CIO : 5 erreurs
Nous avons déjà vécu la durabilité numérique. Ca s'appelait la cybersécurité.
CIO : 5 erreurs qui limite votre stratégie bas carbone
Les data centers pèsent déjà presque la moitié de notre empreinte numérique. L'IA peut faire grimper leur consommation de 15 à 50 % d'ici 2030. Et dans aucun comité de direction que j'ai vu, ce chiffre n'est piloté.
On refait, une par une, les erreurs qu'on a mis dix ans à corriger en cybersécurité. Je les ai commises. Vous en commettez sans doute deux ou trois.En voici cinq.
Erreur n° 1 - On répond par la sensibilisation
J'ai financé des ateliers de sensibilisation. Un poster, une formation en ligne, une charte signée par tout le monde lu par personne. Ça ne coûte rien et ça ne dérange personne, et c'est justement pour ça que ça ne marche pas.
La cyber a perdu des années avec les campagnes anti-phishing avant de comprendre qu'un collaborateur formé ne compense jamais un serveur jamais patché.
Le carbone a le même problème, en pire : ici, ce n'est même pas une question de comportement individuel, c'est une question d'architecture que personne n'a jamais demandé aux équipes de changer.
C'est une question d'architecture que personne n'a jamais demandé aux équipes de changer.
Erreur n° 2 : On se fixe une trajectoire sans avoir mesuré le point de départ
Nous annonçons un objectif : une réduction de 30 % d'ici 2030, par exemple, sans jamais avoir mesuré le point de départ.
Ce n'est pas une stratégie. C'est un vœu pieux déguisé en objectif.
Je l'ai vu en comité : personne ne pose la question qui fâche, « Par rapport à quoi ? », car personne n'a envie d'entendre la réponse.
Personne ne pose la question « Par rapport à quoi ? », car personne ne veut entendre la réponse.
Erreur n° 3 : On empile des bonnes pratiques sans jamais chiffrer leur effet
Éco-conception, cloud responsable, sobriété des usages : les actions sont lancées, mais personne ne mesure ce qu'elles rapportent.
Un an après, zéro preuve de progrès.
La ligne budgétaire saute au premier arbitrage, et elle a raison de sauter : on ne finance pas indéfiniment ce qu'on ne sait pas prouver.
Erreur n° 4 : On optimise le run, on ignore le build
On corrige la consommation d'un service en prod, jamais l'architecture qui l'a rendu nécessaire.
C'est plus confortable : ça se voit dans un dashboard FinOps, ça ne remet en cause aucun choix pris trois ans plus tôt par quelqu'un qui n'est probablement plus là.
Le run se corrige tous les ans.
Le build ne se corrige jamais, il continue à tourner exactement comme on l'a laissé filer.
Erreur n° 5 : On fonce sur l'IA sans mesurer sa trajectoire
On accélère l'IA sans un seul indicateur qui suit ce que ça coûte en carbone. Pas par malveillance; par vitesse.
Le pilier de l'innovation avance plus vite que celui de la gouvernance, comme toujours, et personne n'ose ralentir le premier pour poser le second.
On pilote la vitesse, jamais l'impact, et dans deux ans on découvrira la facture en même temps que tout le monde.
La feuille de route en 5 étapes
Ce que ces 5 erreurs ont en commun : Elles permettent de dire qu'on s'occupe du sujet sans jamais toucher à ce qui coûterait cher à changer - l'architecture, la gouvernance, le budget.
C'est rassurant.
C'est aussi exactement ce que la cyber faisait avant de cesser de se bercer d'illusions.
Un atelier de sensibilisation n'a jamais empêché une fuite de données.Il n'empêchera pas non plus l'empreinte carbone de doubler.
Voici la feuille de route en cinq étapes.
1. Mesurez en continu, pas une seule fois
Se doter d'un outil qui mesure en continu - pas d'un audit qu'on fait une fois puis qu'on range dans un tiroir.
Le premier résultat doit être un chiffre qui dérange, présenté sans filtre.
Les prochains doivent permettre de suivre la trajectoire, mois après mois, sans revivre l'exercice d'audit à chaque comité.
Le premier résultat devrait être un chiffre qui dérange ; les suivants doivent permettre de suivre l'évolution dans le temps, sans revivre l'exercice d'audit à chaque comité.
2. Des quick wins que l'outil trouve, pas qu'on devine
Rightsizing cloud, extension de durée de vie du parc, décommissionnement des serveurs « zombies », chiffrés en euros et en tonnes dès le premier jour, identifiés et priorisés par le même outil qui a servi à l'audit initial.
Ce sont des victoires qui se vendent seules en comité : elles remboursent leur propre budget avant même d'attaquer le reste.
3. Une gouvernance dédiée, pas une ligne noyée
Un porteur nommé, un budget qui existe en tant que tel, un rattachement direct au comex — pas une ligne noyée dans le budget RSE ou l'IT générale
Sans ça, elle est la première coupée au premier trimestre difficile.
4. Une gate qui simule avant de valider
Pas de dossier d'architecture validé sans avoir simulé au moins deux scénarios et comparé leur impact carbone - région cloud, dimensionnement, durée de rétention des données.
La région choisie par défaut peut peser dix fois plus qu'une autre disponible pour le même service, et personne ne s'en rend compte car personne ne le découvre car personne ne compare avant de trancher.
Cette barrière doit pouvoir dire « non ».
Une gate qui ne bloque jamais rien n'est pas une gate, c'est une case à cocher.
La région par défaut peut avoir un impact carbone dix fois supérieur à celui d'une autre région proposant exactement le même service.
5. Un pilotage au board, pas un rapport annuel
Des KPIs suivis au board au même niveau que les indicateurs de risque cyber, dans le même outil qui a permis l'audit initial et le suivi des quick wins - pas un rapport annuel RSE reconstruit à la main.
Un indicateur dédié à la trajectoire de l'IA, mis à jour en continu plutôt que calculé une fois par an.
Combien ça coûte ?
Le budget cyber ne pesait rien il y a quinze ans.
Il pèse aujourd'hui 5,6 % du budget IT, jusqu'à 12 % dans les secteurs matures.
Personne n'a voté ce budget d'un coup.
Il s'est construit ligne après ligne, à mesure que l'entreprise comprenait ce qu'elle risquait à ne rien faire.
La durabilité numérique est exactement au même point que la cyber il y a quinze ans.
La question n'est pas combien on met en 2027.
La question est : qu'attendons-nous pour nous lancer ?
Cinq erreurs. Cinq étapes.
Il a fallu dix ans à la cybersécurité pour cesser de se raconter des histoires.
Je n'ai pas construit un atelier de sensibilisation de plus : j'ai quitté un poste de CIO pour construire l'outil qui manquait.
Vous n'avez pas dix ans.
Commandez l'audit brut avant la fin de l'année : c'est le seul geste qui rend un budget 2027 possible.
Le reste n'est que la conséquence logique de ce premier chiffre.