Comment le CA peut-il gérer les cyber risques ?

Cet article explique comment les entreprises doivent agir afin de minimiser les risques cybernétiques et les cyberattaques.

Paula Loop*, directrice au Governance Insights Center, vient de publier les conclusions d’une étude de PwC : 2018 Global State of Information Security® Survey

Les résultats sont présentés sous forme de questions relatives à la sécurité informatique :

Le CA doit-il être le responsable de la surveillance de cette activité ?
Votre CA nécessite-t-il plus d’expertise dans le domaine de la cybersécurité ?
Avons-nous toutes les compétences requises au sein du CA ?
Possédons-nous les informations nécessaires pour la supervision des risques de cybersécurité ?
Le CA, et notamment son président, a-t-il développé un niveau de relation ouverte avec le responsable des technologies (CISO) ?
Comment savoir si les contrôles mis en place pour prévenir les brèches dans les systèmes sont efficaces ?

Les auteurs donnent un exemple de tableau de bord utile pour les CA :

Despite how pervasive the threats are, 44% of the 9,500 executives surveyed in PwC’s 2018 Global State of Information Security® Survey say they don’t have an overall information security strategy. That gives you a sense of how much work companies still need to do. Overseeing cyber risk is a huge challenge, but we have ideas for how directors can tackle cybersecurity head-on.

L’article présente également une mine d’informations eu égard aux enjeux, aux défis et aux actions qu’un CA doit entreprendre pour assurer une solide sécurité informatique.

Je vous invite à lire les conclusions de l’étude de PwC ci-dessous. Pour plus d’information sur ce sujet, vous pouvez consulter le rapport complet.

Bonne lecture !

Overseeing Cyber Risk

Résultats de recherche d'images pour « cyber risques entreprise »

Directors can add value as their companies struggle to tackle cyber risk. We put the threat environment in context for you and outline the top issues confronting companies and boards. And we identify concrete steps for boards to up their game in this complex area.

You don’t need us to tell you that cyber threats are everywhere. Breaches make headlines on

what seems like a daily basis. They also cost companies—in money and reputation. Indeed, cyber threats are among US CEOs’ top concerns, according to PwC’s 20th Global CEO Survey.

The pace of cyber breaches isn’t slowing. In part, we’re making it too easy for attackers. How? Employees fall for sophisticated phishing schemes, neglect to install security updates or use weak passwords. We are also doing more work on mobile devices, which tend not to be as well protected. And companies don’t always invest enough in cybersecurity or patch their systems promptly when problems are discovered.

The nature of cyber threats is also evolving. The self-propagating WannaCry attack, for instance, could infect a computer even if the user didn’t click on the link. Indeed, 2017 saw a number of major ransomware attacks that froze computer systems—keeping some companies offline for weeks.

Despite how pervasive the threats are, 44% of the 9,500 executives surveyed in PwC’s 2018 Global State of Information Security® Survey say they don’t have an overall information security strategy. That gives you a sense of how much work companies still need to do. Overseeing cyber risk is a huge challenge, but we have ideas for how directors can tackle cybersecurity head-on.

Challenge:

How can our board understand whether management’s cybersecurity and IT program reduces the risk of a major cyberattack or data breach—or actually makes the company more vulnerable?

Many directors are not confident that management has a handle on cyber threats. PwC’s 2017 Annual Corporate Directors Survey found that only 39% of directors are very comfortable that their company has identified its most valuable and sensitive digital assets. And a quarter had little or no faith at all that their company has identified who might attack.

There are obviously many moving parts that management needs to get right. Many companies align their programs and investments with a cybersecurity framework to help ensure they’re addressing everything they should.

For a board to oversee cyber risks effectively, it needs the right information on how the company addresses those risks. But 63% of directors say they’re not very comfortable that their company is providing the board with adequate cybersecurity metrics. [1]

Boards also shortchange the time they give to discussing cyber risks. We often see board agendas allocate relatively little time to the topic.

Another part of the challenge is that few boards have directors with current technology or cybersecurity expertise. And that puts directors at a disadvantage in being able to figure out if management is doing enough to address this area of significant risk.

Why does cybersecurity often break down in companies?

Common issues Why they matter

There’s no inventory of the company’s digital assets Companies can’t protect assets they don’t know about. Management should be able to explain what information and data they hold, why it’s needed, where it is (within the company’s systems or with third parties) and whether it’s properly protected. They should also know which data is most valuable (the crown jewels).

The company doesn’t know which third parties it digitally connects with A company may interact—and even share sensitive information—with thousands of suppliers and contractors. Hackers often target these third parties as a way to get into a company’s network. Yet more than half of companies don’t keep a comprehensive inventory of the third parties they share sensitive information with. [2]

The company hasn’t identified who is most likely to come after its data Knowing who might attack helps the company better anticipate how they might attack. That in turn may help the company put up better defenses.

The company has poor cyber hygiene Systems that aren’t properly configured are more vulnerable to attacks. So companies should employ leading practices, like multi-factor authentication, to protect highly sensitive information. They also need to do the basics right—like removing access on a timely basis for people who leave the company or change jobs.

The company hasn’t patched known system vulnerabilities System vulnerabilities are being uncovered constantly. But not all software companies push out patches to users. So the company needs to ensure someone regularly monitors to see if patch updates are available. And then make sure those fixes get made.

