Si l’ESG était jusqu’il y a peu principalement associé au développement durable et à la gouvernance responsable, nous constatons que ce domaine est de plus en plus étroitement lié à la cybersécurité et à la protection des données. La raison en est simple : aujourd’hui, les organisations sont totalement dépendantes des données et des processus numériques. Les incidents concernant l’intégrité des données, les risques liés à la chaîne d’approvisionnement et les violations de données ont une incidence directe sur la notation ESG, la réputation et la responsabilité juridique d’une entreprise. En outre, les parties prenantes exigent de plus en plus des pratiques commerciales responsables. Dès lors, les professionnels du droit et de la fiscalité sont confrontés à un défi particulier : non seulement ils doivent gérer leurs propres risques internes, mais ils sont également sollicités par les clients, les administrations et les autorités de réglementation dans leur rôle de conseiller et de partenaire contractuel.
La réglementation comme cadre contraignant
Le lien entre l’ESG, la cybersécurité et la protection des données est renforcé par un réseau croissant de règles européennes et nationales :
- Le RGPD impose aux organisations des obligations strictes en matière de protection des données dès la conception, de responsabilité et de notification des violations de données.
- Le NIS2 fait passer la cybersécurité au niveau du conseil d’administration et impose aux organisations de contrôler la résilience numérique et le signalement des incidents au sein de leur chaîne d’approvisionnement.
- La CSRD exige des entreprises qu’elles communiquent clairement à propos de leur gouvernance et de la sécurité des données.
- De nouvelles législations, telles que le règlement sur l’IA et la loi sur les données, exigent une transparence totale sur les algorithmes et l’accès aux données.
Ces cadres juridiques ne peuvent plus être interprétés isolément. Une faiblesse en matière de protection des données, par exemple, peut avoir une incidence directe sur le score ESG de l’entreprise ainsi que sur sa situation juridique.
Les risques se fondent entre eux
Dans la pratique, aujourd’hui, il est quasiment impossible d’établir des distinctions entre ces domaines. Une cyberattaque entraînant des fuites de données à caractère personnel n’est pas seulement un problème au regard du RGPD : elle affecte également les rapports ESG et peut saper la confiance des parties prenantes. En effet, les investisseurs ne se préoccupent plus seulement de la réduction des émissions de CO₂ et de la réalisation des objectifs climatiques, mais ils s’intéressent désormais aussi à la manière dont l’entreprise protège ses données. À l’inverse, les rapports ESG contiennent souvent des données à caractère personnel sensibles, telles que des informations sur les ressources humaines ou sur les fournisseurs. Si ces données sont mal sécurisées, elles deviennent une cible séduisante pour les pirates informatiques. Tout incident a donc des conséquences immédiates sur le plan technique, juridique et de la réputation.
Les limites s’estompent également dans la chaîne d’approvisionnement. Une sécurité insuffisante chez un prestataire de services informatiques peut conduire à des incidents de grande ampleur propres à perturber les activités de l’entreprise et à saper ses déclarations en matière de responsabilité d’entreprise. La cybersécurité fait donc partie intégrante de la diligence raisonnable et de la gestion des contrats.
La responsabilité juridique en jeu
L’interconnexion de ces risques comporte également une dimension juridique évidente. Une violation de données mal gérée peut entraîner des amendes, mais aussi des plaintes pour communication ESG trompeuse. Si les contrats avec les prestataires de services intègrent de plus en plus de dispositions relatives à la protection des données, à leur chiffrement et à la notification des incidents, les incidents donnent souvent lieu à des discussions quant à la répartition des responsabilités.
En outre, les autorités de surveillance se montrent de plus en plus actives – des amendes infligées par l’autorité de protection des données aux évaluations plus strictes des agences de notation ESG. La conséquence pour les professionnels du droit et de la finance ? Leur rôle va désormais bien au-delà des conseils et des contrôles de conformité. Vous devez vous-même montrer l’exemple et ne pouvez pas vous permettre de vous contenter d’une gouvernance interne faible.
Vers un registre des risques intégré
La seule façon de faire face à ces risques interconnectés est d’adopter une approche intégrée. Les entreprises qui continuent d’aborder l’ESG, la cybersécurité et la protection des données comme autant de paramètres bien distincts finiront tôt ou tard par se heurter aux limites de leur gestion fragmentée des risques. Un registre des risques intégré aide à identifier les liens et permet une action plus rapide et plus proactive.
Cela commence par les actions concrètes suivantes :
- Rendre les risques transparents. Identifiez les éléments ESG, les aspects de la protection des données et les cyberrisques les plus cruciaux pour votre organisation.
- Mettre en place une gouvernance solide. Établissez un comité pluridisciplinaire au sein duquel des experts en droit, en protection des données, en informatique et en ESG mettent en commun leurs connaissances et rendent compte directement au conseil d’administration.
- Déterminer les responsabilités. Intégrez dans les contrats des droits d’audit et des obligations de déclaration clairs afin que la répartition des responsabilités en cas d’incident soit sans équivoque.
- Intégrer la sécurité dans les processus. Mettez en œuvre la protection des données dès la conception avec une journalisation claire, une détection proactive des incidents et des plans de réponse complets.
- Coupler politique et rapports. Intégrez les rapports ESG aux contrôles de protection des données et de sécurité en ayant recours à des cadres communs pour l’accès aux données, la gestion des autorisations et le chiffrement.
- Communiquer clairement en cas d’incident. Liez les plans de réponse technique aux rapports ESG, de manière à ne pas vous borner à une réponse technique, mais à communiquer clairement aux parties prenantes, en outre, les risques, les mesures prises et les conséquences.
Pour cela, il est indispensable de faire preuve de transparence. De plus en plus de rapports ESG incluent aujourd’hui des indicateurs sur les cyberincidents et les violations de données. Si vous communiquez ouvertement et de manière exhaustive, vous montrez que vous prenez les risques au sérieux et vous instaurez la confiance tout en réduisant le risque de plainte ou d’atteinte à votre réputation.
De la conformité à la confiance
L’ESG, la cybersécurité et la protection des données ne sont plus des univers bien distincts. Ensemble, ils forment une nouvelle réalité que vous ne pouvez pas ignorer. Le choix est simple : continuer à éteindre les incendies de manière réactive ou opter pour un modèle intégré qui renforce la conformité, la réputation et la confiance. Ceux qui investissent dans un registre des risques intégré gagnent désormais en crédibilité et en certitude. Et sur un marché où la fiabilité est au moins aussi importante que l’expertise juridique et financière, cela fait la différence.
Mais vous n’êtes pas seul face à cette tâche. Les bases de données et les outils de Wolters Kluwer vous permettent d’accéder facilement à la législation, à la jurisprudence et aux interprétations actualisées, et vous aident à vous frayer un chemin dans la complexité des cadres juridiques. Nous n’avons de cesse d’enrichir nos solutions avec les dernières informations et les affinons en permanence, afin de vous fournir des informations fiables et pertinentes. Ainsi, nous vous aidons non seulement à respecter les exigences en matière de conformité, mais aussi à travailler plus efficacement et à fournir des conseils plus avisés, en vous appuyant sur une solide expertise juridique et sur une réelle résilience numérique. Comme le souligne Emma Hegger, notre directrice de la conformité et du développement durable, l’ESG nécessite une approche intégrée dans laquelle la gouvernance, le risque et le développement durable vont de pair. Cette même intégration est aujourd’hui essentielle pour ancrer durablement la résilience numérique.
