rencontrons-nous

RENCONTRONS-NOUS

Votre temps est précieux. Votre avenir encore plus. Parlons.

balisons le chemin

BALISONS LE CHEMIN

Regardons dans la même direction. Ensemble nous pouvons atteindre les sommets.

votre vision est ma mission

VOTRE VISION EST MA MISSION

Éliminons le superflu. Concentrons-nous sur ce qui compte pour vous.

partageons l horizon

PARTAGEONS L'HORIZON

Déterminons les enjeux, formalisons les objectifs, identifions les facteurs clés du succès, créons l'energie!

relevons les défis du changement

RELEVONS LES DÉFIS DU CHANGEMENT

Prenons du recul... et avançons !

mardi 19 décembre 2017

Quelles données personnelles pour le RGPD ?

Cette fois c'est sûr, votre entreprise est sujette au règlement européen sur la protection des donnée ! Concernée certes, mais pour quel type de données à caractère personnel ?

Pour qualifier les données personnelles, la nouvelle réglementation européenne a repris la définition déjà existante de la Directive 95/46/CE.  

Il est utile de faire un rappel sur les différentes natures de données existantes, en conséquence la fiche suivante reprendra les principales informations à connaitre pour aborder avec confiance la réglementation.

Et si vous voulez vous assurer d'avoir bien appréhendé la notion de données identifiées, identifiables ou sensibles , vous pouvez tester vos connaissances en effectuant le quizz associé.

RGPD-Données-Personnelles-identifiées-identifiables-sensibles

Avec cette nouvelle réglementation, il y a deux principes fondamentaux:

1) les données en possession doivent être limitées au minimum nécessaire pour la finalité du traitement.

C'est le principe de minimisation des données. L’idée est de ne gérer que les données à caractère personnel indispensables à la marche et au développement de l'entreprise. Dans votre projet de conformité au RGPD, pour chaque donnée à caractère personnel il faudra se poser la question : quel traitement est fait de cette donnée, quelle valeur nous apporte cette information ?

2) le niveau de protection des données doit être proportionnel à leur sensibilité.

Dans le cas d'une violation de sécurité entraînant notamment la divulgation non autorisée de données à caractère personnel, plus la gravité des dommages ou préjudices potentiels causés sur les libertés et les droits fondamentaux des personnes concernées sera importante, plus l’Autorité Nationale de Protection des Données (en France la CNIL) va considérer que les mesures de sécurité n’étaient pas à la hauteur de l'enjeu, et donc plus le montant de l'amende sera élevé.

RGPD - Données à caractère personnel - Quizz

Les commerciaux de l'entreprise ont accès via leurs propres mobiles aux données à caractère personnel des clients et prospects de l'entreprise, notamment : le nom et prénom d'un contact, une adresse postale, une adresse de messagerie électronique, le genre, le statut marital et la date d'anniversaire.

Question 1:
Ces données sont-elles des données sensibles ?

Question 2:
Lors d'une discussion informelle sur le RGPD entre IT et Marketing, autour d'un café, il apparaît qu'aujourd'hui c'est au bon vouloir des commerciaux de souhaiter un joyeux anniversaire à leur contact. Et personne ne sait dire à quoi sert vraiment l'information "genre". La personne de l'IT propose de supprimer purement et simplement ces données. Est-ce judicieux ?

Question 3:
Les données à caractère personnel concernant les clients et les prospects sont dans le nuage, en mode SaaS. L'entreprise considère que c'est au fournisseur de service de s'assurer de la sécurité et de la protection de ses données. Est-ce suffisant ?

Vous trouverez les réponses à vos questions ici.


mardi 5 décembre 2017

Règlement Général sur la Protection des Données : Ce qu'il faut savoir

Le RGPD poursuit sur la route déjà tracée par la directive 95/46/EC en renforçant les droits des personnes concernées, en les adaptant plus à l'ère digitale dans laquelle nous viv(r)ons !

RGPD-Table-des-matières

L'Union Européenne dans ses frontières vise à la libre-circulation des hommes, des produits, des capitaux... et des données !