The company has a wide attack surface Providing more ways to access company systems makes things easier for employees, customers and third parties. And for hackers. So companies need stronger controls (such as multi-factor authentication). And they need to increase their monitoring for suspicious activity.

Employees aren’t trained on their role in security Current employees are the top source of security incidents—whether intentional or not. [3] Yet only half (52%) of executives say their company has an employee security awareness training program. [4]

Cybersecurity is viewed as the CISO’s responsibility A chief information security officer (CISO) can’t do the job alone. Other groups like Infrastructure or Operations need to cooperate and provide resources to address cyber issues.

Board action:

Focus on getting the right information and building relationships with the company’s tech and security leaders so you get a better sense of whether management is doing enough

This is a really tough area to oversee. Here are a number of questions to help as you address it.

1. Since cybersecurity is really a business issue, should the full board oversee it?

Half of directors say their audit committee is responsible for cyber risk, and 16% give it to either a separate risk committee or a separate IT committee. Only 30% say it’s a full board responsibility. [5] If the full board doesn’t want to oversee cyber risk, ensure that, at a minimum, whichever committee is assigned the responsibility provides regular and comprehensive reporting up to the whole board. And consider moving it from the already overloaded audit committee to another board committee.

2. Does our board need greater cybersecurity or technology expertise?

For some companies, the answer will be to recruit a director with serious expertise in cybersecurity. But others won’t choose to close their skill gap by adding a new director. People with these skills are hard to find, especially since the technology landscape is changing so quickly. Some boards may not have room to add another member. Others may not want to add someone with such specific expertise unless they’re confident that person could handle other board matters as well. So instead they look for other ways to address any gap, including continuing education and using outside advisors.

3. Is everyone in the room who needs to be?

The cybersecurity discussion should include business, technology and risk management leaders—as well as the CEO and CFO. Why? For one, it reinforces that cyber is an enterprise-wide issue—and that directors expect everyone to be accountable for managing the risk. The discussion also may expose other areas where there are security gaps. For example, while a CISO will often cover IT, many industrial organizations also need to protect OT—the operational technology that directs what happens in physical plants or processes. So if the CISO isn’t covering OT, the board needs to hear from whoever is.

4. Do we have the information we need to oversee cyber risk?

First, consider whether you have the basic information you need on the company’s IT environment. Without this background, it’s tough to make sense of the level of risk the company faces. There are a few key areas:

The nature of the company’s systems.

Are they developed in-house, purchased and customized or in the cloud?

Are any no longer supported by vendors?

Is the company running multiple versions of key systems in different divisions?

To what extent has the company integrated the systems of companies it acquired?

The security resources.

Where does IT security report?

What are IT security’s resources and budget? How do they compare to industry benchmarks?

Has the company adopted a cybersecurity framework (e.g., NIST, ISO 27001)?

This type of basic information doesn’t change much, so directors likely only need periodic refreshers.

On the other hand, directors will want more frequent reporting on what does change. Each company needs to figure out which items—quantitative and qualitative—are most relevant. It’s also helpful for directors to see whether management believes cyber risk is increasing, stable or decreasing.

A good dashboard gives directors an at-a-glance understanding of the state of the company’s cyber risk. There are a number of different approaches to assembling a dashboard. One is to simply classify issues between external and internal factors, like the example we show below.

If boards sense the dashboard isn’t giving a complete or accurate picture, they shouldn’t be afraid to challenge what’s presented in it. Read more to find out how.

Example of what a dashboard might look like

5. Have we built a relationship that allows the CISO to be candid with us?

The CISO has a lot of responsibility but doesn’t always have the authority to insist that other technology and business leaders fall in line. A strong relationship with the board helps the CISO feel comfortable giving directors the true picture (warts and all) of cyber risks, including his or her views on whether resources are adequate. Periodic private sessions with the CISO are a key part of understanding whether the company is doing enough to manage these risks.

6. How can we know whether the controls and processes designed to prevent data breaches are working?

Speaking to objective groups, such as internal audit, can offer the board different perspectives. The board may also want to hire its own outside consultants to periodically review the state of cybersecurity at the company and report back to the board.

How can directors improve their knowledge of cybersecurity?

Hold deep-dive discussions about the company’s situation. That could include the company’s cybersecurity strategy, the types of cyber threats facing the company and the nature of the company’s “crown jewels.”

Attend external programs. There are a number of conferences that focus on the oversight of cyber risk.

Ask management what it has learned from connecting with peers and industry groups.

Ask law enforcement (e.g., the FBI) and other experts to present on the threat environment, attack trends and common vulnerabilities. Then discuss with management how the company is addressing these developments.

Challenge:

Given that companies are under constant attack, how can directors understand whether their company is adequately prepared to handle a breach?

No company is immune to the threat of a breach. One particularly scary aspect of cybersecurity is that companies may only know they’ve been breached when an outside party, such as the FBI, notifies them. Then there’s the question of what the company needs to do once it discovers a breach. Obviously it needs to investigate and patch its systems. But there’s much more.

Nearly all US states and many countries have laws requiring entities to notify individuals when there’s been a security breach involving personally identifiable information. These laws often set a deadline for notification—sometimes as short as 72 hours. The data breach notification laws change from time to time, making it a challenge to keep up to date. Separately, companies should also consider any potential SEC disclosure requirements regarding cyber risks and incidents.

