IL Y A UNE CHOSE QUE LES MEMBRES DU CONSEIL D’ADMINISTRATION DEVRAIENT FAIRE BEAUCOUP PLUS SOUVENT : DÉMISSIONNER


 

Voici un article, publié sur le blogue d’Adam J. Epstein, le 2 décembre 2022, qui dénonce l’encroutement de certains administrateurs sur les conseils pendant trop d’années. Cet article est très engageant, surtout dans la perspective :

(1) de laisser plus de place aux nouvelles générations et

(2) de créer un espace pour le recrutement de membres issus de la diversité.

J’ai déjà abordé ce sujet délicat dans plusieurs billets au cours des dix dernières années. Voici un aperçu des différentes publications sur le sujet — https://jacquesgrisegouvernance.com/?s=d%C3%A9mission+des+administrateurs.

Le texte a été publié en anglais. Afin de faciliter la compréhension, j’ai révisé la traduction électronique produite par Google. Je crois que cette traduction est très acceptable.

Bonne lecture ! Vos commentaires sont les bienvenus.

There’s One Thing Board Members Should Do A Lot More Often: Resign

 

Why Board Members Decide To Step DownWhy Board Members Decide To Step Down

L’un des points de données les plus choquants de l’état des conseils d’administration chaque année est une gracieuseté de PwC. Leur sondage annuel auprès des administrateurs de grandes sociétés ouvertes pose une question formidable : « Y a-t-il des administrateurs dans votre conseil qui, selon vous, ne devraient pas l’être ? Si oui, combien ? »

Voici la réponse en 2022.

Près de la moitié des administrateurs (48 %) pensent qu’un ou plusieurs administrateurs de leur conseil devraient être remplacés. Dix-neuf pour cent (19 %) remplaceraient au moins deux de leurs collègues administrateurs.

Vous avez bien lu.

Je ne cesse de m’étonner du peu de gens qui en parlent.

Il y a de nombreuses raisons pour lesquelles des milliers de personnes siégeant à des conseils d’administration privés, publics et à but non lucratif ne devraient pas l’être. Vous pourriez facilement écrire 10 000 mots dessus.

Il y en aurait beaucoup moins si plus de gens discutaient ouvertement d’un seul mot.

Démissionner.

La résignation se situe, dans le lexique américain, d’un autre mot que nous n’aimons pas.

Quitter.

Quitter n’est pas américain — c’est l’antithèse de ce qui a construit notre pays. Et on nous l’a tous rappelé quotidiennement quand nous étions enfants, « Personne n’aime un lâcheur. »

Démissionner n’est pas la même chose que quitter, bien sûr, comme nous le savons tous.

Quitter évoque une réticence à déployer l’effort requis.

Démissionner n’est pas une question d’effort ; c’est un départ plus réfléchi et raisonné.

Mais, ils se ressemblent tous les deux sur le tableau de bord : une personne a volontairement décidé de quitter un poste.

Pourquoi tout cela est-il important ? Je pense que ça compte beaucoup, en fait.

Je pense que c’est en partie la raison pour laquelle vous pouvez assister à tous les grands événements de gouvernance d’entreprise aux États-Unis, année après année, et ne pas voir un seul panel où des membres expérimentés du conseil d’administration discutent des tendances factuelles qui les ont incités à démissionner d’un conseil d’administration, et pourquoi ils étaient ravis qu’ils l’aient fait.

C’est drôle ce qui se passe quand les gens ne discutent jamais d’une ligne de conduite. Cela n’arrive pas.

Donc, dans l’esprit que la lumière du soleil est le meilleur désinfectant, soyons résolument clairs : parfois, la meilleure chose que vous puissiez faire en tant que membre du conseil d’administration est de démissionner.

Demandez à Avie Tevanian .

J’ai discuté de cette question avec énormément de membres du conseil d’administration au fil des ans. Je ne peux pas vous dire combien de fois j’ai entendu des choses comme :

  • « Je savais que mes compétences et mon expérience ne s’additionnaient plus. J’ai été nommé au conseil d’administration pour aider à résoudre un ensemble de problèmes discrets, et ces problèmes ont disparu lorsque l’entreprise a effectué une transition ».
  • « Le PDG n’était pas la bonne personne pour diriger l’entreprise… pour de nombreuses raisons. Mais, les autres membres du conseil d’administration étaient de bons amis du PDG, et j’étais sur une île. Je savais que de mauvaises performances étaient pratiquement garanties avec cette personne. Et j’avais raison. »
  • « Les autres membres du conseil d’administration n’étaient pas assez expérimentés pour savoir que l’équipe des finances était non seulement en sous-effectif, mais c’était aussi un groupe d’amateurs. Je pouvais juste dire que cela se dirigeait vers des dépôts tardifs et une situation potentielle de retraitement. Tous les indicateurs étaient là, mais je n’ai pu convaincre aucun des autres membres du conseil d’administration de voir le problème. »
  • « Les autres membres du conseil d’administration — et même nos avocats externes — étaient tellement entichés du PDG. Je ne suis pas avocat, mais même moi, j’ai pu voir que ce que le PDG suggérait équivalait à un délit d’initié.

 

Et toutes ces réflexions poignantes se terminaient de la même manière : “J’aurais dû démissionner du conseil d’administration, Adam ».

Aucun d’eux ne l’a fait.

Tous l’ont regretté.

Si votre instinct vous dit de démissionner d’un conseil… démissionnez. Ce n’est pas « anti-américain ». C’est intelligent. Et beaucoup plus de membres du conseil d’administration devraient le faire, que les « experts » du conseil d’administration veuillent en parler ou non.

 

Pour une gouvernance efficace de la cybersécurité


 

Voici un article majeur publié par Orla Cox et Hetal Kanji*, de FTI Consulting, paru sur le site du Forum de la Harvard Law School on Corporate Governance.

Compte tenu de l’importace croissante de la cybersécurité et des responsabilités accrues des administrateurs dans ce domaine, j’ai opté pour un billet qui présente l’ensemble de la publication. Cependant, la premièere partie constitue un résumé de la problématique soulevée.

Cet article présente, en détail, toutes les mesures que les conseils d’administration doivent connaître et mettre en oeuvre pour pallier les cyber-risques de plus en plus prévalents. Les auteurs présentent un état des lieux eu égard à la cybersécurité.

J’ai corrigé la version traduite par Google, et le résultat final me semble très acceptable.

Bonne lecture !

 

Cybersécurité Entreprise : Audit Sécurité Informatique & Sécurité Réseau

Résumé

La numérisation a changé la façon dont les entreprises fonctionnent et a donné lieu à un ensemble de risques en évolution rapide auxquels les entreprises sont confrontées et auxquelles elles doivent se préparer — les risques de cybersécurité. La prévalence croissante des cyberattaques, notamment les rançongiciels, associée à la diminution de la disponibilité de la cyberassurance, expose de plus en plus les entreprises aux impacts souvent importants d’un incident de cybersécurité. Il y a naturellement un coût financier à court terme — les recherches d’IBM [1] révèlent que le coût total moyen d’une violation de ransomware en 2022 est de 4,54 millions de dollars — mais, sur le plan de la réputation, l’impact d’un incident peut être plus durable.

Conscients de la façon dont les entreprises sont de plus en plus exposées à la cybersécurité, les gouvernements, les régulateurs et les investisseurs augmentent la pression sur les organisations pour qu’elles améliorent leurs mesures de cybersécurité, augmentent la transparence autour des divulgations et mettent en place des structures de gouvernance et de gestion qui démontrent que la cybersécurité est une priorité aux plus hauts niveaux du monde.

Veiller à ce que des structures de surveillance soient en place au niveau du conseil d’administration est un élément clé de la cybergouvernance. En tant que risque important affectant les entreprises, les conseils d’administration sont de plus en plus tenus responsables de s’assurer que l’équipe de direction prend les mesures appropriées pour atténuer le risque d’attaque de cybersécurité, et également de s’assurer que l’organisation réagit de manière appropriée en cas d’incident. Souvent, les conseils d’administration ont peu ou pas d’expérience dans ce domaine, et bien que la nature dynamique du cyberrisque signifie que les membres du conseil d’administration ne sont pas censés être des cyberexperts — bien qu’il y ait un mérite à avoir une expertise au sein du conseil d’administration — ils sont censés être capables de interpeller la direction sur ce sujet et informer les actionnaires sur les mesures mises en place pour atténuer l’impact des incidents de cybersécurité.

Pour de nombreuses entreprises, le Chief Information Security Officer (CISO) est l’exécutif responsable du cyberrisque. Les investisseurs et les régulateurs faisant pression pour une plus grande surveillance au niveau du conseil d’administration, le RSSI devra communiquer les cyberrisques et les mesures en des termes qui résonnent avec le conseil d’administration, et les structures de gouvernance devront donner la priorité à l’engagement avec le RSSI sur les cyberrisques.

La cybersécurité fait également de plus en plus partie de l’examen minutieux des entreprises par les investisseurs et les conseillers en vote. Nos recherches indiquent que les investisseurs considèrent désormais la cybersécurité comme une priorité essentielle, les cyberattaques étant systématiquement citées comme la préoccupation ou le domaine de risque le plus important pour les investisseurs. Parallèlement à cela, les principaux gestionnaires d’actifs mondiaux fournissent plus de détails sur ce qu’ils attendent en termes de divulgation — y compris un désir de détails sur les structures en place pour gérer le cyberrisque, mais aussi le nombre et l’ampleur des cyber-incidents affectant une entreprise.

La manière dont les entreprises communiquent leur gouvernance du risque cyber aux investisseurs est donc de plus en plus importante. Lors de l’annonce des règles proposées par la SEC sur la divulgation de la cybersécurité, le président de la SEC, Gary Gensler, a déclaré : « Je pense que les entreprises et les investisseurs gagneraient à ce que ces informations soient requises de manière cohérente, comparable et utile à la prise de décision. » Cela met en évidence un manque de transparence autour des cyberrisques et de la divulgation des incidents ; et un indicateur clair que la réglementation ne va que dans un sens.

Dans l’évaluation de l’environnement réglementaire ; l’examen de l’attention accrue de la communauté des investisseurs ; et compte tenu des avantages d’une plus grande transparence, nous estimons qu’il peut être avantageux pour les entreprises d’aborder la cybersécurité d’une manière similaire à la façon dont le groupe de travail sur les informations financières liées au climat (TCFD) aborde le risque climatique. Celui-ci est construit autour de quatre piliers et permettra aux conseils d’administration et aux investisseurs des entreprises de reconnaître les risques posés par la cybersécurité d’une manière plus holistique couvrant i) la gouvernance ; ii) Stratégie ; iii) gestion des risques ; iv) Paramètres et cibles.

En fin de compte, une combinaison de réglementation et d’exigence d’une plus grande transparence signifiera un changement radical dans la divulgation pour les entreprises. Cependant, il est probable qu’il y ait un avantage clair — financier et de réputation — pour les entreprises qui sont les premières à adopter une approche plus proactive de la gouvernance et de la surveillance du cyberrisque et de la divulgation.

Introduction

Le Forum économique mondial a classé la cybersécurité parmi les cinq principaux risques mondiaux [2] et a appelé les entreprises à intégrer les considérations de cybersécurité dans leur gestion des risques ESG. Avec la croissance des menaces de cybersécurité et l’augmentation significative du nombre d’attaques de ransomwares et de logiciels malveillants, la cybersécurité reste en tête du registre des risques pour de nombreuses entreprises. Malgré une prise de conscience accrue, un incident de cybersécurité continue d’être une affaire coûteuse, les recherches d’IBM estimant que le coût total moyen d’une violation de ransomware en 2022 était de 4,54 millions de dollars . [3]

Avec la numérisation croissante des entreprises, le travail à distance et l’évolution du paysage géopolitique, ainsi que l’augmentation du volume et de la gravité des cyberattaques, les pratiques de gestion des risques des entreprises et la surveillance efficace du cyber et de la technologie font l’objet d’un examen accru de la part des investisseurs, tandis que les régulateurs continuent d’accélérer la mise en œuvre des cadres de surveillance nécessaires. Les entreprises qui ne parviennent pas à mettre en œuvre une bonne gouvernance en matière de cybersécurité ou à utiliser des outils et des mesures appropriés seront considérées comme « moins résilientes et moins durables » , a déclaré le WEF.

État des lieux de la cybersécurité

Un paysage de menaces en constante expansion

L’année 2021 a été sans précédent tant par l’ampleur que par l’impact des cyberattaques. Une grande attention a été accordée, à juste titre, aux rançongiciels et a été motivée par des attaques de grande envergure menées par des groupes professionnels de la cybercriminalité dotés des compétences et des ressources nécessaires pour infiltrer les grandes organisations et les infrastructures étatiques. La prévalence des ransomwares continue d’augmenter d’année en année, mais a fait un bond significatif en 2021 lorsqu’elle a augmenté de 13 %  [4] — une augmentation équivalente aux cinq années précédentes combinées.

La prolifération des ransomwares a été facilitée par le modèle commercial « Ransomware en tant que service » dans lequel les développeurs vendent leur souche de ransomwares à des affiliés, en échange d’une réduction des bénéfices. L’utilisation de la double extorsion (menacer de divulguer des données) et de la triple extorsion (menacer d’autres parties prenantes telles que les employés et les clients) a également augmenté les enjeux pour les organisations qui réagissent à un incident.

Le paysage géopolitique changeant de 2022 a également signifié que les entreprises se sont retrouvées dans la ligne de mire non seulement des cybercriminels, mais aussi des acteurs des États-nations [5]  menant des cyberattaques parallèlement aux activités militaires traditionnelles. Les hacktivistes [6]  ont également ciblé des organisations pour des raisons idéologiques, par exemple celles qui continuent à faire des affaires en Russie. Alors que nous entrons dans une période de « cyberguerre froide », les inquiétudes concernant les attaques potentielles contre les secteurs dits critiques — tels que les industries, les services financiers et les services publics — se sont considérablement accrues, car les impacts plus larges et systémiques de ces attaques prennent une nouvelle dimension.

Parallèlement à cette activité de menace accrue, les organisations voient également leur surface d’attaque s’élargir en raison de la numérisation accélérée, de l’augmentation de l’activité en ligne et des chaînes d’approvisionnement numériques complexes. Cela signifie que les risques auxquels sont confrontées les organisations augmentent et changent constamment, tandis que la sophistication avec laquelle les acteurs externes peuvent mener des attaques augmente.

Les régulateurs et les investisseurs sont de plus en plus conscients de ce risque croissant de cybersécurité et du coût élevé d’un incident d’un point de vue commercial, financier et de réputation, et mettent en place des mesures qui obligeront les entreprises à mettre en œuvre une surveillance appropriée de la cybersécurité et, par conséquent, à tenir leurs conseils d’administration et leurs cadres supérieurs responsables.

Disponibilité et abordabilité de la cyberassurance

Ces dernières années, les entreprises avaient recours à la cyberassurance pour gérer les retombées d’un incident de cybersécurité. Cependant, l’incidence accrue des cyberattaques, en particulier les rançongiciels, combinée à l’augmentation des demandes de rançon, a entraîné un plus grand volume de réclamations d’assurance.

Les assureurs ont augmenté les prix [7]  en réponse à l’augmentation des sinistres, la compagnie d’assurance Marsh rapportant [8]  que le prix de la couverture au quatrième trimestre 2021 a augmenté de 130 % aux États-Unis et de 92 % au Royaume-Uni, et a augmenté de 110 % supplémentaires aux États-Unis et de 102 % au Royaume-Uni au premier trimestre 2022. L’augmentation des sinistres a été si importante que de nombreuses compagnies d’assurance limitent leur couverture ou ne proposent tout simplement plus de cyber-assurance. En août 2022, Lloyds of London a publié un bulletin  [9] à ses membres déclarant qu’à partir du 31 mars 2023, en raison du risque systémique pour les marchés de l’assurance posé par les cyber-polices, toutes les cyber-polices autonomes nouvellement rédigées doivent exclure la responsabilité pour les pertes résultant de toute cyber-attaque soutenue par l’État.

Environnement réglementaire plus strict

C’est dans le contexte d’une prévalence et d’une gravité accrues des attaques que les gouvernements et les régulateurs continuent d’augmenter la pression sur les organisations pour qu’elles améliorent leur position en matière de cybersécurité tout en augmentant la transparence grâce à une plus grande divulgation de la cybersécurité. Le non-respect de la réglementation peut être coûteux pour les entreprises ; le coût d’une violation de données en particulier est supérieur de plus de 50 % [10]  pour les organisations présentant un niveau élevé d’échecs de conformité. Ces augmentations de coûts sont principalement le résultat d’amendes, de pénalités et de poursuites.

L’Europe

La réglementation de la cybersécurité en Europe se concentre principalement sur la protection des données personnelles et le maintien de l’intégrité des infrastructures, systèmes et services critiques. Le RGPD, qui couvre le traitement des données personnelles et la notification des violations de données dans l’UE, est bien établi et, pour l’essentiel, bien compris. Sa mise en œuvre a permis de mettre en évidence les responsabilités des entreprises en tant que dépositaires des données personnelles. La directive sur la sécurité des réseaux et de l’information (NIS) a également fourni des exigences en matière de cybersécurité et de notification pour les fournisseurs de services numériques et les opérateurs de services essentiels tels que la santé, les transports et les services financiers depuis 2018. Avec la nature en constante évolution des cyberrisques et leur fréquence accrue et de sophistication, le Parlement européen a approuvé le NIS2 en décembre 2021, » qui sont critiques pour l’économie et la société » . La politique est conçue dans le but de renforcer les mesures existantes et de rationaliser le reporting des entreprises. Le Royaume-Uni élargit également le champ d’application de sa directive NIS pour inclure un ensemble plus large d’industries.

En outre, la loi imminente sur la résilience des opérations numériques (DORA) augmentera les exigences de divulgation et de déclaration pour le secteur des services financiers et leurs fournisseurs tiers dans l’UE.

États-Unis

Les régulateurs américains se sont concentrés sur la matérialité des incidents, la SEC indiquant depuis 2018 que les cyberattaques représentent des risques commerciaux existentiels et peuvent avoir un impact matériel, justifiant la divulgation. En mars 2022, la SEC a développé ce point et proposé de nouvelles règles  [11]  qui rendraient la divulgation des incidents obligatoire pour les entreprises publiques. Selon les nouvelles règles, les entreprises devraient signaler les incidents matériels de cybersécurité dans les quatre jours suivant leur découverte.

En plus de la divulgation des incidents, les propositions traitent également de la surveillance de la cybersécurité en indiquant que la réglementation obligerait les entreprises « à fournir une divulgation plus cohérente et informative concernant leur gestion et leur stratégie des risques de cybersécurité » . Les propositions consacrent une section entière à la gouvernance de la cybersécurité décrivant les exigences de divulgation liées à la surveillance et à l’expertise du conseil d’administration en matière de cybersécurité, le rôle et l’expertise de la direction dans la gestion des risques de cybersécurité et la manière dont le risque de cybersécurité est pris en compte par rapport à la stratégie commerciale, à la gestion des risques et à la surveillance financière. Les détails partagés par la SEC à la suite de récents règlements ont également révélé le niveau de contrôle actuellement exercé sur les incidents de cybersécurité. Les manquements décrits dans les règlements comprennent :

  • Retards dans les notifications aux investisseurs
  • Absence de processus et de contrôles de divulgation internes entraînant des déclarations inexactes de la part des cadres supérieurs
  • Politiques de sécurité écrites qui n’ont pas été mises en œuvre dans la pratique
  • Langage trompeur, inexactitudes et omissions dans les notifications

Bien que ces propositions soient encore en phase de consultation, il est tout à fait clair que la SEC considère la cybersécurité comme un risque important pour les entreprises. Les entreprises seront non seulement évaluées sur les structures en place pour gérer et superviser le cyberrisque, mais également sur la manière dont elles réagissent immédiatement après un incident.

Gouvernance d’entreprise et cybersécurité

La croissance du cyberrisque a entraîné une prise de conscience accrue et des attentes plus élevées concernant les problèmes de cybersécurité, les entreprises étant évaluées sur leur état de préparation, leur résilience et leur réaction à la suite d’un incident. Alors que les entreprises doivent bien comprendre les bases et avoir une compréhension claire de leurs obligations de divulgation au niveau du marché et du secteur industriel, les régulateurs et les investisseurs attendent également des conseils d’administration qu’ils mettent en place une structure de gouvernance qui donne la priorité à la cybersécurité. Une gouvernance appropriée est considérée comme essentielle à la fois pour atténuer les risques, répondre aux incidents de cybersécurité et démontrer la préparation.

Les nouvelles orientations proposées par la SEC sur la gestion des risques de cybersécurité, la stratégie, la gouvernance et les règles de divulgation des incidents augmenteront la responsabilité des conseils d’administration en matière de cyberrisque. Étant donné que les propositions exigeront que les incidents matériels soient signalés dans les quatre jours, les entreprises devront évaluer rapidement l’impact total d’un incident. Afin de répondre à ces exigences strictes et d’éviter les sanctions, les conseils d’administration devront avoir une compréhension complète de leur cyberrisque et de l’impact financier potentiel d’un incident, avant qu’il ne se produise. De nombreuses entreprises comptaient sur la cyberassurance pour gérer certains éléments de leur exposition aux risques, mais les fournisseurs limitant de plus en plus leur couverture, les entreprises sont effectivement auto-assurées pour la majorité des coûts associés à un cyberincident.

Ce nouvel environnement de risque, combiné à une réglementation exigeant transparence et responsabilité, accompagné d’une pression croissante des actionnaires pour mieux comprendre comment le risque cyber est atténué, signifie que l’accent est désormais mis sur le rôle des administrateurs dans la surveillance du risque cyber. .

Élargir le rôle et l’importance du RSSI

Avoir un Chief Information Security Officer (CISO) dédié, qui est séparé et distinct du rôle de Chief Information Officer (CIO), est devenu de plus en plus important avec la transformation numérique accélérée et les risques de sécurité associés que la pandémie et les problèmes géopolitiques ont apportés. Un RSSI habilité et digne de confiance est également essentiel lors d’une véritable crise informatique, lorsque des décisions doivent être prises et communiquées rapidement, non seulement pour protéger les opérations et la réputation, mais aussi pour éviter de futures sanctions réglementaires.

Les lignes directrices en matière de gouvernance dans les directives de la SEC exigent une discussion sur les points suivants :

  • Si l’ensemble du conseil d’administration, des membres spécifiques du conseil d’administration ou un comité du conseil d’administration sont responsables de la surveillance des risques de cybersécurité ;
  • Les processus par lesquels le conseil est informé des risques de cybersécurité et la fréquence de ses discussions sur ce sujet ; et
  • si et comment le conseil ou le comité du conseil considère les risques de cybersécurité dans le cadre de sa stratégie commerciale, de sa gestion des risques et de sa surveillance financière.

Le bureau du RSSI a peut-être été traditionnellement considéré comme une fonction informatique, mais les implications profondes d’un incident de cybersécurité signifient que la cybersécurité doit être considérée comme un risque commercial. Garner [12] prévoit qu’au moins 50 % des cadres de niveau C auront des exigences de performance liées au cyberrisque d’ici 2026, ce qui renforce la façon dont la responsabilité du cyberrisque est passée d’une simple responsabilité informatique à une responsabilité des chefs d’entreprise dans tous les segments d’une entreprise. Historiquement, ces dirigeants n’ont peut-être pas pris en compte le cyberrisque dans leur prise de décision et leurs priorités, et le RSSI devra donc s’assurer que ces dirigeants d’entreprise disposent des connaissances et de la capacité de prendre des décisions appropriées en matière de risque, dans le cadre de la gestion plus large des risques de l’entreprise.

Ce changement, combiné à un paysage réglementaire qui pousse la responsabilité de la surveillance au niveau du conseil d’administration, signifie que le RSSI moderne doit être capable de communiquer les cyberrisques dynamiques et en évolution rapide en termes qui résonnent à la fois avec l’entreprise et le conseil d’administration. Les mesures doivent être définies en termes d’impact commercial et financier pour redéfinir la cybersécurité comme un investissement obligatoire et non comme un coût opérationnel. Cependant, une nouvelle enquête de FTI Consulting auprès de 165 RSSI aux États-Unis a révélé que 58 % ont du mal à communiquer avec la haute direction. [13]

Surveillance du conseil

Alors que le CISO joue un rôle important dans la préparation de la stratégie globale de cybersécurité d’une entreprise, s’assurer que les mesures de cybersécurité d’une entreprise sont adéquates devrait également faire partie des responsabilités de surveillance du conseil d’administration. La cybersécurité doit faire partie de l’ordre du jour récurrent des réunions du conseil d’administration.

Il est de pratique courante que la fonction de surveillance des cyberrisques fasse partie des attributions du comité d’audit du conseil d’administration. Cette décision concernant la structure de surveillance la plus efficace doit être basée sur la structure de chaque entreprise. En outre, à mesure que les investisseurs institutionnels et les conseillers en vote se concentrent davantage sur la surveillance de la cybersécurité, les conseils d’administration — et pas seulement la direction — doivent être préparés à un dialogue régulier avec les actionnaires sur ces questions.

Il est essentiel que le CISO alimente régulièrement les discussions du conseil d’administration afin de communiquer les risques de cybersécurité auxquels une entreprise est confrontée et les investissements nécessaires pour atténuer ces risques, et que le conseil d’administration soit prêt à poser des questions pertinentes sur la stratégie de cybersécurité.

L’enquête RSS de FTI Consulting a révélé que 53 % des RSSI estiment que les priorités en matière de cybersécurité ne sont pas complètement alignées sur celles de la haute direction. Un CISO sera souvent confronté à des intérêts concurrents de l’entreprise et, par conséquent, il est important que le conseil d’administration contribue à favoriser une culture où la cybersécurité est prioritaire et ne perd pas face à des intérêts concurrents (par exemple, en la reconnaissant comme un investissement et non comme un coût). Bien que le RSSI soit responsable de la conception et de la mise en œuvre du programme de cybersécurité de l’entreprise, il appartient au conseil d’administration de s’assurer que la stratégie appropriée a été élaborée et mise en œuvre par l’équipe de direction.

Compétences du conseil

Bien que des rapports solides au conseil d’administration de la part d’un RSSI ou d’un autre cadre améliorent la surveillance des risques de cybersécurité, tout comme le fait d’avoir un sens aigu des finances au sein du conseil d’administration, il est tout aussi important que le conseil lui-même ait l’expertise et les compétences appropriées pour comprendre les rapports et les risques en matière de cybersécurité. Les conseils d’administration doivent faire appel à l’industrie externe et à d’autres conseils ainsi qu’à l’expertise en cybersécurité de leurs collègues administrateurs, de tiers et de ressources internes pour superviser efficacement la cybersécurité de l’organisation au sein d’une structure appropriée axée sur la surveillance. Dans un paysage en évolution rapide, les réalisateurs gagneraient à chercher continuellement à élargir leurs propres connaissances sur ce sujet.

En outre, établir des relations en interne avec des parties prenantes capables de fournir une expertise pour guider les décisions stratégiques en matière de cybersécurité ; rechercher des conseillers tiers externes qui font régulièrement rapport au conseil ; et la mise en œuvre d’audits périodiques et/ou d’analyses comparatives par des tiers jouent un rôle important dans le renforcement des compétences du conseil dans ce domaine. À mesure que la compréhension du cyberrisque se développe, de nombreuses entreprises ont séparé les équipes informatiques et de sécurité de l’information dans le cadre de leur stratégie de gouvernance. Compte tenu de la fréquence et du risque accru de faire face à une cyberattaque ou à une défaillance de la cybersécurité, il est devenu de plus en plus important de disposer d’une expertise en cybersécurité à la disposition du conseil d’administration. Nos recherches précédentes, basées sur les données de 2020 [14], ont indiqué qu’un manque d’expertise technologique au sein d’un conseil crée une lacune réelle et significative dans l’ensemble des compétences du conseil. Sur la base de ces données, seuls 8,5 % des administrateurs des indices FTSE 350 et ISEQ20 ont été jugés avoir une expertise technologique. En ce qui concerne les données de 2022, ce nombre est tombé à 7,2 %, avec la diminution du nombre d’administrateurs ayant une expertise technologique dans l’ensemble du FTSE350 et une augmentation de 1 % dans l’ISEQ20, comme détaillé dans le tableau.

Dans la lignée du ralentissement macroéconomique qui a caractérisé les deux dernières années, la légère diminution du nombre d’administrateurs ayant une expertise technologique au sein des conseils d’administration des entreprises britanniques et irlandaises entre 2020 et 2022 ne doit pas être considérée comme une diminution de l’importance accordée aux sujets de la cybersécurité par les investisseurs.

Intérêt des investisseurs

Alors que les régulateurs tentent de mettre en place des cadres qui serviront à protéger les investisseurs, certains de ces mêmes investisseurs prennent également les choses en main.

Selon le rapport sur les Principes d’investissement responsable des Nations Unies, le sujet de la cybersécurité fait de plus en plus partie du programme d’engagement des investisseurs, compte tenu de l’impact négatif potentiel sur les valorisations des portefeuilles et les bénéfices du risque juridique et réglementaire associé aux cyberincidents. L’impact potentiel sur le cours de l’action d’une entreprise, en particulier lorsque ces incidents deviennent de plus en plus probables, fait partie de l’analyse d’une entreprise par les investisseurs, avec des recherches récentes de HSBC [15] soulignant le fait que 73 % des organisations ont sous-performé le marché après une attaque de ransomware. Recherche menée par FTI Consulting qui a sondé c. 204 investisseurs institutionnels en 2021 ont constaté que les cyberattaques sont parmi les plus grandes préoccupations des entreprises dans lesquelles ils sont investis. Alors que les récents bouleversements sociétaux et géopolitiques ont mis en évidence des préoccupations supplémentaires, les cyberattaques sont toujours restées une préoccupation majeure au cours des deux dernières années.