Mais pas à n'importe quel prix ! Consciente que la transformation numérique nécessite une confiance accrue des différents acteurs, et notamment des consommateurs, lucide sur les menaces toujours plus grandes de cyberattaques contre les entreprises, l'Union Européenne a décidé :

  1. d’uniformiser les droits liés à la protection de données à caractère personnel pour tous les résidents de l'Union Européenne  
  2. de promouvoir le renforcement de la sécurité des entreprises commerciales et professionnelles. 
Pour ce faire, elle a édicté un règlement général applicable à tous les Etats de l'Union, fondé sur des valeurs communes, et garantissant les mêmes droits pour ceux qui y résident, même temporairement.

Le règlement oblige dorénavant non-seulement le responsable du traitement de données mais aussi son sous-traitant à mettre en place les mesures nécessaires qui garantissent la protection des données des personnes concernées, tout en leur permettant d'exercer leurs (nouveaux) droits.

Et pour que ce règlement soit appliqué, l'union Européenne a assorti son texte de contraintes financières importantes en cas de non-respect des règles.

RGPD - Table des matières

Le règlement contient 99 articles. Lesquels sont précédés de "considérant"  au nombre de 173 , qui apportent un éclairage bien utile aux différents articles (sans compter les travaux du WP29). Par exemple, si tout le monde crie sur les toits que le 25 mai 2018 est une date couperet, qui a lu le "considérant 171" qui stipule que "[...] les traitements déjà en cours à la date d’application du présent règlement devraient être mis en conformité avec celui-ci dans un délai de deux ans après son entrée en vigueur. [...]" ?

C'est pourquoi les principaux termes de la Réglementation vous seront illustrés régulièrement au moyen d'une fiche permettant de mieux comprendre le qui et le quoi, le comment et le pourquoi...

En espérant que cet éclairage vous aidera au mieux dans la préparation de cette évolution vers plus de respect pour la protection des données à caractère personnel.



Champ d'application : 1-NON   2-OUI   3-NON
Données à caractère personnel 1-NON 2-NON 3-NON

lundi 4 décembre 2017

Le RGPD et son champ d'application

Votre entreprise est-elle concernée par le règlement européen sur la protection des données ?

Cela parait assez facile de répondre à cette question, car il semble qu'aujourd'hui tout le monde soit concerné par ce fameux RGPD ! Mais si cela est vrai, encore faut-il bien comprendre à quel titre. La fiche suivante détaille les principales informations à connaitre pour aborder la réglementation en toute connaissance de cause et répondre de manière définitive à cette question. 

Et si vous voulez vous assurer d'avoir bien appréhendé la notion d'application , vous pouvez tester vos connaissances en effectuant le quizz associé. 


A la lecture de la fiche, on se rend compte que le champ d'application de la réglementation est vaste. On y trouve un principe d'extra-territorialité assez unique puisque sont concernés les traitements effectués à la fois par des entreprises installées sur le territoire d'un état membre de l'Union Européenne, mais aussi ceux exécutés par des sociétés non établies en Europe mais qui recueillent des données depuis le territoire européen.

Il n'y a donc pas de notion de citoyenneté ou de nationalité des individus, seule compte la localisation des données. C'est donc plutôt pratique pour cibler les entreprises étrangères qui sans avoir un pied dans l'Union Européenne visent pourtant bien le marché européen.

RGPD - Champ d'Application - Quizz

Question 1: 
Un voyageur américain en déplacement sur le sol français consulte son site web préféré aux Etats-Unis puis achète en ligne des livres à livrer à son domicile américain. L'entreprise librairie est-elle concernée par le règlement ?

Question 2:
Un voyageur américain en voyage dans un pays de l'Union Européenne réserve sa voiture depuis le site internet d'une agence américaine de location de voiture. L'agence est-elle concernée par le règlement ?

Question 3:
Un consommateur européen en voyage aux Etats-unis réserve sa voiture sur place au comptoir d'une agence de location. L'agence de location est-elle concernée par le règlement ?

Vous trouverez les réponses à vos questions ici.


mardi 2 mai 2017

Comment choisir son mot de passe ?

