement possible joue un rôle crucial dans la reprise rapide des opérations commerciales. Idéalement, au moins certains fichiers de sauvegarde sont stockés sur un réseau à vide que l’attaque n’a pas atteint et n’a pas pu atteindre. Dans la mesure où les fichiers de sauvegarde sont connectés au réseau infecté, les entreprises doivent déconnecter le stockage de sauvegarde du réseau et/ou verrouiller l’accès aux systèmes de sauvegarde jusqu’à ce que l’infection soit résolue. Ici encore, les organisations doivent agir avec prudence, car les attaques de ransomwares modernes ciblent spécifiquement les fichiers de sauvegarde pour empêcher délibérément une récupération rapide. De plus, étant donné que les attaques de ransomware modernes ont des délais plus longs, les entreprises doivent être prêtes à identifier et à récupérer les fichiers de sauvegarde qui sont considérablement antérieurs à la découverte de l’intrusion.

Évaluer les problèmes juridiques et réglementaires: Les organisations sont confrontées à une variété de considérations juridiques et réglementaires aux niveaux étatique, fédéral et, potentiellement, international suite à une attaque de ransomware, et bon nombre de ces problèmes doivent être résolus immédiatement. Selon l’organisation et le type de données compromises, l’attaque de ransomware peut déclencher un patchwork complexe d’exigences de notification légale, dont certaines ont des délais de notification courts. Par exemple, les États ont promulgué une législation exigeant la notification des atteintes à la sécurité impliquant des informations personnelles, certaines dans les 24 heures suivant la découverte du vol. De plus, la SEC a publié des directives concernant les divulgations à la suite d’une violation de la cybersécurité. Et le Règlement général sur la protection des données du Royaume-Uni impose aux organisations de signaler certaines violations de données personnelles dans les 72 heures, dans la mesure du possible. [23]

Les organisations doivent également se préparer aux enquêtes gouvernementales et aux litiges. Les secteurs réglementés tels que les soins de santé, la finance et les infrastructures critiques font régulièrement l’objet d’un examen minutieux après des cyberattaques de la part des autorités de réglementation et des procureurs généraux des États. Lorsque des données de consommateurs sont impliquées, les droits d’action privés en vertu des lois de l’État sur la protection des consommateurs peuvent conduire à des recours collectifs. Au-delà de cela, les organisations doivent également déterminer si elles doivent ou non payer la rançon, ce qui soulève une foule d’autres problèmes pratiques et juridiques. Le FBI conseille généralement aux entreprises de ne pas payer de rançon. L’Office of Foreign Assets Control (« OFAC ») du département du Trésor a déclaré que certains paiements de ransomware peuvent également constituer des violations des lois sur les sanctions économiques. Au-delà de l’OFAC, le paiement de la rançon peut impliquer les lois anti-blanchiment et le Patriot Act. En outre,[24] à New York, les législateurs ont également proposé une législation qui interdirait les paiements de ransomware par toute entité exerçant des activités à New York ou dans un établissement de santé réglementé par le ministère de la Santé de New York. [25] Comme nous l’avons indiqué, la participation précoce d’un conseiller juridique est importante pour évaluer toutes ces questions tout en préservant le privilège.


Compte tenu de la prolifération d’acteurs de ransomware sophistiqués à la recherche de primes de plus en plus importantes pour les données sensibles de l’entreprise, les entreprises doivent à la fois anticiper et être prêtes à répondre à l’attaque inévitable. En prenant les mesures décrites ici, les entreprises se mettront dans la meilleure position pour contenir la violation une fois qu’elle se produira, empêcher la perte de données supplémentaires, lancer le processus de récupération, limiter l’exposition légale et réglementaire et déterminer si elles doivent payer la rançon.

Notes de fin

Voir Fortinet, Global Threat Landscape Report : A Semiannual Report by FortiGuard Labs (février 2021), disponible sur https://www.fortinet.com/content/dam/maindam/public/02_marketing/08_Report/Global-TLR-2021 -2H.pdf .(retourner)

2 Collin Eaton et Dustin Volz, PDG de Colonial Pipeline, expliquent pourquoi il a payé une rançon de 4,4 millions de dollars aux pirates , Wall St. J. (19 mai 2021) ; Catherine Stupp, Le système de santé irlandais lutte contre les perturbations technologiques après l’attaque par ransomware de mai , Wall St. J. (18 juin 2021).(retourner)

Voir Dep’t of Health & Human Serv., Ransomware Trends 2021 à 11 (3 juin 2021), disponible sur https://www.hhs.gov/sites/default/files/ransomware-trends-2021.pdf.(retourner)

4 Palo Alto Networks, rapport sur les menaces de ransomware à 4 (2021) ; voir aussi Jacob Bunge, JBS Paid $11 Million to Resolve Ransomware Attack , Wall St. J. (9 juin 2021).(retourner)

Voir, par exemple , Communiqué de presse, Sénateur américain Jackie Rosen, Rosen Leads Bipartisan Group of Senators to Reintroduce Bipartisan Electric Grid Security Legislation (24 juin 2021) ; Communiqué de presse, Féd. Bureau of Investigation, Déclaration du FBI sur les récentes attaques de ransomware (4 juin 2021) ; Communiqué de presse, Dep’t of Homeland Security, DHS annonce de nouvelles exigences en matière de cybersécurité pour les propriétaires et exploitants de pipelines critiques (27 mai 2021).(retourner)

6 Magno Logan, Erika Mendoza, et al., The State of Ransomware: 2020’s Catch-22 (3 février 2021), disponible sur https://www.trendmicro.com/vinfo/us/security/news/cybercrime- and-digital-menaces/the-state-of-ransomware-2020-s-catch-22 .(retourner)

7 Mayra Fuentes, Feike Hacquebord et al., Modern Ransomware’s Double Extorsion Tactics and How to Protect Enterprises Against Them at 9 (2021), disponible sur https://documents.trendmicro.com/assets/white_papers/wp-modern-ransomwares -double-extorsion-tactiques.pdf .(retourner)

Id. Certains acteurs de ransomware incluent une troisième couche d’extorsion en ajoutant des attaques par déni de service (« DDoS ») contre les sites Web des victimes, qui peuvent submerger un réseau de trafic, provoquant une interruption supplémentaire des opérations. D’autres ont même ajouté une quatrième couche d’extorsion en contactant directement les clients d’une victime dans le but d’augmenter la pression sur la victime pour qu’elle paie. Voir Janus Agcaoili, Miguel Ang et al., Ransomware Double Extortion and Beyond : REvil, Clop et Conti (15 juin 2021), disponible sur https://www.trendmicro.com/vinfo/dk/security/news/ cybercriminalité-et-menaces-numériques/ransomware-double-extorsion-and-beyond-revil-clop-and-conti .(retourner)

Voir le rapport Palo Alto, supra note 4, p. 4.(retourner)

10 Voir Fuentes et al., supra note 7, à 6.(retourner)

11 Bob McArdle, The Life Cycle of a Compromised (Cloud) Server, Trend Micro (1er septembre 2020), disponible sur https://blog.trendmicro.com/the-lifecycle-of-a-compromised-cloud-server .(retourner)

12 Voir, par exemple , Cybersecurity Infrastructure & Sec. Agency (« CISA »), Darkside Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks (30 mai 2021), disponible sur https://us-cert.cisa.gov/ncas/alerts/aa21-131a . TOR est un logiciel gratuit qui permet des communications anonymes sur Internet.(retourner)

13 Id.(retourner)

14 Id.(retourner)

15 Jordan Robertson & William Turton, Colonial Hackers Stole Data Thursday Ahead of Shutdown , Bloomberg (8 mai 2021), disponible sur https://www.bloomberg.com/news/articles/2021-05-09/colonial-hackers- volé-données-jeudi-avant-l’arrêt-du-pipeline .(retourner)

16 Communiqué de presse, US Dep’t of Justice, Department of Justice saisit 2,3 millions de dollars en crypto-monnaie payés aux ransomwares Extortionists Darkside (7 juin 2021).(retourner)

17 Shining a Light on Darkside Ransomware Operations, Fireeye (11 mai 2021), disponible sur https://www.fireeye.com/blog/threat-research/2021/05/shining-a-light-on-darkside-ransomware -opérations.html .(retourner)

18 Voir Fuentes et al., supra note 7.(retourner)

19 Ry Crozier, Toll Group peut avoir perdu plus de 200 Go de données lors d’une attaque de ransomware , IT News (20 mai 2020).(retourner)