Attentes des investisseurs

Reflétant les préoccupations croissantes et l’examen minutieux des pratiques de cybersécurité des entreprises par les investisseurs, les conseillers en vote ont intégré, dans leurs rapports de recherche, des informations et des points de données supplémentaires sur ce sujet.

En outre, ces informations ont également été intégrées dans l’analyse d’autres tiers et fournisseurs de notation, Refinitiv ayant récemment annoncé l’incorporation de données de cybersécurité de tiers dans ses rapports de diligence raisonnable axés sur les risques. De même, fournisseur d’outils de gouvernance d’entreprise, de rémunération, de durabilité et de cybersécurité, ISS Corporate Solutions s’est associé à une autre plateforme technologique de premier plan qui opérationnalise les risques, la confidentialité et la sécurité des tiers. Grâce à ce partenariat, les entreprises auront accès à une gamme d’informations détaillées et d’évaluations exclusives sur la stratégie/les pratiques de cybersécurité de leurs fournisseurs et de tiers, afin de s’assurer qu’elles contribuent positivement à la réputation et aux opérations commerciales de l’organisation.

En 2021, le conseiller en proxy Glass Lewis a annoncé un partenariat avec une société de notation de sécurité pour fournir des données et des informations sur la cybersécurité dans leurs rapports de recherche. La notation fournie est basée sur une évaluation des données externes disponibles telles que les systèmes compromis, les niveaux de correctifs et les incidents divulgués publiquement. Les entreprises sont ensuite comparées à leur secteur d’activité.

 

La note « ISS ESG QualityScore » comprend désormais également plusieurs questions liées à la gouvernance de la cybersécurité, y compris l’expertise du conseil d’administration en matière de cybersécurité, les politiques et la surveillance publiées en matière de cybersécurité et des détails sur toute violation de la cybersécurité qui fournissent un cadre utile pour mieux comprendre le niveau de pratique actuel d’une entreprise.

Intendance et cybersécurité

À la lumière des complexités et du paysage en constante évolution de la cybersécurité, avec des cadres réglementaires toujours en phase de rattrapage, l’évaluation de la cyberpréparation d’une entreprise est devenue une considération clé pour de nombreux investisseurs institutionnels. Un rapport sur les principes d’investissement responsable (PRI) [16] a  révélé que si les entreprises reconnaissent de plus en plus le cyberrisque, la divulgation ne se développe pas au même rythme. L’étude a révélé que « bien que les entreprises reconnaissent de plus en plus les cyberrisques et leurs impacts, les informations d’entreprise dans le domaine public ne garantissent pas aux investisseurs que les entreprises disposent de structures et de mesures de gouvernance adéquates pour faire face aux défis de la cybersécurité ».. L’information étant au centre de marchés fonctionnant efficacement, le cyberespace peut être une sorte d’angle mort.

ISS inclut une série de questions liées à la cybersécurité lors de la détermination de la note ISS ESG QualityScore :

  • L’entreprise divulgue-t-elle une approche d’identification et d’atténuation des risques de sécurité de l’information ?
  • Quel pourcentage du comité responsable de la sécurité de l’information est indépendant ?
  • À quelle fréquence la haute direction informe-t-elle le conseil d’administration sur les questions de sécurité de l’information ?
  • Combien d’administrateurs ayant une expérience en sécurité de l’information sont membres du conseil d’administration ?
  • L’entreprise a-t-elle connu une violation de la sécurité des informations au cours des trois dernières années ?
  • L’entreprise a-t-elle souscrit une police d’assurance contre les risques liés à la sécurité de l’information ?
  • L’entreprise est-elle auditée en externe ou certifiée selon les normes de sécurité de l’information les plus élevées ?
  • L’entreprise a-t-elle un programme de formation en sécurité de l’information ?
  • Depuis combien de temps la violation de la sécurité des informations la plus récente s’est-elle produite (en mois) ?

Perspectives et mises à jour des investisseurs institutionnels

BlackRock, le plus grand gestionnaire d’actifs au monde, a identifié dans son rapport annuel de gérance 2021  [17]  que la cybersécurité est un risque systémique, étant donné les risques de confidentialité et de sécurité des données qui peuvent affecter les informations personnelles, en tant qu’employés ou clients, ainsi que l’effet d’entraînement qu’elle pourrait par l’intermédiaire du système financier au sens large. Dans son rapport sur les votes de 2022[18] BlackRock a continué d’identifier la confidentialité et la sécurité des données comme un sujet prioritaire pour les entreprises et les investisseurs, à la lumière du rôle croissant de la technologie dans les modèles commerciaux des entreprises et les interactions avec les employés, les clients et les autres parties prenantes. BlackRock considère cette question dans le contexte de l’industrie et du marché des entreprises qu’elle engage  [19] avec et cherche à mieux comprendre comment chaque entreprise est préparée à naviguer au mieux dans ce paysage en évolution.

« Du point de vue d’un investisseur à long terme, cherchant à assurer des rendements durables pour nos clients, l’accès accru aux données personnelles par les entreprises s’accompagne de risques commerciaux importants qui peuvent avoir un impact sur la réputation d’une entreprise et sa capacité à fonctionner. Alors que le coût direct et indirect moyen mondial d’une seule violation de données est estimé à plus de 4 millions de dollars en 2021, le risque financier extrême associé à une violation de données très importante peut atteindre des centaines de millions de dollars. Bien que les méga-brèches ne soient pas l’expérience normale pour la plupart des entreprises, ils peuvent avoir un impact démesuré sur les consommateurs et les industries […] Cependant, les investisseurs peuvent être confrontés à d’importants manques de transparence lorsqu’ils évaluent la gestion de ces risques par les entreprises et leur préparation à un événement de crise. Plus récemment, nous avons constaté des efforts pour combler cette lacune, en mettant davantage l’accent sur les rapports réguliers et la transparence sur les politiques et la surveillance du conseil d’administration, ce que nous saluons compte tenu de la sensibilité associée au sujet ainsi que de la nature relativement nouvelle de ces risques et de la réglementation. »

Source : approche de BlackRock en matière de confidentialité et de sécurité des données

Dans son rapport semestriel sur la gestion des investissements  [20] en 2020, Vanguard a également souligné l’importance de structures de gouvernance d’entreprise solides pour prévenir ou réduire l’impact des risques matériels tels que la cybersécurité sur la valeur à long terme, comme indiqué :

« En fin de compte, les conseils d’administration devraient s’efforcer d’empêcher que les risques ne se transforment en échecs de gouvernance. Nous avons vu de plus en plus de preuves que des risques non traditionnels, mais matériels liés à des sujets environnementaux et sociaux (tels que le changement climatique, la cybersécurité et la gestion du capital humain) peuvent nuire à la valeur à long terme d’une entreprise. Si les pratiques, la culture organisationnelle ou les produits d’une entreprise mettent en danger la santé, la sécurité ou la dignité des personnes, ils peuvent également présenter un risque financier pour les investisseurs. De solides pratiques de surveillance permettent à un conseil d’administration de diriger une entreprise à travers des crises imprévisibles.

Source : Rapport semestriel sur la gestion des investissements de Vanguard 2020

Schröders

Bien qu’il n’y ait pas de méthode définie pour s’engager sur la cybersécurité, Schroders a noté les questions ci-dessous qui guident ses engagements sur la cybersécurité :

  1. Existe-t-il une responsabilité en matière de cybersécurité et de confidentialité des données au niveau du conseil d’administration et de la direction ?
  2. Comment s’organise l’expertise technique de l’entreprise ?
  3. Quels sont les formations et le suivi des employés et des fournisseurs mis en place ?

Engagement actionnarial

Outre l’examen des divulgations et des notations de tiers, les investisseurs ont utilisé l’engagement comme moyen d’acquérir une meilleure compréhension des approches des entreprises face à ce risque important, d’autant plus que les exigences de divulgation sont encore en développement. Les entreprises ont montré une certaine réticence à divulguer des détails importants sur leurs stratégies et cadres de cybersécurité, mais ont, à leur tour, montré leur disponibilité à dialoguer directement avec leurs actionnaires sur leurs pratiques. Le rapport PRI précité, notait également que les entreprises contactées dans le cadre de cet engagement collectif » étaient ouverts au dialogue privé et ont volontairement mis leurs experts — généralement des responsables de la sécurité de l’information ou des directeurs numériques (ainsi que le personnel de leurs équipes de développement durable et de relations avec les investisseurs) — à disposition pour aider les investisseurs à développer une vision plus complète de la manière dont ils gèrent les risques de cybersécurité ».

Cette profondeur d’information, y compris la combinaison d’antécédents et d’idées, n’aurait pas été capturée dans le seul examen des documents publics, et souligne en outre le mérite important de l’engagement des actionnaires pour obtenir une vision plus holistique de l’approche d’une entreprise, et met également en évidence le niveau d’interaction entre le conseil d’administration et l’équipe de direction. À mesure que l’engagement et la gestion de la cybersécurité augmentent, les membres du conseil d’administration devront être préparés à ces conversations. Un engagement régulier avec les RSSI et les équipes de sécurité permettra une meilleure compréhension de l’état de la cybersécurité de l’entreprise. BlackRock a développé son approche pour s’engager avec les entreprises, en particulier celles qui présentent le plus grand risque, sur la confidentialité et la sécurité des données et les objectifs de leur engagement sont détaillés ci-dessous :

BlackRock

L’approche de BlackRock en matière d’engagement en matière de confidentialité et de sécurité des données :

Évaluation de la matérialité

  • Quelle est l’exposition de l’entreprise aux risques liés à la confidentialité et à la sécurité des données en fonction de son modèle commercial, par exemple
  • la quantité, le type et la sensibilité des données qu’il recueille (c.-à-d. utilisateurs vs clients ; particuliers vs entreprises ; privés vs publics, sensibles vs non sensibles) ?
  • Quelles sont les implications financières concrètes pour l’entreprise en matière de confidentialité, de données et de cybersécurité ?
  • Des mesures réglementaires connexes ont-elles été prises ou sont-elles prévues ? Pour une entreprise opérant/cotée dans plusieurs juridictions, comment parvient-elle à se conformer aux multiples réglementations en matière de sécurité/confidentialité des données ?

Surveillance et ressources du conseil

  • Dans quelle mesure le conseil d’administration maintient-il une surveillance et une compréhension complètes des risques importants en matière de confidentialité et de sécurité des données ?
  • Comment ces questions sont-elles prises en compte dans le plan de continuité des activités de l’entreprise ?
  • Quelles sont les ressources dédiées à la gestion des risques cyber et pourquoi sont-elles considérées comme adéquates pour l’entreprise ? Les paramètres liés à la formation des employés sont-ils largement partagés avec les parties prenantes en interne et en externe ?
  • L’entreprise utilise-t-elle un cadre de sécurité de l’industrie et comment se mesure-t-elle par rapport à ce cadre ?
  • Comment l’entreprise identifie-t-elle et traite-t-elle les problèmes de sécurité techniques et organisationnels pour se protéger contre les atteintes à la sécurité des données ?

Surveillance et ressources du conseil

  • Comment l’entreprise détermine-t-elle quelles données sont appropriées pour collecter et équilibrer l’utilisation des informations personnelles des clients pour les opportunités de revenus avec les risques juridiques, réglementaires et de réputation tout en maintenant la confiance des clients ?
  • À mesure que les clients prennent conscience de l’importance et des risques associés à leurs données, comment l’entreprise prend-elle en compte les changements potentiels dans la volonté des clients de partager leurs données à long terme ?
  • Comment l’entreprise s’assure-t-elle que les données collectées sont utilisées aux fins déclarées et qu’il n’y a pas d’écart ?
  • Si l’entreprise applique des algorithmes aux informations personnelles des utilisateurs à des fins de ciblage, quelle est la politique d’examen de ces algorithmes (au niveau de la direction et du conseil d’administration) pour s’assurer qu’il n’y a pas de discrimination perçue fondée sur l’origine ethnique, le pouvoir d’achat ou d’autres catégories démographiques qui pourraient être perçus comme sensibles ?

Gestion des tiers

  • En cas de transfert de données à des tiers, comment l’entreprise s’assure-t-elle que le traitement des données est effectué de manière responsable lors du transfert et conforme aux politiques de protection de l’entreprise ?

Stratégies d’engagement collectif

Une autre approche pour mieux comprendre la gouvernance de la cybersécurité dans différentes entreprises a consisté à utiliser des stratégies d’engagement collectif, qui offrent aux investisseurs un meilleur accès et une meilleure compréhension, mais offrent également une échelle supplémentaire pour influencer les pratiques de l’entreprise. À partir de 2019, le Border to Coast Pensions Partnerships, un fonds de pension du gouvernement local, et Royal London Asset Management, ont mené une initiative collaborative sur la cybersécurité, ce qui leur a permis de faire évoluer leur compréhension des risques et de l’approche de la cybersécurité, notant la valeur significative de ces interactions : « un dialogue approfondi plutôt que des divulgations générales croissantes peut être dans le meilleur intérêt des investisseurs ». À travers les différentes étapes de l’engagement, l’initiative a maintenant détaillé les attentes des investisseurs  [21] sur ce sujet, qui guidera son engagement individuel et ses décisions de vote.

Entre 2017 et 2019, les PRI ont coordonné un programme d’engagement mondial sur la gouvernance de la cybersécurité, avec la participation de 55 investisseurs institutionnels, représentant plus de 12 milliards de dollars d’actifs sous gestion, couvrant 53 entreprises, en mettant l’accent sur les secteurs de la finance, de la santé, des télécommunications, de l’informatique et de la consommation discrétionnaire. Les principaux objectifs de la mission, en particulier compte tenu des niveaux limités de divulgation, étaient les suivants :

  1. Renforcer les connaissances des investisseurs sur la manière dont les sociétés de leur portefeuille sont positionnées pour gérer le cyberrisque (en mettant l’accent sur les politiques et les structures de gouvernance des sociétés) ;
  2. Améliorer la quantité et la qualité de la divulgation sur le cyberrisque et la gouvernance ;
  3. Établir les attentes des investisseurs sur ce que les entreprises peuvent et doivent divulguer concernant la gouvernance des cyberrisques.

Alors que les divulgations publiques des entreprises ont une distance importante à parcourir, le rapport note que les entreprises ont mis leurs experts à la disposition des investisseurs, pour fournir une vue complète de leur approche de la cybersécurité, et à leur tour, ces conversations ont aidé les investisseurs à examiner les pratiques de gouvernance et à discuter des attentes sur ce sujet. En outre, ces dialogues et cette collaboration ont permis d’élaborer des conseils aux investisseurs sur la manière de s’engager dans la cybersécurité.

Approche de gestion d’actifs de la frontière à l’autre et de Royal London

ATTENTES MINIMALES :

  • Identification et surveillance des risques au niveau du conseil
  • Un responsable de la sécurité de l’information (CISO) nommé avec des ressources de soutien.
  • Inclusion de cyber-engagements dans les contrats des fournisseurs et diligence raisonnable efficace.
  • Inclusion de considérations cyber dans les stratégies de croissance inorganique, y compris dans les phases de diligence raisonnable et d’intégration.
  • Divulgation en temps opportun des failles de cybersécurité.
  • Divulgations sur une culture cyber-résiliente, pour inclure une formation sur mesure pour l’ensemble de la main-d’œuvre.

PRATIQUES AVANCÉES :

  • Inclusion de la sécurité de l’information et de la cyber-résilience dans les KPI de la rémunération des dirigeants.
  • Utilisation du NIST Cybersecurity Framework comme référence pour la gestion des risques de cybersécurité.
  • ISO 27000 pour toutes les opérations.

Celles-ci sont mises en évidence dans le rapport PRI [22] qui présente diverses questions d’engagement que les actionnaires peuvent utiliser pour mieux comprendre :

  1. la surveillance du conseil d’administration et la structure de gouvernance soutenant les efforts de cybersécurité ;
  2. Veiller à ce que la cyber-résilience soit intégrée dans la stratégie globale, et quelles sont les principales priorités à cet égard ;
  3. Trouver un langage commun sur la cybersécurité et la manière dont les informations sont transmises au conseil d’administration et dans l’ensemble de l’entreprise ;
  4. Au-delà des contrôles techniques, les entreprises mettent continuellement à jour leur approche autour du cyber, et enfin
  5. définir les attentes en matière de divulgation qui mettent en évidence certains domaines clés où la divulgation a été couramment et de plus en plus mise en œuvre.

Cadre proposé par FTI pour les rapports sur la cybersécurité

Afin de satisfaire les demandes croissantes des investisseurs et des régulateurs en matière de gouvernance et de surveillance renforcées de la cybersécurité, les entreprises, en particulier leurs dirigeants, devront être en mesure de communiquer de manière claire et concise les structures et les contrôles de cybersécurité qu’elles ont mis en place à leurs principales parties prenantes. En fait, lors de l’annonce des règles récemment proposées sur la cybersécurité aux États-Unis, le président de la SEC, Gary Gensler, a déclaré : « Je pense que les entreprises et les investisseurs bénéficieraient si ces informations étaient requises de manière cohérente, comparable et utile à la prise de décision ». Cependant, il y a actuellement un manque d’orientations et de meilleures pratiques établies sur la manière dont ces informations doivent être partagées.

L’état actuel de la cybersécurité fait écho à certaines des conversations qui ont eu lieu ces dernières années concernant le climat et la biodiversité, ainsi que la durabilité plus généralement ; et comment les stratégies et l’impact des entreprises peuvent être communiqués de manière significative aux investisseurs ? La Task Force on Climate-related Financial Disclosures (TCFD) et la Task Force on Nature-related Financial Disclosures (TNFD) ont été créées par le Financial Stability Board (FSB) pour remédier aux incohérences dans les informations sur le climat et la biodiversité tandis que, plus généralement, la Sustainable Accounting Le Conseil des normes (SASB) a publié des normes conçues pour « permettre aux entreprises du monde entier d’identifier, de gérer et de communiquer à leurs investisseurs des informations financières importantes sur la durabilité. “Il est possible de réfléchir aux enseignements tirés de ces cadres de divulgation et de les appliquer à la cybersécurité, étant donné qu’ils mettent l’accent sur des structures de gouvernance robustes et une approche basée sur les risques. En effet, il existe des éléments d’orientation déjà définis dans les cadres existants — le SASB et la Global Reporting Initiative (« GRI »), par exemple — qui peuvent fournir des éléments de base vers un cadre plus spécifique pour le reporting et l’évaluation de la stratégie. Les mesures de cybersécurité décrites dans le cadre SASB fournissent un ensemble clair de mesures comptables qui peuvent fournir une référence d’information significative aux investisseurs sur la façon dont une entreprise aborde son risque de cybersécurité. Comme point de départ, il examine des indicateurs tels que le nombre de violations de données, le pourcentage impliquant des informations personnellement identifiables ou le nombre d’utilisateurs concernés. Pour les entreprises plus lourdes en technologie, qui, avec la prévalence croissante de la numérisation, sont devenues de plus en plus uniformes, les entreprises doivent également décrire leur approche pour identifier et traiter les risques de sécurité des données, et l’utilisation de normes de cybersécurité tierces est également incluse. Cette « double approche » fournit aux entreprises une structure pour divulguer leur approche de la cybersécurité de manière plus significative, quantifiable et harmonisée.

Nous proposons ci-dessous un cadre d’orientation qui tente d’expliquer comment les entreprises, et le conseil d’administration en particulier, peuvent démontrer la surveillance de la cybersécurité, tout en maintenant les niveaux de confidentialité nécessaires. Le cadre est basé sur la structure de rapport recommandée proposée par TCFD et TNFD, mais adaptée pour refléter le paysage réglementaire actuel de la cybersécurité, l’orientation des investisseurs et les pressions générales sur les entreprises. L’intention est que ce cadre fournisse une méthode cohérente et normalisée, ainsi qu’un langage commun, permettant au conseil d’administration et aux responsables de la sécurité de communiquer leur approche de la cybersécurité aux investisseurs et aux autres parties prenantes clés. De nombreuses entreprises craignent de divulguer les détails de leur stratégie de cybersécurité, car elles pensent que cela pourrait les exposer à une attaque potentielle. Nous pensons que ce cadre pourrait permettre aux entreprises de reconnaître les risques posés par la cybersécurité de manière plus globale sans partager de détails qui pourraient être utilisés à mauvais escient par un acteur de cybermenace ou fournir publiquement des informations commercialement sensibles. Cette communication avec les principales parties prenantes relève du conseil d’administration d’une entreprise. Cette approche pourrait également être utilisée comme outil de diagnostic et amorce de conversation entre le conseil d’administration et les équipes de cybersécurité, aidant une entreprise à identifier et à atténuer les risques futurs posés par les menaces de cybersécurité en constante évolution. Cela garantira également un engagement régulier et structuré entre le conseil d’administration et les responsables de la sécurité, ce qui est d’une importance cruciale compte tenu de la nature dynamique de la cybersécurité et du paysage des menaces.

Approche de FTI en matière de risques et d’opportunités en matière de cybersécurité et de divulgation

Gouvernance Stratégie
  • Le conseil est-il directement responsable de la surveillance de la cybersécurité ?
  • Le conseil d’administration comprend-il l’impact de la cybersécurité sur ses responsabilités collectives ?
  • Y a-t-il une expertise appropriée en cybersécurité à bord ?
  • À quelle fréquence la haute direction informe-t-elle le conseil d’administration sur la cybersécurité ?
  • Quel pourcentage du comité responsable de la sécurité de l’information est indépendant ?
  • Quelle couverture de cyber-assurance est en place ?
  • La stratégie décrit-elle clairement les priorités, les risques et les opportunités liés à la cybersécurité ?
  • La stratégie est-elle alignée sur les objectifs de gestion des risques ?
  • La stratégie articule-t-elle l’impact matériel des risques et des opportunités sur la stratégie commerciale et la planification financière de l’organisation, et la diligence raisonnable des fusions et acquisitions ?
  • La stratégie décrit-elle la résilience de l’organisation face à un incident de cybersécurité et la gestion post-infraction ?
Gestion des risques Métriques et cibles
  • Les processus d’identification, d’évaluation et de gestion des risques liés à la cybersécurité sont-ils clairement définis et compris ?
  • Les processus d’identification, d’évaluation et de gestion des risques liés à la cybersécurité sont-ils intégrés dans la gestion globale des risques de l’organisation ?
  • Les procédures de gestion des risques prennent-elles en compte les risques internes et externes, notamment les risques liés à la chaîne d’approvisionnement ?
  • Les menaces de cybersécurité pour l’entreprise sont-elles analysées et comprises pour s’assurer que les efforts défensifs sont pertinents et appropriés ?
  • Des métriques sont-elles définies et utilisées pour évaluer le risque de cybersécurité ?
  • Combien d’incidents se sont produits au cours des 12 derniers mois ?
  • Des contrôles définis sont-ils en place et correspondent-ils aux menaces auxquelles l’organisation est confrontée ?
  • Les investissements dans la cybersécurité peuvent-ils être directement liés à la réduction des risques, à la résilience et à la fiabilité fournies par ces investissements ?
  • Comment les employés, les partenaires, les fournisseurs et les principales parties prenantes sont-ils formés et comment la sensibilisation est-elle maintenue ?
  • La culture de sécurité est-elle mesurée ?

Conclusion

L’augmentation de l’activité des menaces et l’évolution rapide du paysage de l’assurance, combinées à une surveillance accrue des parties prenantes et à un environnement réglementaire plus strict, augmentent la pression sur les entreprises pour qu’elles investissent dans la cybersécurité et mettent en place simultanément des structures de gouvernance et de gestion qui traitent directement de la cybersécurité. Les régulateurs et les investisseurs veulent non seulement voir une meilleure divulgation des incidents, mais veulent également que les entreprises démontrent clairement qu’elles traitent de manière proactive les cyberrisques. Avec une plus grande responsabilisation des conseils d’administration et de la direction pour bien comprendre le cyberrisque et les contrôles en place, il n’y a plus de place pour l’inaction.

Il n’existe pas d’approche unique pour s’assurer que les conseils d’administration sont en mesure de surveiller le cyberrisque et, même s’il n’est pas prévu que les conseils d’administration deviennent des experts en cybersécurité, s’assurer que — en tant que collectif — le conseil d’administration est en mesure de s’engager efficacement et, en fin de compte, de remettre en question le RSSI et la stratégie de cybersécurité de l’entreprise est un impératif. S’il est de la responsabilité des équipes exécutives et opérationnelles d’élaborer et de préparer le plan de préparation à la cybersécurité, le conseil joue un rôle crucial en posant les bonnes questions pour challenger et tester ce processus, et aussi en gérant les tensions entre risque, utilisabilité, sécurité et Coût. Les conseils d’administration doivent être pleinement conscients des infrastructures, des processus et des personnes qui supervisent les risques de cybersécurité, et avoir une solide compréhension des parties de leur organisation qui sont considérées comme présentant un risque plus élevé, quelles sont les vulnérabilités de son cadre de contrôle — en particulier du point de vue de l’erreur humaine — ou si le risque de tiers a été pris en compte dans l’analyse. En outre, afin de gérer l’écart de « connaissances » entre le conseil d’administration et les spécialistes de la cybersécurité, des canaux de communication clairs et cohérents et un engagement avec les équipes exécutives et opérationnelles sur la cybersécurité sont essentiels, ainsi qu’un engagement clair à continuer à développer la compréhension de l’évolution de la cybersécurité., les menaces et les risques liés à l’activité.

Si la cybersécurité est aujourd’hui principalement abordée sous le pilier de la gouvernance, elle peut toucher d’autres aspects de l’ESG, notamment le pilier social. Les incidents de cybersécurité peuvent avoir un impact sociétal de grande envergure lorsqu’ils perturbent les infrastructures critiques et les services essentiels, tandis que les violations de données peuvent causer une détresse importante aux personnes concernées, les employés étant souvent directement touchés. Alors qu’une gouvernance appropriée de la cybersécurité devrait être une priorité, ces structures de gouvernance ne font que jeter les bases de ce qui sera probablement un examen plus approfondi à l’avenir.


*Orla Cox et Hetal Kanji sont directeurs des communications stratégiques, et Simon Onyons est directeur général chez FTI Consulting.

Références

https://www.ibm.com/reports/data-breach (retourner)

https://www.weforum.org/reports/global-risks-report-2022/digest (retourner)

https://www.ibm.com/reports/data-breach (retourner)

https://www.verizon.com/business/resources/reports/2022/dbir/2022-data-breach-investigations-report-dbir.pdf (retourner)

https://blogs.microsoft.com/on-the-issues/2022/04/27/hybrid-war-ukraine-russia-cyberattacks/ (retourner)

https://www.wsj.com/articles/nestles-data-leak-shows-war-related-hacktivism-risks-11649151002 (retourner)

https://www.ft.com/content/60ddc050-a846-461a-aa10-5aaabf6b35a5 (retourner)

https://www.marsh.com/uk/services/international-placement-services/insights/global_insurance_market_index.html?utm_source=publicrelations&utm_medium=referral-link&utm_campaign=global-insurance-market-index-q4-2021(retourner)

https://assets.lloyds.com/media/35926dc8-c885-497b-aed8-6d2f87c1415d/Y5381 Market Bulletin – Cyber-attack exclusions.pdf(retourner)

10 https://www.ibm.com/reports/data-breach(retourner)

11 https://www.sec.gov/rules/proposed/2022/33-11038.pdf(retourner)

12 https://www.gartner.com/en/newsroom/press-releases/2022-02-24-gartner-says-the-cybersecurity-leader-s-role-needs-to (retourner)

13 données non encore publiées. Méthodologie de recherche : FTI Consulting a mené une enquête en ligne auprès de n=165 RSSI et responsables de la sécurité de l’information pour de grandes organisations à travers les États-Unis entre les dates du 27 juin et du 5 juillet 2022. Pour les questions liées à la recherche, veuillez contacter cyberbrand@ fticonsulting.com (retourner)

14 https://fticommunications.com/boards-technology-a-gap-in-expertise/ (retourner)

15 https://www.research.hsbc.com/R/36/PX7wVpdT9rsU?sbtv=036b0bcf-0103-11ed-adc0-005056b635ff (retourner)

16 https://www.unpri.org/cyber-security/engaging-on-cyber-security-results-of-the-pri-collaborative-engagement-2017-2019/5680.article (retourner)

17 https://www.blackrock.com/corporate/literature/publication/annual-stewardship-report-2021.pdf (retourner)

18 https://www.blackrock.com/corporate/literature/publication/2022-investment-stewardship-voting-spotlight.pdf (retourner)

19 https://www.blackrock.com/corporate/literature/publication/blk-commentary-our-approach-to-data-privacy-and-security.pdf (retourner)

20 https://corporate.vanguard.com/content/dam/corp/advocate/investment-stewardship/pdf/policies-and-reports/2020_investment_stewardship_semiannual_report.pdf (retourner)

21 https://www.bordertocoast.org.uk/wp-content/uploads/2022/03/CYBERSECURITY-ENGAGEMENT-FOCUS.pdf (retourner)

22 https://www.unpri.org/download?ac=10398 (retourner)

 

La parité et la diversité au sein des conseils d’administration | IGOPP


 

Voici le sommaire de la 12e prise de position adoptée par l’Institut sur la gouvernance d’organisation privées et publiques (IGOPP). Je publie ce texte avec l’approbation de ce dernier.

« La présente prise de position considère différents aspects du concept de « diversité », lesquels auront permis de formuler des recommandations qui, nous le souhaitons, pourront apporter une contribution utile à la réflexion sur cet enjeu ».

Le Groupe de travail, présidé par Guylaine Saucier, était composé de :

Louis Audet
Mary-Ann Bell
François Dauphin
Robert Greenhill
Isabelle Marcoux

Bonne lecture !