Dans sa délibération 2017-012 du 19 janvier 2017, la CNIL formule des recommandations destinées à relever le niveau de sécurité minimal. Elle conseille notamment de modifier régulièrement son mot de passe, de le changer en cas de compromission avérée ou de suspicion. Et s'il n'existe pas de mécanisme de blocage du compte en cas d'essais multiples infructueux, elle suggère d'avoir un mot de passe de 12 signes comportant majuscules, minuscules, chiffres et caractères spéciaux. Comment expliquer ce renforcement et quel en est l'impact sur votre entreprise ?

username-password-security

Pour apporter une plus grande confiance dans l'utilisation des services numériques proposés partout sur la toile, la CNIL a décidé de renforcer les niveaux de sécurité liés au binôme compte/mot de passe.

L'organisme met en avant trois raisons principales. D'abord, le couple identifiant mot de passe est le moyen d'authentification le plus répandu actuellement. En attendant une identification par empreintes digitales (de quatre doigts consécutifs) ou par empreinte oculaire, par reconnaissance faciale ou vocale, le mot-de-passe reste le sésame le plus utilisé pour accéder à un service numérique. D’après l’étude Dashlane, un individu aura à gérer en 2020 environ 180 couples identifiant//mot de passe ! Si vous avez des doutes devant ce chiffre, ouvrez votre outil de gestion de mots de passe et comptez, vous verrez que vous n’êtes déjà pas très loin du compte.

Ensuite la CNIL pointe la multiplication des attaques informatiques entraînant la divulgation de bases de données entières de comptes//mots de passe, ce qui renforce la connaissance des pirates (la dernière d'importance concerne 33,6 millions d'enregistrements compromis). Notez en passant que ces binômes, revendus sur le Dark Web, ne valent pas grand-chose... (30$ le lot de 40.000 adresses de messagerie avec identifiant//mot de passe)

Enfin, l'organisme relève que le danger principal vient du fait qu'un même mot de passe sert à déverrouiller plusieurs comptes ! En Angleterre par exemple, un individu a au minimum 22 comptes avec au moins 4 fois le même couple identifiant//mot de passe...

Maintenant que les raisons du renforcement du niveau de sécurité sont connues, voyons ce qu'il convient de faire des recommandations de la CNIL au niveau de votre entreprise.

Doit-on renouveler son mot de passe de manière régulière, et si oui à quelle fréquence ?

S'il y a bien quelque chose que les collaborateurs d'une entreprise détestent, c'est changer de mot de passe tous les trimestres ! Notons qu'ici la CNIL va à contre-courant des suggestions du NIST ou du NCSC. Les deux organismes américain et britannique considèrent qu'il ne sert à rien de demander à un utilisateur de changer son mot de passe tous les 90 jours par exemple, notamment parce que la probabilité que ce dernier utilise un mot de passe dérivant du précédent est assez grande (p4ssw0rd01 se muant en p4ssw0rd02) ou pire qu'il utilise un mot de passe déjà associé à un autre de ses identifiants. C'est faire de la sécurité au détriment de l'usage, ce qui revient à augmenter le coût de la sécurité !

Il est en revanche tout à fait pertinent de changer son mot de passe en cas de compromission avérée ou supposée.

Dans le contexte de l'entreprise, plutôt que de renouveler un mot de passe de manière régulière, il est possible d’écarter la pression toujours plus importante mise sur l'utilisateur pour la déporter sur l'administrateur système et le responsable de l'application en leur demandant: 

1-que le nombre maximal de caractères d'un mot de passe soit de 64, pour que son inviolabilité ne repose pas sur sa complexité mais sur sa longueur (Préférez le mot de passe "
c0Uloir-kn!Fe_blau"  à "xj!7t23#cv[").


2-qu'un mécanisme de blocage du compte soit activé en cas de mots de passe répétés défectueux, une dizaine d'essais devant suffire à retrouver la mémoire ou adapter le clavier aux majuscules, minuscules, chiffres et caractères spéciaux du mot de passe, ce qui constituera un rempart bien plus efficace contre les cyber-attaques de type "force brute".