Breaches can mean significant fines from regulatory agencies, as well as class-action lawsuits. They can also damage a company’s reputation and brand—resulting in loss of customers, as well as investors possibly losing confidence in the company. And as we have seen with some breaches, senior executives can lose their jobs.

Breaches also mean more costs to companies—to investigate, remediate and compensate those who were harmed. Only half of US companies have cyber insurance, [6] despite the growing number and size of incidents. In part, there’s still some skepticism on how claims will be covered.

Given how likely a breach is and how much companies need to do to respond, it’s surprising that 54% of executives say their companies don’t have an incident response plan. [7] Yet companies that responded well to a breach—thanks to better preparation—usually come out of the crisis better than those that had to scramble.

Board action:

Regularly review the breach and crisis management plan and lessons learned from management’s testing

It’s important to ask management about the company’s cyber incident response and crisis management plan on a regular basis. If there isn’t one, press management for a timeline to develop and test one.

If there is a plan, discuss what it entails and how the company intends to continue operating in the event of a disruptive attack. It should also identify everyone who needs to be involved, which could include the communications team, finance leaders, business leaders, legal counsel and the broader crisis response team, as well as IT specialists. The plan should specify which external resources are on retainer to support the internal teams. And who the company will work with on the law enforcement side.

A key part of the plan should cover breach notification and escalation procedures. When will the board be notified? What is the company’s plan to inform regulators? How and when will other stakeholders—including individuals whose personal information may have been lost—be informed?

Also ask management about plan testing and what changes were made as a result of the last test. Some directors even observe or participate in tabletop testing exercises to get a better appreciation for how management plans to address a cyber crisis.

Finally, have management explain if it has updated controls or recovery plans based on recent incidents at other organizations.

In conclusion…

As cyber threats persist, boards recognize they need to step up their cyber risk oversight. That starts when directors recognize that the responsibility for handling cyber risk goes well beyond the CISO. How? By insisting that cybersecurity be a business discussion, with the right senior executives in the room and a sophisticated understanding of the threats.

____________________________________________________________

Endnotes

1PwC, 2017 Annual Corporate Directors Survey, October 2017.(go back)

2Ponemon Institute, Data Risk in the Third-Party Ecosystem, September 28, 2017.(go back)

3PwC, Global State of Information Security® Survey 2018, October 2017.(go back)

4Ibid.(go back)

5PwC, 2017 Annual Corporate Directors Survey, October 2017.(go back)

6Insurance Journal, “Why 27% of U.S. Firms Have No Plans to Buy Cyber Insurance”, May 31, 2017; http://www.insurancejournal.com/news/national/2017/05/31/452647.htm (go back)

7PwC, Global State of Information Security® Survey 2018, October 2017.(go back)

Common issues	Why they matter
There’s no inventory of the company’s digital assets	Companies can’t protect assets they don’t know about. Management should be able to explain what information and data they hold, why it’s needed, where it is (within the company’s systems or with third parties) and whether it’s properly protected. They should also know which data is most valuable (the crown jewels).
The company doesn’t know which third parties it digitally connects with	A company may interact—and even share sensitive information—with thousands of suppliers and contractors. Hackers often target these third parties as a way to get into a company’s network. Yet more than half of companies don’t keep a comprehensive inventory of the third parties they share sensitive information with. [2]
The company hasn’t identified who is most likely to come after its data	Knowing who might attack helps the company better anticipate how they might attack. That in turn may help the company put up better defenses.
The company has poor cyber hygiene	Systems that aren’t properly configured are more vulnerable to attacks. So companies should employ leading practices, like multi-factor authentication, to protect highly sensitive information. They also need to do the basics right—like removing access on a timely basis for people who leave the company or change jobs.
The company hasn’t patched known system vulnerabilities	System vulnerabilities are being uncovered constantly. But not all software companies push out patches to users. So the company needs to ensure someone regularly monitors to see if patch updates are available. And then make sure those fixes get made.
The company has a wide attack surface	Providing more ways to access company systems makes things easier for employees, customers and third parties. And for hackers. So companies need stronger controls (such as multi-factor authentication). And they need to increase their monitoring for suspicious activity.
Employees aren’t trained on their role in security	Current employees are the top source of security incidents—whether intentional or not. [3] Yet only half (52%) of executives say their company has an employee security awareness training program. [4]
Cybersecurity is viewed as the CISO’s responsibility	A chief information security officer (CISO) can’t do the job alone. Other groups like Infrastructure or Operations need to cooperate and provide resources to address cyber issues.

_______________________________________________

*Paula Loop is Leader at the Governance Insights Center, Catherine Bromilow is Partner at the Governance Insights Center, and Sean Joyce is US Cybersecurity and Privacy Leader at PricewaterhouseCoopers LLP. This post is based on a PwC publication by Ms. Loop, Ms. Bromilow, and Mr. Joyce.

Dix thèmes prioritaires à mettre à l’ordre du jour des Boards en 2018

Aujourd’hui, je partage avec vous un article de Kerry E. Berchem et Christine B. LaFollette, associés de la firme Akin Gump Strauss Hauer & Feld, qui donne un aperçu des principales préoccupations des CA en 2018.

Ce qui est intéressant, outre les thèmes choisis, c’est l’impact de l’agenda de l’administration Trump sur la gouvernance des sociétés, notamment les points suivants :

– Assouplissements de la réglementation de la SEC ;

– Applications des directives de la SEC, en autres les efforts de remplacement de la réforme Dodd-Frank ;

– Nouveaux échanges commerciaux et applications de sanctions plus sévères ;

– La réforme de la fiscalité.