 

IGOPP

 

En Amérique du Nord, les questions de diversité et d’inclusion se sont manifestées avec insistance au cours des dernières années, et les enjeux de représentativité au sein des conseils d’administration se sont étendus bien au-delà des questions de genre. Le Canada, faisant office de pionnier en la matière, a intégré dans la Loi canadienne sur les sociétés par actions des exigences de divulgation ciblant quatre groupes « désignés ». Depuis 2020, en sus de la représentation féminine, les sociétés d’incorporation fédérale inscrites en bourse doivent désormais divulguer des renseignements au sujet des personnes issues de minorités visibles, de communautés autochtones et des personnes handicapées parmi les membres de leur conseil d’administration et de leur haute direction.

Les premières statistiques recueillies à la suite de cette nouvelle règlementation ont montré une nette sous-représentation de certains de ces groupes au sein des conseils d’administration comparativement à leur présence dans la population active, et que si la représentation féminine a presque doublé depuis 10 ans, la parité est encore loin d’être atteinte.

Les pressions exercées sur les conseils d’administration pour que ceux-ci affichent une diversité accrue sont multiples. Des catégories d’investisseurs institutionnels manifestent ouvertement à cet égard, utilisant leur poids actionnarial pour exiger des changements.

Avec l’évolution rapide de la sensibilité pour ces questions, il est à prévoir que le ton durcira non seulement par ces catégories d’investisseurs, mais aussi dans les lignes directrices émises par les agences de conseil en vote par procuration, et que des recommandations d’abstention ou de vote
« contre » certains administrateurs ou certains membres de comité seront émises de façon plus systématique dans l’avenir pour des questions reliées à la diversité ou la représentativité de certaines minorités — jugée insuffisante — au sein des conseils.

Le concept de diversité a cependant plusieurs définitions, et la littérature qui aborde ce concept a des racines puisant dans les fondements théoriques de nombreuses disciplines. Dans le cadre de notre analyse, nous distinguons trois formes de diversité : 1° la diversité d’attributs sociaux et personnels, 2° la diversité de compétences et perspectives, et 3° la diversité de valeurs. Si la diversité est aujourd’hui considérée comme une caractéristique essentielle en matière de composition des conseils d’administration, c’est d’abord sous la prémisse que la diversité permet d’éviter le risque d’un processus de prise de décision vicié par une trop forte homogénéité, une trop grande complaisance.

La véritable forme de diversité à laquelle on fait habituellement référence à cet égard est la diversité de « compétences et perspectives ». Non seulement cette forme de diversité est-elle souhaitable, mais elle devrait constituer l’assise principale sur laquelle devrait reposer toute la planification en matière de recrutement et de sélection des administrateurs.

Par ailleurs, on cherchera à maintenir une haute cohésion de valeurs et d’idéologies au sein du conseil d’administration et de la haute direction. Donc, la diversité qui peut prendre place au conseil d’administration doit s’effectuer avec des personnes qui ont des valeurs compatibles.

La diversité d’attributs sociaux et personnels peut contribuer aux autres formes de diversité, mais apporte aussi des avantages qui lui sont propres, notamment en facilitant le recrutement, en favorisant la rétention des employés, en participant à la création d’un climat favorable à l’inclusion, sans compter sur la légitimité sociale qu’elle confère.

La sélection de nouveaux administrateurs repose ainsi sur l’évaluation de critères multivariés, et chaque nomination doit être réfléchie en soupesant ses effets sur les différentes dimensions de la diversité du conseil dans son ensemble.

À la lumière de notre analyse, nous formulons donc les sept recommandations suivantes :

1. Les conseils d’administration devraient promouvoir la diversité à tous les niveaux de l’organisation. La diversité et l’inclusion ne doivent pas être des questions réservées à la simple composition du conseil d’administration, mais bien constituer de véritables préoccupations véhiculées et vécues à
tous les niveaux de l’organisation ;

2. Il faudrait faire appel au concept de « parité » pour qualifier la représentation des femmes sur les conseils. Le risque élevé d’amalgame entre la diversité de genre et les autres formes de diversité invite à l’utilisation d’un lexique plus précis. Les femmes, qui composent la moitié de la population, ne constituent pas un groupe minoritaire et leur présence devrait donc statistiquement tendre à représenter la moitié des administrateurs de l’ensemble des conseils d’administration des sociétés
cotées ;

3. Les conseils d’administration devraient établir le profil de diversité du conseil pertinent pour leur organisation. Un conseil d’administration est composé en moyenne de 11 à 13 membres, ce qui rend impossible la représentativité systématique de toutes les formes de minorités qui composent la population active. La diversité pertinente doit s’inscrire dans une logique de soutien à la stratégie de l’entreprise, et la présence de cette diversité sera favorable à une meilleure prise en compte des intérêts à long terme de l’ensemble des parties prenantes de la société ;

4. L’atteinte des objectifs en matière de diversité devrait se faire en respectant le rythme d’intégration de nouveaux administrateurs propre à chaque société. Ceci peut se faire à l’aide de mesures incitatives (par des exigences de divulgation, par exemple), mais nous croyons qu’il faut éviter le recours à des interventions législatives ou à des mesures coercitives (par l’imposition de quotas, par exemple) ;

5. On ne devrait pas imposer des mesures universelles pour l’établissement de mécanismes de renouvellement accéléré des conseils. Ainsi, on ne devrait pas imposer un âge de retraite obligatoire pour les administrateurs ni une limite de terme. Une telle approche n’est pas souhaitable, car les caractéristiques qui définissent la qualité de la contribution d’un administrateur au sein d’un conseil sont variables ;

6. Chaque conseil devrait s’interroger et statuer sur sa taille optimale avant d’ajouter de nouveaux membres ;

7. Le conseil devrait rendre compte annuellement de ses efforts en matière de parité, de diversité et de renouvellement.

Les avantages de la diversité sont manifestes, et vont bien au-delà de la simple volonté pour les sociétés de conserver une forme de légitimité sociale en se conformant aux attentes minimales. Toutefois, pour que ces avantages se matérialisent pleinement, la question de la diversité doit être abordée avec réflexion; elle se doit d’être contextualisée.

La présente prise de position formule un ensemble de recommandations qui visent à aider les conseils à aborder cette question de façon pragmatique, en cohérence avec la stratégie actuelle et future de leur organisation. On y retrouve implicitement des recommandations aux gouvernements et autorités règlementaires, les invitant à éviter toute forme d’intervention qui contraindrait les conseils à modifier leur composition à court terme sans tenir compte de leurs particularités.

La diversité doit recevoir une pleine adhésion, s’instituer comme une conviction. C’est ainsi que s’établira un réel climat d’inclusion à tous les niveaux de la société.

Bilan trimestriel de l’activisme actionnarial – T3 2022


 

Voici un texte publié par Mary Ann Deignan, Rich Thomas, et Christopher Couvelier de la firme Lazard sur le site du HBLS on Corporate Governance.

Cet article  montre les principaux changements observés eu égard à l’activisme international au troisième trimestre de 2022.

Je vous invite à lire la version française de l’article, publiée sur le Forum de Harvard Law School on Corporate Governance, effectuée par Google, que j’ai corrigé.

Bonne lecture !

Quarterly Review of Shareholder Activism – Q3 2022

Que recherchent les investisseurs activistes?

1. Poursuite d’une activité robuste alimentée par un troisième trimestre solide

44 nouvelles campagnes lancées au T3, une augmentation de 52 % par rapport au T3 de l’année précédente, marquant le troisième trimestre consécutif d’augmentation significative de l’activité d’une année sur l’autre

Nombre total de campagnes depuis le début de l’année (171) en hausse de 39 % par rapport à la même période l’an dernier, approchant déjà le total pour l’année 2021 (173)

Poursuivant une tendance au premier semestre, les entreprises technologiques ont été les plus fréquemment ciblées au troisième trimestre, représentant 22 % des nouvelles cibles activistes

Avec 5 nouvelles campagnes au troisième trimestre, Elliott a continué d’accélérer son rythme de 2022 et a maintenant lancé 11 campagnes depuis le début de l’année (plus du double des prochains noms les plus prolifiques)

2. Cibles américaines en ligne de mire

Les cibles nord-américaines représentaient les deux tiers de toutes les nouvelles campagnes au troisième trimestre, au-dessus des niveaux du premier semestre (55 %) et de la moyenne 2018-2021 (59 %)

L’activité du troisième trimestre aux États-Unis (28 nouvelles campagnes) a représenté une augmentation de 133 % par rapport au troisième trimestre de l’année précédente (12 nouvelles campagnes)

L’activité aux États-Unis depuis le début de l’année (96 nouvelles campagnes) a augmenté de 43 % d’une année sur l’autre et correspond désormais au total de l’année 2021

Les récentes campagnes américaines ont ciblé les leaders de l’industrie des méga-capitalisations (dont Cardinal Health, Chevron, Disney, Pinterest et PayPal)

3. L’activité européenne approche déjà du niveau record de l’exercice 2021

Malgré un troisième trimestre relativement lent (10 nouvelles campagnes), l’activité depuis le début de l’année en Europe (45 campagnes) est en hausse de 32 % d’une année sur l’autre et approche déjà le total de l’année 2021 (50 campagnes)

Alors que les entreprises britanniques sont restées les cibles les plus fréquentes de l’Europe (40 % des campagnes européennes depuis le début de l’année, en ligne avec les niveaux moyens pluriannuels), la France a enregistré une part d’activité supérieure à celle des périodes précédentes (18 % des campagnes européennes, contre 12 % de 2019 à 2021)

4. Les revendications de la campagne reflètent l’approche « faites-le ou vendez-le »

Les objectifs liés aux fusions et acquisitions figuraient dans 48 % des campagnes du T3, un rebond significatif par rapport à 39 % au T2 et 32 % au T1

Les demandes « Vendre l’entreprise » depuis le début de l’année (26 campagnes) dépassent déjà les totaux annuels pour 2021 (20) et 2020 (14)

Les demandes autour de la stratégie/des opérations ont continué d’augmenter en fréquence au cours des derniers trimestres (21 % des campagnes du T3, contre 20 % au T2 et 14 % au T1) et restent supérieures à la moyenne 2018 – 2021 (15 %)

5. Thèmes émergents à surveiller

Avec la règle de procuration universelle maintenant en vigueur et une partie importante des fenêtres de nomination des sociétés ouvertes pour la saison AGA 2023 se déroulant au quatrième et au premier trimestre, les campagnes axées sur la représentation au conseil d’administration sont sur le point de se multiplier

Le rôle de l’ESG et l’attention que les entreprises et les investisseurs devraient lui accorder commencent à être remis en question

Le nouvel activiste Strive Asset Management s’en prend à plusieurs sociétés de premier ordre pour avoir donné la priorité aux problèmes E&S au détriment de la création de valeur pour les actionnaires

Le Texas a interdit à certaines entreprises et fonds (dont BlackRock) de faire des affaires dans l’État en raison de pratiques ESG en contradiction avec le secteur énergétique de l’État

Activité de campagne mondiale

L’activité YTD 2022 approche déjà les niveaux de l’année 2020 et 2021 ; alors que les tendances régionales depuis le début de l’année sont conformes aux dernières années, le troisième trimestre a vu une activité nord-américaine accrue

 

Rafraîchissements et évaluations du conseil


Voici le résumé d’un article publié par Matteo Tonello, directeur général de la recherche ESG chez The Conference Board, portant sur le renouvellement des membres de conseils d’administration des entreprises publiques américaines.

Je vous invite à lire la version française de l’article, publiée sur le Forum de Harvard Law School on Corporate Governance, effectuée par Google, que j’ai corrigé.

Board Refreshment and Evaluations

 

Table, Salle à Manger, La Photographie De Stock PNG - Table, Salle à Manger, La Photographie De Stock transparentes | PNG gratuit

 

Alors que les sociétés américaines cherchent à accroître la diversité des antécédents, des compétences et de l’expérience professionnelle au sein de leurs conseils d’administration, elles sont confrontées à un obstacle central : un roulement limité du conseil d’administration qui crée peu d’ouvertures pour de nouveaux administrateurs.

En effet, le pourcentage d’administrateurs nouvellement élus dans le S&P 500 est resté stable au cours des dernières années. Pour surmonter cet obstacle, les conseils peuvent (temporairement) augmenter leur taille, ce qu’ils font modestement. De plus, ils peuvent adopter et mettre en œuvre des politiques et des pratiques de rafraîchissement du conseil qui favorisent un niveau approprié de roulement dans les rangs actuels du conseil.

Quelle que soit leur approche en matière de renouvellement du conseil d’administration, les entreprises doivent s’attendre à une surveillance continue des investisseurs dans ce domaine. En effet, alors que les investisseurs institutionnels peuvent s’en remettre au conseil d’administration pour décider s’il faut adopter des politiques de retraite obligatoire, beaucoup surveillent de près la durée moyenne du mandat au conseil et l’équilibre des mandats entre les administrateurs et voteront généralement contre les administrateurs qui siègent à trop de conseils.

Cet article fournit des informations sur les politiques et pratiques de renouvellement du conseil d’administration, ainsi que sur les évaluations des administrateurs des sociétés S&P 500 et Russell 3000. Nos conclusions sont basées sur des données extraites le 7 juillet 2022 de notre tableau de bord en ligne interactif en direct alimenté par ESGAUGE ainsi que sur une discussion sur les règles de Chatham House avec les principaux professionnels internes de la gouvernance d’entreprise qui s’est tenue en avril 2022. Veuillez visiter le tableau de bord en direct pour les chiffres les plus récents.

Perspectives pour l’avenir

Les entreprises, en particulier dans le S&P 500, auront du mal à accroître la diversité des antécédents, des compétences et de l’expérience professionnelle au sein de leurs conseils d’administration si elles

Dans le S&P 500, le pourcentage d’administrateurs nouvellement élus est resté stable à 9 % depuis 2018. En comparaison, dans le Russell 3000, il est passé de 9 % en 2018 à 11 % en juillet 2022. Pour accélérer la diversification de leurs Conseil, de nombreuses entreprises peuvent envisager d’adopter une approche globale, qui peut inclure l’ajustement de la taille du conseil, le renouvellement du conseil et la succession des administrateurs.

Les entreprises devraient envisager une variété d’outils de rafraîchissement du conseil d’administration pour améliorer la diversité démographique et ajouter des compétences et une expérience pertinentes au conseil .

Pour promouvoir le renouvellement, les conseils peuvent mettre en place des politiques qui (1) exigent le roulement du conseil (par exemple, l’âge de la retraite obligatoire et les limites de mandat), (2) déclenchent une discussion sur le roulement (par exemple, limitent le nombre de conseils publics sur lesquels un administrateur peut siéger ou obliger les administrateurs à démissionner lors d’un changement dans leur occupation professionnelle principale) et (3) renforcer une culture de rafraîchissement du conseil, qui peut être la mesure la plus importante que les conseils puissent prendre.Une culture dans laquelle il est tout à fait acceptable que les administrateurs quittent un conseil d’administration avant qu’ils ne soient tenus de le faire peut être créée non seulement en établissant des lignes directrices sur la durée moyenne du mandat au conseil, mais également en établissant des attentes initiales pour le mandat des administrateurs par le biais du processus de recrutement et d’intégration des administrateurs, ainsi que d’avoir des discussions franches lors des processus annuels d’évaluation du conseil et de nomination des administrateurs sur la façon dont la composition actuelle des administrateurs correspond aux besoins de l’entreprise. De tels processus renforcent le message selon lequel aucune stigmatisation n’est associée à la rotation d’un conseil avant que l’on ne soit obligé de partir.

Les entreprises s’éloignent des politiques qui imposent le roulement, car celles-ci obligent les administrateurs à partir en fonction de leur ancienneté ou de leur âge, même lorsqu’ils sont encore des contributeurs précieux et solides.

Très peu d’entreprises ont des limites de durée : en juillet 2022, seulement 6 % des entreprises du S&P 500 et 4 % des entreprises du Russell 3000 ont divulgué une politique de retraite obligatoire basée sur l’ancienneté. (Les limites de mandat les plus courantes sont de 12 ou 15 ans.) Bien que les politiques d’âge de la retraite obligatoire soient encore courantes, les entreprises ont commencé à s’en éloigner : dans le S&P 500, la part des entreprises ayant une telle politique est passée de 70 % en 2018 à 67 % en juillet 2022, et de 40 à 36 % dans le Russell 3000. De plus, les entreprises autorisent de plus en plus des exceptions à la politique de l’âge de la retraite : la part des entreprises du S&P 500 dont la politique ne permet aucune exception est passé de 41 % en 2018 à 34 % en juillet 2022, et de 24 à 18 % dans le Russell 3000. Ils augmentent également l’âge de la retraite : la part des entreprises du S&P 500 avec un âge de la retraite de 75 ans est passée de 39 % en 2018 à 49 % en juillet 2022, et de 42 à 52 % dans le Russell 3000. Alors que les politiques de retraite obligatoire peuvent être critiquées comme arbitraires, autoriser des exceptions à ces politiques de retraite peut non seulement être considéré comme du favoritisme, mais aussi entraver le roulement du personnel.

Alors que les entreprises disposent d’une flexibilité considérable dans leur approche du renouvellement du conseil d’administration, attendez-vous à ce que les investisseurs continuent d’accorder une attention particulière à ce sujet .

Alors que les grands investisseurs institutionnels s’en remettent généralement à la décision du conseil d’administration pour fixer l’âge de la retraite obligatoire ou la durée des mandats, ils surveillent de près la durée du mandat et peuvent s’opposer ou refuser de voter aux conseils qui semblent avoir une combinaison insuffisante de mandats à court, moyen, et administrateurs de longue date. De plus, BlackRock, State Street et de nombreux autres investisseurs voteront généralement contre les administrateurs indépendants qui siègent à plus de quatre conseils d’administration publics, c’est pourquoi les entreprises limitent de plus en plus le nombre d’administrateurs d’autres sociétés publiques que leurs membres du conseil peuvent accepter.

La part des entreprises du S&P 500 ayant une politique d’overboarding applicable à tous les administrateurs est passée de 64 % en 2018 à 72 % en juillet 2022 dans le S&P 500, et de 45 à 50 % dans le Russell 3000. En effet, les politiques d’overboarding des administrateurs sont un moyen relativement impartial de s’assurer que les administrateurs ne sont pas surengagés en cette ère de charge de travail croissante, et ils peuvent susciter une discussion approfondie entre les entreprises et les membres de leur conseil d’administration sur la question de savoir si l’administrateur doit démissionner d’un conseil particulier.

Les évaluations individuelles périodiques des administrateurs, qui gagnent en popularité parallèlement à l’utilisation par les entreprises de facilitateurs indépendants pour les évaluations du conseil, peuvent favoriser la diversité et le renouvellement du conseil.

Dans le S&P 500, la tenue d’une combinaison d’évaluation globale du CA, des comités, ainsi que les évaluations individuelles des administrateurs sont devenues la pratique la plus courante (52 % des entreprises ont déclaré effectuer cette combinaison d’évaluations en juillet 2022, contre 37 % en 2018). Comme l’ont révélé nos discussions avec des professionnels internes de la gouvernance d’entreprise, les évaluations individuelles des administrateurs et/ou le recours à des conseillers indépendants permettent aux entreprises d’avoir des discussions fructueuses sur de nombreux sujets difficiles, y compris les compétences et l’expertise nécessaires au sein du conseil d’administration dans l’environnement actuel, ce qui peut entraîner des changements dans la composition du conseil. Les entreprises ont constaté qu’elles n’ont pas besoin d’évaluer les administrateurs individuellement ou de faire appel à des facilitateurs externes chaque année; en effet, ces examens peuvent être plus efficaces et moins perturbateurs s’ils sont effectués tous les deux ou trois ans.

Les leçons à tirer des gains des femmes dans la composition des conseils d’administration


Je vous invite à lire la courte version française de l’article, effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.
Bonne lecture !

La semaine dernière,  un juge californien a invalidé une loi adoptée en 2018  exigeant que les sociétés cotées en bourse dont le siège est dans l’État aient au moins une femme dans leur conseil d’administration. Cette décision fait suite  à une décision similaire d’un juge le mois dernier , jugeant inconstitutionnelle une loi d’État adoptée en 2020, obligeant les entreprises à respecter un quota d’au moins un administrateur de conseil d’administration racialement, ethniquement ou autrement diversifié. Alors que la décision est un coup dur pour les défenseurs de la diversité des genres du conseil d’administration et que l’État devrait faire appel, l’impact de la loi est déjà clair. L’analyse de la croissance des conseils d’administration des  entreprises basées en Californie en 2021 a révélé que plus de la moitié des nouveaux membres du conseil d’administration cette année-là étaient des femmes.

Cette tendance s’est poursuivie au-delà des limites des entreprises dont le siège est en Californie. L’analyse JUST a révélé que la diversité moyenne des genres dans les conseils d’administration du Russell 1000 est passée de 23,8 % à 28,2 % entre 2019 et 2021. Lorsque nous décomposons ces gains par seuils de représentation de 30 %, 40 % et 50 %, nous constatons des gains dans chacun de ces groupes. (Figure 1).

Figure 1 : Pourcentage d’entreprises dont la diversité des genres au sein du conseil d’administration est égale ou supérieure à 30 %, 40 % et 50 %.

En 2021, près de la moitié (44 %) des conseils d’administration analysés par JUST Capital étaient composés d’au moins 30 % de femmes. Beaucoup moins de conseils étaient composés de 40 % ou plus de femmes et seulement 3 % des conseils atteignaient la parité ou comptaient plus de 50 % de femmes. De plus, de 2019 à 2021, le pourcentage d’entreprises dans les trois seuils a augmenté de plus de 50 %. Néanmoins, la diversité des conseils d’administration a encore un long chemin à parcourir pour atteindre la parité hommes-femmes, comme en témoigne la lenteur de la croissance du seuil le plus élevé de 50 % ou plus.

Bien que l’analyse de JUST Capital montre que la diversité des genres au sein du conseil d’administration a considérablement augmenté à chacun des trois seuils en seulement deux ans, cela n’a pas toujours été le cas. Les progrès en matière de diversité des genres ont été auparavant lents, voire glacials. Entre 2012 et 2017, la part des administrateurs femmes dans le S&P 500 n’a augmenté que de cinq points de pourcentage ( de 17 % à 22 % ). Mais au cours des cinq dernières années, le  pourcentage de femmes siégeant au conseil d’administration du S&P 500 a augmenté de neuf points de pourcentage  (de 22 % à 31 %),  presque le double  de l’augmentation de 2012 à 2017.

Le succès du mouvement pour la diversité des genres au sein des conseils d’administration contient des leçons clés – concernant la pression des investisseurs, la formation de coalitions et des demandes spécifiques – qui peuvent aider à accélérer les efforts plus larges en faveur de la diversité des entreprises.

La pression des investisseurs peut conduire à de vrais résultats

La pression effective des actionnaires est un facteur majeur de l’augmentation de la diversité des genres au sein des conseils d’administration. À partir de 2017, les campagnes des «trois grands» investisseurs institutionnels, BlackRock, State Street et Vanguard, ont utilisé leur influence pour faire progresser la diversité des sexes au sein des conseils d’administration avec diverses politiques de vote qui ont défié les conseils d’administration qui n’étaient pas suffisamment diversifiés. Les recherches indiquent  que cela a conduit les entreprises à élargir leurs efforts de recrutement de candidates, à élire davantage de femmes aux conseils d’administration et aux postes de présidentes des comités du conseil d’administration.

Pour compléter la pression des investisseurs institutionnels en faveur de la diversité  du conseil d’administration, la règle de divulgation du conseil d’administration du Nasdaq , qui a été approuvée par la SEC en août 2021, marque une approche différente pour favoriser la diversité du conseil d’administration. La règle du Nasdaq encourage la diversité des conseils d’administration en demandant aux entreprises de divulguer publiquement les données démographiques de leur conseil d’administration et, pour les entreprises qui n’ont pas au moins deux administrateurs différents (divers définis comme des femmes, appartenant à un groupe racial ou ethnique sous-représenté, ou comme LGBTQ+), d’expliquer pourquoi cela reste le cas. La règle du Nasdaq pousse à une plus grande transparence et des rapports normalisés donnent aux investisseurs un meilleur aperçu des divers indicateurs démographiques des administrateurs.

Et cette approche a connu du succès. S’exprimant lors d’un événement JUST Capital , la vice-présidente principale du Nasdaq et responsable des inscriptions et des revenus aux États-Unis, Karen Snow, a déclaré qu’avant la règle, environ 25% du S&P 500 ont divulgué les données démographiques de leur conseil d’administration et maintenant plus de 60% l’ont divulgué. « Il s’agit de prendre le leadership maintenant et de présenter des lignes directrices qui pourraient aider les investisseurs et les autres membres de la communauté à comprendre ce que vous faites », a-t-elle déclaré. Pour Snow, l’accent mis par la règle sur la divulgation, plutôt que sur les quotas, a permis de voir les progrès des entreprises. Une approche similaire à d’autres formes de divulgation de la diversité,  y compris la démographie de la main-d’œuvre , pourrait aider à accélérer la transparence des entreprises américaines.

Le plaidoyer par le biais de réseaux et de coalitions est essentiel à l’engagement des investisseurs

Alors que l’engagement des investisseurs a incité les entreprises à nommer plus de femmes à leurs conseils d’administration, les organisations de défense des droits ont joué un rôle crucial dans l’élévation de la diversité des genres au sein des conseils d’administration comme une priorité pour les investisseurs. Le  30% Club , né au Royaume-Uni en 2010 et étendu à l’international, et la  30 Percent Coalition , fondée aux États-Unis en 2011, ont développé avec succès des coalitions entre investisseurs, membres de conseils d’administration et experts en gouvernance d’entreprise pour défendre la diversité des genres au sein des conseils d’administration.

De plus, les organisations de réseautage dirigées par des femmes ont joué un rôle en aidant les entreprises à trouver de nouveaux talents à la direction du conseil d’administration. Les partenaires du Réseau de la diversité d’Equilar  , le consortium de l’organisation pour faire progresser la diversité au sein des conseils d’administration, contiennent plusieurs groupes de réseautage dirigés par des femmes, dont certains sont régionaux ou universitaires. Women Corporate Directors  et  Athena Alliance , deux autres partenaires du réseau de la diversité, offrent une formation et un encadrement aux femmes ainsi que des opportunités de réseautage pour augmenter leur probabilité de se joindre à un conseil d’administration.

Des demandes spécifiques mènent à des résultats spécifiques

Une autre leçon qui peut être appliquée aux pressions en faveur de la diversité des entreprises est que les objectifs sont utiles, mais que des objectifs moins ambitieux conduiront à des réalisations moins ambitieuses. Dans la plupart des efforts de plaidoyer entourant la diversité des genres au sein des conseils d’administration,  le chiffre de 30 % est cité comme seuil cible  et a même été utilisé pour marquer certaines organisations, comme on le voit dans le 30 % Club et la 30 Percent Coalition. Certains considèrent que 30 % représentent la  masse critique  où les groupes sous-représentés peuvent avoir un impact sur la dynamique des conseils d’administration et ce pourcentage a été adopté par les investisseurs comme le pourcentage recommandé de diversité des genres au sein d’un conseil.

D’autres groupes ont évolué pour fixer des objectifs plus ambitieux en matière de diversité des sexes au sein des conseils d’administration, et ils soutiennent que le pourcentage de femmes dans les conseils d’administration des entreprises devrait être plus représentatif de la population. 50/50 Women on Boards , par exemple, plaide désormais pour la parité hommes-femmes dans les conseils d’administration des sociétés du Russell 3000 après avoir atteint son objectif initial de 20 % de femmes administratrices en 2020. , mais les données de JUST Capital montrent que les entreprises du JUST 100 sont plus de deux fois plus susceptibles d’avoir une diversité de genre au sein du conseil d’administration de 50 % ou plus que leurs pairs du Russell 1000. Cependant, comme le montre la figure 1 ci-dessus, les entreprises qui présentent ce niveau de mixité au sein de leur conseil d’administration restent très rares.

En plus de fixer des objectifs, il est également important de prendre en compte les poussées intersectionnelles en faveur de la diversité. Il est important de noter que toutes les femmes n’ont pas bénéficié de la même manière des pressions en faveur de la diversité des genres au sein des conseils d’administration. En 2020,  les femmes blanches occupaient trois fois plus de sièges au conseil d’administration que les femmes de couleur dans le Fortune 500. Comme indiqué dans une  analyse JUST de 2021 sur la diversité du conseil d’administration, les groupes de défense de la représentation raciale/ethnique peuvent contribuer à ces efforts. Mais parce que les mouvements historiques autour de la mixité des conseils d’administration n’ont pas pris en compte la race dès le départ, leurs efforts ont conduit à des avancées inégales pour les femmes. L’élévation de la diversité raciale / ethnique des conseils d’administration des entreprises est cruciale pour étendre la diversité des conseils d’administration au-delà du genre et garantir que les femmes blanches ne sont pas les principales bénéficiaires des poussées de diversité.

Et bien que nous continuions à voir une augmentation de la diversité des sexes au sein des conseils d’administration, il est important de ne pas confondre ce succès avec les progrès des femmes dans l’ensemble des entreprises américaines. Des données récentes montrent que les femmes sont  terriblement sous-représentées dans la C-Suite, et fait peut-être encore plus alarmant, les femmes cadres subissent toujours les  mêmes types de discrimination sexuelle  qui affligent les femmes à tous les échelons des entreprises américaines. Les investisseurs et les groupes de défense devraient étendre leur attention à la diversité au-delà du niveau du conseil d’administration. Les campagnes pour la diversité de la suite C et d’autres niveaux de leadership ont le potentiel de créer une représentation plus équitable au sommet, et d’autres efforts peuvent pousser à des résultats similaires dans l’ensemble de la main-d’œuvre d’une entreprise.

La diversité des sexes au sein des conseils d’administration des entreprises américaines continue d’augmenter, mais il a fallu une décennie d’efforts soutenus de la part de plusieurs groupes pour atteindre ce succès. Les leçons apprises au cours de cette période peuvent et doivent être mises à profit pour aider à accélérer des efforts plus larges visant à diversifier les rangs des entreprises américaines.

________________________

*Molly Stutzman est « Analyst of Corporate Research » à JUST Capital.