Quand et pourquoi faut-il un mot de passe plus long ?  

Avant d’émettre un avis sur la question, essayons de définir quel serait le mot de passe idéal. S'il existe, il devrait répondre à ces trois critères :

  •  facile à se souvenir  
  •  facile à entrer (depuis un smartphone par exemple)
  •  difficile à trouver  
Notez que l'ordre de préférence n'est pas le même suivant que l'on se place du point de vue de l'utilisateur ou du point de vue de l'entreprise. L’entreprise, par peur de cyber-attaques toujours plus sophistiquées, rapides et efficaces, a plutôt tendance à promouvoir le dernier point, alors que l'approche humaine privilégie plutôt les deux premiers...

La recommandation de la CNIL d'augmenter la longueur de 8 à 12 caractères fait clairement écho à l’inquiétude liée à l'augmentation des capacités technologiques actuelles qui permettent d'assembler dans un temps toujours plus court toujours plus de combinaisons.

Paradoxalement, et pour peu qu'un individu accepte d'aller au-delà des 12 signes, il est alors plus facile de se rappeler de son mot de passe dès lors que l'on associe des mots improbables, plus surement dans plusieurs langues, et avec un code propre de substitution de lettres par des chiffres par exemple. Il est alors possible de combiner au moins deux des trois critères initiaux, un mot de passe facile à se souvenir et difficile à trouver.

Si vous décidez par exemple que pour votre compte Twitter d'entreprise, le mot de passe qui s'impose est "l'oiseau est bleu" puis que vous décidiez de changer le s en 5  et le i en !, et qu’après un chiffre la lettre suivante est en majuscule, il faudra bien plus d'une année à un ordinateur actuel pour trouver ce mot de passe de 17 signes "l'o!5Eau e5T bleu" .


12-signes-pour-un-mot-de-passe-robuste





Un dernier point. Il ne sert à rien d'avoir des mots de passe à rallonge sur tous vos comptes ! Tout dépend bien sur de l'importance que vous attribuez aux données accessibles depuis l'application concernée, ou à l'impact qu'un piratage de compte pourrait avoir sur votre identité numérique. A cet égard, il est prudent d'inclure dans la liste des binômes à protéger les comptes qui définissent votre entreprise sur les réseaux sociaux, parce que c'est un point particulièrement à risque en cette période.

Dans tous les cas, vous n’échapperez pas à utiliser un gestionnaire de mots de passe, c'est le seul moyen de vous souvenir de vos différents binômes !

mardi 28 mars 2017

ETI, PME, vous êtes aussi concerné par la cybersécurité !

Parce que vous êtes une petite ou moyenne entreprise (PME), une entreprise de taille intermédiaire (ETI) , vous pensez être à l'abri des cyberattaques et autres pirates du web. Après tout, il y a bien plus d'avantages à pirater des multinationales qu'une entreprise comme la votre pensez-vous modestement. Erreur !


PME-ETI-Cybersécurité-collaborateurs-mobiles-accès-systèmes-données

Statistiquement, plus de la moitié des attaques concernent des entreprises de moins de 1000 personnes. Si vous n'avez pas encore connu de brèches de sécurité, c'est que votre tour viendra ! Ou alors vous en avez déjà expérimenté une mais n'en avez pas encore pris conscience ! 

Aujourd'hui, ce n'est pas une question de "je ne suis pas concerné", c'est plus une question de "quand est-ce que je serai concerné?". Les attaques qui sont perpétrées sont majoritairement de deux types. Soit votre entreprise est la cible finale, soit votre société n'est qu'une étape pour l'atteinte d'un autre objectif. 

Lorsque votre entreprise est visée, l'intention est de voler des informations, des procédés industriels, des brevets, etc ou de prendre vos informations en otage, avec un paiement contre restitution (attaques de type rançongiciel). 

Lorsque votre entreprise sert de relais, l'intention est de lancer une attaque de plus grande envergure, en brouillant les pistes et en vous laissant le soin d'expliquer aux autorités comment votre serveur à servi à une action malveillante...