20 Phil Muncaster, REvil Ransomware Group Auctions Stolen Data , Info Security Group (3 juin 2020), disponible sur https://www.infosecurity-magazine.com/news/revil-ransomware-group-auctions .(retourner)

21 Lawrence Abrams, Healthcare Giant Grupo Fleury Hit By REvil Ransomware Attack , BleepingComputer (23 juin 2021), disponible sur https://www.bleepingcomputer.com/news/security/healthcare-giant-grupo-fleury-hit-by- attaque-revil-ransomware/ ; Communiqué de presse, Féd. Bureau of Investigation, Déclaration du FBI sur la cyberattaque JBS (2 juin 2021).(retourner)

22 Voir Bunge, supra note 4.(retourner)

23 Voir S. 645, 117e Cong. (2021), disponible sur https://dd80b675424c132b90b3-e48385e382d2e5d17821a5e1d8e4c86b.ssl.cf1.rackcdn.com/external/warnerrubiodraftbill.pdf(retourner)

24 Voir, par exemple , Doug Olenick, Should Paying Ransoms to Attackers Be Banned, Data Breach (24 mai 2021) ; Cynthia Brumfield, Four States Propose Laws to Ban Ransomware Payments , CSO (28 juin 2021), disponible sur https://www.csoonline.com/article/3622888/four-states-propose-laws-to-ban-ransomware- paiements.html .(retourner)

25 N.YS 6806, 2021-2022 Sess. (18 mai 2021), disponible sur https://www.nysenate.gov/legislation/bills/2021/s6806 .(retourner)

Top 10 des billets publiés sur Harvard Law School Forum au 24 juin 2021


Voici, comme à l’habitude, le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 24 juin 2021.

Cette semaine, j’ai relevé les dix principaux billets.

Bonne lecture !

Top ten Images, Royalty-free Stock Top ten Photos & Pictures | Depositphotos

  1. Do UK and EU Companies Lead US Companies in ESG Measurements in Incentive Compensation Plans?
  2. 2021 Say on Pay Failures Partly Due to Covid-19 Related Pay Actions
  3. Introducing the “Technergy” ESG Reporting Strategy
  4. General Solicitation and General Advertising
  5. Competition Laws, Governance, and Firm Value
  6. How to Accelerate Board Effectiveness Through Insight and Ongoing Education
  7. The Biden Administration’s Executive Order on Climate-Related Financial Risks
  8. Benchmarking of Pay Components in CEO Compensation Design
  9. Vanguard’s Insights on Shareholder Proposals Concerning Diversity, Equity, and Inclusion
  10. Speech by Commissioner Roisman on Whether the SEC Can Make Sustainable ESG Rules

Top 10 des billets publiés sur Harvard Law School Forum au 10 juin 2021


Voici, comme à l’habitude, le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 10 juin 2021.

Cette semaine, j’ai relevé les dix principaux billets.

Bonne lecture !

LYRICshowcases: Our Top Ten Favourite Country Songs of 2019 | Lyric Magazine

  1. Institutional Investor Survey 2021
  2. Do Firms With Specialized M&A Staff Make Better Acquisitions?
  3. Proposed EU Directive on ESG Reporting Would Impact US Companies
  4. ESG Scrutiny From the SEC’s Division of Examinations
  5. Pandemic Risk and the Interpretation of Exceptions in MAE Clauses
  6. SEC Approves Nasdaq’s Direct Listing Rule
  7. How Informative Is the Text of Securities Complaints?
  8. Private Sector Implications of Biden’s Executive Order on Climate-Related Financial Risk
  9. Cash-for-Information Whistleblower Programs: Effects on Whistleblowing and Consequences for Whistleblowers
  10. Principles for Board Governance of Cyber Risk

La gestion des risques et le rôle du CA au Canada


Dans le cadre de son quinzième anniversaire, le Collège des administrateurs de sociétés (CAS) publie quinze articles originaux sur des thèmes recoupant des problématiques de gouvernance dans les organisations.

Voici donc une introduction à la publication du septième article qui porte sur la gestion des risques d’entreprises (GRE) et l’importance d’identifier les risques émergents en ces temps de pandémie COVID-19. « Dans ce contexte, le conseil d’administration assume une responsabilité de supervision (oversight) de la gestion des risques organisationnels, et non pas d’exécution ».

La publication de Gilles Bernier*, professeur titulaire retraité de la faculté des sciences de l’administration de l’Université Laval, nous invite à prendre connaissance d’une récente enquête réalisée en ligne en 2018 par le Conference Board du Canada (en partenariat avec CPA Canada et l’Institut mondial de gestion des risques du secteur financier), auprès de 160 professionnels qui dirigent la gestion des risques au sein de leur organisation respective

L’auteure aborde plusieurs questions cruciales pour les administrateurs : que peuvent-ils et que doivent-ils faire afin de s’acquitter de leurs obligations fiduciaires ?

Voici un extrait de l’article.

– La GRE a beaucoup progressé au cours de la dernière décennie au Canada, sauf dans les plus petites organisations.

– Au Canada, les conseils d’administration semblent prendre de plus en plus au sérieux la gouvernance des risques d’entreprise. Ainsi, le sondage montre « que 69 % des répondants confirment que leur conseil d’administration a supervisé les politiques de gestion des risques de l’organisation ». De plus, près de 60 % des répondants qualifient la GRE de leur organisation de « centralisée », c’est-à-dire relevant de la direction générale ou de la direction financière.

– Un autre aspect que le sondage indique est le manque de soutien des équipes de direction, ce qui va souvent se refléter par un niveau de ressources — humaines, financières et technologiques — insuffisantes pour permettre à la fonction GRE d’atteindre une plus grande maturité. Une idée qui pourrait possiblement faire en sorte que les dirigeants adhèrent encore plus à la GRE serait de resserrer le lien entre celle-ci et leur rémunération.

– Il s’avère que là où la GRE est vraiment intégrée (par exemple, dans le secteur financier), elle est plus souvent considérée comme un outil stratégique clé et comme un facteur de réussite en affaires. Dès lors, la gouvernance des risques stratégiques est certes un aspect auquel les conseils d’administration canadiens devraient porter une attention encore plus marquée. En effet, il faut se rappeler qu’un plan stratégique n’est qu’un scénario qui comporte bien des incertitudes.

– Un autre constat fort intéressant réside dans le fait que le potentiel de la GRE « pour ce qui est de tirer parti du bon côté du risque et de créer de la valeur reste sous-développé » dans un grand nombre d’organisations.

– Enfin, les répondants se montrent davantage préoccupés par les priorités relatives aux risques immédiats (financiers, opérationnels, de non-conformité et d’atteinte à la réputation) et moins par les risques émergents.

Bonne lecture !


*Gilles Bernier, Ph.D., ASC, C.Dir., A.C.C., professeur retraité, FSA ULaval, et administrateur de sociétés

Les attaques de cybersécurité sont-elles une fatalité ?


Dans le cadre de son quinzième anniversaire, le Collège des administrateurs de sociétés (CAS) publie quinze articles originaux sur des thèmes recoupant des problématiques de gouvernance dans les organisations.

Voici donc une introduction à la publication du sixième article qui porte sur les risques associés aux attaques de plus en plus fréquentes de nature informatique. Quels sont les devoirs et les responsabilités des administrateurs de sociétés eu égard à la cybersécurité ?

La publication de Lyne Bouchard*, professeure agrégée de la faculté des sciences de l’administration de l’Université Laval, nous rappelle les moyens de défense accessibles afin d’éviter les ravages causés par les attaques informatiques.

L’article présente un aperçu de l’univers des menaces en cybersécurité et montre comment plusieurs sociétés ont été victimes des cybercriminels. 

L’auteure aborde une question fondamentale pour les administrateurs : que peuvent-ils et que doivent-ils faire afin de s’acquitter de leurs obligations fiduciaires ?

Voici un extrait de l’article.

On finalise la préparation du rapport annuel de votre organisation. On vous demande de certifier, avec votre signature, que les résultats présentés dans le rapport sont fidèles à la réalité et n’ont pas été modifiés à la suite d’un événement de cybersécurité. Vous signez ?

POURQUOI EST-CE SI FACILE DE MENER DES CYBERATTAQUES ?