Diversité, expérience et efficacité dans la composition du conseil


Voici un excellent rapport publié par Merel Spierings, chercheuse au Conference Board ESG Center. Cette publication est basée sur sa récente publication, qui a été publiée par le Conference Board et la société d’analyse ESG ESGAUGE, en collaboration avec Debevoise & Plimpton, le KPMG Board Leadership CenterRussell Reynolds Associates et le John L. Weinberg Center for Corporate Governance de l’Université du Delaware.

Je vous invite à lire l’introduction à la version française de l’article, effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.

L’attention des investisseurs et des régulateurs à la composition et aux pratiques du conseil d’administration a considérablement évolué au cours des 20 dernières années.

À la suite des effondrements d’Enron et de WorldCom, ces parties prenantes se sont d’abord concentrées sur le renforcement de l’indépendance et de la surveillance du conseil d’administration. [1] Après la crise financière de 2008, cela a fait place à une plus grande concentration sur la question de savoir si les conseils d’administration disposent de la bonne combinaison de compétences et d’expérience pour guider la stratégie commerciale, ainsi que sur les mécanismes permettant aux actionnaires de tenir les conseils d’administration responsables des performances de l’entreprise. [2]

Plus récemment, l’attention portée à la diversité des conseils d’administration s’est non seulement accélérée, mais s’est également étendue à la question plus large de la manière dont les conseils d’administration supervisent les questions environnementales, sociales et de gouvernance (ESG). Par exemple, au début de 2022, les investisseurs ont relevé la barre de la diversité au sein du conseil d’administration [3] et la Securities and Exchange Commission (SEC) des États-Unis a proposé des règles visant à une plus grande divulgation du rôle du conseil d’administration dans le changement climatique et la cybersécurité, avec des règles sur la gestion du capital humain à venir.

Ces tendances ont des répercussions importantes sur la composition, la taille et la formation des conseils. Les entreprises ont besoin de conseils d’administration composés d’administrateurs issus de divers horizons, ainsi que des compétences et de l’expérience nécessaires pour superviser la liste croissante des priorités. Ils ont également besoin de conseils d’administration de taille suffisante pour accueillir ces personnes, ainsi que pour alimenter les (nouveaux) comités du conseil d’administration qui traitent des sujets ESG. Et ils doivent avoir des programmes d’intégration plus solides pour ces nouveaux administrateurs, ainsi que des programmes de formation continue du conseil pour s’assurer que l’ensemble du conseil ne s’appuie pas sur l’expertise de quelques administrateurs, mais maîtrise la liste croissante des problèmes que les conseils sont censés résoudre.

Cet article fournit des informations sur la composition du conseil d’administration (y compris la diversité des sexes, des races et des orientations sexuelles, les qualifications et les compétences des administrateurs), la taille et la formation dans les sociétés S&P 500 et Russell 3000. Les conclusions sont basées sur des données dérivées du tableau de bord en ligne interactif en direct alimenté par ESGAUGE, [5] ainsi que sur une discussion sur la règle de Chatham House avec des professionnels de la gouvernance de premier plan tenue en avril 2022.

Board Composition: Diversity, Experience, and Effectiveness

Insights for What’s Ahead

  • Although boards may want to add functional experience in ESG areas, such as technology, cybersecurity, human capital, and climate, directors can bring meaningful value only if they can make the connection between these functional areas and business strategy. The recent decline in the reported percentage of board members with business strategy experience is worrisome, as board members without broad strategic experience can hinder effective board discussions and will likely be less useful partners for management. Boards should not sacrifice business strategy experience to achieve functional expertise.
  • While boards are becoming more gender diverse, many companies will need to further increase their efforts to meet investors’ future demands, which include having a board that is at least 30 percent gender diverse instead of merely having one or two female directors. This means, for example, that a board with nine directors will need at least three women.
  • Companies should also anticipate a greater push on racial (ethnic) diversity, which will increasingly spill over into director elections, as investors and proxy advisors alike have started setting targets for the racial composition of boards and will (advise to) vote against directors if those targets are not being met.
  • Disclosure on other personal and less visible traits, such as sexual orientation, needs to be carried out with sensitivity to the directors’ individual and collective views. Before adding new questions about personal traits, it’s important to have a conversation with board members about what additional topics should be covered and why. It’s also helpful to discuss whether the company should disclose these characteristics on an individual or aggregate basis.
  • While companies have traditionally focused on recruiting directors with “hard skills,” boards need to keep an eye on “soft skills” when vetting new directors. Recent events have made it clear that even though traditional skills and expertise are pivotal, other competencies should be taken into account as well when recruiting new directors, including crisis management, the ability to listen, eagerness to learn, and openness to change.
  • Expect boards to increase modestly in size as companies seek to add diversity, new skills and expertise, and board committees providing ESG oversight. This increase is likely to be permanent as a result of the pressure to recruit directors with additional expertise relating to cybersecurity and climate change (proposed SEC rules will require more disclosure on the role of the board and its expertise in these two areas), as well as the need to keep the workload for directors manageable.
  • Given the need to ensure directors are able to effectively oversee a growing number of ESG areas, companies will want to adopt a hybrid approach of using internal and external resources for director education. It’s vital for outside providers to offer trusted and objective information, benchmarking, and advice. And as management may also benefit from additional education, companies should consider outside firms that are adept at educating both the C-suite and boards—although the breadth and depth of education for management may be greater.

Board Composition

Independent Director Qualifications and Skills

  • Even though business strategy continues to be the most commonly cited experience for directors, the reported percentage of board members with such experience has been declining. In the S&P 500, the share of directors with such experience—as reported in the proxy statement or other disclosure documents—declined from 69.7 percent in 2018 to 67.5 percent in 2021. The Russell 3000 saw a larger decrease, from 67.7 percent in 2018 to 62.9 percent in 2021. This suggests that boards may be attracting directors with knowledge in specific areas (e.g., cybersecurity) who do not have broad business strategy experience.
  • The decline in strategic experience has been accompanied by a decline in international experience on boards as well—even as the world has become more interconnected. In the S&P 500, it went from 19.6 percent in 2018 down to 14.4 percent in 2021, and in the Russell 3000, it declined from 10 to 8.1 percent.
  • By contrast, experience in business operations, finance, and technology in the S&P increased in recent years. Experience in business operations grew from 5.7 percent in 2018 to 11.9 percent in 2021 and in finance from 19.7 percent in 2018 to 22.2 percent in 2021. The percentage of directors with technology experience is also increasing: from 22.1 percent in 2020, to 22.6 percent in 2021, and to 23.9 percent in 2022 (following a decline from 2018 to 2020).

Director Qualifications and Skills (S&P 500)

Source: The Conference Board/ESGAUGE, 2022

  • Directors with strategic experience are more sought after in larger companies than in smaller companies; the opposite is true for directors with a background in investment management. In 2021, 74 percent of directors at the largest companies, with an annual revenue of $50 billion and over, had business strategy experience, but the percentage dropped to 63.7 percent for the smallest companies, with an annual revenue under $100 million. Conversely, investment management experience was the most prevalent at the smallest companies (12.1 percent versus 3.2 percent at the largest companies). This may reflect the view at large companies that they can obtain such experience by hiring outside advisors, while smaller companies have fewer resources to do so.
  • Technology experience seems to be desired at all but the smallest companies. Whereas the average percentage of directors with a technology background ranged between 19 percent (for companies with an annual revenue of $100-999 million) and 25.8 percent (for the largest companies), only 6.7 percent of directors in companies with an annual revenue of under $100 million reported having such experience.
  • In 2021, information technology companies had by far the highest percentage of board members who report a technology background in their professional profile (40.6 percent of all Russell 3000 directors at entities in the sector), followed by communication services (21.7 percent), and utilities (19.6 percent) companies. Firms in the materials, consumer staples, and industrials sectors had the highest percentages of directors with experience at the international level (15.7, 15.1, and 11.1 percent, respectively); conversely, only 4.7 percent of independent directors in the financial sector reported an international background. The highest shares of directors with legal experience were found on boards of financial institutions (12.7 percent), real estate companies (11.9 percent), and utilities (11.8 percent). The financial sector also leads with the highest representation of directors with accounting or auditing experience (11.4 percent, compared to only 4.2 percent of directors at health care companies).

Director Gender

  • The share of female directors on US boards continues to grow—a trend spurred in part by investors’ growing demands and the SEC’s approval of Nasdaq’s Board Diversity Listing Standards. [5] In the S&P 500, the share of female directors grew from 22.8 percent in 2018 to 28.9 percent in 2021. And preliminary data from 2022 indicate this trend will continue: as of April, 30 percent of directors were women. [6] The share of female directors in the Russell 3000 continues to be lower than in the S&P 500, at 24.1 percent in 2021, but it is up from 16.6 percent in 2018.

Director Gender, by Index

Source: The Conference Board/ESGAUGE, 2022

  • Similarly, the number of companies with an all-male board in the S&P 500 was near zero in 2021 (averaging 0.2 percent), compared to 1.4 percent in 2018. In the Russell 3000, 5.1 percent of companies reported having no female representation in 2021, but representation was dramatically lower in 2018, when 20.5 percent disclosed having all-male boards.
  • There is a direct correlation between company size and gender diversity in the boardroom, with the highest percentage of female directors concentrated among boards of larger companies: in 2021, 30.8 percent of directors at companies with annual revenue of $50 billion or higher were women, compared to 19.5 percent of those in companies with annual revenue of $100 million or lower.
  • Companies in the utilities (29.6 percent), consumer staples (28.7 percent), and consumer discretionary (27.7 percent) sectors have the highest percentage of female directors in the Russell 3000. Boards of nonutility energy firms are the most male dominated, with only 19.8 percent being women, and almost half (48.3 percent) of such companies have no or only one female director on the board.

Director Race/Ethnicity

  • Disclosure of director race/ethnicity surged in 2021—and an early analysis indicates that even more companies are planning to disclose this type of information in 2022. In the S&P 500, a majority of companies now disclose race/ethnicity: 58.8 percent in 2021, up from 11.4 percent in 2018. As of April 2022, this percentage has gone up even further, to 73.3 percent. The Russell 3000 has also seen increased disclosure, from 3.8 percent in 2018 to 27.7 percent in 2021 to 45.1 percent currently in 2022.

Director Race/Ethnicity – Disclosure Rate, by Index

Source: The Conference Board/ESGAUGE, 2022

  • There are vast disparities between large and small companies in disclosing racial/ethnic diversity: in 2021, 70.9 percent of companies with an annual revenue of $50 billion and over disclosed director race/ethnicity, compared to only 8 percent of companies with an annual revenue under $100 million.
  • Across business sectors in the Russell 3000, disclosure of director race/ ethnicity was most common at companies in the utilities sector (52.9 percent), followed by those in materials (42.1 percent), and consumer staples (38.2 percent). Health care companies were least likely to disclose this information (17.5 percent).
  • The number of non-White directors is steadily increasing—at least at larger companies. In 2021, 76.7 percent of directors in the S&P 500 were White, which is roughly on par with the percentage of the US population between 50 and 70 years old and down from 80.1 percent of directors in 2018; 12.6 percent were African American (up from 11.3 percent in 2018); and 5.1 percent were Asian, Native Hawaiian, or Pacific Islander (up from 1.8 percent in 2018). Conversely, the percentage of Latino or Hispanic directors went down, from 6.6 percent in 2018 to 5.1 percent in 2021. [7]
  • Interestingly, the share of White directors in the Russell 3000 ticked up from 78.1 percent in 2018 to 79 percent in 2021—and even further up to 80 percent as of April. Moreover, the percentage of African American and Latino or Hispanic directors went down in 2021 compared to 2018, but the share of Asian, Native Hawaiian, or Pacific Islander directors went up.

 Race/Ethnicity (S&P 500)

Source: The Conference Board/ESGAUGE, 2022

  • Larger companies’ boards continue to be more racially/ethnically diverse than those of their smaller counterparts. In 2021, 25.7 percent of directors at companies with annual revenue of $50 billion or higher were non-White, compared to 20.6 percent of directors at companies with annual revenue under $100 million.
  • In the Russell 3000 in 2021, companies in the IT sector (26.2 percent) had the most racially/ethnically diverse boards, followed by those in the utilities sector (24.6 percent). Boards of nonutility energy companies (14.3 percent) were the least diverse.

Director Sexual Orientation

  • Disclosure of directors’ sexual orientation remained low in 2021 but seems to be increasing in 2022. In 2021, 6.6 percent of S&P 500 companies disclosed their directors’ sexual orientation, compared to 3.5 percent in the Russell 3000. However, as of April 2022, this percentage has gone up dramatically in both indexes, to 22.7 percent in the S&P 500 and 25.4 percent in the Russell 3000. [8]

Direct Sexual Orientation – Disclosure Rate, by Index

Source: The Conference Board/ESGAUGE, 2022

  • Not all boards that are now disclosing director sexual orientation actually have directors who are—or are willing to identify for purposes of corporate public disclosure document as—LGBTQ+. As disclosure of directors’ sexual orientation increases even for those who are not LGBTQ+, the percentage of corporate directors who are LGBTQ+ decreases, from 6.7 percent in 2021 to 3.9 percent thus far in 2022 in the S&P 500, and from 7.1 percent in 2021 to 2.2 percent in 2022 in the Russell 3000.
  • Unlike gender and race, there is no apparent correlation between disclosure rates of sexual orientation and company size. In 2021, directors’ sexual orientation was disclosed by 0.9 percent of companies with revenue under $100 million and 9.6 percent in the $25-49.9 billion group, but by none of the companies with revenues of $50 billion or higher.
  • There is also no clear correlation between director self-identification of sexual orientation and company size. However, in 2021, the highest percentage of directors who self-identify as LGBTQ+ was seen among the smallest companies: 20 percent of directors at companies with an annual revenue under $100 million self-identified as LGBTQ+ versus no directors at companies with an annual revenue of $50 billion or higher. This may reflect the fact that directors at smaller companies believe that they can have a bigger impact on the firm and its culture by such disclosure. [9]

Insights for What’s Ahead in Board Composition

  • The decline in directors with business strategy experience should raise a yellow, if not red, flag for boards, management, and investors: boards should not sacrifice business strategy experience to achieve functional expertise. While boards understandably want to add functional experience in technology, cybersecurity, human capital, climate, and other areas, directors will bring meaningful value only if they can make the connection between these functional areas and business strategy. Indeed, that is equally true of C-suite executives, which is why directors without broad strategic experience can actually be a drag on board deliberations and be ineffective partners for management. This is especially true as ESG topics are no longer siloed but are being integrated into board strategy.
  • Although boards are becoming more gender diverse, many companies will need to further ramp up their efforts to meet investors’ future demands. Some major institutional investors and proxy advisors (e.g., State Street Global Advisors and Glass Lewis) are moving away from static gender diversity targets (i.e., a minimum of one or two female directors) and have pledged to vote against the nominating committee chairs of boards that are not at least 30 percent gender diverse, starting in 2023. To illustrate the challenge this presents: in the Russell 3000, the average board size was 9.2 in 2021, and almost 60 percent of companies had nine or more directors on board. Yet only 37.1 percent of companies had three or more female directors and would meet the 30 percent threshold.
  • Companies should also anticipate a greater push on racial/ethnic diversity, which will increasingly spill over into director elections. Disclosure of director race/ethnicity surged in 2021, but disclosure alone won’t be enough: investors and proxy advisors alike have begun setting targets for the racial makeup of boards and will (advise to) vote against directors, particularly of the nominating and governance committee, if those targets are not met. Companies, especially the smaller ones and those in the nonutility energy sector, will want to augment the racial/ethnic diversity of their board by executing a succession plan where the focus on strategic skills and expertise is accompanied by the pursuit of racially diverse board members.
  • Disclosure on sexual orientation, and other personal and less visible traits, needs to be undertaken with sensitivity to the directors’ individual and collective views. Companies typically collect information about board characteristics through an annual Directors & Officers (D&O) questionnaire. Before adding new questions about board diversity, it’s important to have a conversation with the nominating committee (and through the committee, with the board), about what additional topics you might cover and why. At some companies, for example, directors may want the company to make a statement about LGBTQ+ inclusion at the board level; at other companies, directors may be hesitant to do so or may personally want to opt out of answering the question. It’s also helpful to discuss how the company could disclose these traits, including on an individual or aggregate basis.
  • Even though companies have traditionally focused on recruiting directors with “hard skills,” boards need to keep an eye on “soft skills” in recruiting new directors. From the COVID-19 pandemic to social and economic disruptions to supply chain disturbances, staggering inflation, labor shortages, and now the war in Ukraine—corporate America has been faced with crisis after crisis. Even though traditional skills and expertise (e.g., in business strategy, finance, technology, operations) are still important, boards need to give full attention to other competencies as well when vetting new directors, including crisis management, the ability to listen, eagerness to learn, and openness to change. [10]

Board Size

  • The average board size of S&P 500 companies has been relatively steady in recent years. Yet preliminary data from 2022 indicate that it is increasing, from an average of 10.8 directors in the past four years to an average of 11.2 directors as of April. Additionally, in 2022, the number of companies with more than 10 directors increased compared to previous years, from 73.9 percent in 2018 to 82.4 percent in 2022.
    • The increase in board size holds true for smaller companies as well: in the Russell 3000, the average board size increased from nine directors in 2018 to 9.8 directors in 2022 (as of April). Similarly, the number of companies with more than 10 directors increased from 37.8 percent in 2018 to 51.4 percent in 2022.
  • Larger companies tend to have larger boards. In 2021, manufacturing and nonfinancial services companies with an annual revenue of $50 billion or over had an average board size of 11 directors, with 81.8 percent having 10 or more directors, and 18.2 percent with 13 or more directors. By comparison, companies with an annual revenue under $100 million had an average board size of 7.5, with just 8.9 percent reporting 10 or more directors, and none reporting more than 12. Likewise, the smallest boards, with fewer than six directors, are seen almost exclusively among small companies. Indeed, at companies with a revenue under $100 million, 12.8 percent have fewer than six directors. By comparison, no boards with fewer than six directors are found at companies with an annual revenue of $50 billion or higher.

Board Size, by Index

Source: The Conference Board/ESGAUGE, 2022

  • Across business sectors in the Russell 3000, financial services companies had the largest boards in 2021, with an average of 10.7 directors, followed by those in utilities (average of 10.5 directors). These sectors also reported the biggest shares of boards with 10 or more directors (70.6 percent for utilities and 63.4 percent for financial services). The smallest boards were found in the health care sector, where the average board size was 8.3 directors and only 23.8 percent of companies reported having a board of 10 directors or more. One driver of board size may be the way these industries are regulated. For example, the Dodd-Frank Act requires a separate risk committee composed of independent directors for publicly traded nonbank financial companies supervised by the Federal Reserve as well as publicly traded bank holding companies with $10 billion or more in assets. Similarly, those in the utilities sector are far more likely than other companies to have a finance committee (41 percent versus 10 percent).

Insights for What’s Ahead in Board Size

  • Expect boards to continue to increase in size as companies seek to increase diversity, add new skills and expertise, and populate new board committees providing ESG oversight. As companies are seeking to increase diversity on their boards, they cannot wait until a retirement creates an opening to add a new director because the attractive candidates may have other offers before then. Instead, they need to strike while the iron is hot, which means at least temporarily increasing the size of the board to allow for some overlap. That temporary increase, however, is likely to become permanent due to two factors: (1) the pressure to add directors with additional expertise will continue, particularly with the proposed SEC rules requiring additional disclosure on the role of the board and its expertise relating to cybersecurity and climate change; and (2) workload: while some boards are adding ESG and other responsibilities to existing committees, other boards are establishing new committees. In either case, boards need to be careful not to stretch their existing directors too thin by having them serve on too many committees. [11]

Director Education

  • Companies are increasingly using both in-house and outside resources to educate their directors. Relying exclusively on in-house resources remains the predominant practice. In 2021, 67.5 percent of companies in the S&P 500 relied solely on in-house education programs and 64.8 percent in the Russell 3000 did so. Yet the practice of using a combination of in-house and outside resources to develop and deliver educational programs has been increasing in both indexes in recent years. In the S&P 500, the percentage of companies taking this approach grew from 25.3 percent in 2018 to 29.1 percent in 2021. In the Russell 3000, the share grew from 11.8 percent in 2018 to 16.4 percent in 2021. The use of combined in-house and outside resources is especially common at the largest firms: 40 percent of companies with a revenue of $50 billion and over reported taking this approach, versus only 6.1 percent of companies with revenues under $100 million. Across the Russell 3000, companies in the real estate sector are most likely to organize programs entirely in-house (76.5 percent), those in the energy sector are most likely to use just outside providers (2.6 percent), and companies in the utilities sector are most likely to use a combination (30.9 percent).

Director Education (S&P 500)

Source: The Conference Board/ESGAUGE, 2022

  • Most of the firms not disclosing policies on continuing education are smaller companies with revenues under $100 million: 44.3 percent of them did not disclose information on their professional development programs for directors in 2021, while only 1.8 percent of companies with revenues of $50 billion and over, and none of the firms with revenues in the $25 billion-$49.9 billion category, lack a disclosed policy.
  • In the Russell 3000, companies in the health care and financial services sectors report the highest percentages of firms without a disclosed policy on director continuing education (31.4 percent and 24.2 percent, respectively). The lowest are materials (4 percent) and real estate (6 percent).

Insights for What’s Ahead in Director Education

  • Given the need to ensure directors are able to effectively oversee a growing number of ESG subject areas, and senior management itself may also need to be brought up to speed, more companies will likely adopt a hybrid approach of using internal and external resources for director education. While it can be useful for directors to meet with advocacy organizations in other contexts, for board education programs it’s critical for outside providers to provide trusted and objective information, benchmarking, and advice. Especially as management may also benefit from additional education, companies should consider firms that are adept at educating both the C-suite and boards.

Références

_________________________________

1 See H.R.3763 – Sarbanes-Oxley Act of 2002 (July 2002) and SEC’s adoption of NASD and NYSE’s Rulemaking Relating to Corporate Governance (November 2003).(go back)

2 See H.R.4173 – Dodd-Frank Wall Street Reform and Consumer Protection Act (July 2010) and the SEC’s Final Rule on Facilitating Shareholder Director Nominations (“Proxy Access Rule”) (August 2010).(go back)

3 Merel Spierings and Paul Washington, 2022 Proxy Season Preview and Shareholder Voting Trends,Brief 2: Human Capital Management Proposals, The Conference Board, February 2022.(go back)

4 The Conference Board, in collaboration with ESG data analytics firm ESGAUGE, is keeping track of disclosures made by US public companies with respect to their board composition, director demographics, and governance practices. Our live, interactive online dashboard allows you to access and visualize practices and trends from 2016 to date by market index, business sector, and company size. The dashboard is organized in six parts: (1) Board Organization, (2) Board Leadership, (3) Board Composition, (4) New Directors, (5) Director Election & Removal, and (6) Other Board Policies.(go back)

5 On August 6, 2021, the SEC approved Nasdaq’s Board Diversity Rule, which requires board diversity disclosures for Nasdaq-listed companies. Additionally, investors continue to make their proxy voting guidelines relating to board diversity more stringent. The pressures for increased diversity are continuing, even though California’s board gender diversity quota law has been initially ruled unconstitutional.(go back)

6 Throughout this post, the data for 2022 is as of April 19, 2022.(go back)

7 To put these numbers in perspective, according to the US Census Bureau, 76.3 percent of the US population is White (population estimates from July 2021). The older the population, the higher this percentage: 69 percent of 40-year-olds, 74 percent of 50-year-olds, 78 percent of 60-year-olds, and 83 percent of 70- and 80-year-olds were White in 2017, according to data derived from the American Community Survey (source: Overflow Solutions). By comparison, in 2021, the average director age was 63 years in the S&P 500 and 62 years in the Russell 3000.(go back)

8 This increase may be due to Nasdaq’s Board Diversity Rule, which requires companies to explain why they do not have at least one director who identifies as female and one who identifies as LGBTQ+ or another underrepresented group. Similarly, BlackRock now encourages companies to have at least one director who identifies as a member of an underrepresented group, which includes individuals who identify as LGBTQ+.(go back)

9 Nasdaq’s Board Diversity Rule may have had an impact here as well, as Nasdaq tends to have companies with smaller average market capitalization than the NYSE. Having said that, Nasdaq permits the smallest companies some flexibility in satisfying the threshold with two female directors(go back)

10 Lindsay Beltzer and Paul Washington, Crisis Management in the Era of “No Normal,”The Conference Board, September 2021.(go back)

11 If a board has four committees with five members each, it will have 20 slots to fill. That requires at least 10 independent directors if each serves on two committees. Given that committee chairs often serve on only one committee, that suggests a board with 12 independent directors.(go back)

Les CA des sociétés privées ont besoin d’administrateurs externes


Voici un texte publié par Maria Moats, Shawn Panson et Carin Robinson de  PricewaterhouseCoopers*. Les auteurs montrent l’importance pour les entreprises privées de se doter d’un conseil d’administrateurs comportant des membres indépendants afin d’améliorer la gouvernance de leurs organisations

La bonne gouvernance ne concerne pas seulement les entreprises publiques. Aujourd’hui, les sociétés fermées cherchent également des moyens d’améliorer l’efficacité de leur conseil d’administration, en partie en modifiant la composition de leur conseil d’administration. Alors qu’autrefois les conseils d’administration des entreprises privées étaient dominés par des membres de la direction et des investisseurs, les administrateurs indépendants représentent désormais un peu plus de la moitié (51 %) du conseil d’administration d’une entreprise privée moyenne (contre 43 % en 2020) selon un récent sondage .

Pourquoi le changement ? Certaines entreprises se positionnent pour l’avenir. Ils pourraient se préparer à entrer en bourse ou envisager une transition générationnelle dans la propriété familiale. D’autres voient simplement la valeur ajoutée apportée par les administrateurs externes.

Les entreprises qui remodèlent leurs conseils d’administration et introduisent de nouveaux visages en dehors de leurs réseaux familiers obtiennent des informations précieuses. Les entreprises privées qui n’ont pas d’administrateurs externes aujourd’hui ratent une occasion précieuse.

Je vous invite à lire la version française de l’article, effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.

Bonne lecture !

Comment devient-on administrateur indépendant ? | Option Finance

Qu’est-ce qu’un administrateur « externe » ?

À l’exception de certaines entités réglementées, les sociétés fermées ne sont généralement pas tenues d’avoir des administrateurs indépendants au sein de leur conseil d’administration. Ainsi, alors que les sociétés ouvertes ont une norme d’indépendance assez claire, les sociétés fermées peuvent définir les administrateurs « externes » de différentes manières. Ici, nous utilisons le terme pour désigner une personne qui n’a pas de relations significatives avec l’entreprise en dehors du service au conseil d’administration. Cela signifie qu’ils ne sont pas un employé ou un consultant, et qu’ils ne sont pas un investisseur, un client, un fournisseur ou une partie prenante important à d’autres contrats ou accords.

Administrateurs externes en complément du conseil actuel

Les entreprises privées se tournent vers des administrateurs externes pour améliorer l’efficacité de leurs conseils d’administration. Soixante et onze pour cent (71 %) des administrateurs de sociétés fermées affirment que leur conseil d’administration a ajouté des administrateurs indépendants comme « une source d’idées nouvelles », et plus de la moitié (55 %) l’ont fait au profit de leur expérience dans la gestion d’entreprises rentables. Les domaines dans lesquels les administrateurs externes peuvent apporter une valeur ajoutée considérable incluent :

Perspectives, expérience, réseaux

Les administrateurs externes peuvent apporter des connaissances et de l’expérience dans des domaines que les administrateurs internes ne possèdent pas. Ils peuvent également apporter de nouvelles perspectives et tirer parti de leurs réseaux au profit de l’entreprise.

Objectivité et indépendance

Des administrateurs externes hautement qualifiés remettront en question les hypothèses et apporteront une perspective impartiale qui peut être extrêmement précieuse pour ceux qui sont submergés par le quotidien de l’entreprise.

Gouvernance et responsabilité

Avoir des administrateurs externes signifie souvent améliorer les pratiques du conseil et les processus de gouvernance. Si les réunions du conseil d’administration et les rapports sur des domaines tels que la stratégie, les projets et les résultats financiers sont devenus routiniers, la présence d’administrateurs externes peut améliorer les processus sous-jacents et expliquer les responsabilités des acteurs de la gouvernance.

Crédibilité 

Les consommateurs, les employés, les investisseurs et d’autres parties prenantes clés peuvent percevoir les administrateurs externes comme une pratique de gouvernance positive, apportant une crédibilité accrue à l’entreprise et à ses propriétaires.

Conseiller le PDG

Les administrateurs externes peuvent diriger ou avoir dirigé leurs propres entreprises, auquel cas le PDG peut apprécier les commentaires des dirigeants qui ont été à sa place.

Planification/conseils sur les stratégies de sortie

Les administrateurs externes peuvent aider l’ensemble du conseil à gérer des transactions stratégiques importantes, telles qu’une introduction en bourse, en minimisant les perturbations liées au retrait d’un investisseur ou à d’autres changements de propriétés.

Comités du conseil

Le nombre de comités permanents du conseil tend à augmenter avec l’ajout d’administrateurs externes. À mesure que le pourcentage d’entreprises privées ayant des administrateurs externes augmente, on constate que le nombre d’entreprises privées dotées d’un comité de vérification a également augmenté (de 79 % à 88 % l’an dernier). Les administrateurs externes devraient pousser les entreprises privées à envisager un comité d’audit s’il n’en existe pas aujourd’hui.

Les comités d’audit et de rémunération en particulier (qui sont obligatoires pour les sociétés ouvertes) bénéficient de points de vue véritablement indépendants, que seuls les administrateurs externes peuvent apporter. Des administrateurs externes assurent souvent la présidence de ces comités.