Dans tous les cas vous êtes concerné !

D'autant plus que le taux de pénétration est plus élevé dans les PME que dans les grandes entreprises. Faute de moyens techniques sophistiqués, les petites et moyennes entreprises n'ont pas la capacité à résister à l'envahisseur très longtemps...

Évitez alors la tentation de succomber aux vendeurs de solutions miracles... 


Dans un premier temps, empêchez l'ennemi de pénétrer votre enceinte en prenant des mesures de bon sens. Il sera toujours temps de compléter vos défenses en investissant dans des solutions technologiques pertinentes.  

Pour l'heure, utilisez les informations présentées dans l'infographie ci-dessous, en les modulant en fonction de votre environnement et de vos priorités. On ne peut pas couvrir tous les risques, focalisez-vous sur le plus important à vos yeux. Concentrez-vous sur vos points faibles actuels, à choisir parmi vos collaborateurs, les objets mobiles connectés, les accès et privilèges, les serveurs et les données.


cybersécurité-collaborateurs-privilèges-système-données
Souvent les utilisateurs se croient protégés par l'organisation et les outils (antivirus, antispam, pare-feu, etc) et n'accordent que peu d'importance à leur propre comportement. C'est là le piège.  Le collaborateur est le maillon faible. C'est sur lui que doivent porter les efforts d’éducation, de bonnes pratiques. Surtout aujourd'hui où tout est transformation digitale. Plus on numérise, plus on accroît de facto le périmètre des vulnérabilités, plus on ouvre le champs des possibles, et plus les collaborateurs ont besoin de repères, de comportements adaptés aux risques d'intrusions malveillantes.

La cybersécurité est une dynamique.  Elle doit être initiée et régulièrement réactivée par la direction de l'entreprise. Cette dernière doit s’attacher à informer et former régulièrement le personnel sur les problématiques de sécurité concernant les processus et les métiers.  

Dirigeants de PME et d'ETI, faites de la sécurité une priorité aujourd'hui. 

Ignorer ou remettre à plus tard vous condamne à des déconvenues ! Aux Etats-Unis, d’après une étude du National Cybersecurity Alliance, 60 % des petites et moyennes entreprises n'ont pas survécu plus de six mois après avoir été piratées...

samedi 4 mars 2017

Préambule au Règlement Général sur la Protection des Données

Le Règlement Général sur la Protection des Données -RGPD- vous concerne !

Que vous soyez responsable d'une micro, petite, moyenne ou grande entreprise, ou que vous soyez un simple consommateur, l'application du Règlement Général sur la Protection des Données à partir du 25 mai 2018 change vos droits et vos devoirs. Voici l'essentiel de ce que vous devez savoir sur le RGPD sous forme d'infographie.


GDPR-RGPD-Infographie


Le Règlement Général sur la Protection des Données (RGPD, GDPR -General Data Protection Regulation en anglais) a pour objectif de définir des règles rigoureuses pour développer et encadrer l’économie numérique, en suscitant la confiance des parties prenantes, en faisant notamment en sorte que les individus (re)prennent le contrôle de leurs données et aient une meilleure compréhension de ce que les entreprises peuvent faire ou pas avec les informations collectées.

La précédente directive européenne 95/46/CE ne permet pas de garantir une libre-circulation des données à caractère personnel, notamment parce que chaque état membre de l'Union a une législation différente et une mise en application de la dite directive différente, de nature à fausser la concurrence.

Considérant l'augmentation des flux de données à caractère personnel échangées entre les différents acteurs européens liée notamment aux nouvelles technologies et aux média sociaux, la Commission a alors décidé qu'il fallait amplifier la libre circulation des données en garantissant un niveau élevé de protection et fournir un cadre légal simple et identique à tous les pays de la zone euro.

Le RGPD vient donc en complément des droits fondamentaux existants déjà pour les personnes physiques et garantit une équivalence au niveau de la protection des droits dans tous les états de l'Union Européenne.