Bonne lecture ! Vos commentaires sont les bienvenus.

Dix thèmes majeurs pour les administrateurs de sociétés en 2017

1. Corporate strategy: Oversee the development of the corporate strategy in an increasingly uncertain and volatile world economy with new and more complex risks

Directors will need to continue to focus on strategic planning, especially in light of significant anticipated changes in U.S. government policies, continued international upheaval, the need for productive shareholder relations, potential changes in interest rates, uncertainty in commodity prices and cybersecurity risks, among other factors.

2. Political changes: Monitor the impact of major political changes, including the U.S. presidential and congressional elections and Brexit

Many uncertainties remain about how the incoming Trump administration will govern, but President-elect Trump has stated that he will pursue vast changes in diverse regulatory sectors, including international trade, health care, energy and the environment. These changes are likely to reshape the legal landscape in which companies conduct their business, both in the United States and abroad.

With respect to Brexit, although it is clear that the United Kingdom will, very probably, leave the European Union, there is no certainty as to when exactly this will happen or what the U.K.’s future relationship, if any, with the EU will be. Once the negotiations begin, boards will need to be quick to assess the likely shape of any deal between the U.K. and the EU and to consider how to adjust their business model to mitigate the threats and take advantage of the opportunities that may present themselves.

3. Shareholder relations: Foster shareholder relations and assess company vulnerabilities to prepare for activist involvement

The current environment demands that directors of public companies remain mindful of shareholder relations and company vulnerabilities by proactively engaging with shareholders, addressing shareholder concerns and performing a self-diagnostic analysis. Directors need to understand their company’s vulnerabilities, such as a de-staggered board or the lack of access to a poison pill, and be mindful of them in any engagement or negotiation process.

4. Cybersecurity: Understand and oversee cybersecurity risks to prepare for increasingly sophisticated and frequent attacks

As cybercriminals raise the stakes with escalating ransomware attacks and hacking of the Internet of Things, companies will need to be even more diligent in their defenses and employee training. In addition, cybersecurity regulation will likely increase in 2017. The New York State Department of Financial Services has enacted a robust cybersecurity regulation, with heightened encryption, log retention and certification requirements, and other regulators have issued significant guidance. Multinational companies will continue implementation of the EU General Data Protection Regulation requirements, which will be effective in May 2018. EU-U.S. Privacy Shield will face a significant legal challenge, particularly in light of concerns regarding President-elect Trump’s protection of privacy. Trump has stated that the government needs to be “very, very tough on cyber and cyberwarfare” and has indicated that he will form a “cyber review team” to evaluate cyber defenses and vulnerabilities.

5. SEC scrutiny: Monitor the SEC’s increased scrutiny and more frequent enforcement actions, including whistleblower developments, guidance on non-GAAP measures and tougher positions on insider trading

2016 saw the Securities and Exchange Commission (SEC) award tens of millions of dollars to whistleblowers and bring first-of-a-kind cases applying new rules flowing from the protections now afforded to whistleblowers of potential violations of the federal securities laws. The SEC was also active in its review of internal accounting controls and their ability to combat cyber intrusions and other modern-day threats to corporate infrastructure. The SEC similarly continued its comprehensive effort to police insider trading schemes and other market abuses, and increased its scrutiny of non-GAAP (generally accepted accounting principles) financial measure disclosures. 2017 is expected to bring the appointment of three new commissioners, including a new chairperson to replace outgoing chair Mary Jo White, which will retilt the scales at the commissioner level to a 3-2 majority of Republican appointees. 2017 may also bring significant changes to rules promulgated previously under Dodd-Frank.

6. CFIUS: Account for CFIUS risks in transactions involving non-U.S. investments in businesses with a U.S. presence

Over the past year, the interagency Committee on Foreign Investment in the United States (CFIUS) has been particularly active in reviewing—and, at times, intervening in—non-U.S. investments in U.S. businesses to address national security concerns. CFIUS has the authority to impose mitigation measures on a transaction before it can proceed, and may also recommend that the President block a pending transaction or order divestiture of a U.S. business in a completed transaction. Companies that have not sufficiently accounted for CFIUS risks may face significant hurdles in successfully closing a deal. With the incoming Trump administration, there is also the potential for an expanded role for CFIUS, particularly in light of campaign statements opposing certain foreign investments.

7. Board composition: Evaluate and refresh board composition to help achieve the company’s goals, increase diversity and manage turnover

In order to promote fresh, dynamic and engaged perspectives in the boardroom and help the company achieve its goals, a board should undertake focused reassessments of its underlying composition and skills, including a review and analysis of board tenure, continuity and diversity in terms of upbringing, educational background, career expertise, gender, age, race and political affiliation.

8. Executive compensation: Determine appropriate executive compensation against the background of an increased focus on CEO pay ratios

Executive compensation will continue to be a hot topic for directors in 2017, especially given that public companies will soon have to start complying with the CEO pay ratio disclosure rules. Recent developments suggest that such disclosure might not be as burdensome or harmful to relations with employees and the public as was initially feared.
The SEC’s final rules allow for greater flexibility and ease in making this calculation, and a survey of companies that have already estimated their ratios indicates that the ratio might not be as high, on average, as previously reported.