Ce qui est le plus désolant c’est que ce sont souvent les organisations elles-mêmes ou les utilisateurs eux-mêmes qui ont rendu possible, littéralement, les attaques :– Les vols de données chez Desjardins, Revenu Québec ou au Ministère de l’Éducation ont été rendus possibles par des gestionnaires qui ont traité à la légère les demandes d’accès à des informations de la part de leurs employés, demandes qui n’étaient pas justifiées, mais qui ont rendu possible de vol de données ;

– Chez Équifax, Capital One, Uber, et LifeLabs, c’est l’absence de mise à jour des correctifs de sécurité publiés par les fournisseurs de logiciels et matériel informatique ou le laxisme en sécurité informatique de la part des spécialistes, qui a rendu possible les vols de données ;

– Yahoo, Target, TransUnion, la Banque de Montréal et la CIBC n’avaient pas implanté des identifiants forts pour permettre à des gens de l’externe de se connecter à leurs systèmes ou des procédures sécuritaires pour modifier les mots de passe ;

– De nombreux autres exemples, tels que l’hôpital Michel Garron de Toronto, le gouvernement du Nunavuk, les villes de Woodstock et de Saskatoon, ont péché par l’absence de formation adéquate de leur personnel qui a cliqué sur un fichier attaché dans un courriel, n’a pas utilisé de bons mots de passe, s’est fié aux personnes qui les ont contactés par courriel ou par téléphone.

Heureusement, de telles situations peuvent être évitées. Les technologies sont au cœur des menaces, mais la solution se situe au niveau des individus.

Bonne lecture !

_____________________________

*Lyne Bouchard, IAS.A., professeure agrégée, FSA ULaval | Vice-rectrice aux ressources humaines de l’Université Laval | Directrice de l’Observatoire de gouvernance des technologies de l’information

Les entreprises vont de l’avant avec l’adoption de l’IA malgré un manque d’expertise au sein des conseils d’administration


Voici un article de TREVOR PRYER  publié sur le site de Board Agenda qui présente les principales conclusions d’une enquête sur la mise en œuvre des technologies de l’intelligence artificielle (IA).

La recherche montre que plus des deux tiers des CA approuveront l’utilisation de l’IA sans avoir l’expertise requise minimale au sein des conseils d’administration.

Je vous invite à lire la version française de la publication effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.

Bonne lecture !

Les entreprises vont de l’avant avec l’adoption de l’IA malgré un manque de compétences au sein des conseils d’administration

 

Cerveau montrant l'IA dans les processus

Image: vs148 / Shutterstock

Plus des deux tiers des conseils d’administration ont l’intention d’approuver la mise en œuvre de l’intelligence artificielle (IA) l’année prochaine, bien qu’il semble y avoir des obstacles importants à une intégration réussie.

Le rapport Leadership en AI 2021 réalisé par Board Agenda en association avec la société de services professionnels Mazars et l’école de commerce INSEAD, constate que les conseils d’administration s’intéressent considérablement à la capacité de l’IA à influencer des domaines clés tels que le service client, les opérations, les finances et la comptabilité, et le développement de la recherche.

Mais l’enquête a également révélé que de nombreuses organisations et conseils d’administration n’ont pas les connaissances et les compétences nécessaires pour assurer une intégration réussie. L’adoption de l’IA s’est également avérée minée par un manque de connaissances et de compréhension au niveau du conseil. Parmi les autres obstacles au progrès figurent les systèmes informatiques hérités, les données médiocres et les cultures d’entreprise résistantes.

Les connaissances et compétences insuffisantes des conseils d’administration sont une source de préoccupation et des liens vers des questions plus larges sur l’état de l’expertise technologique des conseils d’administration, un problème qui affecte de nombreuses organisations alors que la transformation numérique s’accélère dans l’industrie.

Implantation de l’IA

Près des trois quarts (73 %) des répondants déclarent avoir l’intention de mettre en œuvre l’IA au cours des 12 prochains mois, le sujet étant désormais un problème majeur au niveau du conseil d’administration. Un autre 72 % disent que le conseil autorise la mise en œuvre.

Selon l’étude, un peu moins de la moitié des répondants cible les services à la clientèle. Les autres domaines choisis pour la mise en œuvre de l’IA comprennent les opérations, la gestion des données, la logistique, la chaîne d’approvisionnement, les finances et la comptabilité. Cela coïncide avec les résultats d’autres rapports de l’industrie, tels que les recherches de McKinsey qui ont récemment révélé une augmentation de 25 % de l’utilisation de l’IA dans les processus commerciaux standard.

L’étude montre également qu’une grande majorité des répondants affirment que l’augmentation de l’efficacité est le principal avantage de l’IA, tandis que 55 % déclarent des économies de coûts et 53 % s’attendent à une augmentation des revenus.

Le retour sur investissement attendu de l’IA est évident. Les répondants rapportent avoir vu des signes positifs au sein de leur organisation suggérant déjà qu’ils pensent que des avantages peuvent être réalisés. Covid-19 a également accru l’intérêt pour l’IA. Plus de la moitié des répondants — 54 % — affirment que le virus a déjà accéléré l’adoption ou prévoit une adoption future de l’IA.

Manque d’expertise au CA

Cependant, l’étude a révélé des contraintes importantes à la mise en œuvre de l’IA au sommet des entreprises.

Bien qu’ils aient le pouvoir d’évaluer et d’approuver l’IA dans les organisations, une proportion importante des conseils d’administration interrogés n’ont pas réussi à tirer parti des opportunités potentielles en raison d’un manque de compréhension de l’IA et de son utilisation.

Plus de la moitié des répondants au sondage (53 %) affirment que leurs conseils d’administration ne sont pas suffisamment qualifiés ou ne connaissent pas suffisamment la technologie et l’IA et leurs implications pour les entreprises et l’industrie.

Les deux tiers (67 %) n’ont pas été en mesure de confirmer que le conseil d’administration ou la haute direction étaient au courant des services d’IA et de la législation pertinente. Lorsqu’on leur a demandé si le conseil d’administration et la haute direction avaient évalué les compétences et la formation nécessaires pour l’IA au sein de leur organisation, 44 % ont répondu que non. L’étude a également révélé que seulement 25 % des conseils d’administration des entreprises se sont penchés sur les compétences et la formation requises pour l’IA, et seulement 23 % ont évalué les implications potentielles pour la gouvernance et la conformité.

Écrivant pour Board Agenda, Asam Malik, responsable du conseil en technologie chez Mazars, et Anish Venugopal, responsable des données et de l’automatisation, déclarent : « La reconnaissance de la valeur de l’IA au niveau du conseil est significative, mais comme nous l’avons constaté dans notre rapport, la reconnaissance, la compréhension et un plan de mise en œuvre sont des défis très différents. »

Ils sont également préoccupés par les risques potentiels.

« C’est peut-être un symptôme de progrès technologique rapide que de nombreux conseils ont du mal à comprendre pleinement l’IA. Il semblerait qu’il y ait un manque de connaissances considérable au sommet des organisations sur sa capacité de transformation et son application.

“L’impact de l’IA sur les entreprises sera considérable, de sorte qu’un manque de compréhension des conseils d’administration entraînera non seulement des contraintes, mais également des risques importants pour les organisations.

Contraintes éthiques et culturelles

L’étude révèle également les contraintes à l’échelle de l’organisation à la mise en œuvre de l’IA que les conseils d’administration et la haute direction devront aborder. Les trois quarts des répondants (76 %) conviennent qu’il y a des changements éthiques ou culturels importants au sein des entreprises qui doivent être gérées, et 73 % estiment que le manque de compétences et de connaissances en IA au sein de l’organisation est une contrainte majeure à l’adoption.

Ceci est étroitement suivi d’autres préoccupations telles que les systèmes informatiques hérités, la valeur commerciale incertaine et la ‘résistance dans certaines parties de l’organisation’. Des questions culturelles et éthiques sont souvent soulevées autour du déploiement de l’IA et cela a été confirmé par nos recherches. Il s’agit manifestement d’un problème que les conseils d’administration et la haute direction devront régler.

Le professeur Theodoros Evgeniou de l’INSEAD voit les organisations aux prises avec une transformation rapide. ‘Alors que la vitesse de l’innovation en intelligence artificielle et de la transformation commerciale axée sur les données s’accélère, les conseils d’administration et les dirigeants ont du mal à comprendre l’impact de ces technologies sur leur entreprise. Si l’IA peut permettre de nouveaux modèles commerciaux, produits, flux de revenus et efficacité, elle est également une source de nouveaux risques.

Il considère l’investissement dans les connaissances et les compétences en IA comme un moteur clé du changement. ‘Si elles veulent contrôler leur destin axé sur la technologie, les organisations doivent développer de nouvelles capacités à tous les niveaux pour permettre la prise de décision basée sur les données, l’augmentation des emplois (plutôt que le remplacement) et l’innovation basées sur l’IA, ainsi que de nouvelles pratiques, processus et structures organisationnelles.’

