{"word_count": 1954, "character_count": 13696}
Étienne Thenoz réalise actuellement une thèse en Sciences de Gestion à l’Université de Nantes sous la direction de Frantz Rowe. Ce billet fait suite à son intervention lors de la table-ronde « Numérique : le nouvel esprit des organisations » des journées doctorales « sociétés numériques » (15-16 novembre 2017).IntroductionDepuis les premiers cas de licenciements liés à l’usage de Facebook ((Cons. prud'h., Boulogne Billancourt, 19 nov. 2010, n°10/00853)), les litiges relatifs à l’utilisation des nouvelles technologies informatiques se sont multipliés dans les entreprises. On peut par exemple citer le cas d’une assistante commerciale poursuivie pour avoir quitté l’entreprise avec les fichiers clients ((TGI, Clermont-Ferrand, 26 sept. 2011)), d’une secrétaire technique enceinte licenciée pour avoir trop consulté de sites liés à la grossesse ((CA, Lyon, 11 déc. 2013, n°13/00309)), ou de la saisie par la Justice des téléphones des employés et anciens employés d’une société pour en examiner les SMS (y compris personnels) afin de déterminer si elle débauchait illégalement les employés des concurrents ((Cass. Com., 10 fév. 2015, n°13-14779)). Dans certains cas, les Directeurs des Systèmes d’Information eux-mêmes ont été mis en cause pour avoir organisé un système de surveillance des employés totalement démesuré et illégal ((CA, Versailles, 4 fév 2015, n°12/02764)). Une jurisprudence s’est peu à peu construite pour déterminer quelles publications sur les réseaux sociaux relevaient de la sphère publique ou privée, quelles parties des communications pouvaient être accessibles aux employeurs, quelle tolérance doit être appliquée face à l’usage à des fins personnelles des outils, quels contrôles des employés étaient acceptables ou encore quelles frontières séparent entre communication, information, et publicité sur Internet. Pour gérer ces problématiques, les politiques de gestion des usages sont essentielles.En effet, ces problématiques ne se limitent pas à l’usage à des fins personnelles. Le recours aux media sociaux dans les entreprises peut générer des baisses de productivité, transforme les responsabilités éditoriales, peut conduire à des fuites d’information sensibles, nuire à la réputation de l’entreprise, ou encore permettre la surveillance des employés, le profilage des clients, ou la discrimination des candidats à l’embauche.* Le cas Deep Roots Analytics illustre la facilité avec laquelle des données peuvent être compromises par maladresse, malgré les règles en place. Il a suffit qu’un employé dépose une base de données sur un serveur cloud mal configuré pour que soient publiquement accessibles les données de tous les électeurs américains et leurs opinions présumées.https://www.lebigdata.fr/fuite-de-donnees-electeurs-usLe stockage de fichiers en ligne peut quant à lui compromettre la confidentialité*, l’intégrité, ou la traçabilité des données, et soulève des questions relatives à leur propriété. Enfin, l’usage des smartphones et ordinateurs portables peut engendrer des difficultés de management, compromettre la sécurité informatique, ou servir de support à des formes de contrôle permanent des employés. Ces problématiques se multiplient à mesure que les technologies se diversifient et se répandent dans les entreprises, mettant à mal les pratiques traditionnelles de gestion des usages.Dans ce contexte, il est essentiel pour les entreprises de s’interroger sur l’efficacité de leurs politiques de gestion des usages informatiques afin de les contrôler tout en évitant les dérives, qu’elles proviennent de la direction ou des employés.Politique de surveillance et de contrôle[caption id="attachment_555" align="alignright" width="449"] VectorStock (modifié)[/caption]Pour contrôler ces usages problématiques, certaines entreprises mettent en place des règles d’usage strictes, limitent techniquement les possibilités d’utilisation, et surveillent les comportements informatiques. Ces politiques reposent d’une part sur des interdictions, et d’autre part sur la surveillance et des politiques de dissuasion. Certaines chartes et directeurs des systèmes d’information mentionnent explicitement leurs capacités de surveillance pour dissuader les comportements problématiques plutôt que de préciser qu’elle est seulement utilisée à des fins légales et de maintenance.A l’origine utilisées pour contrôler les usages de technologies informatiques stables et peu maîtrisées par les utilisateurs, ces politiques sont aujourd’hui problématiques à plusieurs titres.Des règles rigides qui