9. Antitrust scrutiny: Monitor the increased scrutiny of the antitrust authorities and the implications on various proposed combinations

Despite the promise of synergies and the potential to transform a company’s future, antitrust regulators have become increasingly hostile toward strategic transactions, with the Department of Justice and Federal Trade Commission suing to block 12 transactions since 2015. Although directors should brace for a longer antitrust review, to help navigate the regulatory climate, work upfront can dramatically improve prospects for success. Company directors should develop appropriate deal rationales and, with the benefit of upfront work, allocate antitrust risk in the merger agreement. Merger and acquisition activity may also benefit from the Trump administration, taking, at least for certain industries, a less-aggressive antitrust enforcement stance.

10. Environmental disasters and contagious diseases: Monitor the impact of increasingly volatile weather events and contagious disease outbreaks on risk management processes, employee needs and logistics planning

While the causes of climate change remain a political sticking point, it cannot be debated that volatile weather events, environmental damage and a rise in the diseases that tend to follow, are having increasingly adverse impacts on businesses and markets. Businesses will need to account for, or transfer the risk of, the increasing likelihood of these impacts. The SEC recently announced investigations into climate-risk disclosures within the oil and gas sector to ensure that they adequately allow investors to account for these effects on the bottom line. The growing number of shareholder resolutions and suits addressing climate change confirm that investors want this information, regardless of the position of the next administration.

The complete publication is available here.

*Kerry E. Berchem is partner and head of the corporate practice, and Rick L. Burdick is partner and chair of the Global Energy & Transactions group, at Akin Gump Strauss Hauer & Feld LLP.

Cadre de référence pour évaluer la gouvernance des sociétés | Questionnaire de 100 items

Le Bureau de la vérification interne (BVI) de l’Université de Montréal (UdeM) a récemment développé un cadre de référence novateur pour l’évaluation de la gouvernance. La méthodologie, ainsi que le questionnaire qui en résulte, contribue, à mon avis, à l’avancement des connaissances dans le domaine de l’évaluation des caractéristiques et des pratiques de la gouvernance par les auditeurs internes.

Ayant eu l’occasion de collaborer à la conception de cet instrument de mesure de la gouvernance des sociétés, j’ai obtenu du BVI la permission de publier le résultat de cet exercice.

Cette version du cadre se veut « générique » et peut être utilisée pour l’évaluation de la gouvernance d’un projet, d’une activité, d’une unité ou d’une entité.

De ce fait, les termes, les intervenants ainsi que les structures attendues doivent être adaptés au contexte de l’évaluation. Il est à noter que ce cadre de référence correspond à une application optimale recherchée en matière de gouvernance. Certaines pratiques pourraient ne pas s’appliquer ou ne pas être retenues de façon consciente et transparente par l’organisation.

Le questionnaire se décline en dix thèmes, chacun comportant dix items :

Thème 1 — Structure et fonctionnement du Conseil

Thème 2 — Travail du président du Conseil

Thème 3 — Relation entre le Conseil et le directeur général (direction)

Thème 4 — Structure et travail des comités du Conseil

Thème 5 — Performance du Conseil et de ses comités

Thème 6 — Recrutement, rémunération et évaluation du rendement du directeur général

Thème 7 — Planification stratégique

Thème 8 — Performance et reddition de comptes

Thème 9 — Gestion des risques

Thème 10 — Éthique et culture organisationnelle

On retrouvera en Annexe une représentation graphique du cadre conceptuel qui permet d’illustrer les liens entre les thèmes à évaluer dans le présent référentiel.

L’évaluation s’effectue à l’aide d’un questionnaire de type Likert (document distinct du cadre de référence). L’échelle de Likert est une échelle de jugement par laquelle la personne interrogée exprime son degré d’accord ou de désaccord eu égard à une affirmation ou une question.

Tout à fait d’accord
D’accord
Ni en désaccord ni d’accord
Pas d’accord
Pas du tout d’accord
Ne s’applique pas (S.O.)

Une section commentaire est également incluse dans le questionnaire afin que les participants puissent exprimer des informations spécifiques à la question. L’audit interne doit réaliser son évaluation à l’aide de questionnaires ainsi que sur la base de la documentation qui lui sera fournie.

archives_gouvernance

Thème 1 — Structure et fonctionnement du Conseil

(Questions destinées au président du comité de gouvernance [PCG] et/ou au président du Conseil [PC])

1. Le Conseil compte-t-il une proportion suffisante de membres indépendants pour lui permettre d’interagir de manière constructive avec la direction ?

2. La taille du Conseil vous semble-t-elle raisonnable compte tenu des objectifs et de la charge de travail actuel ? (dans une fourchette idéale de 9 à 13 membres, avec une moyenne d’environ 10 membres)

3. La composition du Conseil est-elle guidée par une politique sur la diversité des membres ?

4. Le Conseil a-t-il conçu un processus rigoureux de recrutement de ses membres, basé sur une matrice des compétences complémentaires ?

5. Le président et les membres du comité responsable du recrutement (comité de gouvernance) ont-ils clairement exprimé aux candidats potentiels les attentes de l’organisation en matière de temps, d’engagement et de contributions reliés avec leurs compétences ?

6. Les réunions sont-elles bien organisées et structurées ? (durée, PV, taux de présence, documentation pertinente et à temps, etc.)

7. Les échanges portent-ils sur surtout sur des questions stratégiques, sans porter sur les activités courantes (qui sont davantage du ressort de l’équipe de direction) ?