Ce qui ressort clairement de cette étude, c’est que le rythme du changement dans l’IA s’accélère à mesure que les avantages deviennent de plus en plus évidents. Cependant, si les avantages doivent être pleinement appréhendés, le manque de connaissances et de compétences technologiques au niveau du conseil devra être comblé sans délai.

Les conclusions de l’enquête sur le leadership de l’IA ont suscité les commentaires des administrateurs et des principaux organismes du secteur :

 

L’IA est de plus en plus avancée et mature sur le plan technologique ; en tant que tel, il est essentiel que les conseils d’administration comprennent comment l’IA s’intègre dans leur stratégie de numérisation et il est très important d’assurer une surveillance éthique responsable de l’IA, y compris les implications pour toutes les parties prenantes, y compris les clients, les employés et les actionnaires. Les compétences en science des données sont primordiales, le développement des talents sera donc la clé du succès. Les entreprises qui n’ont pas cela à leur ordre du jour doivent le faire de toute urgence. Jacqui Ferguson, directrice générale des conseils d’administration de Tesco Bank, Croda PLC, Wood Plc et Sunday Times NED Award Winner 2019

C’est un rapport très opportun. L’impact de la pandémie et la demande d’une plus grande efficacité signifient que l’IA entre dans le courant dominant. La compréhension du conseil, sa surveillance et les mécanismes de gouvernance, de risque et de contrôle nécessaires sont essentiels pour garantir le succès de l’adoption et le rendement attendu. Une mise en œuvre réussie nécessite des considérations techniques, culturelles et éthiques. La responsabilité humaine ne disparaît pas. Les outils explicatifs offrent un mécanisme de soutien pour augmenter la capacité des conseils d’administration à assurer une surveillance et à garantir que l’entreprise agit de manière éthique. Maggie McGhee, directrice générale, gouvernance, ACCA

Gérer les conséquences de l’utilisation de plus en plus courante des technologies de l’IA est un défi pour de nombreux membres du conseil d’administration. Les résultats des recherches menées par Board Agenda sont extrêmement utiles ; elles soulignent l’urgence de s’attaquer efficacement à ce défi et encouragent les conseils à inscrire cette question à leur ordre du jour. Dr Ian Peters MBE, directeur, Institut d’éthique des affaires (BIE)

L’IA transforme le paysage commercial d’une manière qui n’était pas imaginée même une décennie plus bas. Les solutions d’IA sont à l’origine de nouvelles approches innovantes qui peuvent créer des avantages pour toute entreprise, ou offrir aux concurrents des opportunités de dépasser ou de perturber les non préparés. La croissance rapide des nouvelles entreprises affamées qui cherchent à changer le paysage commercial exige que les conseils d’administration s’assurent qu’ils ont accès à la bonne expertise et consacrent suffisamment de temps à l’examen des implications. Ce rapport devrait fournir une provocation opportune pour que toute entreprise examine sa stratégie d’IA. Dr Phil Clare, Institut des directeurs et directeurs adjoints, Services de recherche (échange et engagement des connaissances), Université d’Oxford

Il y a cinq ans, le défi consistait à amener les conseils d’administration à comprendre comment la technologie allait avoir un impact sur leur entreprise et nous savons ce qui est arrivé à ceux qui restent. Le défi d’aujourd’hui est tout aussi important : comment amener les conseils d’administration à vraiment comprendre l’IA et les données ? Ils ignorent cela à leurs risques et périls ! Simon Calver, président, UK Business Angels Association, directeur général de Moo.com, Musclefood, Firefly Learning

‘Cet excellent rapport souligne à quel point le numérique imprègne désormais la stratégie et les opérations de la plupart des entreprises et ne peut donc pas être un sujet spécialisé au niveau du conseil. L’ampleur et l’importance des décisions sur l’IA auxquelles sont confrontées la plupart des entreprises exigent de la compréhension, du jugement et des connaissances du conseil. Ce ne sont pas des investissements marginaux, mais essentiels pour l’avenir. De même, les implications éthiques et de réputation de l’IA sont radicales et les conseils d’administration qui ne parviennent pas à comprendre cela exposent leurs organisations à des risques extraordinaires. Gillian Karran-Cumberlege, responsable du président et du conseil d’administration Fidelio Partners

Téléchargez le rapport Leadership en AI 2021.

Top 10 des billets publiés sur Harvard Law School Forum au 26 novembre 2020


 

Voici le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 26 novembre 2020.

Cette semaine, j’ai relevé les dix principaux billets.

Bonne lecture !

 

Ericsson jolts the FCPA top ten list | The FCPA Blog

 

  1. Acquisition Experience and Director Remuneration
  2. Russell 3000 Database of Executive Compensation Changes in Response to COVID-19
  3. Risks of Back-Channel Communications with a Controller
  4. Cyber: New Challenges in a COVID-19–Disrupted World
  5. Varieties of Shareholderism: Three Views of the Corporate Purpose Cathedral
  6. ISS Releases New Benchmark Policies for 2021
  7. Why Have CEO Pay Levels Become Less Diverse?
  8. The Department of Labor’s ESG-less Final ESG Rule
  9. SEC Adopts Rules to Modernize and Streamline Exempt Offerings
  10. EQT: Private Equity with a Purpose

Top 10 des billets publiés sur Harvard Law School Forum au 19 novembre 2020


Voici le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 19 novembre 2020.

Cette semaine, j’ai relevé les dix principaux billets.

Bonne lecture !

 

Top ten list Stock Photos, Royalty Free Top ten list Images | Depositphotos®

 

  1. Decision Making in 50:50 Joint Ventures
  2. Delaware Reaffirms Director Independence Principle in Founder-Led Company
  3. Shareholders’ Rights & Shareholder Activism 2020
  4. ESG Management and Board Accountability
  5. Financial Institution Regulation Under President Biden
  6. Corporations in 100 Pages
  7. Racial Equity on the Board Agenda
  8. The Rise of the General Counsel
  9. Revealing ESG in Critical Audit Matters
  10. SEC Division of Enforcement 2020 Annual Report

Reconquérir la démocratie des actionnaires grâce à des AGA virtuelles


Voici un article de Yaron Nili, professeur adjoint à la faculté de droit de l’Université du Wisconsin et Megan W. Shaner, professeur à la faculté de droit de l’Université de l’Oklahoma. Cet article a été publié sur le site du Harvard Law School Corporate Governance Forum, et il est basé sur leur récent article.

Bien que les réunions virtuelles aient été peu utilisées lors des assemblées générales annuelles (AGA) avant 2020, la technologie était disponible depuis déjà plusieurs années. Les réunions des conseils d’administration en mode virtuel étaient d’ailleurs assez fréquentes.

L’article fait le point sur l’utilisation des technologies de l’information lors des AGA avant et après le COVID-19. Les auteurs « situent les réunions annuelles virtuelles dans un solide aperçu historique des réunions annuelles et du vote des actionnaires, pour faire valoir que les réunions virtuelles offrent l’occasion de retrouver l’un des objectifs de base des réunions annuelles : la démocratie actionnariale ».

Back to the Future? Reclaiming Shareholder Democracy Through Virtual Annual Meetings

 

Hallowed Tradition Of Annual Meeting Goes Virtual | Global Finance Magazine

 

Voici les conclusions que les auteurs tirent de leur recherche.

On ne sait pas si les réunions virtuelles persisteront à des taux aussi élevés. Il ne fait aucun doute que certaines entreprises reviendront aux réunions annuelles traditionnelles en personne, dès qu’il sera sécuritaire de le faire. Pour de nombreuses autres entreprises, cependant, les réunions virtuelles peuvent devenir un élément permanent sous la forme de réunions annuelles entièrement virtuelles ou hybrides.

De plus, avec l’incertitude entourant le moment où la crise de santé publique résultant du COVID-19 sera résolue, les entreprises pourraient être contraintes d’organiser une autre saison de réunions annuelles à distance en 2021, qu’elles le veuillent ou non. Les réunions virtuelles sont donc en passe de jouer un rôle influent dans la pratique des entreprises. Nous devons donc profiter de cette occasion pour réexaminer de manière significative l’objectif de la réunion annuelle et le rôle que la technologie peut jouer dans sa promotion.

Guide des administrateurs 2020 | Deloitte


Le document suivant, publié par Deloitte, est une lecture fortement recommandée pour tous les administrateurs, plus particulièrement pour ceux et celles qui sont des responsabilités liées à l’évaluation de la  performance financière de l’entreprise.

Pour chacun des sujets abordés dans le document, les auteurs présentent un ensemble de questions que les administrateurs pourraient poser :

« Pour que les administrateurs puissent remplir leurs obligations en matière de présentation de l’information financière, ils doivent compter sur l’appui de la direction et poser les bonnes questions.