manquent de flexibilité : ces règles strictes, inscrites dans la technologie ou dans les chartes informatiques, sont presque constamment obsolètes, parce qu’elles n’évoluent pas aussi vite que la technologie et les usages. Pensées au niveau de la direction, ces règles sont par ailleurs souvent inadaptées aux cas particuliers, à différents profils d’utilisateurs, à différents niveaux de compétences, ou à différents usages. Les utilisateurs sont alors enjoints de suivre des règles inadaptées aux conditions réelles d’usage.La surveillance peut même nuire à la sécurité plus gravement dans certains cas. Par exemple, un utilisateur qui voudrait se soustraire à la surveillance de son entreprise peut utiliser un service de proxy web… Mais il risque alors de transmettre ses mots de passe ou ses emails au service en question. Dans ce cas, la surveillance nuit à la visibilité des usages et introduit des comportements plus problématiques encore.Une surveillance qui nuit à la confiance : pour contrôler la bonne application de ces règles, les entreprises doivent surveiller les comportements informatiques. Ce faisant, elles instaurent un climat de méfiance vis-à-vis de l’outil informatique et vis-à-vis du service informatique qui en a la charge. Non seulement l’utilisateur risque d’apprendre à contourner les limitations techniques et à rendre ses pratiques invisibles, mais il préfère souvent éviter de faire remonter des problèmes liés aux usages, ou même poser des questions lorsqu’il a un doute. En voulant produire de l’information sur les usages, les politiques de surveillance peuvent ainsi réduire l’information disponible sur les usages réels et produire une image faussée de ces derniers.Un système de conformité qui ne génère pas l’implication des utilisateurs : dans ces politiques, l’utilisateur est principalement concerné par les sanctions potentielles en cas d’infraction aux règles. Ces dernières réduisent l’implication des utilisateurs dans les questions liés aux usages, puisque le respect de la règle suffit et que l’utilisateur n’a pas d’intérêt à se poser des questions sur ses pratiques. Les utilisateurs fournissent alors souvent de simples réponses de conformité sans réelle implication. Un syndrome du « tout le monde le fait » ou une culture du « ce n’est pas mon problème » peuvent alors émerger.Une rigidité qui freine le développement des compétences : enfin, le manque d’implication et la rigidité des règles empêche les utilisateurs de développer de nouvelles compétences ainsi que leur maîtrise des outils. Par exemple, les entreprises qui ont bloqué pendant plusieurs années l’usage des réseaux sociaux doivent aujourd’hui déployer des efforts considérables pour développer ces pratiques et sensibiliser les utilisateurs aux risques inhérents. Une gestion des usages trop stricte empêche ainsi les utilisateurs de maîtriser rapidement de nouveaux outils qui pourront dans le futur être incontournables, et retarde la période d’apprentissage de l’entreprise.Politique de confiance et d’autonomie[caption id="attachment_553" align="alignright" width="436"] Pixabay (modifié)[/caption]Constatant l’inefficacité des pratiques historiques de gestion des usages pour gérer l’usage de nouvelles technologies plus ouvertes et plus évolutives, certaines entreprises changent leur philosophie de gestion des usages pour mettre en place des politiques basées sur la confiance et l’implication. Ces politiques visent à placer l’utilisateur au centre de la gestion des usages. Dans ces politiques, les entreprises présentent de grands principes et des valeurs qui doivent guider l’utilisateur plutôt que des règles à appliquer, pour qu’il puisse faire lui-même des choix d’usage adaptés à son contexte en prenant en compte les risques liés à sa pratique au plus près du terrain. L’objectif est alors d’instaurer un climat de confiance propice aux échanges de connaissances entre employés, d’impliquer les utilisateurs dans les problématiques de gestion des usages afin qu’ils s’en emparent et développent des compétences pour les traiter d’une manière adaptée à leurs cas particuliers et aux nouveaux problèmes d’usages qui surviennent.Une stratégie de l’implication : la base de ces politiques repose par exemple sur l’implication des utilisateurs dans les problématiques de sécurité, d’usage à des fins personnelles, ou de protection des données et de la réputation de l’entreprise. Cette implication repose d’une part sur des actions de sensibilisation, sur un climat propice aux échanges informels de connaissances, sur l’illustration des problèmes