8. Les membres sont-ils à l’aise d’émettre des propos qui vont à contre-courant des idées dominantes ?

9. Une séance à huis clos est-elle systématiquement prévue à la fin de chacune des réunions afin de permettre aux membres indépendants de discuter des sujets sensibles ?

10. Les membres ont-ils accès à la planification des rencontres sur une période idéale de 18 mois en y incluant certains items ou sujets récurrents qui seront abordés lors des réunions du Conseil (plan de travail) ?

Thème 2 — Travail du président du Conseil

(Questions destinées à un administrateur indépendant, au PC [auto-évaluation] et au président du comité de gouvernance [PCG])

1. Le président s’assure-t-il de former un solide tandem avec le directeur général et de partager avec lui une vision commune de l’organisation ?

2. Le président promeut-il de hauts standards d’efficacité et d’intégrité afin de donner le ton à l’ensemble de l’organisation ?

3. Le président, de concert avec le directeur général, prépare-t-il adéquatement les réunions du Conseil ?

4. Le président préside-t-il avec compétence et doigté les réunions du Conseil ?

5. Le président s’assure-t-il que les échanges portent surtout sur des questions stratégiques et que les réunions du Conseil ne versent pas dans la micro gestion ?

6. Le président s’investit-il pleinement dans la sélection des présidents et des membres des comités du Conseil ?

7. Le président s’assure-t-il de l’existence d’une formation et d’une trousse d’accueil destinées aux nouveaux membres afin qu’ils soient opérationnels dans les plus brefs délais ?

8. Le président s’assure-t-il de l’existence d’un processus d’évaluation du rendement du Conseil et de ses membres ?

9. Le président prend-il la peine d’aborder les membres non performants pour les aider à trouver des solutions ?

10. Le président s’assure-t-il que les membres comprennent bien leurs devoirs de fiduciaire, c’est-à-dire qu’ils doivent veiller aux meilleurs intérêts de l’organisation et non aux intérêts de la base dont ils sont issus ?

Thème 3 — Relation entre le Conseil et le directeur général (direction)

(Questions destinées au PC et au Directeur général [DG])

1. Le président du Conseil et le directeur général ont-ils des rencontres régulières et statutaires pour faire le point entre les réunions du Conseil ?

2. Le président du Conseil et le directeur général maintiennent-ils une communication franche et ouverte ? (équilibre entre une saine tension et des relations harmonieuses et efficaces)

3. Le Conseil résiste-t-il à la tentation de faire de la micro gestion lors de ses réunions et s’en tient-il à assumer les responsabilités qui lui incombent ?

4. Le Conseil agit-il de façon respectueuse à l’endroit du directeur général lors des réunions du Conseil et cherche-t-il à l’aider à réussir ?

5. Le Conseil procède-t-il à une évaluation annuelle du rendement du directeur général (par le comité de GRH) basée sur des critères objectifs et mutuellement acceptés ?

6. Les membres du Conseil s’abstiennent-ils de donner des ordres ou des directives aux employés qui relèvent de l’autorité du directeur général ?

7. Le président comprend-il que le directeur général ne relève pas de lui, mais plutôt du Conseil, et agit-il en conséquence ?

8. Le directeur général aide-t-il adéquatement le président dans la préparation des réunions du Conseil, fournit-il aux membres l’information dont ils ont besoin et répond-il à leurs questions de manière satisfaisante ?

9. Le directeur général s’assure-t-il de ne pas embourber les réunions du Conseil de sujets qui relèvent de sa propre compétence ?

10. Le directeur général accepte-t-il de se rallier aux décisions prises par le Conseil, même dans les cas où il a exprimé des réserves ?

Thème 4 — Structure et travail des comités du Conseil

(Questions destinées au PC et au président d’un des comités)

1. Existe-t-il, au sein de votre organisation, les comités du Conseil suivants :

· Audit ?

· Gouvernance ?

· Ressources humaines ?

· Gestion des risques ?

· Sinon, a-t-on inclus les responsabilités de ces comités dans le mandat du Conseil ou d’une autre instance indépendante ?

· Autres comités reliés à la recherche (ex. éthique, scientifique) ?

2. Les recommandations des comités du Conseil aident-elles le Conseil à bien s’acquitter de son rôle ?

3. Les comités du Conseil sont-ils actifs et présentent-ils régulièrement des rapports au Conseil ?

4. Estimez-vous que les comités créent de la valeur pour votre organisation ?

5. Les comités du Conseil s’abstiennent-ils de s’immiscer dans la sphère de responsabilité du directeur général ?

6. À l’heure actuelle, la séparation des rôles et responsabilités respectifs du Conseil, des comités et de la direction est-elle officiellement documentée, généralement comprise et mise en pratique ?

7. Les membres qui siègent à un comité opérationnel comprennent-ils qu’ils travaillent sous l’autorité du directeur général ?

8. Le directeur général est-il invité à assister aux réunions des comités du Conseil ?

9. Chacun des comités et des groupes de travail du Conseil dispose-t-il d’un mandat clair et formulé par écrit ?

10. S’il existe un comité exécutif dans votre organisation, son existence est-elle prévue dans le règlement de régie interne et, si oui, son rôle est-il clairement défini ?