Dans cette publication, nous proposons des questions que les administrateurs pourraient poser à la direction concernant leurs documents financiers annuels, afin que ceux-ci fassent l’objet d’une remise en question appropriée ».

Je vous invite à prendre connaissance de cette publication en téléchargeant le guide ci-dessous.

Guide des administrateurs 2020

Résultat de recherche d'images pour "guide des administrateurs 2020 Deloitte"

 

Le dilemme d’un administrateur indépendant dans un cas de vol de données


Voici un cas publié sur le site de Julie McLelland qui aborde une situation où Trevor, un administrateur indépendant, croyait que le grand succès de l’entreprise était le reflet d’une solide gouvernance.

Trevor préside le comité d’audit et il se soucie de mettre en place de saines pratiques de gouvernance. Cependant, cette société cotée en bourse avait des failles en matière de gestion des risques numériques et de cybersécurité.

De plus, le seul administrateur indépendant n’a pas été informé qu’un vol de données très sensibles avait été fait et que des demandes de rançons avaient été effectuées.

L’organisation a d’abord nié que les informations subtilisées provenaient de leurs systèmes, avant d’admettre que les données avaient été fichées un an auparavant ! Les résultats furent dramatiques…

Trevor se demande comment il peut aider l’organisation à affronter la tempête !

Le cas a d’abord été traduit en français en utilisant Google Chrome, puis, je l’ai édité et adapté. On y présente la situation de manière sommaire puis trois experts se prononcent sur le cas.

Bonne lecture ! Vos commentaires sont toujours les bienvenus.

Le dilemme d’un administrateur indépendant dans un cas de vol de données

 

 

 

 

 

 

 

 

 

Trevor est administrateur d’une société cotée qui a été un «chouchou du marché». La société fournit des évaluations de crédit et une vérification des données. Les fondateurs ont tous deux une solide expérience dans le secteur et un solide réseau de contacts et à une liste de clients qui comprenait des gouvernements et des institutions financières.

Après l’entrée en bourse, il y a deux ans, la société a atteint ou dépassé les prévisions et Trevor est fier d’être le seul administrateur indépendant siégeant au conseil d’administration aux côtés des deux fondateurs et du PDG. Il préside le comité d’audit et, officieusement, il a été l’initiateur des processus de gouvernance et de sa documentation.

Les fondateurs sont restés très actifs dans l’entreprise et Trevor s’est parfois inquiété du fait que certaines décisions stratégiques n’avaient pas été portées à son attention avant la réunion du conseil d’administration. Comme l’expérience de Trevor est l’audit et l’assurance, il suppose qu’il n’aurait pas ajouté de valeur au-delà de la garantie d’un processus sain et de la tenue de registres.

Il y a trois semaines, tout a changé. Une grande partie des données de l’entreprise ont été subtilisées et transférées sur le « dark web ». Ce vol comprenait les données financières des personnes qui avaient été évaluées ainsi que des données d’identification tels que les numéros de dossier fiscal et les adresses résidentielles. Pire, la société a d’abord affirmé que les informations ne provenaient pas de leurs systèmes, puis a admis avoir reçu des demandes de rançon indiquant que les données avaient été fichées jusqu’à un an avant cette catastrophe.

Plusieurs clients ont fermé leur compte, les actionnaires sont consternés, le cours de l’action est en chute libre et la presse réclame plus d’informations.

Comment Trevor devrait-il aider l’entreprise à surmonter cette tempête ?

Pour prendre connaissance de ce cas, rendez-vous sur www.mclellan.com.au/newsletter.html et cliquez sur « lire le dernier numéro ».

Adam’s Answer

 

This is a critical time for Trevor legally and reputationally, it is also a time when being an independent director carries additional responsibility to the company, the shareholders, the staff and the customers.

All Directors and Executives can only have one response to a blackmail attempt.  That is to immediately report it to the police and not respond to the ransomware demands.  Secondly the company should have had a crisis management plan in place ready for such an eventuality.  In this day and age, no company should operate without a cybercrime contingency plan.

In this case it is unclear, but it appears that the authorities were not informed and that Trevor’s company was unprepared for a data breach or ransomware demands.

There are 2 scenarios open to Trevor:

1) If Trevor was not informed straight away of the ransom demands and the CEO and founding Executive Directors knew but did not brief him on the ransom issue and the company’s response, then his independent status has been compromised and he should resign.

2) If Trevor was informed and the whole Board was involved in the response, then Trevor must remain and help the company ride out the storm.   This will involve working with the police, the ASX and crisis management guidance from external suppliers – technical and PR. 

The rule to follow is full transparency and speedy action. 

Trevor should refer to the recent ransomware attack on Toll Logistics and their response which was exemplary.

Adam Salzer OAM is the Chair and Global Designer for Whitewater Transformations. His other board experience includes Australian Transformation and Turnaround Association (AusTTA), Asian Transformation and Turnaround Association (ATTA), Australian Deafness Council, Bell Shakespeare Company, and NSW Deaf Society. He is based in Sydney, Australia.

Julie’s Answer

 

This is a listed company; Trevor must ensure appropriate disclosure. A trading halt may give the company time to investigate, and respond to, the events and then give the market time to disseminate the information. His customer liaison at the stock exchange should assist with implementing a halt and issuing a brief statement saying what has happened and that the company will issue more information when it becomes available.

This will be a costly and distracting exercise that could derail the company from its current successful track.

Three of the four board members are executives. That doesn’t mean the fourth can rely on their efforts. Trevor must add value by asking intelligent questions that people involved in the operations will possibly not think to ask. This board must work as a team rather than a group of individuals who each contribute their own expertise and then come together to document decisions that were not made rigorously or jointly.

Trevor has now learnt that there is more to good governance than just having meetings and documenting processes. He needs to get involved and truly understand the business. If his fellow directors do not welcome this, he needs to consider whether they are taking him seriously or just using him as window-dressing. He should ensure that the whole board is never again left out of the information flow when something important happens (or even when it perhaps might happen).

He should also take the lead on procuring legal advice (they are going to need it), liaising with the regulators, and establishing crisis communications. Engaging a specialist communications firm may help.

Julie Garland McLellan is a non-executive director and board consultant based in Sydney, Australia.

Jinan’s Answer

 

I recommend three separate parallel streams of work for Trevor. 

1. Immediate public facing actions
Immediately apologize and state your commitment to your customers.  Hire a PR firm and have the most public facing person issue an apology. The person selected to issue the apology has to be selected carefully (cannot be the person responsible for leak, and has potential to become the new trusted CEO)

2. Tactical internal actions
Assess the damage and contain the incident.  Engage an incident response firm to assess how the breach happened, when it happened, what was stolen. Confirm that leak doors are closed. Select your IR firm carefully – the better reputed they are, the better you will look in litigation.
Conduct an immediate audit and investigation. You need to understand who knew, when and why this was buried for a year.
Take disciplinary action against anyone who was part of the breach. Post audit, either allow them to keep their equity or buy them out.

3. Strategic actions
Review and update your cybersecurity incident response process.  This includes your ransomware processes (e.g. will you pay, how you pay, etc.), and how you communicate incidents. 
Build cybersecurity awareness, behavior and culture up, down and across your company.  Ensure that everyone from the board down are educated, enabled and enthusiastic about their own and your company’s cyber-safety. This is a journey not a one-off miracle.
Extend cybersecurity engagement to your customers. Be proactive not only on the status of this incident, but also on how you are keeping their data safe.  Go a step further and offer them help in their own cyber-safety.
Create a forward thinking, business and risk-aligned cybersecurity strategy. Understand your current people, process and technology gaps which led to this decision and how you’ll fix them.
Elevate the role of cybersecurity leadership.  You will need a chief information security officer who is empowered to execute the strategy, and has a regular and independent seat at the board table. 

Jinan Budge is Principal Analyst Serving Security and Risk Professionals at Forrester and a former Director Cyber Security, Strategy and Governance at Transport for NSW. She is based in Sydney, New South Wales, Australia.

Répertoire des articles en gouvernance publiés sur LinkedIn | En reprise


L’un des moyens utilisés pour mieux faire connaître les grandes tendances en gouvernance de sociétés est la publication d’articles choisis sur ma page LinkedIn.

Ces articles sont issus des parutions sur mon blogue Gouvernance | Jacques Grisé

Depuis janvier 2016, j’ai publié un total de 43 articles sur ma page LinkedIn.