Diversification avec des administrateurs externes

Avec une pression croissante pour que les conseils d’administration des sociétés ouvertes se diversifient, de nombreuses sociétés fermées examinent la composition de leur propre conseil d’administration et identifient les changements qui devraient être apportés. En particulier pour les entreprises privées qui ont l’intention de devenir publiques, il est urgent d’établir un conseil diversifié conforme aux normes juridictionnelles applicables aux entreprises publiques.

Quatre-vingt-treize pour cent (93 %) des administrateurs affirment que la diversité apporte des perspectives uniques aux conseils d’administration, et 85 % affirment également qu’elle améliore les performances du conseil. Ainsi, les conseils d’administration des entreprises privées peuvent bénéficier d’une plus grande diversité, mais ils doivent souvent se tourner vers des administrateurs externes pour apporter des améliorations, que ce soit en matière de diversité raciale ou de genre.

Le recrutement d’administrateurs externes issus de divers horizons peut être particulièrement utile si l’équipe de direction n’est pas diversifiée. Le conseil d’administration, dans une certaine mesure, doit ressembler aux clients, employés, actionnaires et autres parties prenantes clés d’une entreprise. De nombreux professionnels de la gouvernance pensent que cela peut fournir un meilleur aperçu de la façon dont ces importants groupes d’intérêt conçoivent leurs actions.

Trouver le(s) bon(s) administrateur(s) externe(s) pour votre conseil

De nombreux facteurs doivent être pris en compte lors de l’ajout d’administrateurs externes. Les conseils d’administration voudront adopter une approche systématique afin d’avoir la bonne combinaison de compétences, d’expérience et de diversité de pensée dans la salle du conseil.

Déterminez la composition optimale du conseil d’administration

Tenez compte de la stratégie à long terme de l’entreprise et des compétences ou de l’expérience nécessaires pour la soutenir. Grâce à cet exercice, identifiez d’autres attributs souhaitables, tels que le mandat, l’âge et la diversité des administrateurs. Tenez également compte des compétences ou de l’expérience requises pour chacun des comités du conseil. Par exemple, il est essentiel d’avoir quelqu’un ayant une formation financière au sein du comité d’audit.

Évaluer la composition actuelle du conseil d’administration

Évaluez les compétences et les qualités de chaque administrateur, y compris les départs connus ou les transitions de comité, pour obtenir une vue d’ensemble du conseil d’administration actuel et du futur. Certaines entreprises utilisent une matrice de composition du conseil d’administration pour ce faire. Voir un exemple dans la composition de notre conseil d’administration : Le chemin vers le rafraîchissement stratégique et la relève .

Hiérarchiser les faiblesses pour faciliter la recherche d’administrateurs

Concentrez-vous sur les compétences ou l’expérience manquantes les plus importantes pour orienter la recherche. Les conseils peuvent ne pas être en mesure de combler toutes les lacunes, alors assurez-vous que la priorité qui doit être comblée en premier soit claire.

Lancez une recherche d’administrateur

Créez un profil d’administrateur pour faciliter le recrutement. Il est important de valider le profil de l’administrateur auprès de l’ensemble du conseil, mais c’est aussi un excellent outil de recrutement à partager avec les candidats externes. Incluez également la mission et la vision de votre entreprise, des détails sur le rôle et les attentes de l’administrateur, et indiquez la rémunération afin d’aider les candidats à évaluer si c’est le bon rôle pour eux avant de signer.

Recruter des administrateurs externes : mode d’emploi

Identifier les candidats – Cela peut impliquer de rechercher des sources extérieures aux réseaux personnels des administrateurs et des membres de la direction actuels. Être déterminé à rechercher des candidatures diversifiées ou spécialisées signifie souvent élargir la recherche. Les cabinets de recrutement d’administrateurs, les associations de gouvernance et les cabinets de services professionnels peuvent vous aider.

Mener des entretiens – Les candidats seront probablement interviewés par les membres du comité de nomination et de gouvernance (s’il y en a un), le président du conseil d’administration et certains cadres pour évaluer le candidat et déterminer s’il serait le bon candidat recherché.

Effectuez une vérification des antécédents – Il est important de savoir s’il y aurait des problèmes pouvant affecter la candidature au conseil d’administration, ainsi que les relations qu’il pourrait avoir avec l’entreprise, les investisseurs ou la direction.

Considérez la capacité du candidat à s’engager – Cela comprend le temps de préparation, de déplacement et de participation aux réunions. Certains candidats n’auront tout simplement pas le temps de faire le travail efficacement.

Comprendre le processus décisionnel du candidat – Les candidats effectueront leur propre diligence raisonnable sur l’entreprise, afin de déterminer si le conseil d’administration leur convient. Ils peuvent demander à rencontrer d’autres administrateurs, visiter des sites commerciaux, examiner les états financiers ou comprendre l’assurance responsabilité civile des administrateurs et dirigeants (D&O) de l’entreprise. Étant donné qu’une grande partie de ces informations sont confidentielles, les entreprises demandent souvent aux candidats de signer un accord de non-divulgation.

Qu’est-ce qui empêche les entreprises privées d’ajouter des administrateurs externes à leurs conseils d’administration ?

Il n’est pas rare que des actionnaires ou des membres actuels du conseil d’administration s’inquiètent de l’ajout d’étrangers. Bien que la plupart des entreprises privées disent qu’elles encouragent la prise de décision qui comporte un éventail de points de vue, elles craignent aussi souvent de perdre le lien avec l’entreprise et ses valeurs. Les préoccupations communes des actionnaires et les moyens possibles d’y répondre comprennent :

Les administrateurs externes peuvent ralentir la prise de décision

Avoir des administrateurs externes peut ralentir le processus, mais la valeur qu’ils apportent l’emporte souvent sur cette préoccupation. Les entreprises peuvent en tenir compte lorsqu’elles décident qui recruter, en se concentrant sur les candidatures administrateurs qui viennent d’environnements où la rapidité compte. Ils peuvent également s’assurer que les administrateurs externes sont bien informés, ce qui peut impliquer la tenue de réunions ad hoc pour mettre les administrateurs au courant lorsqu’une décision rapide est nécessaire.

Les administrateurs externes peuvent s’attendre à plus de documentation

Les administrateurs externes peuvent s’attendre à certaines formalités, comme des ordres du jour et des documents de réunion préparés à l’avance et la rédaction de procès-verbaux. Ces activités prennent du temps. Cet investissement est généralement payant et, dans certaines situations, peut s’avérer utile. Par exemple, en cas de contestation, le fait d’avoir des copies des documents et des procès-verbaux des réunions peut aider à démontrer que les délibérations ou la surveillance du conseil d’administration ont été appropriées.

Les actionnaires peuvent avoir l’impression de céder le contrôle

Les actionnaires de contrôle ont toujours le dernier mot. Une convention écrite entre actionnaires est un moyen efficace pour les actionnaires de se donner un droit de veto sur certaines décisions dans le cas où le conseil voterait d’une manière qui ne satisfait pas les actionnaires.

Des tiers peuvent avoir accès à des informations confidentielles

Les administrateurs externes sont tenus de maintenir la confidentialité sur les opérations et les résultats de la société. Une pratique courante consiste à renforcer cette attente en demandant aux administrateurs externes de signer un accord de non-divulgation.

Il peut être coûteux d’avoir des administrateurs externes

La gouvernance coûte généralement plus cher à mesure que les conseils formalisent les processus et ajoutent des administrateurs externes. Cependant, les entreprises peuvent envisager différentes façons de rémunérer les administrateurs externes (par exemple, des moyens assimilables à des actions) si les flux de trésorerie posent problème.

Certaines sociétés privées préfèrent confier aux administrateurs externes un rôle consultatif.

Les conseils d’administration des entreprises privées ne sont pas enfermés dans des rôles spécifiques. Ils ne sont pas liés par la SEC et les règles d’inscription en bourse qui définissent les responsabilités des conseils d’administration et des comités des sociétés ouvertes. Les actionnaires peuvent décider qu’ils ne veulent pas que le conseil soit impliqué dans tous les domaines.

Certaines sociétés privées choisissent de faire participer des administrateurs externes à leur conseil d’administration à titre consultatif, soit en les nommant comme conseillers auprès du conseil, soit en créant un conseil consultatif distinct. Les conseillers du conseil ne participent souvent qu’à certaines parties des réunions du conseil et, souvent, n’ont pas le droit de vote. Les conseils consultatifs se réunissent séparément, mais existent pour fournir au conseil et à la direction des idées et des points de vue sur des sujets spécifiques. La création d’un conseil consultatif peut être une première étape appropriée pour certaines entreprises privées.

Conclusion

Les sociétés fermées les plus performantes savent qu’il est essentiel de faire appel à des administrateurs externes pour être à l’avant-garde des meilleures pratiques de gouvernance. Ils apportent des perspectives diverses et peuvent combler d’importantes lacunes en matière de compétences. Ils peuvent conférer une crédibilité supplémentaire à l’entreprise et l’aider à rechercher des opportunités de croissance ou de sortie. Et comme indiqué ci-dessus, le fait d’avoir des administrateurs externes peut conduire à d’autres améliorations de la gouvernance qui profiteront à l’entreprise à mesure qu’elle mûrit.


*Maria Moats est la responsable du Governance Insights Center de PricewaterhouseCoopers, Shawn Panson est le responsable des services aux sociétés privées américaines pour PricewaterhouseCoopers et Carin Robinson est directrice chez PricewaterhouseCoopers.

Leçons de gouvernance d’entreprise tirées des sondages auprès des directeurs des affaires juridiques (CLO)


Aujourd’hui, je porte à votre intention deux nouvelles études portant sur le rôle et la fonction du directeur des affaires juridiques.

L’article de Michael W. Peregrine, associé chez McDermott Will & Emery LLP, et Charles W. Elson, directeur fondateur du Weinberg Center for Corporate Governance et Woolard Chair in Corporate Governance (retraité) de l’Université du Delaware, publié dans le Forum de Harvard Law Shool*.

Les auteurs tirent des leçons pertinentes pour la bonne gouvernance des organisations. En fait, les conseils d’administration doivent se réapproprier la responsabilité du lien direct entre le CLO (Chief Legal Officer) et le conseil ou l’un de ses comités. Trop de CLO se rapportent au PDG de l’entreprise et non au conseil.

Je vous invite à lire la version française de l’introduction effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.

Deux nouvelles enquêtes importantes sur le rôle et la fonction du directeur juridique (« CLO ») contribuent aux attentes des « meilleures pratiques » selon lesquelles la fonction juridique de l’entreprise assume une position hiérarchique importante au sein de l’organisation. Il s’agit d’un développement particulièrement important, compte tenu du 20e anniversaire de la loi Sarbanes-Oxley et du regain d’intérêt pour le degré de surveillance des affaires juridiques par le conseil d’administration.

L’un de ces documents est le « Chief Legal Officer Survey » publié annuellement par l’Association of Corporate Counsel (« ACC »). L’autre document est le sondage, « General Counsel in the Boardroom », d’un partenariat entre Diligent Corporation et Corporate Counsel.

Ensemble, les deux sondages donnent aux conseils d’administration une idée précise des normes et des lignes directrices qu’ils devraient prendre en compte lorsqu’ils surveillent l’efficacité de la fonction juridique de leur entreprise. Ils identifient également les domaines d’amélioration significatifs en termes d’autorité, de responsabilité et d’accès au leadership du CLO. Pour ces raisons et d’autres, cette enquête devrait être examinée de près par le conseil d’administration et tout comité ayant une responsabilité déléguée sur la fonction des affaires juridiques de l’entreprise.

Il est essentiel que le conseil exerce une surveillance éclairée relativement à cette responsabilité et ne se fie pas simplement au jugement du chef de la direction en ce qui concerne la structure, le fonctionnement et la stature du service des affaires juridiques de l’entreprise.

Ci-dessous l’article au complet.

Bonne lecture !

Corporate Governance Lessons from New Chief Legal Officer Surveys

Chief Legal Officer – Perspectives, Analysis, and News | Deloitte US

*The Chief Legal Officer Survey is available here. The General Counsel in the Boardroom survey is available here, with accompanying report here.

Un outil indispensable : la matrice des profils et compétences des membres d’un CA


Voici un article qui vient de paraître sur le site du Collège des administrateurs de sociétés (CAS)

Dans cet article*, nous présentons un exemple de matrice des profils et compétences des membres d’un CA.  Cet article a été réalisé avec la collaboration du CAS.

Bonne lecture !

G15E épisode 15 matrice

Un outil indispensable : la matrice des profils et compétences des membres d’un CA

Aujourd’hui, toutes les catégories d’organisations (privées, publiques, OBNL, coopératives, gouvernementales, familiales) possèdent, à des degrés divers, des outils pratiques pour évaluer le niveau d’expérience et de compétences distinctives des administrateurs. Les descriptions des compétences requises sont d’ailleurs essentielles lors du processus de recrutement de nouveaux administrateurs.

QUEL EST LE PROFIL DES ADMINISTRATEURS RECHERCHÉS, ET QUI EST MANDATÉ POUR EFFECTUER CE TRAVAIL ?

C’est généralement au comité de gouvernance qu’incombe la responsabilité d’établir les profils de compétence et d’expérience pour les membres du conseil. C’est ce comité qui doit bâtir une matrice des compétences requises de tout nouveau membre du conseil eu égard aux fonctions qu’il doit assumer pour assurer une bonne gouvernance fiduciaire, dans une optique d’optimisation et de complémentarité.

Il existe donc une très grande variété de matrices des compétences, même si celles-ci ne sont pas toujours très explicites ! Le comité de gouvernance établit d’abord le profil des compétences de base et des qualités personnelles et interpersonnelles recherchées de tous les administrateurs. Ces compétences sont habituellement des traits reliés à la personnalité des administrateurs :

    • Capacité de réflexion stratégique
    • Indépendance d’esprit
    • Habiletés analytiques
    • Jugement critique et éclairé
    • Leadership
    • Bon communicateur
    • Collaborateur
    • etc.

Puis, les organisations se dotent d’une grille (une matrice) qui présente de manière non exhaustive les expertises nécessaires à l’exercice des fonctions d’administrateurs. L’ensemble des expertises et des compétences doit être subsidiaire et couvrir toutes les facettes liées à l’exercice de la bonne gouvernance du conseil d’administration. On parle ici d’expertises plus spécifiques reliées à des personnes, et couvrant l’ensemble des devoirs et des responsabilités d’un conseil d’administration.

La grille des compétences et des expertises des administrateurs recoupe généralement (1) les fonctions de gestion administratives et (2) les activités propres à la mission de l’organisation. On recense normalement les activités suivantes :

    • Planification stratégique
    • Audit
    • Gestion des risques
    • Gestion des ressources humaines
    • Gouvernance
    • Expérience au sein de conseil d’administration
    • Gestion du changement
    • Gestion de la rémunération
    • Gestion des finances
    • Gestion des systèmes d’information et de la cybersécurité
    • Relations publiques et communications
    • Marketing, mise en marché et recherches
    • Relations gouvernementales et lobbying
    • Affaires juridiques et corporatives
    • Expertises relatives au modèle d’affaire de l’entreprise :
      o Activité propre à l’entreprise 1
      o Activité propre à l’entreprise 2
      o Autres expertises requises
      o etc.

Il n’y a pas beaucoup de publications sur les matrices de compétence dans les organisations. Cependant, au fil de mes recherches, j’ai retenu un article publié par Anthony Garcia, vice-président de la firme ISS, paru sur le forum de Harvard Law School, qui aborde le sujet des compétences requises pour siéger à un conseil d’administration.

Dans son article, Director Skills : Diversity of Thought and Experience in the Boardroom, l’auteur explore la nature des compétences exigées des administrateurs; comment celles-ci opèrent-elles pour améliorer les pratiques de gouvernance des entreprises ?

D’abord, il faut noter que la recherche de la diversité des compétences au sein des conseils d’administration est considérée comme une activité très importante, mais les entreprises mettent encore trop l’accent sur les compétences fonctionnelles et les expertises traditionnelles : le leadership, les connaissances financières, une expérience de PDG (CEO), une connaissance des marchés de l’entreprise et une familiarité avec la fonction audit.

L’étude montre aussi que les administrateurs récemment nommés ont des compétences plus diversifiées, notamment eu égard aux connaissances des marchés internationaux, aux compétences reliées aux ventes et à l’expertise dans le domaine des technologies de l’information (TI).

Également, l’étude montre que les femmes administratrices sont plus qualifiées que les hommes dans plusieurs types de compétences.

De plus, les entreprises qui ont une plus grande diversité de compétences sont plus susceptibles de divulguer leurs politiques de risques concernant la gouvernance, les aspects sociaux et les considérations environnementales (ESG).

L’auteur synthétise les caractéristiques d’une matrice des compétences jugée efficace. L’article présente également plusieurs exemples de matrices de compétence jugées parmi les meilleures pratiques. Je vous invite donc à prendre connaissance de la grande variété de modèles de matrices de compétence présentées dans le document intitulé
« compendium of best practices ».

Vous trouverez ici également une matrice des profils et compétences produite par l’équipe du Collège des administrateurs de sociétés. Un exemple d’utilisation de la matrice en présenté en version PDF, puis le modèle est offert en version Excel pour faciliter son utilisation et sa personnalisation.

MODÈLE DE MATRICE DES PROFILS ET COMPÉTENCES DES MEMBRES D’UN CA, UNE PRODUCTION DU COLLÈGE DES ADMINISTRATEURS DE SOCIÉTÉS

 

Image matrice des profils et compétences CA

________________________

*Jacques GriséLogo Collège

Par Jacques Grisé, Ph.D., F.Adm.A. conseiller/expert en gouvernance, professeur titulaire à la retraite, FSA ULaval et le Collège des administrateurs de sociétés

La professionnalisation de la gouvernance


Voici un article qui vient de paraître sur le site du Collège des administrateurs de sociétés

Dans cet article*, je tente de faire la lumière sur l’évolution fulgurante du concept de gouvernance d’entreprise et sur les raisons qui ont mené à sa professionnalisation.

Bonne lecture !

Professionnalisation de la gouvernance

La professionnalisation de la gouvernance

Dans cet article, nous tenterons de faire la lumière sur l’évolution fulgurante du concept de gouvernance d’entreprise et sur les raisons qui ont mené à sa professionnalisation.

Mais d’abord, qu’entend-on par professionnalisation de la gouvernance ? La professionnalisation, c’est essentiellement le processus de reconnaissance d’un corpus de connaissances, de compétences et d’expériences relatif à l’exercice des activités de la gouvernance d’entreprise.

Ainsi, on parlera de l’évolution du métier d’administrateur vers un statut de professionnel de la gouvernance qui combine une formation continue dans les domaines du savoir pertinents et un code de conduite adapté à la profession (déontologie).

LA PROFESSIONNALISATION DE LA GOUVERNANCE : UN PROCESSUS EN PLEINE EXPANSION

Depuis une vingtaine d’années, on assiste à une professionnalisation accrue de la fonction d’administrateur qui se manifeste par une modification et un élargissement du rôle et des responsabilités des conseils. Les CA sont de plus en plus sollicités et questionnés au sujet de leurs décisions et de l’entreprise.

À l’avenir, on exigera toujours plus des administrateurs. C’est pourquoi la formation en gouvernance est essentielle et devient même une exigence pour certaines organisations. Les administrateurs sont désormais invités à suivre des formations en gouvernance de sociétés, notamment des programmes menant à des certifications universitaires.

Le processus de professionnalisation de la gouvernance est en évolution rapide. La gouvernance, comme discipline, tend vers une pratique de plus en plus accomplie au fur et à mesure du développement d’une assise ancrée dans la recherche de son efficacité. Plusieurs organisations de formation, telles que le Collège des administrateurs de sociétés de l’Université Laval, se sont donné comme mission de « promouvoir la bonne gouvernance de sociétés en offrant des formations reconnues et à la fine pointe des meilleures pratiques » (1).

Il est important de souligner que la notion de gouvernance n’est pas nouvelle en soi. De tous temps, les sociétés humaines ont été gouvernées par des régimes qui ont instauré diverses configurations d’exercice du pouvoir. La gouvernance sociale a toujours été un domaine réservé aux sciences sociales, plus spécialement aux sciences politiques.

Ce qui est nouveau dans le monde de la gouvernance, surtout depuis une vingtaine d’années, c’est l’application du concept au domaine des organisations privées, cotées en bourse, OBNL, sociétés d’État, etc. En effet, si l’on se réfère au corpus des sciences de la gestion, la gouvernance, comme champ d’enseignement et de recherche, y est relativement absente. On peut affirmer que la prise en compte de la portée de la gouvernance d’entreprises est très récente, et que sa professionnalisation est en bonne voie d’être affirmée et renforcée grâce aux nombreuses recherches académiques sur la question.

À cet effet, mentionnons le Forum du Harvard Law School sur la gouvernance
« corporative »
 qui a publié 6 400 billets (provenant de plus de 5 000 contributeurs), lesquels ont été largement cités dans plus de 800 articles de revue de droit et de publications en gouvernance. (2)

On constate une intensification marquée des recherches et des publications de la part d’entreprises de consultation en gouvernance telles que Spencer| Stuart, Deloitte, McKinsey, PwC, pour n’en nommer que quelques-unes, qui produisent des rapports annuels sur l’état de la gouvernance des entreprises cotées en bourse. L’un des documents les plus exhaustifs sur la situation de la gouvernance au Canada est le
« 2020 Canada Spencer Stuart Index » (SSBI) qui présente des statistiques détaillées et comparatives, et brosse un tableau complet des constats eu égard aux grandes tendances en gouvernance. (3)

Au Québec, et ailleurs dans le monde, les écoles de gestion concentrent leurs enseignements sur les disciplines éminemment utiles aux gestionnaires (le management, les ressources humaines, la finance, l’assurance, l’immobilier, le marketing, les systèmes opérationnels de décision, les technologies et les systèmes d’information, la comptabilité, etc.), mais, encore aujourd’hui, elles accordent trop peu d’attention à la gouvernance des sociétés, notamment aux activités fiduciaires des administrateurs, nommés pour assurer l’équilibre du pouvoir entre les propriétaires (les actionnaires), les parties prenantes (employés clients, fournisseurs, entités sociales, etc.) et les gestionnaires (les dirigeants choisis pour gérer l’entreprise).

Au cours des dernières décennies, la gouvernance des sociétés a subi d’importants changements, dont les plus marquants concernent la composition de l’actionnariat, la primauté du conseil d’administration, l’activisme des actionnaires et des investisseurs et la prééminence des autorités réglementaires. Ces transformations se traduisent par une évolution significative du rôle et du fonctionnement des conseils d’administration et de ses comités. Ainsi, depuis une vingtaine d’années, les exigences de formation, de compétence et d’expérience des administrateurs n’ont cessé de croître ; si bien qu’un bon niveau de connaissance des outils et des pratiques de gouvernance devient une part essentielle du cursus en administration. Ces nouveaux développements ont grandement contribué à la professionnalisation de la gouvernance.

LES CONSEILS D’ADMINISTRATION EN MUTATION

L’environnement des conseils d’administration a été ébranlé par la nouvelle dynamique imposée par les changements dans la composition des CA, par l’avènement des actionnaires activistes (qui sont perçus comme des intrus à la recherche de rendements à court terme) et par les nouvelles dispositions émanant des autorités réglementaires qui imposent de nouvelles obligations aux entreprises et aux administrateurs.

Au chapitre de l’actionnariat mondial, un rapport de l’OCDE (4) publié en 2019 montrait que l’actionnariat des 10 000 sociétés les plus importantes représentait 90 % de la capitalisation totale. Le capital est de plus en plus concentré.

  • La principale catégorie d’actionnaires est celle des investisseurs institutionnels (fonds de pension, compagnies d’assurance, gestionnaires d’actifs), qui détiennent 41 % du capital de l’ensemble des sociétés cotées du monde;
  • Les sociétés privées (y compris les holdings) et les particuliers possèdent chacun 18 % de la capitalisation mondiale;
  • Le secteur public (gouvernements nationaux et locaux, fonds souverains, entreprises d’État) possède 14 % de la capitalisation mondiale;
  • Plus de 8 % des entreprises cotées dans le monde ont un actionnariat majoritairement public.

Dorénavant, les investisseurs institutionnels veulent se prononcer sur les orientations des entreprises dans lesquelles ils investissent. Les représentants des actionnaires recherchent des administrateurs chevronnés pour orienter et superviser les intérêts de groupes très diversifiés.

C’est la reconnaissance de sérieuses lacunes dans la formation des administrateurs qui a incité plusieurs grandes organisations à proposer des activités de développement débouchant sur des certifications en gouvernance, souvent universitaires. Comme on l’a mentionné précédemment, les activités fiduciaires des administrateurs de sociétés étaient très peu considérées et encadrées par les institutions d’enseignement supérieures.

Un peu partout dans le monde, on a assisté à la création de programmes de formation et de certifications des administrateurs. Ainsi, au Québec, le Collège des administrateurs de sociétés « doit sa création à l’initiative de quatre grands partenaires convaincus de la nécessité de renforcer la gouvernance de sociétés : (1) l’Autorité des marchés financiers (2) la Caisse de dépôt et placement du Québec (3) le ministère du Conseil exécutif et (4) la Faculté des sciences de l’administration de l’Université Laval. En plus de ces quatre visionnaires, le Collège bénéficie de l’appui d’un bon nombre de partenaires d’excellence associés et ses formations en gouvernance sont reconnues par plusieurs ordres et organismes professionnels » (5).

LA RÉGLEMENTATION IMPOSE SA LOI !

Selon nous, les scandales Enron et WorldCom représentent un tournant dans la réglementation en gouvernance des sociétés. En effet, c’est dans la foulée de ces événements que le gouvernement américain a adopté, en 2002, la loi Sarbanes-Oxley (SOX) qui impose à toutes les entreprises de déposer auprès de la SEC (l’organe de régulation des marchés boursiers américains) des états financiers produits par des auditeurs indépendants, et certifiés personnellement par les dirigeants de l’entreprise. Cette loi rend donc les hauts dirigeants pénalement responsables de l’exactitude et de la validité des résultats financiers. (6)

C’est à cette époque que les autorités de réglementation des marchés financiers, à l’échelle mondiale, ont renforcé les règles qui s’appliquent à la gouvernance des entreprises (règles de décision, de composition du conseil, de transparence, de surveillance, d’éthique et de reddition de comptes). On milite en faveur de l’instauration de nouveaux mécanismes de renforcement de la professionnalisation de la gouvernance des entreprises.

Ainsi, aux États-Unis, l’ancien président de la SEC, Richard Breeden a produit, en mai 2003, un rapport comportant 78 recommandations. Ce rapport devrait à terme devenir la base de la réforme de la gouvernance d’entreprise, et ses propositions devaient s’imposer à toutes les grandes et moyennes entreprises. (7)

Il apparaissait nécessaire, à beaucoup, que se termine l’ère, pendant laquelle des patrons régnaient sans limites et sans partage sur des sociétés dans lesquelles personne n’osait poser les vraies questions. Les propositions de Richard Breeden devaient permettre l’instauration de multiples règles ayant pour but de limiter les initiatives des PDG tout puissants, en tentant de rendre la totalité des administrateurs indépendants de la direction de l’entreprise. Les nouveaux conseils d’administration des entreprises fautives ont procédé, en juillet 2003, à l’adoption de toutes les propositions du rapport.

Voici quelques-unes des propositions qui ont fait leur chemin dans les nouvelles réglementations.

  • Interdiction du cumul des fonctions de PDG et de PCA (président du Conseil d’administration).
  • Inéligibilité au Conseil d’administration de tout responsable de société travaillant avec la société à administrer.
  • Meilleure rémunération des administrateurs, mais obligation de consacrer 25 % du revenu à l’achat d’actions de la société à administrer.
  • Interdiction aux administrateurs de siéger au Conseil d’administration de plus de deux firmes cotées en bourse.
  • Obligation au Conseil d’administration de se réunir au moins 8 fois par an.
  • Obligation aux membres du Conseil d’administration d’aller visiter les installations et sites de l’entreprise.
  • Obligation aux membres du Conseil d’administration de recevoir chaque année une formation spéciale pour mieux comprendre l’entreprise et son secteur.
  • Interdiction à un administrateur de conserver son poste plus de dix ans.
  • Obligation de remplacer chaque année un des administrateurs, afin d’éviter que la collégialité du conseil n’aboutisse à la passivité.
  • Interdiction de payer les dirigeants avec des options d’achat de titres.
  • Création d’un plafond de rémunération pour les dirigeants.
  • Renforcement de la démocratie directe donnée aux actionnaires de base.

On note dans les points cités qu’il n’est pas fait mention de règles s’appliquant à la diversité et à l’inclusion, ni aux obligations de divulgation extensives, ni à l’attention à apporter aux parties prenantes. Ces considérations feront l’objet d’autres modifications aux différents codes de gouvernance.

UNE GOUVERNANCE GUIDÉE PAR LA CRÉATION DE VALEUR

Dans la littérature sur la conception des systèmes de gouvernance, on retrouve différentes tendances! Quelle est celle qui vous inspire et qui vous semble réaliste ?

Plusieurs systèmes de gouvernance choisissent de privilégier la création de valeur pour l’actionnaire (shareholder value en anglais). Dans cette approche, les intérêts des dirigeants s’alignent sur ceux des actionnaires et des investisseurs financiers. L’organisation du conseil d’administration et la réglementation en matière de transparence et de rémunération des dirigeants sont négociées en vue d’atteindre cet objectif.

Un autre système de gouvernance valorise plutôt la création de valeur pour l’ensemble des parties prenantes (stakeholder value en anglais). Dans ce cas, on cherchera à créer de la richesse entre les différentes ressources humaines et matérielles par coopération avec différents types de parties prenantes : clients, fournisseurs, employés, actionnaires, collectivités territoriales… La performance est mesurée au regard de l’ensemble des partenaires. Ce type de gouvernance favorisera le développement de deux types de capital : le capital financier, mais aussi le capital humain (savoir-faire, compétences, innovation).

