CIO : 5 erreurs
Nous avons déjà vécu la durabilité numérique. Ca s'appelait la cybersécurité.
CIO : 5 erreurs
Les centres de données représentent déjà près de la moitié de notre empreinte informatique. L'intelligence artificielle pourrait faire grimper leur consommation d'énergie de 15 % à 50 % d'ici 2030. Et dans aucun des comités de direction avec lesquels j'ai discuté, personne n'a réellement été tenu responsable de ce chiffre.
On refait, une par une, les erreurs qu'on a mis dix ans à corriger en cybersécurité. Je les ai commises. Vous en commettez sans doute deux ou trois. En voici cinq.
Erreur n° 1
On répond par la sensibilisation
J'ai financé des ateliers de sensibilisation. Un poster, une formation en ligne, une charte signée par tout le monde lu par personne. Ça ne coûte rien et ça ne dérange personne, et c'est justement pour ça que ça ne marche pas.
La cyber a perdu des années avec les campagnes anti-phishing avant de comprendre qu'un collaborateur formé ne compense jamais un serveur jamais patché.
Le carbone a le même problème, en pire : ici, ce n'est même pas une question de comportement individuel, c'est une question d'architecture que personne n'a jamais demandé aux équipes de changer.
C'est une question d'architecture que personne n'a jamais demandé aux équipes de changer.
Erreur n° 2
On se fixe une trajectoire sans avoir mesuré le point de départ
Nous annonçons un objectif : une réduction de 30 % d'ici 2030, par exemple, sans jamais avoir mesuré le point de départ.
Ce n'est pas une stratégie. C'est un vœu pieux déguisé en objectif.
Je l'ai vu en comité : personne ne pose la question qui fâche, « Par rapport à quoi ? », car personne n'a envie d'entendre la réponse.
Personne ne pose la question « Par rapport à quoi ? », car personne ne veut entendre la réponse.
Erreur n° 3
On empile des bonnes pratiques sans jamais chiffrer leur effet
Éco-conception, cloud responsable, sobriété des usages : les actions sont lancées, mais personne ne mesure ce qu'elles rapportent.
Un an après, zéro preuve de progrès.
La ligne budgétaire saute au premier arbitrage, et elle a raison de sauter : on ne finance pas indéfiniment ce qu'on ne sait pas prouver.
Erreur n° 4
On optimise le run, on ignore le build
On corrige la consommation d'un service en production, jamais l'architecture qui l'a rendu nécessaire.
C'est plus confortable : ça se voit dans un dashboard FinOps, ça ne remet en cause aucun choix pris trois ans plus tôt par quelqu'un qui n'est probablement plus là.
Le run se corrige tous les ans.
Le build ne se corrige jamais, il continue à tourner exactement comme on l'a laissé filer.
Erreur n° 5
On fonce sur l'IA sans mesurer sa trajectoire
On accélère l'IA sans un seul indicateur qui suit ce que ça coûte en carbone. Pas par malveillance; par vitesse.
Le pilier de l'innovation avance plus vite que celui de la gouvernance, comme toujours, et personne n'ose ralentir le premier pour poser le second.
On pilote la vitesse, jamais l'impact, et dans deux ans on découvrira la facture en même temps que tout le monde.
La feuille de route en 5 étapes
Ce que ces 5 erreurs ont en commun : Elles permettent de dire qu'on s'occupe du sujet sans jamais toucher à ce qui coûterait cher à changer - l'architecture, la gouvernance, le budget.
C'est rassurant.
C'est aussi exactement ce que la cyber faisait avant de cesser de se bercer d'illusions.
Un atelier de sensibilisation n'a jamais empêché une fuite de données.Il n'empêchera pas non plus l'empreinte carbone de doubler.
Voici la feuille de route en cinq étapes.
ÉTAPE 1
Mesurez en continu, pas une seule fois
Se doter d'un outil qui mesure en continu - pas d'un audit qu'on fait une fois puis qu'on range dans un tiroir.
Le premier résultat doit être un chiffre qui dérange, présenté sans filtre.
Les prochains doivent permettre de suivre la trajectoire, mois après mois, sans revivre l'exercice d'audit à chaque comité.
Le premier résultat devrait être un chiffre qui dérange ; les suivants doivent permettre de suivre l'évolution dans le temps, sans revivre l'exercice d'audit à chaque comité.
ÉTAPE 2
Des gains rapides identifiés par l'outil, et non pas des suppositions
Rightsizing cloud, extension de durée de vie du parc, décommissionnement des serveurs « zombies », chiffrés en euros et en tonnes dès le premier jour, identifiés et priorisés par le même outil qui a servi à l'audit initial.
Ce sont des victoires qui se vendent seules en comité : elles remboursent leur propre budget avant même d'attaquer le reste.
ÉTAPE 3
Une gouvernance spécifique, etnon une simple ligne budgétaire noyée quelque part
Un porteur nommé, un budget qui existe en tant que tel, un rattachement direct au comex — pas une ligne noyée dans le budget RSE ou l'IT générale
Sans ça, elle est la première coupée au premier trimestre difficile.
ÉTAPE 4
Une porte logique qui effectue une comparaison avant de donner son accord
Pas de dossier d'architecture validé sans avoir simulé au moins deux scénarios et comparé leur impact carbone - région cloud, dimensionnement, durée de rétention des données.
La région choisie par défaut peut peser dix fois plus qu'une autre disponible pour le même service, et personne ne s'en rend compte car personne ne le découvre car personne ne compare avant de trancher.
Cette barrière doit pouvoir dire « non ».
Une gate qui ne bloque jamais rien n'est pas une gate, c'est une case à cocher.
La région par défaut peut avoir un impact carbone dix fois supérieur à celui d'une autre région proposant exactement le même service.
ÉTAPE 5
Un pilotage au niveau du conseil d'administration, et non un rapport annuel
Des KPIs suivis au board au même niveau que les indicateurs de risque cyber, dans le même outil qui a permis l'audit initial et le suivi des quick wins - pas un rapport annuel RSE reconstruit à la main.
Un indicateur dédié à la trajectoire de l'IA, mis à jour en continu plutôt que calculé une fois par an.
Combien ça coûte ?
Le budget cyber ne pesait rien il y a quinze ans. Aujourd'hui, il représente en moyenne 5,6 % du budget IT, pouvant atteindre jusqu'à 12 % dans les secteurs matures.
Personne n'a approuvé ce budget d'un seul coup. Il a été élaboré ligne par ligne, à mesure que les entreprises comprenaient peu à peu ce qu'elles risquaient de perdre en ne faisant rien. Le numérique responsable en est exactement au même stade que la cybersécurité il y a quinze ans.
La question n'est pas combien on met en 2027.
La question est la suivante : qu'est-ce qu'on attend pour se lancer ?
Cinq erreurs. Cinq étapes.
Il a fallu dix ans à la cybersécurité pour cesser de se raconter des histoires.
Je n'ai pas construit un atelier de sensibilisation de plus : j'ai quitté un poste de CIO pour construire l'outil qui manquait.
Vous n'avez pas dix ans.
Commandez l'audit brut avant la fin de l'année : c'est le seul geste qui rend un budget 2027 possible.
Le reste n'est que la conséquence logique de ce premier chiffre.
Christine Heckmann
CEO de Verdikt