Thème 5 — Performance du Conseil et de ses comités

(Questions destinées au PC et au président du comité de gouvernance [PCG])

1. Est-ce que la rémunération des membres du Conseil a été déterminée par le comité de gouvernance ou avec l’aide d’un processus indépendant ? (Jetons de présence ?)

2. Par quels processus s’assure-t-on que le Conseil consacre suffisamment de temps et d’attention aux tendances émergentes et à la prévision des besoins futurs de la collectivité qu’il sert ?

3. Est-ce que l’on procède à l’évaluation de la performance du Conseil, des comités et de ses membres au moins annuellement ?

4. Est-ce que la logique et la démarche d’évaluation ont été expliquées aux membres du Conseil, et ceux-ci ont-ils pu donner leur point de vue avant de procéder à l’évaluation ?

5. A-t-on convenu préalablement de la façon dont les données seront gérées de manière à fournir une garantie sur la confidentialité de l’information recueillie ?

6. Est-ce que le président de Conseil croit que le directeur général et la haute direction font une évaluation positive de l’apport des membres du Conseil ?

7. L’évaluation du Conseil et de ses comités mène-t-elle à un plan d’action réaliste pour prendre les mesures nécessaires selon leur priorité ?

8. L’évaluation du Conseil permet-elle de relever les lacunes en matière de compétences et d’expérience qui pourraient être comblées par l’ajout de nouveaux membres ?

9. Est-ce que les membres sont évalués en fonction des compétences et connaissances qu’ils sont censés apporter au Conseil ?

10. Les membres sont-ils informés par le président du Conseil de leurs résultats d’évaluation dans le but d’aboutir à des mesures de perfectionnement ?

Thème 6 — Recrutement, rémunération et évaluation du rendement du DG

(Questions destinées au PC, au DG [auto-évaluation] et au président du comité des RH)

1. Existe-t-il une description du poste de directeur général ? Cette description a-t-elle servi au moment de l’embauche du titulaire du poste ?

2. Un comité du Conseil (comité de GRH) ou un groupe de membres indépendants est-il responsable de l’évaluation du rendement du directeur général (basé sur des critères objectifs) ?

3. Le président du Conseil s’est-il vu confier un rôle prépondérant au sein du comité responsable de l’évaluation du rendement du directeur général afin qu’il exerce le leadership que l’on attend de lui ?

4. Le comité responsable de l’évaluation du rendement et le directeur général ont-ils convenu d’objectifs de performance sur lesquels ce dernier sera évalué ?

5. Le rendement du directeur général est-il évalué au moins une fois l’an en fonction de ces objectifs ?

6. Les objectifs de rendement du directeur général sont-ils liés au plan stratégique ?

7. Le comité responsable de l’évaluation du rendement s’est-il entretenu avec le directeur général en cours d’année pour lui donner une rétroaction préliminaire ?

8. La rémunération du directeur général est-elle équitable par rapport à l’ensemble des employés et a-t-elle fait l’objet d’une analyse comparative avec le marché des organisations afin d’assurer un certain degré de compétitivité ?

9. Les hausses salariales du directeur général sont-elles uniquement accordées en fonction de l’évaluation de son rendement ?

10. Est-ce que le Conseil consacre l’attention nécessaire à la succession du directeur général et dispose-t-il d’un processus robuste d’identification d’un nouveau premier dirigeant, tant pour les transitions planifiées que non planifiées ?

Thème 7 — Planification stratégique

(Questions destinées au PC et au DG)

1. Votre organisation possède-t-elle un plan stratégique incluant notamment :

· le contexte dans lequel évoluent la société et les principaux enjeux auxquels elle fait face ?

· les objectifs et les orientations stratégiques de la société ?

· les résultats visés au terme de la période couverte par le plan ?

· les indicateurs de performance utilisés pour mesurer l’atteinte des résultats ?

2. Le plan stratégique porte-t-il sur une période cohérente avec la mission et l’environnement dans lequel il œuvre ?

3. La mission, les valeurs et l’énoncé de vision de l’organisation ont-ils été déterminés et réévalués périodiquement ?

4. Est-ce qu’il y a eu une analyse Forces/faiblesses et opportunités/menaces ?

5. L’ensemble des parties prenantes de l’organisation a-t-il été consulté notamment au moyen de sondages et d’entrevues, et lors d’un atelier de planification stratégique ?

6. Les membres ont-ils été engagés dans le processus, notamment par la création d’un comité ad hoc chargé de piloter l’exercice et par des rapports périodiques aux réunions du Conseil ?

7. Le Conseil évalue-t-il la stratégie proposée, notamment les hypothèses clés, les principaux risques, les ressources nécessaires et les résultats cibles, et s’assure-t-il qu’il traite les questions primordiales telles que l’émergence de la concurrence et l’évolution des préférences des clients ?

8. Le président du Conseil s’assure-t-il que le plan stratégique soit débattu lors de réunions spéciales et que le Conseil dispose de suffisamment de temps pour être efficace ?

9. Le Conseil est-il satisfait des plans de la direction pour la mise en œuvre de la stratégie approuvée ?

10. Le Conseil surveille-t-il la viabilité permanente de la stratégie, et est-elle ajustée, si nécessaire, pour répondre aux évolutions de l’environnement ?

Thème 8 — Performance et reddition de comptes

(Questions destinées au Président du comité d’audit ou au PC, au DG et au secrétaire corporatif)

1. S’assure-t-on que les indicateurs de performance utilisés par la direction et présentés au Conseil sont reliés à la stratégie de l’organisation et aux objectifs à atteindre ?