Aujourd’hui, je vous propose la liste des 10 articles que j’ai publiés à ce jour en 2019 :

 

Liste des 10 articles publiés à ce jour en 2019

 

Image associée

 

 

1, Les grandes firmes d’audit sont plus sélectives dans le choix de leurs mandats

2. Gouvernance fiduciaire et rôles des parties prenantes (stakeholders)

3. Problématiques de gouvernance communes lors d’interventions auprès de diverses organisations – Partie I Relations entre président du CA et DG

4. L’âge des administrateurs de sociétés représente-t-il un facteur déterminant dans leur efficacité comme membres indépendants de CA ?

5. On constate une évolution progressive dans la composition des conseils d’administration

6. Doit-on limiter le nombre d’années qu’un administrateur siège à un conseil afin de préserver son indépendance ?

7. Manuel de saine gouvernance au Canada

8. Étude sur le mix des compétences dans la composition des conseils d’administration

9. Indice de diversité de genre | Equilar

10. Le conseil d’administration est garant de la bonne conduite éthique de l’organisation !

 

Si vous souhaitez voir l’ensemble des parutions, je vous invite à vous rendre sur le Lien vers les 43 articles publiés sur LinkedIn depuis 2016

 

Bonne lecture !

Prix Fidéide | Saine gouvernance


Je me fais le porte-parole du Collège des administrateurs de sociétés (CAS) pour vous sensibiliser au lancement d’un Prix Fidéide visant à reconnaître et encourager les meilleures pratiques en gouvernance : le Fidéide Saine gouvernance.

Le CAS s’associe à nouveau à la Chambre de commerce et d’industrie de Québec (CCIQ) pour la sélection des candidats à ce prix Fidéide.

J’ai donc décidé, à la suite d’une demande de Chantale Coulombe, présidente du Collège des administrateurs de sociétés, d’aider à susciter des candidatures pour ce prestigieux prix en gouvernance. Le prix sera présenté en collaboration avec le cabinet d’avocats Jolicoeur Lacasse.

Voici donc le communiqué que la direction du Collège souhaite partager avec les abonnés de mon blogue.

 

 

Fidéide Saine gouvernance

 

Les critères

Au nombre des critères pour se mériter ce prix, l’entreprise doit avoir en place un comité consultatif ou un conseil d’administration et elle doit s’être distinguée en ayant adopté une ou des pratiques de gouvernance reconnue(s) au cours des trois dernières années que ce soit en lien notamment avec :

(i) la gestion de risque

(ii) les mesures de la performance financière et non financière

(iii) l’implantation de sous-comités

(iv) la parité

(v) les dossiers de ressources humaines

(vi) la relève au sein du CA et\ou au sein de la direction de l’organisation

(vii) le développement durable

(viii) les technologies ou

(iv) la responsabilité sociale.

 

Retour sur le Fidéide Saine Gouvernance 2019

Connus et reconnus dans la grande région de la Capitale-Nationale et de Chaudière-Appalaches, les Fidéides visent à récompenser des entreprises qui se sont démarquées pour des performances exceptionnelles. L’an dernier, pour la toute première fois, la Chambre ajoutait la catégorie Saine gouvernance et c’est la Coopérative des consommateurs de Lorette – Convivio IGA qui a eu l’honneur de décrocher ce premier Fidéide. Deux autres finalistes prestigieux avaient retenu l’attention du jury en 2019, soit : l’Administration portuaire de Québec et le Réseau de transport de la capitale (RTC).

 

Une occasion de reconnaître et d’encourager la saine gouvernance

À titre d’administrateur de sociétés, vous connaissez sans aucun doute des organisations qui mériteraient une telle distinction. Aussi, je vous invite fortement à les inciter à poser leur candidature au plus tard le 5 novembre.

En mettant les projecteurs sur les meilleures pratiques adoptées par ces entreprises, c’est toute la gouvernance des sociétés qui en profitera.

 

Informations et dépôt des candidatures

 

Pour plus de détails, visitez la page Fidéide Saine gouvernance 2020 sur le site du Collège ou encore, rendez-vous sur la page désignée sur le site de la Chambre.

 

Répertoire des articles en gouvernance publiés sur LinkedIn


L’un des moyens utilisés pour mieux faire connaître les grandes tendances en gouvernance de sociétés est la publication d’articles choisis sur ma page LinkedIn.

Ces articles sont issus des parutions sur mon blogue Gouvernance | Jacques Grisé

Depuis janvier 2016, j’ai publié un total de 43 articles sur ma page LinkedIn.

Aujourd’hui, je vous propose la liste des 10 articles que j’ai publiés à ce jour en 2019 :

 

Liste des 10 articles publiés à ce jour en 2019

 

Image associée

 

 

1, Les grandes firmes d’audit sont plus sélectives dans le choix de leurs mandats

2. Gouvernance fiduciaire et rôles des parties prenantes (stakeholders)

3. Problématiques de gouvernance communes lors d’interventions auprès de diverses organisations – Partie I Relations entre président du CA et DG

4. L’âge des administrateurs de sociétés représente-t-il un facteur déterminant dans leur efficacité comme membres indépendants de CA ?

5. On constate une évolution progressive dans la composition des conseils d’administration

6. Doit-on limiter le nombre d’années qu’un administrateur siège à un conseil afin de préserver son indépendance ?

7. Manuel de saine gouvernance au Canada

8. Étude sur le mix des compétences dans la composition des conseils d’administration

9. Indice de diversité de genre | Equilar

10. Le conseil d’administration est garant de la bonne conduite éthique de l’organisation !

 

Si vous souhaitez voir l’ensemble des parutions, je vous invite à vous rendre sur le Lien vers les 43 articles publiés sur LinkedIn depuis 2016

 

Bonne lecture !

Dix sujets « hots » pour les administrateurs en 2019


Voici dix thèmes « chauds » qui devraient préoccuper les administrateurs en 2019.

Ils ont été identifiés par Kerry BerchemChristine LaFollette, et Frank Reddick, associés de la firme Akin Gump Strauss Hauer & Feld.

Le billet est paru aujourd’hui sur le forum du Harvard Law School.

Bonne lecture ! Quels sont vos points de vue à ce sujet ?

 

Top 10 Topics for Directors in 2019

 

 

Résultats de recherche d'images pour « Akin Gump Strauss Hauer & Feld »

 

1. Corporate Culture

The corporate culture of a company starts at the top, with the board of directors, and directors should be attuned not only to the company’s business, but also to its people and values across the company. Ongoing and thoughtful efforts to understand the company’s culture and address any issues will help the board prepare for possible crises, reduce potential liability and facilitate appropriate responses internally and externally.

2. Board Diversity

As advocates and studies continue to highlight the business case for diversity, public companies are facing increasing pressure from corporate governance groups, investors, regulators and other stakeholders to improve gender and other diversity on the board. As a recent McKinsey report highlights, many successful companies regard inclusion and diversity as a source of competitive advantage and, specifically, as a key enabler of growth.

3. #MeToo Movement

A responsible board should anticipate the possibility that allegations of sexual harassment may arise against a C-suite or other senior executive. The board should set the right tone from the top to create a respectful culture at the company and have a plan in place before these incidents occur. In that way, the board is able to quickly and appropriately respond to any such allegations. Any such response plan should include conducting an investigation, proper communications with the affected parties and the implementation of any necessary remedial steps.

4. Corporate Social Responsibility

Corporate social responsibility (CSR) concerns remained a hot-button issue in 2018. Social issues were at the forefront this year, ranging from gun violence, to immigration reform, to human trafficking, to calls for greater accountability and action from the private sector on issues such as climate change. This reflects a trend that likely foretells continued and increased focus on environmental, social and governance issues, including from regulatory authorities.

5. Corporate Strategy

Strategic planning should continue to be a high priority for boards in 2019, with a focus on the individual and combined impacts of the U.S. and global economies, geopolitical and regulatory uncertainties, and mergers and acquisitions activity on their industries and companies. Boards should consider maximizing synergies from recent acquisitions or reviewing their companies’ existing portfolios for potential divestitures.

6. Sanctions

During the second year of the Trump administration, U.S. sanctions expanded significantly to include new restrictions that target transactions with Iran, Russia and Venezuela. Additionally, the U.S. government has expanded its use of secondary sanctions to penalize non-U.S. companies that engage in proscribed activities involving sanctioned persons and countries. To avoid sanctions-related risks, boards should understand how these evolving rules apply to the business activities of their companies and management teams.

7. Shareholder Activism

There has been an overall increase in activism campaigns in 2018 regarding both the number of companies targeted and the number of board seats won by these campaigns. This year has also seen an uptick in traditionally passive and institutional investors playing an active role in encouraging company engagement with activists, advocating for change themselves and formulating express policies for handling activist campaigns.