potentiels liés aux usages par la présentation de cas extrêmes ou qui illustrent comment prendre la bonne décision d’usage plutôt que quelle décision prendre. D’autre part, l’implication des utilisateurs s’accroit à mesure qu’ils participent eux-mêmes à la diffusion de ces connaissances et des valeurs de l’entreprise par des échanges informels, et qu’ils doivent mettre en pratique les raisonnements qui leur permettent de déterminer si un usage particulier est acceptable ou non. Cette implication des utilisateurs dans les problèmes liés à l’usage est par exemple essentielle au vu du nombre de détections accidentelles de problèmes de sécurité.Une politique de la confiance : pour que les utilisateurs soient impliqués dans les problématiques liées à leurs usages des technologies, un climat de confiance propice aux échanges doit néanmoins être développé. Les stratégies de dissuasion par la surveillance sont donc peu adaptées dans ce cadre. Par ailleurs, cette confiance entre utilisateurs et équipes informatiques permet de rendre visibles les pratiques dissimulées et les problèmes liés à l’usage des outils informatiques le plus tôt possible. Lorsqu’ils savent leur entreprise bienveillante et ouverte face aux problèmes d’usage, les utilisateurs n’hésitent pas à formuler leurs doutes aux équipes informatiques et font remonter les problèmes qu’ils perçoivent plutôt que de les dissimuler ou de les ignorer consciencieusement. La direction des systèmes d’information doit alors adopter une attitude d’ouverture à la discussion, d’accompagnement, et chercher à répondre aux besoins des utilisateurs dans une logique de service plutôt que de surveillance.Des usages flexibles et adaptés aux situations particulières : ces politiques peuvent également être avantageuses par la grande flexibilité des usages qu’elles permettent, puisque les utilisateurs sont moins contraints par des règles inadaptées à leur usage réel, à des cas particuliers, ou à leur niveau de maîtrise des outils. Ils peuvent ainsi librement adapter les principes de l’entreprise à ces contraintes. Ils sont ainsi mieux préparés à l’émergence de nouveaux usages dont ils peuvent se saisir plus rapidement, puisqu’ils peuvent appliquer le principe général à ceux-ci plutôt que d’appliquer une règle qui ne les avait pas prévus.De l’implication au développement des compétences : enfin, cette exploration plus libre de nouveaux usages, la possibilité de les adapter à des contraintes particulières, et la plus grande implication dans les problématiques liées permettent aux utilisateurs de développer plus rapidement et plus efficacement leurs compétences et leur maîtrise des outils. Les formations génériques, souvent dispensées de manière réactive une fois un usage installé, sont souvent peu efficaces et vite oubliées. En effet, une grande partie de l’apprentissage se réalise par la pratique. Permettre cet apprentissage informel basé sur la pratique et les échanges informels à mesure que les technologies évoluent permet donc de maintenir les utilisateurs à un bon niveau de maîtrise des outils, malgré leur évolution rapide.Passage de la surveillance à l’autonomieCe changement de philosophie dans la gestion des usages évite de considérer les utilisateurs comme des employés qui doivent se conformer à des règles rigides, souvent obsolètes, et inadaptées aux situations pratiques, sans s’impliquer dans les réelles problématiques d’usage et sans développer de compétences informatiques. A l’inverse, placer l’utilisateur au centre des nouvelles problématiques liées à l’usage des outils informatiques et encourager le développement de son autonomie et de ses compétences peut se révéler plus efficace pour les gérer. L’impliquer fortement dans ces problématiques en faisant de lui un partenaire et une source d’informations pour les services informatiques plutôt qu’un sujet à contrôler produit des utilisateurs plus capables de faire face à l’émergence de nouveaux outils et de nouveaux usages. Ces politiques permettent ainsi à prolonger les approches centrées sur les utilisateurs au-delà des questions de design d’interface pour les remettre au centre du contrôle de leurs usages et faire d’eux des utilisateurs préparés, voire des moteurs de la numérisation de l’entreprise. Pour cela, les entreprises peuvent économiser les efforts liés à la définition complexe et peu efficace de règles et de systèmes de contrôle restrictifs pour se focaliser sur le développement d’une culture numérique qui permette aux utilisateurs de prendre les bonnes décisions en connaissance de cause.Références