Il est possible que quelques états introduisent des dispositions nationales spécifiques, par exemple concernant la définition des conditions nécessaires à l’exécution du traitement des données en fonction du secteur d’activité. Réciproquement, les états membres peuvent inclure des éléments du RGPD dans leur propre législation, afin d'en garantir une meilleure cohérence et compréhension. En France, la CNIL s'est déjà largement emparée du dossier.

infographie-RGPD-GDPR


lundi 6 février 2017

Quelle conduite de changement pour quel type d'entreprise - la grande entreprise (3/6)

Benoît ROUX, gérant du cabinet Savoie Conseils et Solutions , spécialiste en organisation et conduite du changement, nous dévoile les points de vigilance  à prendre en compte si l'on veut maîtriser la transformation d'une grande entreprise

grande-entreprise-management-intermediaire

Et pour la grande entreprise, quelles sont les situations dont il faut se préoccuper, dans le cadre de la conduite d’un changement ?

BR :Concernant la grande entreprise, notamment celle disposant d’une profondeur hiérarchique importante, le point de vigilance tourne autour du management intermédiaire. Il est par définition la cheville ouvrière du changement.

La grande difficulté du management intermédiaire, c’est d’être coincé entre les équipes et le top management. Être déchiré entre deux fidélités. La fidélité à son supérieur hiérarchique, et la fidélité à ses collaborateurs. Par exemple, le responsable a parfois des informations qu’il ne peut transmettre à ses collaborateurs, qui le mettent dans une position extrêmement délicate, inconfortable. Et quelqu’un qui est dans une situation embarrassante ne peut pas être un acteur efficace du changement.

Sans compter que se rajoute une dimension supplémentaire. Non seulement le management intermédiaire doit gérer le changement de ses équipes, mais il doit aussi gérer son propre changement. C’est difficile de gérer sa propre transition tout en gérant celle de ses collaborateurs.

Imaginons que l’on fusionne les entités administratives et comptables de plusieurs services repartis en France et que le responsable de l’agence de Bordeaux doive maintenant organiser le transfert des traitements comptables et administratifs de son agence vers celle de Toulouse. Il va se poser beaucoup de questions sur son avenir. Comment va-t-il considérer les dix ou quinze années qu’il vient de vivre à gérer l’agence bordelaise, quelle répercussion cela va entraîner sur son attitude à bien préparer le changement pour ses collaborateurs ? Cela peut être assez violent….

C’est compliqué de gérer son propre changement et le changement de ses collaborateurs. Cela signifie que pour affronter plus sereinement les périodes de changement dans les grandes entreprises, il est nécessaire de mettre en place un accompagnement spécifique de ce management intermédiaire. Bien souvent il existe des plans de changement pour le Top management et pour l’ensemble des collaborateurs, mais rien de particulier pour la hiérarchie intermédiaire.

Prenons le cas par exemple d’une situation de changement ou plusieurs entités ont chacune leur informatique locale à migrer dans un ERP commun, avec une base articles commune. Un bon moyen d’assurer la réussite du changement est d’intégrer les responsables administratifs et comptables dans la toute première phase du projet, pour définir avec eux quel sera leur rôle dans la future organisation, quel sera leur avenir.

C’est à faire le plus rapidement possible. Pour ne pas laisser de place au doute, pour clarifier la situation du responsable avant de clarifier celles de ses collaborateurs. Pas forcement pour répondre à toutes ses interrogations, mais au moins travailler avec lui en lui montrant les nouvelles perspectives, voilà ce qui va changer, ce que l’on sait, ce que l’on ne connaît pas encore, bref favoriser un échange autour de la situation. Au final, bien gérer la transition des managers intermédiaires permet de mieux gérer la transition de leur équipe.

La grande entreprise ou les luttes de pouvoir et d'influence

grande-entreprise-lutte-influence-pouvoir
Le second point de vigilance, c’est qu’il existe dans ces grandes entreprises des luttes de pouvoir et d’influence. Globalement un changement a tendance à rajouter une incertitude dans le jeu. Cette incertitude est déstabilisante par rapport à la perception des conséquences que cela peut avoir sur son propre pouvoir et sur sa sphère d’influence.

