Prendre le sujet en interne, maintenant, avant qu’il ne devienne une crise

La souveraineté numérique fait la une des débats. Maîtrise des données, localisation des infrastructures, indépendance technologique. Le terme rassure il suggère qu’on garde la main. Dans les faits, peu d’entreprises savent réellement ce qu’il implique concrètement pour elles. Le point de vue d’Hubert Poncelet, General Counsel, efficy Belgium

Le contexte pèse. Selon le Cabinet Asterès (avril 2025, étude pour le Cigref), les organisations européennes ont dépensé 400 milliards EUR en cloud et logiciels en 2024. 330 milliards, soit 83 %, sont partis chez des acteurs américains, qui en tirent 80 % de leur valeur aux États-Unis. 264 milliards EUR par an qui financent 1,9 million d’emplois… aux États-Unis.

Face à ce constat, deux réactions possibles, estime Hubert Poncelet. La première : attendre une réponse réglementaire ou géopolitique qui rebattra les cartes. La seconde, la seule qui dépende de nous : prendre le sujet en interne, maintenant, avant qu’il ne devienne une crise.

La vraie question n’est pas « où », mais « avec qui »

Arrêtons de poser la question de la localisation des données comme si elle suffisait à régler le problème. Les vraies questions sont opérationnelles : si un fournisseur cloud ou un éditeur change ses conditions, ses prix ou disparaît, l’organisation peut-elle continuer à faire fonctionner ses services ? Sait-elle précisément, aujourd’hui, de qui elle dépend et pour quoi ? Et si le contexte réglementaire ou géopolitique évolue, combien de temps lui faudra-t-il pour adapter son architecture ?

« Si ces réponses ne peuvent pas être apportées en quelques minutes, c’est que le sujet n’est pas piloté : il est subi. La souveraineté se construit dans les processus ! » La souveraineté, estime Hubert Poncelet, ne peut plus être envisagée comme un simple sujet de conformité. Elle doit devenir une discipline transverse, intégrée aux décisions, aux processus et aux choix technologiques.

Un réflexe collectif, intégré dès la conception des projets

Cette évolution repose sur trois décisions structurantes. D’abord, casser les silos. Chez efficy, la sécurité, le produit, la R&D, la protection des données, le juridique et les achats travaillaient chacun avec leur propre grille de lecture des fournisseurs et des partenaires. Résultat : personne n’avait véritablement la vue d’ensemble, et les angles morts se situaient précisément aux interfaces entre ces fonctions. « Nous avons donc mis fin à ce cloisonnement. »

Ensuite, construire un référentiel commun. La certification ISO 27001 couvre la sécurité de l’information. Elle peut être complétée par l’ISO 27701, dédiée à la protection des données. « Le choix de réunir ces deux référentiels n’est pas cosmétique : il permet de traiter la sécurité et la protection des données comme deux dimensions d’un même sujet, avec un cadre commun pour toute l’organisation, plutôt que comme deux silos qui avancent séparément.

Enfin, mettre en place un processus qui force la collaboration. Chaque fournisseur et chaque partenaire applicatif passe par un processus dans lequel les achats, le juridique, la sécurité et le DPO interviennent ensemble, et non successivement. La chaîne de valeur devient ainsi lisible pour tous, au même moment. Le processus est automatisé, lean et transparent, mais surtout dynamique : il permet d’ancrer progressivement les bons réflexes dans l’ensemble de la chaîne de valeur et jusque dans les processus d’innovation.

La souveraineté ne doit donc pas être un contrôle effectué en bout de chaîne. Elle doit devenir un réflexe collectif, intégré dès la conception des projets, dans les décisions d’achat, dans les choix technologiques et dans les processus d’innovation.

« C’est à cette condition qu’elle cesse d’être une contrainte supplémentaire pour devenir une véritable discipline de transformation. »

L’effet qu’on n’avait pas anticipé

On pensait gérer un risque ; on a créé un pont, assure Hubert Poncelet. « En forçant sécurité, juridique, achats et produit à se parler sur chaque dossier fournisseur, on a diffusé une mise en abîme réglementaire directement dans les équipes qui construisent le produit et le développement. Les équipes techniques ne découvrent plus les contraintes de sécurité et de protection des données après coup elles les intègrent en amont, parce qu’elles sont désormais dans la boucle. »

C’est ça, le vrai levier : casser les silos sur la souveraineté et le contrôle ne relève pas de la gestion des risques. C’est un mécanisme d’alignement organisationnel qui rapproche les métiers autour d’une même lecture des dépendances -et qui accélère les décisions produit au lieu de les freiner.

« La souveraineté numérique ne se décrète pas dans un communiqué. Elle se construit en interne, par une décision simple : faire dialoguer les équipes qui, aujourd’hui, ne se parlent pas assez sécurité, juridique, achats, produit autour des mêmes enjeux de protection des données et de contrôle des fournisseurs. »

Bref, ce n’est pas un chantier de conformité de plus, c’est un choix d’organisation. Et c’est à la portée de toute entreprise qui décide de s’y mettre.