Enfin, il est important de souligner l’apport d’Yvan Allaire, président du conseil d’administration de l’Institut sur la gouvernance d’organisations publiques et privées (IGOPP), qui propose une gouvernance créatrice de valeur. Selon sa conception, l’objectif financier d’une entreprise devrait être la maximisation de la valeur à long terme de la compagnie, un objectif qui dépasse le seul intérêt de l’actionnaire pour englober toutes les parties concernées. (8)

LE DÉPLOIEMENT DE L’OFFRE DE FORMATION EN GOUVERNANCE

Il apparaît essentiel, à ce stade-ci, de souligner la réalisation des efforts entrepris par les institutions canadiennes afin de répondre à la forte demande de formation de professionnels à la fine pointe de la gouvernance, mais aussi d’innover par la conception de programmes de certification de haut niveau à l’intention des administrateurs de sociétés.

D’abord, notons que les formations en gouvernance sont maintenant omniprésentes dans toutes les institutions d’enseignement au Canada. Les formations recoupent généralement les thématiques suivantes : gouvernance des sociétés cotées, gouvernance des PME, gouvernance des TI, gouvernance des OBNL, gouvernance des coopératives, gouvernance des sociétés d’État.

Les formations abordent un ensemble de thèmes spécifiques, par exemple, l’évaluation des administrateurs et des CA, la rémunération de la direction et des membres du CA, l’audit interne et externe, l’établissement de stratégies, la gestion des risques, le développement durable et ESG, la performance financière, la gestion de crises, les comités du CA, etc. Les formations sont souvent axées sur les nouvelles habilitées à développer ainsi que sur le savoir-être, par exemple, le leadership de la présidence du CA, la culture de la confiance, les habiletés politiques, les habilités en ressources humaines, etc.

Enfin, on note que les formations continues en gouvernance au Canada sont offertes dans diverses localisations, et que les rythmes d’apprentissage proposés sont variés. Les formations sont de plus en plus offertes en ligne, surtout depuis le début de la pandémie de Covid-19.

Au Canada, on compte trois programmes d’exception. Les trois programmes sont affiliés à de grandes institutions universitaires, tandis que seuls les deux premiers mènent à une certification universitaire (ASC et C.Dir.). Les diplômés de chacun des trois programmes obtiennent le droit d’utiliser une désignation reconnue à l’échelle internationale à la fin de leur parcours.

formation gouvernance

L’offre de programmes de formation continue en gouvernance au Canada est très vaste, ce qui démontre concrètement les grandes préoccupations des institutions universitaires pour la professionnalisation de la gouvernance. Mais, il est important de noter que ce phénomène s’étend à l’ensemble des pays de par le monde.

FORTE CROISSANCE DE LA FORMATION EN GOUVERNANCE À L’ÉCHELLE INTERNATIONALE

On dénombre des centaines d’organisations internationales dont la mission est la formation et la recherche en gouvernance. Parmi les plus importantes, on peut citer :

  • L’Institute of Directors (IOD) en Grande-Bretagne, avec plusieurs instituts dans les pays du Commonwealth; (9)
  • ECODA, une organisation qui regroupe les instituts de formation de tous les pays européens; (10)
  • La National Association of Corporate Directors (NACD), la première et la plus puissante organisation américaine qui offre un programme de certification des administrateurs de sociétés. (11)

L’ensemble de ces organisations est chapeauté par le Global Netwok of Director Institutes (GNDI), qui produit le Global Network of Director Institutes 2020–2021 Survey Report, un document de recherche qui brosse un portrait de l’état de la gouvernance dans le monde en temps de pandémie. (12)

CONCLUSION

Ainsi, comme on l’a vu, la prolifération des organisations dédiées à la formation et à la certification des administrateurs est un signe éloquent de la professionnalisation de la gouvernance au Canada et dans le monde.

Les tâches et les responsabilités des administrateurs ont dorénavant une portée plus dominante en même temps que les pratiques de saine gouvernance deviennent quasi-universelles. La gouvernance est maintenant un concept incontournable ; les administrateurs sont de plus en plus nombreux à rechercher la certification de leurs compétences et de leurs habiletés à siéger aux conseils d’administration.

La place réservée aux femmes sur les CA poursuit sa progression, malgré le fait que le mouvement soit trop lent. Dans l’ensemble, la composition des CA est constituée de personnes mieux formées et fait appel à une plus grande diversifié ethnoculturelle, mais le taux de renouvellement des administrateurs est encore trop faible pour assurer une évolution rapide des mentalités ainsi qu’une diversification des qualifications. Eu égard au renouvellement des conseils, les études montrent que l’âge moyen des administrateurs continue d’augmenter et que la nomination de jeunes administrateurs est moins fréquente que les années antérieures. (13)

Voici certaines valeurs recherchées chez les administrateurs dans l’exécution de leurs tâches : l’indépendance de la direction, la volonté de création de valeur pour toutes les parties prenantes, la mise à jour des apprentissages en gouvernance, la maîtrise du secteur d’activité et des nouvelles technologies. Les conseils d’administration doivent se métamorphoser afin de faire un meilleur usage des compétences autour de la table. À cet égard, je vous invite à prendre connaissance du complément à cet article qui porte sur la matrice des profils et compétences des membres d’un CA, présentant ainsi un modèle développé par l’équipe du Collège (14).

L’orientation et la stratégie doivent devenir les centres d’intérêt des administrateurs, et leur travail doit essentiellement se faire par l’intermédiaire des différents comités du conseil mis en place. L’une des meilleures façons d’améliorer les processus de décision, en sus de la formation continue en gouvernance, est l’évaluation de la contribution des administrateurs, menée sous la responsabilité de la présidence du comité de gouvernance.

La professionnalisation de la gouvernance est en marche ! Rien ne peut arrêter ce mouvement…

_____________________

RÉFÉRENCES

    • L’article a été publié par Jacques Grisé, Ph.D., F.Adm.A, conseiller/expert en gouvernance, professeur titulaire de management à la retraite de la faculté des sciences de l’administration de l’université Laval.

Tendances mondiales et régionales 2022 en matière de gouvernance d’entreprise


Tendances mondiales prévues pour 2022

1. Des investisseurs affirmés prêts à voter pour le changement
2. Des normes plus élevées en matière de divulgation et d’action en matière de climat
3. L’amélioration de l’efficacité du conseil devient la norme
4. Un accent accru sur l’équité, la diversité et les initiatives de culture inclusive au niveau du conseil d’administration et de l’entreprise

Au cours des dernières années, certains observateurs de la gouvernance et membres du conseil d’administration ont prédit (ou espéré) que l’attention des actionnaires et des autres parties prenantes sur ces sujets diminuerait. Mais les experts que nous avons interrogés n’auraient pas pu être plus clairs : ces sujets sont plus importants que jamais, et les investisseurs et autres s’apprêtent à être plus exigeants qu’ils ne l’ont été ces dernières années.

Des investisseurs plus affirmés et exigeants qui se sentent habilités à exiger des actions et des informations sur un nombre croissant de sujets et, faute de répondre à ces exigences, plus susceptibles que jamais de voter contre les sociétés et les administrateurs individuels lors des assemblées annuelles des actionnaires.

Des normes plus élevées pour l’attention des entreprises au climat , car la matérialité du changement climatique pour les entreprises individuelles et la société dans son ensemble est incontestable. Comme Larry Fink l’a écrit dans la lettre de 2022 de Blackrock aux PDG, « la plupart des parties prenantes… s’attendent désormais à ce que les entreprises jouent un rôle dans la décarbonation de l’économie mondiale ». 1

Les pratiques améliorées d’efficacité du conseil deviennent la norme à mesure que les investisseurs et les autres parties prenantes réalisent que de bonnes pratiques de composition, de renouvellement et d’évaluation entraînent une amélioration des performances de l’entreprise et une diminution de l’exposition aux risques.

Urgence concernant les initiatives d’équité et de diversité à la fois dans l’entreprise et dans la salle de réunion, alors que les preuves s’accumulent que les organisations diversifiées surpassent les autres et que les parties prenantes exigent des progrès sans délai.

Nous pensons que « plus » prendra deux formes en 2022 : non seulement il y aura plus d’activité dans chacun de ces domaines (les conseils d’administration agissent, de nouvelles réglementations entrent en jeu, etc.), mais il y aura également plus d’attention portée à tous de ces domaines par les actionnaires et les parties prenantes. Le niveau de contrôle et de surveillance publique du conseil d’administration et des administrateurs à partir de 2022 augmentera au-delà de tout ce que les administrateurs ont connu auparavant.

Dans cet esprit, nous allons maintenant partager certaines des tendances les plus urgentes dans chaque région et comment nous en sommes arrivés là où nous en sommes aujourd’hui.

États-Unis et Canada États-Unis et Canada

Les attentes concernant la surveillance environnementale, les rapports et la performance continueront d’augmenter.

Au cours des dernières années, les investisseurs se sont de plus en plus concentrés sur la surveillance, les rapports et les performances environnementales des sociétés en portefeuille. Les directives de vote par procuration pour ces investisseurs, dont plusieurs des plus grands gestionnaires d’actifs au monde, deviennent beaucoup plus strictes. Par exemple, les directives de vote par procuration 2022 récemment publiées par Vanguard indiquent qu’il envisagera de voter contre les administrateurs pour les «défaillances importantes de la surveillance des risques», y compris la surveillance des risques climatiques. 2La lettre annuelle du PDG de State Street Global Advisors, publiée le 12 janvier 2022, déclare que les entreprises des principaux indices aux États-Unis et sur plusieurs autres marchés devraient aligner leurs divulgations liées au climat sur le TCFD, et que SSGA prendra des mesures de vote contre administrateurs s’ils ne répondent pas aux attentes en matière de divulgation ; les « émetteurs les plus importants » de son portefeuille recevront un engagement et des demandes encore plus ciblés. 3 Les attentes des investisseurs continuent d’augmenter et les entreprises qui n’augmentent pas leurs propres efforts en matière de développement durable seront examinées plus rigoureusement.

Divers conseils des normes de durabilité ont fusionné pour créer l’International Sustainability Standards Board (ISSB), régi par les IFRS. Cette évolution vers un ensemble cohérent de normes fondées sur le marché s’accompagnera probablement de divulgations légalement requises. La réglementation proposée par la Securities and Exchange Commission des États-Unis est également attendue prochainement, bien qu’il faudra des mois (voire des années) pour que les règles soient finalisées et appliquées. Le 16 décembre, le premier ministre canadien Justin Trudeau a envoyé des lettres de mandat à ses ministres, suggérant une « approche pangouvernementale du changement climatique », selon un représentant du Réseau action climat Canada. 4La lettre de mandat au ministre de l’Environnement et du Changement climatique et au ministre des Finances exigeait des divulgations financières obligatoires liées au climat, 5 mais il y avait de nombreuses autres demandes spécifiques au climat adressées à d’autres ministères, notamment les Ressources naturelles, le Développement international et la Sécurité publique.

Alors que la divulgation obligatoire établira des normes sur ce que les entreprises doivent divulguer concernant les efforts de développement durable, les organisations doivent s’attendre à ce qu’en 2022, de nombreuses parties prenantes importantes, y compris les grands actionnaires, demandent des éclaircissements supplémentaires au-delà de ce que la loi exige. En plus d’améliorer les informations sur les priorités, les promesses et les performances environnementales, les entreprises peuvent mieux répondre à ces attentes en constante évolution en attribuant judicieusement des responsabilités de surveillance au conseil d’administration et en augmentant la communication et l’engagement des actionnaires sur les sujets de développement durable.

Les actionnaires seront plus affirmés et les entreprises avisées amélioreront leurs programmes d’engagement actionnarial.

Chaque saison de proxy présente des investisseurs qui poussent une entreprise à changer de cap. Et 2021 n’a pas fait exception; La course aux procurations réussie du moteur n ° 1 chez ExxonMobil a probablement été l’histoire de gouvernance d’entreprise la plus discutée de l’année. Comme nous l’avons déjà écrit, cette course aux procurations était à la fois une histoire sur la composition, la gouvernance et la durabilité du conseil d’administration, ainsi qu’une leçon sur la valeur des pratiques efficaces d’engagement des actionnaires. La perception par les plus grands investisseurs d’Exxon du fait que les dirigeants de l’entreprise ne les écoutent pas au sujet de la composition du conseil d’administration et d’une stratégie pour un avenir sans carbone était essentielle à la capacité du moteur n ° 1 à éliminer Goliath et à placer trois administrateurs au conseil d’administration de l’entreprise.

Ne vous y trompez pas : l’assertivité actionnariale ne se limitera pas au « E » de l’ESG. En 2021, il y a eu plus de votes pour les propositions d’actionnaires et contre les administrateurs que jamais auparavant. Nos entretiens révèlent que cette tendance devrait se poursuivre en 2022, avec davantage de propositions d’actionnaires recevant un soutien important (30 % ou plus) ou un soutien majoritaire. Alors que les propositions environnementales continueront d’attirer l’attention et le soutien des actionnaires, les propositions sur d’autres sujets importants, notamment la diversité, l’équité et l’inclusion, l’engagement politique des entreprises et les droits des actionnaires, bénéficieront également d’un soutien important.

Les projecteurs sont braqués sur DE&I, la culture et la gestion du capital humain.

La demande de conseils d’administration, de suites C et de main-d’œuvre diversifiés n’a jamais été aussi forte. Il est largement admis que la diversité au sein de ces groupes reflète mieux – et sert mieux – une société mondiale diversifiée et améliore en conséquence le leadership, la gouvernance et, en fin de compte, les performances financières et la solidité de la réputation.

La demande de diversité des conseils d’administration se reflète de plus en plus dans les mandats, tels que les exigences de la Californie en matière de diversité de genre et de race / ethnique dans les conseils d’administration, et le changement de règle du Nasdaq exigeant la divulgation de la diversité des conseils d’administration et les mandats de conformité ou d’explication pour des statistiques minimales sur la diversité des conseils d’administration. En plus d’autres États et organismes de réglementation ajoutant leurs propres exigences en matière de fonds propres, les investisseurs deviennent également plus exigeants. Par exemple, les politiques de vote par procuration de BlackRock aux États-Unis et au Canada pour 2022 notent toutes deux : « nous pensons que les conseils d’administration devraient aspirer à une diversité de 30 % des membres et encourager les entreprises à avoir au moins deux administrateurs dans leur conseil d’administration qui s’identifient comme des femmes et au moins un qui s’identifie comme un membre d’un groupe sous-représenté. 6

La pandémie en cours a également mis en lumière les relations des entreprises avec leurs employés. Dans sa lettre annuelle aux PDG, Larry Fink de BlackRock note à quel point ces relations ont changé au cours de la dernière année, les travailleurs étant plus exigeants que jamais. Il écrit : « Les travailleurs qui exigent plus de leurs employeurs sont une caractéristique essentielle d’un capitalisme efficace. Cela stimule la prospérité et crée un paysage plus compétitif pour les talents, poussant les entreprises à créer de meilleurs environnements plus innovants pour leurs employés, des actions qui les aideront à réaliser de plus grands profits pour leurs actionnaires. 7 Nos entretiens suggèrent que l’intérêt pour un large éventail de sujets concernant les employés, notamment la culture d’entreprise, le retour au travail, la santé mentale, la garde d’enfants et l’inégalité des revenus, gagnera en importance en 2022 et au-delà.

L’accent sera davantage mis sur l’efficacité du conseil, y compris la composition, l’évaluation et les rafraîchissements.

Les parties prenantes continueront d’attendre la bonne composition du conseil d’administration pour le présent et l’avenir de l’entreprise ; cela comprend un conseil collectivement diversifié et efficace. Les conseils seront sous pression en 2022 pour démontrer des engagements continus envers l’auto-évaluation et la planification ciblée des rafraîchissements. ISS déclare que le rafraîchissement du conseil est mieux réalisé par un programme continu d’évaluations individuelles des administrateurs. Certains des plus grands investisseurs et conseillers en vote réclament directement de solides programmes d’évaluation des conseils d’administration. Par exemple, les directives de vote d’ISS pour les États-Unis en 2022 notent : « Le rafraîchissement du conseil est mieux mis en œuvre par le biais d’un programme continu d’évaluations individuelles des administrateurs, menées chaque année, pour s’assurer que les besoins changeants du conseil sont satisfaits et pour apporter de nouvelles perspectives, compétences et diversité au fur et à mesure. nécessaire.


Auteurs

Rich Fields dirige la pratique de l’efficacité du conseil d’administration de Russell Reynolds Associates. Il est basé à Boston.
Rusty O’Kelley III codirige le conseil d’administration de Russell Reynolds Associates et CEO Advisory Partners dans les Amériques. Il est basé à Stamford.
Laura Sanderson co-dirige le conseil d’administration de Russell Reynolds Associates et CEO Advisory Partners en Europe. Elle est basée à Londres.
Helen Metcalfe est membre du conseil d’administration de Russell Reynolds Associates et CEO Advisory Partners. Elle est basée à Londres.
Jacques Sarfatti est membre du conseil d’administration de Russell Reynolds Associates et CEO Advisory Partners. Il est basé à São Paulo.
Alvin Chiang est membre du conseil d’administration de Russell Reynolds Associates et CEO Advisory Partners. Il est basé à Singapour.
Jordan Frantz est membre du conseil d’administration de Russell Reynolds Associates et CEO Advisory Partners. Il est basé à Boston.
Melissa Martin est membre du conseil d’administration de Russell Reynolds Associates et CEO Advisory Partners. Elle est basée à Washington, DC.
Jennifer Thevervelil est membre du conseil d’administration de Russell Reynolds Associates et CEO Advisory Partners. Elle est basée à New York.
Susanne Suhonen est membre du conseil d’administration de Russell Reynolds Associates et CEO Advisory Partners. Elle est basée à Londres.

Les références

1. https://www.blackrock.com/corporate/investorrelations/larry-fink-ceo-letter
2. https://about.vanguard.com/investment-stewardship/portfolio-company-resources/US_Proxy_Voting.pdf
3. https://www.ssga.com/us/en/institutional/ic/insights/ceo-letter-2022-proxy-voting-agenda
4. https://www.thestar.com/news/canada/2021/12 /22/full-court-press-onclimate-in-mandate-letters-but-environmentalists-will-wait-and-see.html
5. Lettre de mandat du ministre de l’Environnement et du Changement climatique, 16 décembre 2021
6. https:// www.blackrock.com/corporate/literature/factsheet/blk-responsible-investment-guidelines-us.pdf ,https://www.blackrock.com/corporate/literature/fact-sheet/blk-responsible-investment-guidelines-canada.pdf
7. https://www.blackrock.com/corporate/investorrelations/larry-fink-ceo -lettre

Top 10 des billets publiés sur Harvard Law School Forum au 4 novembre 2021


Voici, comme à l’habitude, le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 4 novembre 2021.

Cette semaine, j’ai relevé les dix principaux billets.

Bonne lecture !

 

Free Vector | Neon top ten sign

 

  1. Disrupting the Disruptors? The “Going Public Process”in Transition
  2. Carbon Zero and the Board
  3. Racial Equity Audits:A New ESG Initiative
  4. The Current State of Human Capital Disclosure
  5. Common Ownership, Executive Compensation, and Product Market Competition
  6. ISS’Annual Policy Survey Results
  7. The State of U.S. Sustainability Reporting
  8. Lucian Bebchuk and the Study of Corporate Governance
  9. SEC Reopens Comment Period for Dodd-Frank Clawback Rule
  10. Mandating Disclosure of Climate-Related Financial Risk

Comment gérer les candidatures des membres aux postes d’administrateurs des OBNL ?


Voici un cas publié sur le site de Julie McLelland qui aborde une situation fréquemment rencontrée dans la gouvernance des OBNL.

Dans ce cas-ci, Maria, la présidente du comité de gouvernance se questionne sur la meilleure approche à adopter dans la sélection des candidats aux postes d’administrateurs.

Comment gérer ce processus en s’assurant que le choix des bénévoles est optimal ?

Le cas a d’abord été traduit en français en utilisant Google Chrome, puis, je l’ai édité et adapté. On y présente la situation de manière sommaire, puis trois experts se prononcent sur le cas.

Bonne lecture ! Vos commentaires sont toujours les bienvenus.

 

Appel de candidatures - Administrateurs recherchés chez Architecture sans frontières Québec - Architecture sans frontières Québec

Comment gérer les candidatures aux postes d’administrateurs des OBNL ?

 

Maria est la nouvelle présidente du comité de gouvernance d’une grande organisation à but non lucratif dont le conseil d’administration stagnait depuis de nombreuses années. Lorsqu’elle s’est jointe l’an dernier, elle était la première nouvelle administratrice depuis 2008. Les administrateurs étaient ravis de l’avoir et ont créé le comité en vue de redynamiser le conseil.

Le comité de Maria a entrepris un important travail de sollicitation et de recherche de candidatures auprès des membres afin de les inciter à siéger au conseil d’administration. Plusieurs administrateurs souhaitaient prendre leur retraite, et c’était le bon moment pour accueillir de nouveaux administrateurs sans se soucier de perturber les contributeurs de longue date.

Il y a quatre postes à pourvoir et aucun titulaire n’est candidat à une réélection. Six membres de haut niveau ont déposé leurs candidatures. Maria est maintenant inquiète parce qu’elle perçoit que les six candidats pensent qu’ils seront élus, mais les règlements généraux ne le permettent pas, car cela dépasserait la taille maximale du conseil d’administration.

Que peut faire Maria pour éviter de s’aliéner des bénévoles enthousiastes et pour pouvoir profiter des talents et compétences de tous ces volontaires ?

La réponse de Jane

Having a plethora of enthusiastic volunteers could be a great opportunity for Maria. The work her committee undertook would create a solid foundation for a successful board revitalisation and refreshment programme.

The maximum number of board members will be set out in the Constitution and must be complied with. The process for electing new board members from the membership will also be set out in the Constitution and the board may have limited influence in that process.

Assuming four of the six board candidates are successfully elected – what can Maria do to ensure the two candidates who miss out remain engaged? As Chair of the People & Culture Committee, there are a number of alternatives she could consider exploring:

1- The board sets up an aspiring or future director programme, offering the two unsuccessful candidates to be the first participants. This would enable them to learn about the workings of the board, gain improved understanding and ultimately be strong future board candidates.

2- Each person is co-opted onto a board committee where their specific skill sets and expertise are a good match (provided the Committee Charter or Terms of Reference allows for this).

3- Co-opting one or both individuals onto the board for a limited period of time, generally twelve months, within an AGM cycle (provided the Constitution allows for this).

4- If one of the individuals shows interest in the Board Secretary role and the incumbent is anticipating retiring, they could shadow the incumbent as part of an agreed succession plan.

Finally, regarding the four new board members – it’s crucial they are given a well-considered and comprehensive induction. This will give them the best possible start in their new roles.

____________________

Jane Davel is Chairperson of St Andrew’s Village Trust and a director of Rowing New Zealand, Cadastral Surveyors Licensing Board of New Zealand, and Electrical Workers Registration Board.

 

La réponse de Julie

This is a great problem to have; and important to resolve with care and empathy.

Maria should reflect on all communications with the nominees; has anyone given any candidate reason to believe that their appointment is a given? If so, she needs to have an honest and private conversation with the candidate to reset their expectations and apologise for any misunderstanding.

Even if all applicants for a board position have been aware from the start that this election has an uncertain outcome, Maria still needs to communicate with them and with her board colleagues. She must ensure that everyone is aware of the election process.

Maria could then assist the candidates by providing an opportunity for each of them to give a short statement to the members outlining why they are standing for election to the board and how they would propose to serve the organisation if elected. After that it is up to the members – only members can elect directors.

Maria should investigate other opportunities for candidates to serve, and to be recognised for serving. Many boards have an independent member on board committees (someone who is not a director or an employee but who brings an informed perspective to enrich discussions). These committee members make great future directors. Are there opportunities to volunteer in operations or stakeholder relations? Can they be appointed to future casual vacancies if they arise?

At very least, Maria must ensure every candidate, and especially the unsuccessful candidates, comes away from the process feeling that they have been respected and valued and that they would stand again!

______________________

Julie Garland McLellan is an experienced non-executive director and board advisor based in Sydney, Australia.

 

La réponse de Ricardo

Maria’s concern is not to upset valued members and at the same time, her focus is to add the best possible directors to the Board. She is actually in a good position because she has more interested, strong candidates than vacancies.

It is probable that any evaluation done by her or other Board members will be biased by the knowledge they might have of the applicants or by the fear to upset them. The best solution is to hire an external professional firm that understands board evaluations, succession planning and leadership development. This firm will start by asking the right questions which will lead to understanding and defining the priorities of the Board in the present environment.

Putting these needs on paper, and adding a diversity policy, will help formulate a comprehensive board seat specification. Thereafter, the six applicants will be interviewed by the firm. They will explain the process and ask the right questions without giving the impression of an examination. This will ensure the selection process is without biases or preferences and is conducted in a professional way.

The firm will discuss the findings with Maria, and it will become clear which candidates to prioritize, and ultimately which ones to appoint. Maria will communicate with the selected ones and finalise their appointment. As a last step a clear communication of the results should be given personally by Maria to the members that were not selected.

The end result would probably be that no one will remain with hard feelings and that the composition of the Board will be the best possible.

_____________________

Ricardo Backer is chairman of General Managers and HR VPs Group for Vistage Worldwide and Founder and Managing Partner of Backer Partners. He is a certified director for public companies from the Instituto de Gobernanza Empresarial y Publica and is based in Buenos Aires, Argentina.

Top 10 des billets publiés sur Harvard Law School Forum au 14 octobre 2021


Voici, comme à l’habitude, le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 14 octobre 2021.

Cette semaine, j’ai relevé les dix principaux billets.

Bonne lecture !

Ensemble Des Dix Meilleures étiquettes | Vecteur Gratuite

 

  1. SEC Form 10-K Comments Regarding Climate-Related Disclosures
  2. Data Governance Tips for Companies Following SEC’s In re App Annie
  3. Questions to Ask Before Forming a New Board Committee
  4. Crisis Management in the Era of “No Normal”
  5. 2022 Proxy and Annual Report Season
  6. Banking-Crisis Interventions, 1257-2019
  7. Sustainability Impact in Investor Decision-Making
  8. Just Say No? Shareholder Voting on Securities Class Actions
  9. Special Committee Report
  10. Comment on Climate Change Disclosures

Savoir-être au sein des conseils d’administration


Dans le cadre de son quinzième anniversaire, le Collège des administrateurs de sociétés (CAS) publie quinze articles originaux sur des thèmes recoupant des problématiques de gouvernance dans les organisations.

Voici donc une introduction à la publication du neuvième article du CAS qui porte sur le savoir-être au sein des conseils d’administration

La publication de Sylvie St-Onge*, professeure titulaire de management à HEC Montréal, aborde un sujet capital dans le monde de la gouvernance et des comportements des administrateurs : l’importance de faire preuve d’un esprit d’équipe au conseil, tout en conservant son indépendance d’esprit et en prévenant les pièges de la pensée de groupe.

L’auteure fait notamment ressortir certaines particularités idiosyncrasiques des conseils d’administration en tant que groupe.

L’auteure présente plusieurs situations où l’esprit de corps au conseil risque d’aboutir à une pensée de groupe dysfonctionnelle. Également, elle discute de la meilleure façon d’entretenir un comportement d’équipe sain au conseil.

L’article rappelle les quatre principaux facteurs qui distinguent les conseils d’administration jugés exemplaires.

Voici de larges extraits de l’article. Bonne lecture !

Malgré le renforcement des mécanismes qui régissent la gouvernance des organisations, des cas de faillite et de fraude se produisent, tandis que des décisions excessivement risquées et éthiquement douteuses sont prises. Les conseils d’administration de ces sociétés sont alors fréquemment critiqués : pourquoi ont-ils approuvé ces décisions et manqué à leur devoir de prudence, de diligence et de loyauté envers toutes les parties prenantes? On sait aujourd’hui que le climat et les modes de fonctionnement des conseils d’administration font partie des facteurs explicatifs de ce phénomène.

En outre, il existe un consensus selon lequel l’esprit d’équipe s’avère un préalable des meilleurs conseils d’administration (CA). Favoriser la cohésion au sein des CA est d’autant plus important que ces instances ont des particularités qui les distinguent des équipes en milieux de travail. Toutefois, l’esprit d’équipe ne doit pas être une fin en soi ni agir au détriment de l’efficacité des CA en se transformant en pensée de groupe. Tout le problème consiste alors à susciter un climat favorable à l’apparition et au maintien de l’esprit d’équipe en évitant de dériver vers la pensée groupale.

L’ESPRIT D’ÉQUIPE : UN PRÉALABLE ESSENTIEL À L’EFFICACITÉ DES CONSEILS D’ADMINISTRATION

Il y a maintenant des années que bon nombre de chercheurs et de consultants en gouvernance ont démontré que l’esprit d’équipe et la cohésion des membres d’un CA constituent un préalable essentiel à l’efficacité de ces instances dans les entreprises de tous les domaines d’activité (secteurs privé, public, municipal, etc.). Essentiellement, l’esprit d’équipe au sein d’un CA correspond à la solidarité, voire à l’altruisme de ses membres. Ainsi, une forte cohésion au sein d’un CA améliore l’ouverture d’esprit et la confiance interpersonnelle au sein des personnes qui le composent, celles-ci se sentant dès lors plus libres d’exprimer leurs idées, d’échanger de l’information et des ressources ou de débattre de manière respectueuse et honnête, ce qui, au bout du compte, permet de prendre de meilleures décisions et joue en faveur de la performance de l’entreprise. Un meilleur esprit d’équipe au sein d’un CA peut aussi permettre de mieux faire face à un chef de la direction qui se montre dominateur et autocrate.