8. Cybersecurity

With threats of nation-states infiltrating supply chains, and landmark laws being passed, cybersecurity and privacy are critical aspects of director oversight. Directors must focus on internal controls to guard against cyber-threats (including accounting, cybersecurity and insider trading) and expand diligence of third-party suppliers. Integrating both privacy and security by design will be critical to minimizing ongoing risk of cybersecurity breaches and state and federal enforcement.

9. Tax Cuts and Jobs Act

A year has passed since President Trump signed the Tax Cuts and Jobs Act (TCJA) into law, and there will be plenty of potential actions and new faces on the tax landscape in 2019. Both the Senate Finance Committee and the Ways and Means Committee will have new chairs, and Treasury regulations implementing the TCJA will be finalized. President Trump will continue to make middle-class tax cuts a priority heading into next year. Perennial issues, such as transportation, retirement savings and health care, will likely make an appearance, and legislation improving the tax reform bill could be on the table depending on the outcome of the Treasury regulations.

10. SEC Regulation and Enforcement

To encourage public security ownership, the Securities and Exchange Commission (SEC) has adopted and proposed significant revisions to update and simplify disclosure requirements for public companies. It has taken steps to enhance the board’s role in evaluating whether to include shareholder proposals in a company’s proxy statement. It has also solicited comments on the possible reform of proxy advisor regulation, following increasing and competing calls from corporations, investor advocates and congressional leaders to revise these regulations. Boards and companies should monitor developments in this area, as well as possible changes in congressional and administration emphasis following the 2018 midterm elections.

Bonus: Midterm Elections

The 2018 midterm elections are officially over. Americans across the country cast their ballots for candidates for the House of Representatives and the Senate in what was widely perceived to be a referendum on President Trump’s first two years in office. With Democrats taking control of the House, and Republicans maintaining control of the Senate, a return to divided government will bring new challenges for effective governance. Compromise and bipartisanship will be tested by what is expected to be an aggressive oversight push from House Democrats. However, areas where there may be possible compromise include federal data privacy standards, infrastructure development, criminal justice reform and pharmaceutical drug pricing initiatives.

The complete publication is available here.

De nombreux programmes de formation continue à l’intention des administrateurs de sociétés


Que l’on soit soumis à une politique de formation continue ou non, janvier est un bon moment pour planifier des formations d’appoint.

Ayant une bonne connaissance des formations offertes aux membres de conseils d’administration, je me permets de vous suggérer les formations offertes par le Collège des administrateurs de sociétés (CAS).

Les formations du Collège sont à la fine pointe en matière de perfectionnement des administrateurs.

En plus de leurs formations spécialisées (PME, TI, OBNL), le Collège offre des programmes de perfectionnement pour les administrateurs (ASC ou non) qui sont variés et pertinents.

De plus, je vois que les formations sont offertes en présentiel et même en ligne. Voilà un bon moyen de cumuler des heures de formation continue, sans même se déplacer !

Bonne lecture !

 

Entête programme de perfectionnement

 

 

FAIRE RAYONNER L’EXCELLENCE DES ADMINISTRATEURS DE SOCIÉTÉS CERTIFIÉS

Quelles sont les tendances en gouvernance qui se sont avérées au cours des 4 dernières années ?


Dans un premier temps, j’ai tenté de répondre à cette question en renvoyant le lecteur à deux publications que j’ai faites sur le sujet. C’est du genre check-list !

Puis, dans un deuxième temps, je vous invite à consulter les documents suivants qui me semblent très pertinents pour répondre à la question. Il s’agit en quelque sorte d’une revue de la littérature sur le sujet.

  1. La gouvernance relative aux sociétés en 2017 | Un « Survey » des entreprises du SV 150 et de la S&P 100
  2. Principales tendances en gouvernance à l’échelle internationale en 2017
  3. Séparation des fonctions de PDG et de président du conseil d’administration | Signe de saine gouvernance !
  4. Six mesures pour améliorer la gouvernance des organismes publics au Québec | Yvan Allaire
  5. Cadre de référence pour évaluer la gouvernance des sociétés | Questionnaire de 100 items
  6. La gouvernance française suit-elle la tendance mondiale ?
  7. Enquête mondiale sur les conseils d’administration et la gouvernance

 

J’espère que ces commentaires vous seront utiles, même si mon intervention est colorée par la situation canadienne et américaine !

Bonne lecture !

 

Résultats de recherche d'images pour « tendances en gouvernance »

 

Gouvernance : 12 tendances à surveiller

 

J’ai réalisé une entrevue avec le Journal des Affaires le 17 mars 2014. Une rédactrice au sein de l’Hebdo des AG, un média numérique qui se consacre au traitement des sujets touchant à la gouvernance des entreprises françaises, m’a contacté afin de connaître mon opinion sur quelles « prédictions » se sont effectivement avérées, et lesquelles restent encore à améliorer.

J’ai préparé quelques réflexions en référence aux douze tendances que j’avais identifiées le 17 mars 2014. J’ai donc revisité les tendances afin de vérifier comment la situation avait évolué en quatre ans. J’ai indiqué en rouge mon point de vue eu égard à ces tendances.

 « Si la gouvernance des entreprises a fait beaucoup de chemin depuis quelques années, son évolution se poursuit. Afin d’imaginer la direction qu’elle prendra au cours des prochaines années, nous avons consulté l’expert en gouvernance Jacques Grisé, ex- directeur des programmes du Collège des administrateurs de sociétés, de l’Université Laval. Toujours affilié au Collège, M. Grisé publie depuis plusieurs années le blogue www.jacquesgrisegouvernance.com, un site incontournable pour rester à l’affût des bonnes pratiques et tendances en gouvernance. Voici les 12 tendances dont il faut suivre l’évolution, selon Jacques Grisé »

 