2. S’assure-t-on que les indicateurs de la performance sont équilibrés entre indicateurs financiers et non financiers, qu’ils comprennent des indicateurs prévisionnels et permettent une comparaison des activités similaires ?

3. A-t-on une assurance raisonnable de la fiabilité des indicateurs de performance qui sont soumis au Conseil ?

4. Utilise-t-on des informations de sources externes afin de mieux évaluer la performance de l’organisation ?

5. Le Conseil et les comités réexaminent-ils régulièrement la pertinence de l’information qu’il reçoit ?

6. Le Conseil examine-t-il d’un œil critique les informations à fournir aux parties prenantes ?

7. Le Conseil est-il satisfait du processus de communication de crise de la société et est-il à même de surveiller de près son efficacité si une crise survient ?

8. Le Conseil est-il satisfait de son implication actuelle dans la communication avec les parties prenantes externes et comprend-il les évolutions susceptibles de l’inciter à modifier son degré de participation ?

9. Est-ce que la direction transmet suffisamment d’information opérationnelle au Conseil afin que celui-ci puisse bien s’acquitter de ses responsabilités de surveillance ?

10. Est-ce que le Conseil s’assure que les informations sont fournies aux parties prenantes telles que les organismes réglementaires, les organismes subventionnaires et les partenaires d’affaires ?

Thème 9 — Gestion des risques

(Questions destinées au PC et au Président du comité de Gestion des risques ou au Président du comité d’audit)

1. L’organisation a-t-elle une politique de gestion des risques et obtient-elle l’adhésion de l’ensemble des dirigeants et des employés ?

2. L’organisation a-t-elle identifié et évalué les principaux risques susceptibles de menacer sa réputation, son intégrité, ses programmes et sa pérennité ainsi que les principaux mécanismes d’atténuation ?

3. L’organisation a-t-elle un plan de gestion de la continuité advenant un sinistre ?

4. Est-ce que les risques les plus élevés font l’objet de mandats d’audit interne afin de donner un niveau d’assurance suffisant aux membres du Conseil ?

5. L’organisation se penche-t-elle occasionnellement sur les processus de contrôle des transactions, par exemple l’autorisation des dépenses, l’achat de biens et services, la vérification et l’approbation des factures et des frais de déplacement, l’émission des paiements, etc. ?

6. Existe-t-il une délégation d’autorité documentée et comprise par tous les intervenants ?

7. Le Conseil a-t-il convenu avec la direction de l’appétit pour le risque ? (le niveau de risque que l’organisation est prête à assumer)

8. Le Conseil est-il informé en temps utile lors de la matérialisation d’un risque critique et s’assure-t-il que la direction les gère convenablement ?

9. S’assure-t-on que la direction entretient une culture qui encourage l’identification et la gestion des risques ?

10. Le Conseil s’est-il assuré que la direction a pris les mesures nécessaires pour se prémunir des risques émergents, notamment ceux reliés à la cybersécurité et aux cyberattaques ?

Thème 10 — Éthique et culture organisationnelle

(Questions destinées au DG et au PC)

1. Les politiques de votre organisation visant à favoriser l’éthique sont-elles bien connues et appliquées par ses employés, partenaires et bénévoles ?

2. Le Conseil de votre organisation aborde-t-il régulièrement la question de l’éthique, notamment en recevant des rapports sur les plaintes, les dénonciations ?

3. Le Conseil et l’équipe de direction de votre organisation participent-ils régulièrement à des activités de formation visant à parfaire leurs connaissances et leurs compétences en matière d’éthique ?

4. S’assure-t-on que la direction générale est exemplaire et a développé une culture fondée sur des valeurs qui se déclinent dans l’ensemble de l’organisation ?

5. S’assure-t-on que la direction prend au sérieux les manquements à l’éthique et les gère promptement et de façon cohérente ?

6. S’assure-t-on que la direction a élaboré un code de conduite efficace auquel elle adhère, et veille à ce que tous les membres du personnel en comprennent la teneur, la pertinence et l’importance ?

7. S’assure-t-on de l’existence de canaux de communication efficaces (ligne d’alerte téléphonique dédiée, assistance téléphonique, etc.) pour permettre aux membres du personnel et partenaires de signaler les problèmes ?

8. Le Conseil reconnaît-il l’impact sur la réputation de l’organisation du comportement de ses principaux fournisseurs et autres partenaires ?

9. Est-ce que le président du Conseil donne le ton au même titre que le DG au niveau des opérations sur la culture organisationnelle au nom de ses croyances, son attitude et ses valeurs ?

10. Est-ce que l’organisation a la capacité d’intégrer des changements à même ses processus, outils ou comportements dans un délai raisonnable ?

Annexe

Présentation du schéma conceptuel

Thème (1) — Structure et fonctionnement du Conseil

Thème (2) — Travail du président du Conseil

Thème (3) — Relation entre le Conseil et le directeur général (direction)

Thème (4) — Structure et travail des comités du Conseil

Thème (5) — Performance du Conseil et de ses comités

Thème (6) — Recrutement, rémunération et évaluation du rendement du directeur général

Thème (7) — Planification stratégique

Thème (8) — Performance et reddition de comptes

Thème (9) — Gestion des risques

Thème (10) — Éthique et culture organisationnelle