LE CONSEIL D’ADMINISTRATION : UNE ÉQUIPE AUX NOMBREUSES PARTICULARITÉS

Les membres d’une équipe ou d’un groupe de travail doivent pouvoir miser sur la collaboration pour que chacun d’eux puisse contribuer de manière optimale à l’atteinte des objectifs collectifs. Si les CA gagnent à atteindre et à maintenir une grande cohésion entre leurs membres, force est de reconnaître qu’il s’agit d’un défi de chaque instant. Pourquoi? Parce que les CA se distinguent des équipes et des groupes de travail en milieux de travail en raison de caractéristiques – leur composition, les réseaux de contacts de leurs membres et la nature même de leur travail – qui ne favorisent pas vraiment l’esprit d’équipe et qui peuvent même lui nuire.

COMMENT SE REND-ON COMPTE QUE L’ESPRIT D’ÉQUIPE DÉRIVE VERS LA PENSÉE GROUPALE?

Si l’esprit d’équipe au sein des CA doit souvent être renforcé, il ne doit jamais devenir une fin en soi. Des chercheurs en psychologie sociale ont montré qu’un excès de cohésion au sein de toute forme d’instance collective est susceptible d’enclencher un processus de pensée de groupe (group thinking). Dans un CA, la pensée de groupe crée un biais qui fait en sorte que les administrateurs se sentent obligés d’atteindre à tout prix un consensus et, par conséquent, d’appuyer le point de vue qui obtient selon eux l’adhésion des autres membres, même s’ils sont personnellement en désaccord. Sous l’emprise de la pensée de groupe, les administrateurs sont alors susceptibles de prendre des décisions inopportunes ou déraisonnables dans la mesure où les pressions interpersonnelles affaiblissent leur discernement, leur compréhension de la réalité et leur sens de l’éthique. Des recherches ont d’ailleurs démontré que la cohésion parmi les membres des CA et la justesse de leurs décisions suivent une courbe en forme de U inversé : jusqu’à un certain seuil, la cohésion s’avère bénéfique aux décisions, mais au-delà de ce seuil, elle peut lui nuire.

Trois grands indicateurs permettent d’affirmer que la pensée de groupe est à l’œuvre au sein d’un CA. Tout d’abord, il arrive que les membres du CA exercent de fortes pressions entre eux pour obtenir l’unanimité : ils s’abstiennent d’exprimer des critiques, des doutes ou des objections, voire de simples questions, et font entorse à leurs principes personnels pour maintenir l’unité, peu importe le prix. Ces pressions sur les dissidents avérés ou potentiels peuvent provenir d’une culture d’autocensure ou de loyauté aveugle ; elles peuvent aussi être exercées par le chef de la direction ou par le président du CA lui-même, bien qu’il arrive parfois que des « gardiens de la pensée » autoproclamés dissimulent certaines informations divergentes ou s’érigent eux-mêmes en experts dont les autres membres du CA doivent suivre inconditionnellement les avis.

Deuxièmement, les administrateurs peuvent faire preuve d’étroitesse d’esprit, par exemple en exprimant des préjugés injustifiables ou en discréditant certaines parties prenantes (concurrents, investisseurs, analystes financiers, membres du personnel de l’organisation, représentants du gouvernement, etc.) dont les avis ne concordent pas avec les leurs. Il arrive aussi qu’ils tentent de justifier des décisions inconscientes ou désastreuses en les rationalisant de façon outrancière afin qu’elles paraissent cohérentes, réfléchies et judicieuses.

Enfin, les administrateurs peuvent surestimer leurs compétences, entretenir des illusions d’invulnérabilité (hubris) et croire aveuglément dans l’infaillibilité morale du CA ou de la direction de l’entreprise.

COMMENT ENTRETENIR L’ESPRIT D’ÉQUIPE SANS DÉRIVER VERS LA PENSÉE GROUPALE?

Le comportement du chef de la direction constitue le facteur par excellence du maintien d’un esprit d’équipe sain. Cette personne doit veiller à créer les conditions optimales et à offrir les ressources nécessaires (plages de discussion, information pertinente, compétences variées et complémentaires des administrateurs, ordres du jour privilégiant davantage l’avenir que le passé, préférence accordée à la franchise plutôt qu’au conformisme, etc.) afin que son CA apporte une valeur ajoutée à l’organisation, et ce, dans un climat de respect, de transparence et de confiance. En effet, l’état actuel des connaissances indique que le facteur de prédiction principal de l’apparition de la pensée groupale au sein d’un CA reste l’autoritarisme et l’arrogance d’un chef de la direction.

Ensuite, le choix du président d’un CA demeure crucial. Il doit savoir mettre à profit les forces de tout un chacun et se montrer diligent dans ses responsabilités en ce qui concerne une foule de questions (préparation des ordres du jour, conduite des réunions, attribution du droit de parole, recadrage des discussions, accueil des nouveaux membres du CA, imposition du huis clos, relations avec le chef de la direction, surveillance des cliques, évaluation du travail du CA et de ses membres, etc.). Évidemment, il faut sélectionner les administrateurs avec soin afin que ceux qui se joignent au CA le fassent pour des motifs valables et possèdent non seulement les savoirs, mais aussi et surtout, les savoir-faire et le savoir-être nécessaires pour contribuer de manière constructive et respectueuse aux discussions, sans que leurs intérêts personnels ou leur ego n’entrent en ligne de compte, dans l’intérêt du CA lui-même et de l’organisation.

En conclusion, le respect et la confiance au sein d’un CA ne se mesurent pas en fonction de l’absence de désaccords ou de l’obtention de consensus. Il faut garder à l’esprit que bien des gens ont naturellement tendance à se soumettre à une figure d’autorité hiérarchique. Lorsque la moindre dissension n’est pas tolérée, tous les membres d’un groupe finissent toujours par se conformer, sinon, on les invite à partir ou ils démissionnent. L’esprit d’équipe qui permet de créer une véritable plus-value collective ne peut survivre que dans un climat d’ouverture aux questionnements de fond, aux débats, aux conflits, etc.

______________________________________

*Sylvie St-Onge, Ph.D., ASC, CRHA Distinction Fellow, professeure titulaire, Département de management, HEC Montréal.

Top 10 des billets publiés sur Harvard Law School Forum au 29 juillet 2021


Voici, comme à l’habitude, le compte rendu hebdomadaire du forum de la Harvard Law School sur la gouvernance corporative au 29 juillet 2021.

Cette semaine, j’ai relevé les dix principaux billets.

Bonne lecture !

Harvard Law -Tesla's Governance Record & ESG | Blog | Truvalue Labs

  1. EESG Activism After ExxonMobil
  2. Corporate Governance in the Face of an Activist Investor
  3. Commenters Weigh in on SEC Climate Disclosures Request for Public Input
  4. SEC Increasingly Turns Focus Toward Strength of Cyber Risk Disclosures
  5. Connecting the Dots: Breaking the ESG Code
  6. Buybacks: Look Before You Leap
  7. Stewardship Excellence: ESG Engagement In 2021
  8. Voluntary Environmental and Social Disclosures
  9. Spotlight on Boards and Board Oversight of Business Strategy and Risk Management in a Post-Pandemic World
  10. Does Socially Responsible Investing Change Firm Behavior?

Ce que les entreprises doivent savoir sur les attaques de ransomware modernes et comment y répondre


Voici un sujet qui interpelle sérieusement les conseils d’administration et la responsabilité fiduciaire des administrateurs, notamment avec l’accroissement des activités liées à la cybercriminalité.

L’article a été publié par Antonia M. Apps et Adam Fee , associés de Milbank et Matthew Laroche, conseiller juridique spécial chez Milbank sur le Forum du HLS on Corporate Governance.

Les auteurs examinent les principales caractéristiques des ransomwares modernes que les entreprises devraient prendre en compte, notamment la façon dont les acteurs des ransomwares ciblent désormais des entreprises spécifiques, menaçant de publier les données les plus sensibles de leurs victimes en ligne, et collaborer avec d’autres cybercriminels pour accroître la sophistication des attaques.

Après avoir exploré les ransomwares modernes, l’article met l’accent sur des directives aux entreprises qui réagissent immédiatement après une attaque afin que celles-ci soient mieux placées pour contenir l’incident, reprendre leurs activités commerciales normales et évaluer de manière appropriée les risques juridiques et réglementaires.

Je vous invite à lire la version française de la publication effectuée par Google, que j’ai corrigée. Ce travail de correction est certainement encore perfectible, mais le résultat est très satisfaisant.

Bonne lecture !

What Companies Need to Know About Modern Ransomware Attacks and How to Respond

Cybercriminalité : les coûts des dégâts sous-estimés

 

Les ransomwares sont une menace de cybersécurité croissante et évolutive à laquelle sont confrontées les organisations du monde entier. En 2020, les attaques de ransomwares ont été multipliées par sept à la fin de l’année, avec plus de 17 000 appareils détectant les ransomwares chaque jour. [1] En tant que défi supplémentaire, les ransomwares sont plus sophistiqués que jamais avec des variantes modernes conçues pour infliger d’immenses dégâts et les auteurs exigeant des paiements plus élevés. Au cours des derniers mois seulement, les ransomwares ont provoqué des perturbations catastrophiques dans les activités commerciales de, entre autres, Colonial Pipeline, le géant de la transformation alimentaire JBS USA Holdings Inc. et le système national de santé irlandais. [2]

Les attaques réussies coûtent des millions de dollars aux entreprises, y compris les perturbations de l’activité, le coût du personnel, le coût des appareils, le coût du réseau, les opportunités perdues, les atteintes à la réputation et le paiement potentiel d’une rançon. [3] Les cybercriminels sont exigeants et gagnent de plus en plus d’argent, le paiement moyen des ransomwares par événement passant d’environ 115 000 $ en 2018 à plus de 300 000 $ en 2020 ; et la rançon la plus élevée payée a plus que doublé, passant de 5 millions de dollars entre 2015 et 2019 à 11 millions de dollars en 2021. [4] Les gouvernements, les forces de l’ordre et les organismes de réglementation en ont pris note, les entreprises étant confrontées à des pressions pour se préparer et répondre efficacement aux attaques de ransomware. [5]

Compte tenu de l’environnement actuel des menaces, il est essentiel que les entreprises qui cherchent à gérer leurs risques de cybersécurité comprennent comment les ransomwares ont évolué pour devenir l’une des menaces de cybersécurité les plus dommageables aujourd’hui. Les entreprises sont confrontées à un examen juridique, réglementaire et politique accru à la suite de ces attaques, ce qui oblige les entreprises à mettre en place des structures de gestion et des contrôles appropriés, sous la surveillance du conseil d’administration, afin d’anticiper et de traiter les dommages importants qui peuvent être causés à la suite d’une attaque de ransomware.

Ci-dessous, nous examinons les principales caractéristiques des ransomwares modernes que les entreprises devraient prendre en compte, notamment la façon dont les acteurs des ransomwares ciblent désormais des entreprises spécifiques, menaçant de publier les données les plus sensibles de leurs victimes en ligne, et collaborer avec d’autres cybercriminels pour accroître la sophistication des attaques. Après avoir exploré les ransomwares modernes, nous recommandons ensuite des directives aux entreprises qui réagissent immédiatement après une attaque afin que les entreprises soient les mieux placées pour contenir l’incident, reprendre leurs activités commerciales normales et évaluer de manière appropriée les risques juridiques et réglementaires.

Principales caractéristiques des ransomwares modernes

Les attaques de ransomwares opéraient traditionnellement en accédant à un système, généralement via des e-mails de phishing, puis en verrouillant ou cryptant automatiquement les données en recherchant les fichiers avec certaines extensions. Dans le passé, la plupart des acteurs des ransomwares utilisaient une approche « spray and please » ou « shotgun » dans laquelle les ransomwares étaient distribués sans discernement à la recherche d’une organisation vulnérable. Bien que ces attaques opportunistes aient connu plusieurs succès notables, en 2018, les organisations s’étaient largement adaptées à la menace en mettant en œuvre des mesures de cybersécurité et des plans de reprise après sinistre et de continuité des activités en réponse aux attaques. En conséquence, les ransomwares traditionnels ont eu moins de succès et ont été, pendant un certain temps, largement éclipsés par d’autres cybermenaces. [6]

Au cours des 18 derniers mois, cependant, les ransomwares sont revenus au premier plan du paysage des cybermenaces. Les attaques de ransomware modernes sont plus sophistiquées et dommageables à plusieurs égards. Premièrement, les acteurs modernes des ransomwares utilisent fréquemment une approche ciblée, connue sous le nom de « chasse au gros gibier » ou « attaques opérées par l’homme », dans laquelle le ransomware est conçu pour des victimes spécifiques. Avant même qu’une attaque ne soit lancée, les acteurs des ransomwares procèdent à un profilage approfondi des victimes. [7] Les acteurs des ransomwares sont devenus plus compétents pour le faire pour plusieurs raisons, notamment la disponibilité de bases de données et d’autres outils qui aident à identifier les victimes en fonction de leur emplacement, de leur secteur d’activité, de leur taille et de leurs revenus ; et des plateformes de communication anonymes qui permettent des interactions sécurisées et une collaboration accrue des groupes de cybercriminels. Après avoir identifié une victime et obtenu l’accès à leur réseau, les acteurs du ransomware passent un temps considérable (généralement des semaines ou des mois) à prendre le contrôle de sections du réseau avant d’exécuter le ransomware. En passant plus de temps dans le système ciblé, les cybercriminels peuvent se déplacer latéralement pour accéder à davantage de parties du réseau, identifier les données les plus sensibles stockées par la victime et infiltrer les sauvegardes critiques, ce qui rend plus difficile la récupération des victimes après une attaque.[8]

Deuxièmement, en conjonction avec le large accès aux données sensibles fourni par les attaques ciblées, les acteurs des ransomwares utilisent désormais la « double extorsion » dans laquelle le ransomware non seulement crypte les données de la victime, mais les exfiltre également du réseau de la victime. Cela donne aux cybercriminels une autre possibilité d’extorsion : si une victime ne paie pas la rançon, l’attaquant peut publier ou menacer de publier les données de la victime en ligne, vendre les données sur le dark web ou utiliser les données volées pour exploiter les vulnérabilités des systèmes associés. Les victimes sont confrontées à une pression importante pour payer des rançons dans ces circonstances, ce qui a entraîné une augmentation substantielle du montant des demandes de rançon et des paiements. [9]

Troisièmement, les attaques de ransomwares modernes sont souvent menées par plusieurs groupes collaborant sur différents aspects de l’infiltration. Un exemple est le modèle d’abonnement dit de ransomware-as-a-service (« RaaS »), dans lequel les développeurs de ransomware recherchent des affiliés pour mener des attaques et en échange reçoivent une part du produit. [dix]Dans ces scénarios, un groupe possède le ransomware et un ou plusieurs autres groupes contrôlent l’infrastructure compromise, ce qui permet aux cybercriminels d’utiliser des experts à chaque étape de l’attaque. Avec un accès plus large à un réseau de victimes, les cybercriminels sont également devenus plus efficaces pour monétiser différentes parties des actifs compromis. Par exemple, les acteurs des ransomwares peuvent choisir de déployer des ransomwares sur une partie d’un réseau victime tout en vendant l’accès à une autre, créant ainsi plusieurs sources de revenus pour la même attaque. [11] Cette dynamique rend également plus difficile pour les organisations de victimes d’évaluer la durée et l’étendue de la violation et d’identifier tous les auteurs.

Enfin, les acteurs modernes des ransomwares utilisent désormais généralement la crypto-monnaie comme méthode préférée de paiement des rançons. Dans le passé, les cybercriminels étaient contraints d’utiliser d’autres instruments financiers pour recevoir des paiements, tels que des plateformes de paiement par téléphone mobile ou des portefeuilles électroniques, localisés dans une région géographique particulière et/ou réglementés par les gouvernements. La crypto-monnaie, en revanche, contourne les réglementations et est capable de transférer de l’argent dans le monde entier, permettant aux cybercriminels d’initier des transferts d’argent transfrontaliers à haut volume de manière anonyme avec peu de risques.

Les acteurs modernes des ransomwares ont déployé certaines ou toutes les méthodes ci-dessus, obtenant plusieurs succès récents de grande envergure. Les exemples notables incluent :

DarkSide : Darkside est l’une des variantes de ransomware modernes les plus notoires et elle a fait des ravages dans le monde entier, infiltrant des organisations de divers secteurs dans plus de 15 pays. Introduit à l’origine en 2020 par un groupe de cyberhackers connu sous le nom de Carbon Spider, Darkside fonctionne comme un RaaS et utilise diverses méthodes pour obtenir un accès initial à son système cible, notamment via le phishing, l’exploitation du protocole RDP (« RDP ») et d’autres exploits . [12] Une fois que Darkside a infecté le réseau victime, il se déplace vers le contrôleur de domaine (un serveur qui vérifie les informations d’identification de l’utilisateur sur un réseau informatique), où il vole les informations d’identification et se déplace latéralement pour identifier d’autres actifs précieux à voler. Avant de lancer la charge utile du ransomware, Darkside exfiltre les fichiers critiques, en utilisant des sites de fuite basés sur TOR pour héberger les données volées. [13]

Le déploiement de Darkside le plus notoire a été l’attaque de mai 2021 contre Colonial Pipeline, une entreprise responsable de près de la moitié de l’approvisionnement en carburant de la côte est des États-Unis. [14] Darkside a utilisé une double extorsion en verrouillant les systèmes informatiques de Colonial Pipeline et en volant plus de 100 gigaoctets de données d’entreprise. [15] Cette attaque a provoqué une perturbation importante de la distribution de carburant aux États-Unis, et Colonial Pipeline a payé une rançon de 4,4 millions de dollars en bitcoins pour retrouver l’accès à ses systèmes. Le Federal Bureau of Investigation a ensuite récupéré une partie de la rançon en surveillant un registre bitcoin visible au public alors que les pirates transféraient la rançon bitcoin vers d’autres registres numériques, qui s’apparentent à des portefeuilles numériques personnels. Lorsqu’une partie importante de la rançon, environ 64 bitcoins, a été transférée à une adresse numérique pour laquelle le FBI avait obtenu une « clé privée » ( c’est -à- dire le mot de passe pour accéder à l’adresse), le FBI a obtenu un mandat de perquisition et a saisi le bitcoin . [16] D’autres victimes récentes de Darkside couvrent plusieurs secteurs, notamment les services financiers, le droit, la fabrication, les services professionnels, la vente au détail et la technologie. [17]

Nefilim : Nefilim a été identifié pour la première fois en mars 2020 et a été l’une des variantes les plus réussies pour violer les réseaux de victimes. Nefilim obtient généralement un accès initial à un réseau victime en exploitant des informations d’identification faibles sur le RDP exposé ou d’autres services connexes. Une fois à l’intérieur d’un réseau cible, les acteurs Nefilim téléchargent des outils administratifs supplémentaires pour faciliter les déplacements latéraux dans le réseau. Nefilim exfiltre ensuite les données, les publie sur des sites Web protégés par TOR et lance la charge utile du ransomware pour crypter le réseau de la victime. Au cours de la dernière année, Nefilim a publié en ligne environ deux téraoctets de données volées. [18]

Nefilim s’est distingué des autres familles de ransomwares en ciblant des entreprises dont le chiffre d’affaires annuel se chiffre en milliards de dollars. L’attaque la plus médiatisée de Nefilim a été dirigée contre l’organisation maritime australienne, Toll Group, en mai 2020. Toll Group aurait refusé de payer les demandes de rançon de Nefilim et, en conséquence, Nefilim a divulgué des données sensibles de Toll Group et a annoncé comment Toll Group pourrait être infiltré dans le futur. [19] Nefilim a également été identifié comme l’auteur d’un certain nombre d’autres attaques, notamment contre des victimes aux États-Unis, en Amérique du Sud, en Europe et en Asie.

REvil : REvil (également connu sous le nom de Sodinokibi) est apparu en 2019 et a commencé à cibler diverses industries aux États-Unis, en Australie, au Canada, en Finlande et à Hong Kong. Les variantes récentes de REvil accèdent généralement aux réseaux des victimes via des e-mails de spam malveillants, des vulnérabilités RDP et des sites Web compromis. Comme Darkside et Nefilim, après avoir eu accès au réseau des victimes, REvil utilise la double extorsion, dispose d’un site de fuite dédié à la publication de données sensibles et aurait tenté de mettre aux enchères des données volées en ligne. [20]

REvil a été identifié comme l’auteur de plusieurs attaques de ransomware très médiatisées, notamment (i) l’attaque de juin 2021 contre Grupo Fluery, une société brésilienne de diagnostic médical qui effectue environ 75 millions d’examens cliniques chaque année ; (ii) l’attaque de juin 2021 contre l’entreprise de transformation alimentaire JBS, qui a fermé des usines qui traitent environ un cinquième de l’approvisionnement en viande des États-Unis ; et (iii) l’attaque de mai 2020 contre le cabinet d’avocats Grubman Shire Meiselas & Sacks, qui aurait entraîné le vol de près d’un téraoctet de données client sensibles. [21] JBS a finalement payé à REvil 11 millions de dollars en crypto-monnaie pour protéger JBS contre d’autres interruptions d’activité, ce qui est le plus grand paiement de ransomware signalé publiquement à ce jour. [22]

Répondre à une attaque de ransomware moderne

À la lumière du récent succès des attaques de ransomwares modernes, nous nous attendons à ce que les ransomwares continuent de tourmenter les industries du monde entier dans les années à venir. Lorsqu’une attaque se produit, l’organisation victime doit agir de manière décisive pour contenir l’incident, et les premières 48 heures suivant l’attaque sont les plus critiques. Pendant ce temps, les organisations doivent agir rapidement pour évaluer l’attaque, isoler les systèmes affectés, identifier si les données sont récupérables via des fichiers de sauvegarde ou d’autres méthodes, et évaluer les risques juridiques et réglementaires, qui sont nombreux. Une organisation qui traite efficacement chacun de ces problèmes sera dans la position la plus forte possible pour reprendre ses activités normales et déterminer si elle doit ou non payer la rançon. Compte tenu de la sophistication des attaques de ransomware modernes,

Mobiliser l’équipe d’intervention en cas de violation: Les organisations doivent former une équipe pour coordonner la réponse à la violation. Idéalement, cette équipe avait déjà été identifiée et préparée bien avant que la violation ne se produise, et comprend la haute direction, la criminalistique, la sécurité de l’information, la technologie de l’information et les composants juridiques. À la lumière de la complexité des attaques de ransomware modernes, les organisations devraient envisager de faire appel à des enquêteurs judiciaires indépendants possédant une expertise en ransomware. Les organisations devraient également envisager sérieusement de retenir les services d’un avocat externe pour les guider dans la réponse aux incidents en vertu du secret professionnel de l’avocat, y compris les questions juridiques et réglementaires discutées ci-dessous. De plus, si l’organisation décide de faire appel à des enquêteurs médico-légaux indépendants, ces personnes devraient être retenues par un avocat externe pour préserver le privilège juridique de leur travail,

Évaluer les dommages: Les organisations doivent agir le plus rapidement possible pour évaluer l’ampleur de l’attaque. Cela inclut l’identification du ou des systèmes informatiques concernés, l’origine de l’attaque, la variante du ransomware ou tout autre logiciel malveillant utilisé pour infiltrer le système et toute connexion externe actuelle au système. Cette étape est plus compliquée lors de la réponse à une attaque de ransomware moderne car, comme décrit ci-dessus, l’attaque peut impliquer plusieurs cybercriminels qui ont passé des semaines ou des mois à se déplacer sur le réseau de la victime. Les organisations de victimes ne doivent pas supposer que l’identification de logiciels malveillants sur une section de leur système constitue l’intégralité de la violation. L’équipe d’intervention doit plutôt déterminer si ce logiciel malveillant a été utilisé dans le cadre d’une attaque de ransomware ciblée plus large. Si c’était,

Conserver les fichiers journaux : les fichiers journaux sont essentiels pour évaluer l’attaque par ransomware, et les organisations doivent prendre des mesures immédiates pour les préserver. Cela inclut l’augmentation de la taille par défaut des fichiers journaux sur les serveurs et la désactivation des tâches de maintenance automatisées telles que la suppression des fichiers temporaires et la rotation des journaux pour empêcher l’écrasement des journaux. Si la journalisation n’est pas activée sur un système affecté, l’organisation doit activer la journalisation immédiatement, ce qui peut également fournir des informations utiles à la suite de la violation.

Isoler et imager les systèmes affectés : Une fois les systèmes affectés identifiés, ils doivent être isolés. Ce processus comprend non seulement la suppression de ces systèmes du réseau lui-même, mais également la sécurisation des zones physiques potentiellement liées à la violation. Une fois que ces systèmes sont isolés, ils doivent également faire l’objet d’une image médico-légale, ce qui aidera à enquêter sur les origines et les causes de la violation. De plus, si l’organisation paie l’acteur du ransomware pour une clé de déchiffrement, il est possible que la clé contienne des bogues qui peuvent endommager les données pendant le processus de déchiffrement. Si cela se produit, l’image médico-légale peut être utilisée pour tenter de répéter le décryptage sans endommager les données d’origine.

Fichiers de sauvegarde sécurisés : la sécurisation des fichiers de sauvegarde le plus rapidement possible joue un rôle crucial dans la reprise rapide des opérations commerciales. Idéalement, au moins certains fichiers de sauvegarde sont stockés sur un réseau à vide que l’attaque n’a pas atteint et n’a pas pu atteindre. Dans la mesure où les fichiers de sauvegarde sont connectés au réseau infecté, les entreprises doivent déconnecter le stockage de sauvegarde du réseau et/ou verrouiller l’accès aux systèmes de sauvegarde jusqu’à ce que l’infection soit résolue. Ici encore, les organisations doivent agir avec prudence, car les attaques de ransomwares modernes ciblent spécifiquement les fichiers de sauvegarde pour empêcher délibérément une récupération rapide. De plus, étant donné que les attaques de ransomware modernes ont des délais plus longs, les entreprises doivent être prêtes à identifier et à récupérer les fichiers de sauvegarde qui sont considérablement antérieurs à la découverte de l’intrusion.

Évaluer les problèmes juridiques et réglementaires: Les organisations sont confrontées à une variété de considérations juridiques et réglementaires aux niveaux étatique, fédéral et, potentiellement, international suite à une attaque de ransomware, et bon nombre de ces problèmes doivent être résolus immédiatement. Selon l’organisation et le type de données compromises, l’attaque de ransomware peut déclencher un patchwork complexe d’exigences de notification légale, dont certaines ont des délais de notification courts. Par exemple, les États ont promulgué une législation exigeant la notification des atteintes à la sécurité impliquant des informations personnelles, certaines dans les 24 heures suivant la découverte du vol. De plus, la SEC a publié des directives concernant les divulgations à la suite d’une violation de la cybersécurité. Et le Règlement général sur la protection des données du Royaume-Uni impose aux organisations de signaler certaines violations de données personnelles dans les 72 heures, dans la mesure du possible. [23]

Les organisations doivent également se préparer aux enquêtes gouvernementales et aux litiges. Les secteurs réglementés tels que les soins de santé, la finance et les infrastructures critiques font régulièrement l’objet d’un examen minutieux après des cyberattaques de la part des autorités de réglementation et des procureurs généraux des États. Lorsque des données de consommateurs sont impliquées, les droits d’action privés en vertu des lois de l’État sur la protection des consommateurs peuvent conduire à des recours collectifs. Au-delà de cela, les organisations doivent également déterminer si elles doivent ou non payer la rançon, ce qui soulève une foule d’autres problèmes pratiques et juridiques. Le FBI conseille généralement aux entreprises de ne pas payer de rançon. L’Office of Foreign Assets Control (« OFAC ») du département du Trésor a déclaré que certains paiements de ransomware peuvent également constituer des violations des lois sur les sanctions économiques. Au-delà de l’OFAC, le paiement de la rançon peut impliquer les lois anti-blanchiment et le Patriot Act. En outre,[24] à New York, les législateurs ont également proposé une législation qui interdirait les paiements de ransomware par toute entité exerçant des activités à New York ou dans un établissement de santé réglementé par le ministère de la Santé de New York. [25] Comme nous l’avons indiqué, la participation précoce d’un conseiller juridique est importante pour évaluer toutes ces questions tout en préservant le privilège.


Compte tenu de la prolifération d’acteurs de ransomware sophistiqués à la recherche de primes de plus en plus importantes pour les données sensibles de l’entreprise, les entreprises doivent à la fois anticiper et être prêtes à répondre à l’attaque inévitable. En prenant les mesures décrites ici, les entreprises se mettront dans la meilleure position pour contenir la violation une fois qu’elle se produira, empêcher la perte de données supplémentaires, lancer le processus de récupération, limiter l’exposition légale et réglementaire et déterminer si elles doivent payer la rançon.