  1. Les conseils d’administration réaffirmeront leur autorité. « Auparavant, la gouvernance était une affaire qui concernait davantage le management », explique M. Grisé. La professionnalisation de la fonction d’administrateur amène une modification et un élargissement du rôle et des responsabilités des conseils. Les CA sont de plus en plus sollicités et questionnés au sujet de leurs décisions et de l’entreprise. Cette affirmation est de plus en plus vraie. La formation certifiée en gouvernance est de plus en plus prisée. Les CA, et notamment les présidents de CA, sont de plus en plus sollicités pour expliquer leurs décisions, leurs erreurs et les problèmes de gestion de crise.
  2. La formation des administrateurs prendra de l’importance. À l’avenir, on exigera toujours plus des administrateurs. C’est pourquoi la formation est essentielle et devient même une exigence pour certains organismes. De plus, la formation continue se généralise ; elle devient plus formelle. Il va de soi que la formation en gouvernance prendra plus d’importance, mais les compétences et les expériences reliées au secteur d’activité de l’entreprise seront toujours très recherchées.
  3. L’affirmation du droit des actionnaires et celle du rôle du conseil s’imposeront. Le débat autour du droit des actionnaires par rapport à celui des conseils d’administration devra mener à une compréhension de ces droits conflictuels. Aujourd’hui, les conseils doivent tenir compte des parties prenantes en tout temps. Il existe toujours une situation potentiellement conflictuelle entre les intérêts des actionnaires et la responsabilité des administrateurs envers toutes les parties prenantes.
  4. La montée des investisseurs activistes se poursuivra. L’arrivée de l’activisme apporte une nouvelle dimension au travail des administrateurs. Les investisseurs activistes s’adressent directement aux actionnaires, ce qui mine l’autorité des conseils d’administration. Est-ce bon ou mauvais ? La vision à court terme des activistes peut être néfaste, mais toutes leurs actions ne sont pas négatives, notamment parce qu’ils s’intéressent souvent à des entreprises qui ont besoin d’un redressement sous une forme ou une autre. Pour bien des gens, les fonds activistes sont une façon d’améliorer la gouvernance. Le débat demeure ouvert. Le débat est toujours ouvert, mais force est de constater que l’actionnariat activiste est en pleine croissance partout dans le monde. Les effets souvent décriés des activistes sont de plus en plus acceptés comme bénéfiques dans plusieurs situations de gestion déficiente.
  5. La recherche de compétences clés deviendra la norme. De plus en plus, les organisations chercheront à augmenter la qualité de leur conseil en recrutant des administrateurs aux expertises précises, qui sont des atouts dans certains domaines ou secteurs névralgiques. Cette tendance est très nette. Les CA cherchent à recruter des membres aux expertises complémentaires.
  6. Les règles de bonne gouvernance vont s’étendre à plus d’entreprises. Les grands principes de la gouvernance sont les mêmes, peu importe le type d’organisation, de la PME à la société ouverte (ou cotée), en passant par les sociétés d’État, les organismes à but non lucratif et les entreprises familiales. Ici également, l’application des grands principes de gouvernance se généralise et s’applique à tous les types d’organisation, en les adaptant au contexte.
  7. Le rôle du président du conseil sera davantage valorisé. La tendance veut que deux personnes distinctes occupent les postes de président du conseil et de PDG, au lieu qu’une seule personne cumule les deux, comme c’est encore trop souvent le cas. Un bon conseil a besoin d’un solide leader, indépendant du PDG. Le rôle du Chairman est de plus en plus mis en évidence, car c’est lui qui représente le conseil auprès des différents publics. Il est de plus en plus indépendant de la direction. Les É.U. sont plus lents à adopter la séparation des fonctions entre Chairman et CEO.
  8. La diversité deviendra incontournable. Même s’il y a un plus grand nombre de femmes au sein des conseils, le déficit est encore énorme. Pourtant, certaines études montrent que les entreprises qui font une place aux femmes au sein de leur conseil sont plus rentables. Et la diversité doit s’étendre à d’autres origines culturelles, à des gens de tous âges et d’horizons divers. La diversité dans la composition des conseils d’administration est de plus en plus la norme. On a fait des progrès remarquables à ce chapitre, mais la tendance à la diminution de la taille des CA ralentit quelque peu l’accession des femmes aux postes d’administratrices.
  9. Le rôle stratégique du conseil dans l’entreprise s’imposera. Le temps où les CA ne faisaient qu’approuver les orientations stratégiques définies par la direction est révolu. Désormais, l’élaboration du plan stratégique de l’entreprise doit se faire en collaboration avec le conseil, en profitant de son expertise. Certes, l’un des rôles les plus importants des administrateurs est de voir à l’orientation de l’entreprise, en apportant une valeur ajoutée aux stratégies élaborées par la direction. Les CA sont toujours sollicités, sous une forme ou une autre, dans la conception de la stratégie.
  10. La réglementation continuera de se raffermir. Le resserrement des règles qui encadrent la gouvernance ne fait que commencer. Selon Jacques Grisé, il faut s’attendre à ce que les autorités réglementaires exercent une surveillance accrue partout dans le monde, y compris au Québec, avec l’Autorité des marchés financiers. En conséquence, les conseils doivent se plier aux règles, notamment en ce qui concerne la rémunération et la divulgation. Les responsabilités des comités au sein du conseil prendront de l’importance. Les conseils doivent mettre en place des politiques claires en ce qui concerne la gouvernance. Les conseils d’administration accordent une attention accrue à la gouvernance par l’intermédiaire de leur comité de gouvernance, mais aussi par leurs comités de RH et d’Audit. Les autorités réglementaires mondiales sont de plus en plus vigilantes eu égard à l’application des principes de saine gouvernance. La SEC, qui donnait souvent le ton dans ce domaine, est en mode révision de la réglementation parce que le gouvernement de Trump la juge trop contraignante pour les entreprises. À suivre !
  11. La composition des conseils d’administration s’adaptera aux nouvelles exigences et se transformera. Les CA seront plus petits, ce qui réduira le rôle prépondérant du comité exécutif, en donnant plus de pouvoir à tous les administrateurs. Ceux-ci seront mieux choisis et formés, plus indépendants, mieux rémunérés et plus redevables de leur gestion aux diverses parties prenantes. Les administrateurs auront davantage de responsabilités et seront plus engagés dans les comités aux fonctions plus stratégiques. Leur responsabilité légale s’élargira en même temps que leurs tâches gagnent en importance. Il faudra donc des membres plus engagés, un conseil plus diversifié, dirigé par un leader plus fort. C’est la voie que les CA ont empruntée. La taille des CA est de plus en plus réduite ; les conseils exécutifs sont en voie de disparition pour faire plus de place aux trois comités statutaires : Gouvernance, Ressources Humaines et Audit. Les administrateurs sont de plus en plus engagés et ils doivent investir plus de temps dans leurs fonctions.
  12. L’évaluation de la performance des conseils d’administration deviendra la norme. La tendance est déjà bien ancrée aux États-Unis, où les entreprises engagent souvent des firmes externes pour mener cette évaluation. Certaines choisissent l’auto-évaluation. Dans tous les cas, le processus est ouvert et si les résultats restent confidentiels, ils contribuent à l’amélioration de l’efficacité des conseils d’administration. Effectivement, l’évaluation de la performance des conseils d’administration est devenue une pratique quasi universelle dans les entreprises cotées. Celles-ci doivent d’ailleurs divulguer le processus dans le rapport aux actionnaires. On assiste à un énorme changement depuis les dix dernières années.

 

À ces 12 tendances, il faudrait en ajouter deux autres qui se sont révélées cruciales pour les conseils d’administration depuis quelques années :

(1) la mise en œuvre d’une politique de gestion des risques, l’identification des risques, l’évaluation des facteurs de risque eu égard à leur probabilité d’occurrence et d’impact sur l’organisation, le suivi effectué par le comité d’audit et par l’auditeur interne.

(2) le renforcement des ressources du conseil par l’ajout de compétences liées à la cybersécurité. La sécurité des données est l’un des plus grands risques des entreprises.

 

Aspects fondamentaux à considérer par les administrateurs dans la gouvernance des organisations

 

 

Récemment, je suis intervenu auprès du conseil d’administration d’une OBNL et j’ai animé une discussion tournant autour des thèmes suivants en affirmant certains principes de gouvernance que je pense être incontournables.

Vous serez certainement intéressé par les propositions suivantes :

(1) Le conseil d’administration est souverain — il est l’ultime organe décisionnel.

(2) Le rôle des administrateurs est d’assurer la saine gestion de l’organisation en fonction d’objectifs établis. L’administrateur a un rôle de fiduciaire, non seulement envers les membres qui les ont élus, mais aussi envers les parties prenantes de toute l’organisation. Son rôle comporte des devoirs et des responsabilités envers celle-ci.

(3) Les administrateurs ont un devoir de surveillance et de diligence ; ils doivent cependant s’assurer de ne pas s’immiscer dans la gestion de l’organisation (« nose in, fingers out »).

(4) Les administrateurs élus par l’assemblée générale ne sont pas porteurs des intérêts propres à leur groupe ; ce sont les intérêts supérieurs de l’organisation qui priment.

(5) Le président du conseil est le chef d’orchestre du groupe d’administrateurs ; il doit être en étroite relation avec le premier dirigeant et bien comprendre les coulisses du pouvoir.

(6) Les membres du conseil doivent entretenir des relations de collaboration et de respect entre eux ; ils doivent viser les consensus et exprimer leur solidarité, notamment par la confidentialité des échanges.

(7) Les administrateurs doivent être bien préparés pour les réunions du conseil et ils doivent poser les bonnes questions afin de bien comprendre les enjeux et de décider en toute indépendance d’esprit. Pour ce faire, ils peuvent tirer profit de l’avis d’experts indépendants.

(8) La composition du conseil devrait refléter la diversité de l’organisation. On doit privilégier l’expertise, la connaissance de l’industrie et la complémentarité.

(9) Le conseil d’administration doit accorder toute son attention aux orientations stratégiques de l’organisation et passer le plus clair de son temps dans un rôle de conseil stratégique.

(10) Chaque réunion devrait se conclure par un huis clos, systématiquement inscrit à l’ordre du jour de toutes les rencontres.

(11) Le président du CA doit procéder à l’évaluation du fonctionnement et de la dynamique du conseil.

(12) Les administrateurs doivent prévoir des activités de formation en gouvernance et en éthique.

 

Voici enfin une documentation utile pour bien appréhender les grandes tendances qui se dégagent dans le monde de la gouvernance aux É.U., au Canada et en France.

 

  1. La gouvernance relative aux sociétés en 2017 | Un « Survey » des entreprises du SV 150 et de la S&P 100
  2. Principales tendances en gouvernance à l’échelle internationale en 2017
  3. Séparation des fonctions de PDG et de président du conseil d’administration | Signe de saine gouvernance !
  4. Six mesures pour améliorer la gouvernance des organismes publics au Québec | Yvan Allaire
  5. Cadre de référence pour évaluer la gouvernance des sociétés | Questionnaire de 100 items
  6. La gouvernance française suit-elle la tendance mondiale ?
  7. Enquête mondiale sur les conseils d’administration et la gouvernance

 

%d blogueueurs aiment cette page :