Notes de fin

Voir Fortinet, Global Threat Landscape Report : A Semiannual Report by FortiGuard Labs (février 2021), disponible sur https://www.fortinet.com/content/dam/maindam/public/02_marketing/08_Report/Global-TLR-2021 -2H.pdf .(retourner)

2 Collin Eaton et Dustin Volz, PDG de Colonial Pipeline, expliquent pourquoi il a payé une rançon de 4,4 millions de dollars aux pirates , Wall St. J. (19 mai 2021) ; Catherine Stupp, Le système de santé irlandais lutte contre les perturbations technologiques après l’attaque par ransomware de mai , Wall St. J. (18 juin 2021).(retourner)

Voir Dep’t of Health & Human Serv., Ransomware Trends 2021 à 11 (3 juin 2021), disponible sur https://www.hhs.gov/sites/default/files/ransomware-trends-2021.pdf.(retourner)

4 Palo Alto Networks, rapport sur les menaces de ransomware à 4 (2021) ; voir aussi Jacob Bunge, JBS Paid $11 Million to Resolve Ransomware Attack , Wall St. J. (9 juin 2021).(retourner)

Voir, par exemple , Communiqué de presse, Sénateur américain Jackie Rosen, Rosen Leads Bipartisan Group of Senators to Reintroduce Bipartisan Electric Grid Security Legislation (24 juin 2021) ; Communiqué de presse, Féd. Bureau of Investigation, Déclaration du FBI sur les récentes attaques de ransomware (4 juin 2021) ; Communiqué de presse, Dep’t of Homeland Security, DHS annonce de nouvelles exigences en matière de cybersécurité pour les propriétaires et exploitants de pipelines critiques (27 mai 2021).(retourner)

6 Magno Logan, Erika Mendoza, et al., The State of Ransomware: 2020’s Catch-22 (3 février 2021), disponible sur https://www.trendmicro.com/vinfo/us/security/news/cybercrime- and-digital-menaces/the-state-of-ransomware-2020-s-catch-22 .(retourner)

7 Mayra Fuentes, Feike Hacquebord et al., Modern Ransomware’s Double Extorsion Tactics and How to Protect Enterprises Against Them at 9 (2021), disponible sur https://documents.trendmicro.com/assets/white_papers/wp-modern-ransomwares -double-extorsion-tactiques.pdf .(retourner)

Id. Certains acteurs de ransomware incluent une troisième couche d’extorsion en ajoutant des attaques par déni de service (« DDoS ») contre les sites Web des victimes, qui peuvent submerger un réseau de trafic, provoquant une interruption supplémentaire des opérations. D’autres ont même ajouté une quatrième couche d’extorsion en contactant directement les clients d’une victime dans le but d’augmenter la pression sur la victime pour qu’elle paie. Voir Janus Agcaoili, Miguel Ang et al., Ransomware Double Extortion and Beyond : REvil, Clop et Conti (15 juin 2021), disponible sur https://www.trendmicro.com/vinfo/dk/security/news/ cybercriminalité-et-menaces-numériques/ransomware-double-extorsion-and-beyond-revil-clop-and-conti .(retourner)

Voir le rapport Palo Alto, supra note 4, p. 4.(retourner)

10 Voir Fuentes et al., supra note 7, à 6.(retourner)

11 Bob McArdle, The Life Cycle of a Compromised (Cloud) Server, Trend Micro (1er septembre 2020), disponible sur https://blog.trendmicro.com/the-lifecycle-of-a-compromised-cloud-server .(retourner)

12 Voir, par exemple , Cybersecurity Infrastructure & Sec. Agency (« CISA »), Darkside Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks (30 mai 2021), disponible sur https://us-cert.cisa.gov/ncas/alerts/aa21-131a . TOR est un logiciel gratuit qui permet des communications anonymes sur Internet.(retourner)

13 Id.(retourner)

14 Id.(retourner)

15 Jordan Robertson & William Turton, Colonial Hackers Stole Data Thursday Ahead of Shutdown , Bloomberg (8 mai 2021), disponible sur https://www.bloomberg.com/news/articles/2021-05-09/colonial-hackers- volé-données-jeudi-avant-l’arrêt-du-pipeline .(retourner)

16 Communiqué de presse, US Dep’t of Justice, Department of Justice saisit 2,3 millions de dollars en crypto-monnaie payés aux ransomwares Extortionists Darkside (7 juin 2021).(retourner)

17 Shining a Light on Darkside Ransomware Operations, Fireeye (11 mai 2021), disponible sur https://www.fireeye.com/blog/threat-research/2021/05/shining-a-light-on-darkside-ransomware -opérations.html .(retourner)

18 Voir Fuentes et al., supra note 7.(retourner)

19 Ry Crozier, Toll Group peut avoir perdu plus de 200 Go de données lors d’une attaque de ransomware , IT News (20 mai 2020).(retourner)

20 Phil Muncaster, REvil Ransomware Group Auctions Stolen Data , Info Security Group (3 juin 2020), disponible sur https://www.infosecurity-magazine.com/news/revil-ransomware-group-auctions .(retourner)

21 Lawrence Abrams, Healthcare Giant Grupo Fleury Hit By REvil Ransomware Attack , BleepingComputer (23 juin 2021), disponible sur https://www.bleepingcomputer.com/news/security/healthcare-giant-grupo-fleury-hit-by- attaque-revil-ransomware/ ; Communiqué de presse, Féd. Bureau of Investigation, Déclaration du FBI sur la cyberattaque JBS (2 juin 2021).(retourner)

22 Voir Bunge, supra note 4.(retourner)

23 Voir S. 645, 117e Cong. (2021), disponible sur https://dd80b675424c132b90b3-e48385e382d2e5d17821a5e1d8e4c86b.ssl.cf1.rackcdn.com/external/warnerrubiodraftbill.pdf(retourner)

24 Voir, par exemple , Doug Olenick, Should Paying Ransoms to Attackers Be Banned, Data Breach (24 mai 2021) ; Cynthia Brumfield, Four States Propose Laws to Ban Ransomware Payments , CSO (28 juin 2021), disponible sur https://www.csoonline.com/article/3622888/four-states-propose-laws-to-ban-ransomware- paiements.html .(retourner)

25 N.YS 6806, 2021-2022 Sess. (18 mai 2021), disponible sur https://www.nysenate.gov/legislation/bills/2021/s6806 .(retourner)

L’évaluation du CA, des comités et des administrateurs | en rappel


Les conseils d’administration sont de plus en plus confrontés à l’exigence d’évaluer l’efficacité de leur fonctionnement par le biais d’une évaluation annuelle du CA, des comités et des administrateurs.

En fait, le NYSE exige depuis dix ans que les conseils procèdent à leur évaluation et que les résultats du processus soient divulgués aux actionnaires. Également, les investisseurs institutionnels et les activistes demandent de plus en plus d’informations au sujet du processus d’évaluation.

Les résultats de l’évaluation peuvent être divulgués de plusieurs façons, notamment dans les circulaires de procuration et sur le site de l’entreprise.

L’article publié par John Olson, associé fondateur de la firme Gibson, Dunn & Crutcher, professeur invité à Georgetown Law Center, et paru sur le forum du Harvard Law School, présente certaines approches fréquemment utilisées pour l’évaluation du CA, des comités et des administrateurs.

On recommande de modifier les méthodes et les paramètres de l’évaluation à chaque trois ans afin d’éviter la routine susceptible de s’installer si les administrateurs remplissent les mêmes questionnaires, gérés par le président du conseil. De plus, l’objectif de l’évaluation est sujet à changement (par exemple, depuis une décennie, on accorde une grande place à la cybersécurité).

C’est au comité de gouvernance que revient la supervision du processus d’évaluation du conseil d’administration. L’article décrit quatre méthodes fréquemment utilisées.

(1) Les questionnaires gérés par le comité de gouvernance ou une personne externe

(2) les discussions entre administrateurs sur des sujets déterminés à l’avance

(3) les entretiens individuels avec les administrateurs sur des thèmes précis par le président du conseil, le président du comité de gouvernance ou un expert externe.

(4) L’évaluation des contributions de chaque administrateur par la méthode d’auto-évaluation et par l’évaluation des pairs.

Chaque approche a ses particularités et la clé est de varier les façons de faire périodiquement. On constate également que beaucoup de sociétés cotées utilisent les services de spécialistes pour les aider dans leurs démarches.

Évaluer le conseil d'administration

La quasi-totalité des entreprises du S&P 500 divulgue le processus d’évaluation utilisé pour améliorer leur efficacité. L’article présente deux manières de diffuser les résultats du processus d’évaluation.

(1) Structuré, c’est-à-dire un format qui précise — qui évalue quoi ; la fréquence de l’évaluation ; qui supervise les résultats ; comment le CA a-t-il agi eu égard aux résultats de l’opération d’évaluation.

(2) Information axée sur les résultats — les grandes conclusions ; les facteurs positifs et les points à améliorer ; un plan d’action visant à corriger les lacunes observées.

Notons que la firme de services aux actionnaires ISS (Institutional Shareholder Services) utilise la qualité du processus d’évaluation pour évaluer la robustesse de la gouvernance des sociétés. L’article présente des recommandations très utiles pour toute personne intéressée par la mise en place d’un système d’évaluation du CA et par sa gestion.

Voici trois articles parus sur mon blogue qui abordent le sujet de l’évaluation :

L’évaluation des conseils d’administration et des administrateurs | Sept étapes à considérer

Quels sont les devoirs et les responsabilités d’un CA ?  (la section qui traite des questionnaires d’évaluation du rendement et de la performance du conseil)

Évaluation des membres de Conseils

Bonne lecture !

Getting the Most from the Evaluation Process

More than ten years have passed since the New York Stock Exchange (NYSE) began requiring annual evaluations for boards of directors and “key” committees (audit, compensation, nominating/governance), and many NASDAQ companies also conduct these evaluations annually as a matter of good governance. [1] With boards now firmly in the routine of doing annual evaluations, one challenge (as with any recurring activity) is to keep the process fresh and productive so that it continues to provide the board with valuable insights. In addition, companies are increasingly providing, and institutional shareholders are increasingly seeking, more information about the board’s evaluation process. Boards that have implemented a substantive, effective evaluation process will want information about their work in this area to be communicated to shareholders and potential investors. This can be done in a variety of ways, including in the annual proxy statement, in the governance or investor information section on the corporate website, and/or as part of shareholder engagement outreach.

To assist companies and their boards in maximizing the effectiveness of the evaluation process and related disclosures, this post provides an overview of several frequently used methods for conducting evaluations of the full board, board committees and individual directors. It is our experience that using a variety of methods, with some variation from year to year, results in more substantive and useful evaluations. This post also discusses trends and considerations relating to disclosures about board evaluations. We close with some practical tips for boards to consider as they look ahead to their next annual evaluation cycle.

Common Methods of Board Evaluation

As a threshold matter, it is important to note that there is no one “right” way to conduct board evaluations. There is room for flexibility, and the boards and committees we work with use a variety of methods. We believe it is good practice to “change up” the board evaluation process every few years by using a different format in order to keep the process fresh. Boards have increasingly found that year-after-year use of a written questionnaire, with the results compiled and summarized by a board leader or the corporate secretary for consideration by the board, becomes a routine exercise that produces few new insights as the years go by. This has been the most common practice, and it does respond to the NYSE requirement, but it may not bring as much useful information to the board as some other methods.

Doing something different from time to time can bring new perspectives and insights, enhancing the effectiveness of the process and the value it provides to the board. The evaluation process should be dynamic, changing from time to time as the board identifies practices that work well and those that it finds less effective, and as the board deals with changing expectations for how to meet its oversight duties. As an example, over the last decade there have been increasing expectations that boards will be proactive in oversight of compliance issues and risk (including cyber risk) identification and management issues.

Three of the most common methods for conducting a board or committee evaluation are: (1) written questionnaires; (2) discussions; and (3) interviews. Some of the approaches outlined below reflect a combination of these methods. A company’s nominating/governance committee typically oversees the evaluation process since it has primary responsibility for overseeing governance matters on behalf of the board.

1. Questionnaires

The most common method for conducting board evaluations has been through written responses to questionnaires that elicit information about the board’s effectiveness. The questionnaires may be prepared with the assistance of outside counsel or an outside advisor with expertise in governance matters. A well-designed questionnaire often will address a combination of substantive topics and topics relating to the board’s operations. For example, the questionnaire could touch on major subject matter areas that fall under the board’s oversight responsibility, such as views on whether the board’s oversight of critical areas like risk, compliance and crisis preparedness are effective, including whether there is appropriate and timely information flow to the board on these issues. Questionnaires typically also inquire about whether board refreshment mechanisms and board succession planning are effective, and whether the board is comfortable with the senior management succession plan. With respect to board operations, a questionnaire could inquire about matters such as the number and frequency of meetings, quality and timeliness of meeting materials, and allocation of meeting time between presentation and discussion. Some boards also consider their efforts to increase board diversity as part of the annual evaluation process.

Many boards review their questionnaires annually and update them as appropriate to address new, relevant topics or to emphasize particular areas. For example, if the board recently changed its leadership structure or reallocated responsibility for a major subject matter area among its committees, or the company acquired or started a new line of business or experienced recent issues related to operations, legal compliance or a breach of security, the questionnaire should be updated to request feedback on how the board has handled these developments. Generally, each director completes the questionnaire, the results of the questionnaires are consolidated, and a written or verbal summary of the results is then shared with the board.

Written questionnaires offer the advantage of anonymity because responses generally are summarized or reported back to the full board without attribution. As a result, directors may be more candid in their responses than they would be using another evaluation format, such as a face-to-face discussion. A potential disadvantage of written questionnaires is that they may become rote, particularly after several years of using the same or substantially similar questionnaires. Further, the final product the board receives may be a summary that does not pick up the nuances or tone of the views of individual directors.

In our experience, increasingly, at least once every few years, boards that use questionnaires are retaining a third party, such as outside counsel or another experienced facilitator, to compile the questionnaire responses, prepare a summary and moderate a discussion based on the questionnaire responses. The desirability of using an outside party for this purpose depends on a number of factors. These include the culture of the board and, specifically, whether the boardroom environment is one in which directors are comfortable expressing their views candidly. In addition, using counsel (inside or outside) may help preserve any argument that the evaluation process and related materials are privileged communications if, during the process, counsel is providing legal advice to the board.

In lieu of asking directors to complete written questionnaires, a questionnaire could be distributed to stimulate and guide discussion at an interactive full board evaluation discussion.

2. Group Discussions

Setting aside board time for a structured, in-person conversation is another common method for conducting board evaluations. The discussion can be led by one of several individuals, including: (a) the chairman of the board; (b) an independent director, such as the lead director or the chair of the nominating/governance committee; or (c) an outside facilitator, such as a lawyer or consultant with expertise in governance matters. Using a discussion format can help to “change up” the evaluation process in situations where written questionnaires are no longer providing useful, new information. It may also work well if there are particular concerns about creating a written record.

Boards that use a discussion format often circulate a list of discussion items or topics for directors to consider in advance of the meeting at which the discussion will occur. This helps to focus the conversation and make the best use of the time available. It also provides an opportunity to develop a set of topics that is tailored to the company, its business and issues it has faced and is facing. Another approach to determining discussion topics is to elicit directors’ views on what should be covered as part of the annual evaluation. For example, the nominating/governance could ask that each director select a handful of possible topics for discussion at the board evaluation session and then place the most commonly cited topics on the agenda for the evaluation.

A discussion format can be a useful tool for facilitating a candid exchange of views among directors and promoting meaningful dialogue, which can be valuable in assessing effectiveness and identifying areas for improvement. Discussions allow directors to elaborate on their views in ways that may not be feasible with a written questionnaire and to respond in real time to views expressed by their colleagues on the board. On the other hand, they do not provide an opportunity for anonymity. In our experience, this approach works best in boards with a high degree of collegiality and a tradition of candor.

3. Interviews

Another method of conducting board evaluations that is becoming more common is interviews with individual directors, done in-person or over the phone. A set of questions is often distributed in advance to help guide the discussion. Interviews can be done by: (a) an outside party such as a lawyer or consultant; (b) an independent director, such as the lead director or the chair of the nominating/governance committee; or (c) the corporate secretary or inside counsel, if directors are comfortable with that. The party conducting the interviews generally summarizes the information obtained in the interview process and may facilitate a discussion of the information obtained with the board.

In our experience, boards that have used interviews to conduct their annual evaluation process generally have found them very productive. Directors have observed that the interviews yielded rich feedback about the board’s performance and effectiveness. Relative to other types of evaluations, interviews are more labor-intensive because they can be time-consuming, particularly for larger boards. They also can be expensive, particularly if the board retains an outside party to conduct the interviews. For these reasons, the interview format generally is not one that is used every year. However, we do see a growing number of boards taking this path as a “refresher”—every three to five years—after periods of using a written questionnaire, or after a major event, such as a corporate crisis of some kind, when the board wants to do an in-depth “lessons learned” analysis as part of its self-evaluation. Interviews also offer an opportunity to develop a targeted list of questions that focuses on issues and themes that are specific to the board and company in question, which can contribute further to the value derived from the interview process.

For nominating/governance committees considering the use of an interview format, one key question is who will conduct the interviews. In our experience, the most common approach is to retain an outside party (such as a lawyer or consultant) to conduct and summarize interviews. An outside party can enhance the effectiveness of the process because directors may be more forthcoming in their responses than they would if another director or a member of management were involved.

Individual Director Evaluations

Another practice that some boards have incorporated into their evaluation process is formal evaluations of individual directors. In our experience, these are not yet widespread but are becoming more common. At companies where the nominating/governance committee has a robust process for assessing the contributions of individual directors each year in deciding whether to recommend them for renomination to the board, the committee and the board may conclude that a formal evaluation every year is unnecessary. Historically, some boards have been hesitant to conduct individual director evaluations because of concerns about the impact on board collegiality and dynamics. However, if done thoughtfully, a structured process for evaluating the performance of each director can result in valuable insights that can strengthen the performance of individual directors and the board as a whole.

As with board and committee evaluations, no single “best practice” has emerged for conducting individual director evaluations, and the methods described above can be adapted for this purpose. In addition, these evaluations may involve directors either evaluating their own performance (self-evaluations), or evaluating their fellow directors individually and as a group (peer evaluations). Directors may be more willing to evaluate their own performance than that of their colleagues, and the utility of self-evaluations can be enhanced by having an independent director, such as the chairman of the board or lead director, or the chair of the nominating/governance committee, provide feedback to each director after the director evaluates his or her own performance. On the other hand, peer evaluations can provide directors with valuable, constructive comments. Here, too, each director’s evaluation results typically would be presented only to that director by the chairman of the board or lead director, or the chair of the nominating/governance committee. Ultimately, whether and how to conduct individual director evaluations will depend on a variety of factors, including board culture.

Disclosures about Board Evaluations

Many companies discuss the board evaluation process in their corporate governance guidelines. [2] In addition, many companies now provide disclosure about the evaluation process in the proxy statement, as one element of increasingly robust proxy disclosures about their corporate governance practices. According to the 2015 Spencer Stuart Board Index, all but 2% of S&P 500 companies disclose in their proxy statements, at a minimum, that they conduct some form of annual board evaluation.

In addition, institutional shareholders increasingly are expressing an interest in knowing more about the evaluation process at companies where they invest. In particular, they want to understand whether the board’s process is a meaningful one, with actionable items emerging from the evaluation process, and not a “check the box” exercise. In the United Kingdom, companies must report annually on their processes for evaluating the performance of the board, its committees and individual directors under the UK Corporate Governance Code. As part of the code’s “comply or explain approach,” the largest companies are expected to use an external facilitator at least every three years (or explain why they have not done so) and to disclose the identity of the facilitator and whether he or she has any other connection to the company.

In September 2014, the Council of Institutional Investors issued a report entitled Best Disclosure: Board Evaluation (available here), as part of a series of reports aimed at providing investors and companies with approaches to and examples of disclosures that CII considers exemplary. The report recommended two possible approaches to enhanced disclosure about board evaluations, identified through an informal survey of CII members, and included examples of disclosures illustrating each approach. As a threshold matter, CII acknowledged in the report that shareholders generally do not expect details about evaluations of individual directors. Rather, shareholders “want to understand the process by which the board goes about regularly improving itself.” According to CII, detailed disclosure about the board evaluation process can give shareholders a “window” into the boardroom and the board’s capacity for change.

The first approach in the CII report focuses on the “nuts and bolts” of how the board conducts the evaluation process and analyzes the results. Under this approach, a company’s disclosures would address: (1) who evaluates whom; (2) how often the evaluations are done; (3) who reviews the results; and (4) how the board decides to address the results. Disclosures under this approach do not address feedback from specific evaluations, either individually or more generally, or conclusions that the board has drawn from recent self-evaluations. As a result, according to CII, this approach can take the form of “evergreen” proxy disclosure that remains similar from year to year, unless the evaluation process itself changes.

The second approach focuses more on the board’s most recent evaluation. Under this approach, in addition to addressing the evaluation process, a company’s disclosures would provide information about “big-picture, board-wide findings and any steps for tackling areas identified for improvement” during the board’s last evaluation. The disclosures would identify: (1) key takeaways from the board’s review of its own performance, including both areas where the board believes it functions effectively and where it could improve; and (2) a “plan of action” to address areas for improvement over the coming year. According to CII, this type of disclosure is more common in the United Kingdom and other non-U.S. jurisdictions.

Also reflecting a greater emphasis on disclosure about board evaluations, proxy advisory firm Institutional Shareholder Services Inc. (“ISS”) added this subject to the factors it uses in evaluating companies’ governance practices when it released an updated version of “QuickScore,” its corporate governance benchmarking tool, in Fall 2014. QuickScore views a company as having a “robust” board evaluation policy where the board discloses that it conducts an annual performance evaluation, including evaluations of individual directors, and that it uses an external evaluator at least every three years (consistent with the approach taken in the UK Corporate Governance Code). For individual director evaluations, it appears that companies can receive QuickScore “credit” in this regard where the nominating/governance committee assesses director performance in connection with the renomination process.

What Companies Should Do Now

As noted above, there is no “one size fits all” approach to board evaluations, but the process should be viewed as an opportunity to enhance board, committee and director performance. In this regard, a company’s nominating/governance committee and board should periodically assess the evaluation process itself to determine whether it is resulting in meaningful takeaways, and whether changes are appropriate. This includes considering whether the board would benefit from trying new approaches to the evaluation process every few years.

Factors to consider in deciding what evaluation format to use include any specific objectives the board seeks to achieve through the evaluation process, aspects of the current evaluation process that have worked well, the board’s culture, and any concerns directors may have about confidentiality. And, we believe that every board should carefully consider “changing up” the evaluation process used from time to time so that the exercise does not become rote. What will be the most beneficial in any given year will depend on a variety of factors specific to the board and the company. For the board, this includes considerations of board refreshment and tenure, and developments the board may be facing, such as changes in board or committee leadership.  Factors relevant to the company include where the company is in its lifecycle, whether the company is in a period of relative stability, challenge or transformation, whether there has been a significant change in the company’s business or a senior management change, whether there is activist interest in the company and whether the company has recently gone through or is going through a crisis of some kind. Specific items that nominating/governance committees could consider as part of maintaining an effective evaluation process include:

  1. Revisit the content and focus of written questionnaires. Evaluation questionnaires should be updated each time they are used in order to reflect significant new developments, both in the external environment and internal to the board.
  2. “Change it up.”  If the board has been using the same written questionnaire, or the same evaluation format, for several years, consider trying something new for an upcoming annual evaluation. This can bring renewed vigor to the process, reengage the participants, and result in more meaningful feedback.
  3. Consider whether to bring in an external facilitator. Boards that have not previously used an outside party to assist in their evaluations should consider whether this would enhance the candor and overall effectiveness of the process.
  4. Engage in a meaningful discussion of the evaluation results. Unless the board does its evaluation using a discussion format, there should be time on the board’s agenda to discuss the evaluation results so that all directors have an opportunity to hear and discuss the feedback from the evaluation.
  5. Incorporate follow-up into the process. Regardless of the evaluation method used, it is critical to follow up on issues and concerns that emerge from the evaluation process. The process should include identifying concrete takeaways and formulating action items to address any concerns or areas for improvement that emerge from the evaluation. Senior management can be a valuable partner in this endeavor, and should be briefed as appropriate on conclusions reached as a result of the evaluation and related action items. The board also should consider its progress in addressing these items.
  6. Revisit disclosures.  Working with management, the nominating/governance committee and the board should discuss whether the company’s proxy disclosures, investor and governance website information and other communications to shareholders and potential investors contain meaningful, current information about the board evaluation process.

Endnotes:

[1] See NYSE Rule 303A.09, which requires listed companies to adopt and disclose a set of corporate governance guidelines that must address an annual performance evaluation of the board. The rule goes on to state that “[t]he board should conduct a self-evaluation at least annually to determine whether it and its committees are functioning effectively.” See also NYSE Rules 303A.07(b)(ii), 303A.05(b)(ii) and 303A.04(b)(ii) (requiring annual evaluations of the audit, compensation, and nominating/governance committees, respectively).
(go back)

[2] In addition, as discussed in the previous note, NYSE companies are required to address an annual evaluation of the board in their corporate governance guidelines.
(go back)

______________________________

*John Olson is a founding partner of the Washington, D.C. office at Gibson, Dunn & Crutcher LLP and a visiting professor at the Georgetown Law Center.

Qui s’intéresse au nombre de CA auxquels les administrateurs siègent ?


Voici un article, auquel j’ai collaboré, qui a été publié sur le blogue Gouvernail de Joanne Desjardins dans le journal les affaires.

L’auteure aborde un sujet sensible dans le monde de la gouvernance. Elle pose de vraies questions sur les responsabilités des acteurs de la gouvernance, qui ont une réelle incidence sur le renouvellement des CA.

Comment assurer une plus grande diversité dans les conseils d’administration, si les systèmes de gouvernance en vigueur dans les entreprises autorisent leurs PDG à siéger à plusieurs conseils d’administration ?

Quelle attention les comités de recrutement accordent-ils aux candidats siégeant à plusieurs conseils d’administration ?

En quoi le fait de siéger à plusieurs CA, souvent avec les mêmes administrateurs, et pour de longues périodes, porte-t-il atteinte à l’indépendance requise de fiduciaire ?

Je vous invite à lire cet article ; vos commentaires sont les bienvenus.

Bonne lecture !

Quand siéger à trop de CA, c’est trop !

 

Responsabilités des administrateurs : organismes de bienfaisance enregistrés non incorporés | Éducaloi

 

Qui, concrètement, s’intéresse au nombre de CA auxquels les administrateurs siègent ?

D’abord, les comités de gouvernance et les présidents des conseils qui ont la responsabilité de s’assurer de l’efficacité de la conduite des affaires du CA, dans l’exécution de leur rôle de fiduciaire. C’est donc souvent le CA lui-même qui doit avoir ces préoccupations, et qui peut imposer ses propres règles.

Ensuite, les investisseurs institutionnels sont de plus en plus préoccupés par la participation d’administrateurs à un trop grand nombre de CA. En effet, ils sont d’avis que la capacité des administrateurs à s’acquitter efficacement de leurs fonctions s’en trouve affectée si ceux-ci siègent à plusieurs CA. En plus des autres engagements professionnels, la fonction d’administrateur est très accaparante, notamment pour les PDG. La disponibilité est un critère essentiel pour un administrateur qui exerce son rôle de fiduciaire avec sérieux.

Enfin, les firmes de conseil en votation telles que Institutional Shareholder Services (ISS) et Glass Lewis recommandent aux actionnaires de s’abstenir de voter en faveur des administrateurs siégeant à un trop grand nombre de CA de sociétés inscrites en bourse.

Qu’entend-on par un trop grand nombre de CA ? On constate, depuis plusieurs années, que les organisations imposent des limites aux nombres et aux durées des mandats d’administrateurs, l’objectif étant de refléter le lien direct entre l’engagement en termes de temps et la performance.

Plusieurs CA et investisseurs institutionnels, soucieux de prendre les mesures raisonnables pour que les administrateurs puissent consacrer suffisamment de temps à leurs fonctions, appliquent les principes directeurs suivants lorsqu’ils analysent les candidatures d’administrateurs :

  • Pour ce qui est des candidats occupant un poste de chef de la direction (PDG) ou un autre poste de haute direction dans une société́ ouverte, on privilégie généralement des candidats siégeant à un maximum de deux (2) conseils d’administration de sociétés ouvertes (y compris celui du candidat) ;
  • Pour ce qui est des autres candidats, on privilégie les candidats siégeant à un maximum de cinq (5) conseils d’administration de sociétés ouvertes (y compris celui de l’entreprise visée).

 

Dans cette optique, le nombre de CA auxquels un administrateur siège devrait-il être davantage limité afin d’éviter le phénomène du « Director overboarding » ? Les autorités des marchés financiers au Canada ne fournissent pas de directives précises sur le nombre maximum de CA auxquels un administrateur devrait siéger. On note qu’il y a encore beaucoup de latitude laissée aux administrateurs. Tout au plus, les autorités réglementaires recommandent-elles la divulgation dans les rapports aux actionnaires.

Mentionnons que les CA de sociétés ouvertes affiliées ou autrement reliées entre elles sont souvent considérés comme un seul CA. Certains CA imposent une limite aux membres de comité. Par exemple, certaines entreprises prescrivent qu’un administrateur siégeant au comité d’audit ne devrait pas siéger à plus de trois autres comités d’audit de sociétés publiques.

Évidemment, les limites précitées ne tiennent pas compte de l’implication des administrateurs au sein des CA d’organisations à but non lucratif (OBNL). Les administrateurs bénévoles qui sont très engagés dans la mission de ces organisations n’ont souvent pas la disponibilité nécessaire pour participer efficacement aux travaux requis.

Certaines entreprises demandent à ce que les administrateurs les informent avant d’accepter un poste d’administrateur. Le CA, sous la loupe du comité de gouvernance, évalue alors, de concert avec le président du CA, si l’engagement sollicité par l’administrateur risque de nuire à l’exercice d’un jugement indépendant en le plaçant en situation de conflit d’intérêts, et s’il demeure apte à remplir ses fonctions d’administrateur.

À l’heure où nous assistons à la professionnalisation de la fonction d’administrateur, il n’est pas rare de constater qu’un administrateur cumule plusieurs CA. Certains administrateurs monopolisent le peu de sièges disponibles limitant ainsi la capacité de diversifier les CA. En effet, on constate une propension des administrateurs à se nommer entre eux. Cette pratique a tendance à créer un cercle fermé d’initiés limitant ainsi la capacité des CA à se renouveler et à se diversifier. Or, les attentes envers les administrateurs ne font que s’accroître ainsi que les responsabilités liées au travail sur les comités du conseil.

Siéger à un CA est un privilège et non un droit. Un privilège duquel découle un devoir de fiduciaire ainsi qu’un engagement appréciable en termes de temps. Ce privilège doit être exercé avec circonspection. Un CA performant adopte des pratiques de gouvernance exemplaires et il s’assure de la pleine disponibilité des administrateurs, ainsi que de la diversité de profil de ceux-ci.

_________________________________

Cet article a été rédigé en collaboration avec Marie-France Veilleux, conseillère exécutive et Jacques Grisé, aviseur chez Brio, boutique de management.

 

%d blogueueurs aiment cette page :