Une des premières caractéristiques de l’être humain est d’essayer d’accroître sa zone de pouvoir et d’influence. C’est souvent vérifié pour les managers, s’ils sont là où ils sont, à des postes de managers, c’est pas un hasard non plus… Globalement les personnes adoptent des stratégies qui ont pour vocation d’étendre leur influence ou leur pouvoir sur les choses, justement pour réduire cette incertitude.

Lorsqu’un individu perçoit qu’une transformation peut lui faire perdre une partie de son pouvoir, il est difficile pour lui d’adhérer à ce changement. Consciemment ou inconsciemment.

Ce pouvoir d’ailleurs n’est pas seulement le pouvoir hiérarchique, ce sont aussi des choses plus informelles, le pouvoir d’influencer des gens, ou le pouvoir de bloquer ou libérer un service, ce pouvoir qu’a par exemple un responsable de service de maintenance pour clouer un avion au sol.

C’est aussi le pouvoir des personnes étiquetées comme étant des spécialistes dans un domaine. Aujourd’hui cette personne apparaît comme quasiment indispensable, on vient la voir en lui disant c’est urgent, on compte sur toi et d’un coup… lorsqu’on lui annonce que demain son travail sera fait ailleurs et autrement, c’est quand même compliqué pour cette personne d’adhérer à ce changement.

Donc dans les grandes entreprises avec un management intermédiaire étendu, il est primordial d’étudier les impacts du changement sur les personnes. Si une personne peut percevoir qu’un changement à terme va la rabaisser en terme d’influence ou d’image vis à vis de ses collègues, elle va consciemment ou inconsciemment mettre un frein.

Lorsqu’un collaborateur considère que sa sphère d’influence est menacée par un changement, plusieurs types de comportements « hostiles »sont possibles, l’obstruction, le blocage ou plus subtil, l’inertie... Comment éviter cette situation ?

B.R. :En faisant d’une part l’analyse des impacts puis en cartographiant la stratégie des acteurs. Bien souvent lorsqu’on met en place un changement, on se focalise principalement sur le résultat attendu. Par exemple je décide de mettre en place une nouvelle organisation pour réduire mes coûts de traitement administratifs en déplaçant la comptabilité fournisseurs à Marrakech via un processus automatisé, des documents scannés, etc.. Pour cela, je concentre mon énergie et mes actions sur mon périmètre.

Mais la nouvelle organisation à venir peut avoir des impacts humains sur d’autres organisations, d’autres services. Ces impacts hors périmètre sont à intégrer dès la phase d’étude du projet. Parce que le responsable logistique avait l’habitude tous les vendredis matins d’aller voir la comptabilité fournisseurs pour régler les petits litiges avant de faire ses entrées en stock... Que va-t-il se passer maintenant si le responsable logistique décide… de ne rien faire, puisque, après tout, il n’est pas à l’origine du changement ?

Assez rapidement, les litiges vont s’entasser, puis des voix s’élèveront pour dire que ça ne marche pas depuis que tout est fait à Marrakech.

Pourtant le problème ne vient pas de la nouvelle organisation, l’origine du problème est que l’impact de la suppression de cet échange hebdomadaire n’a pas été mesuré. Il faut donc soit recréer ce qui existait, sous une autre forme, mais dans ce cas on n’a plus toutes les économies attendues, soit il faut se pencher sur un nouveau problème et comprendre pourquoi il y a autant de litiges toutes les semaines.

Déterminer la stratégie des acteurs face au changement est aussi important que faire l’analyse des impacts. En tant que responsable d’une équipe, je dois être capable de connaître quels sont les éléments constitutifs de la motivation de mes collaborateurs à leur travail. Par quoi et pourquoi ce collaborateur est motivé, a intérêt à faire ceci, a goût à faire cela, trouve plaisir à faire ceci ou à l’inverse n’apprécie pas de faire cela.

Il est primordial d’identifier ces éléments. Parce que si une des sources de motivation et de gratification pour mon collaborateur, c’est de discuter tous les vendredis matins avec le responsable comptabilité fournisseurs, voilà un élément positif qui va contre-balancer les contraintes liées à son poste. Si la discussion du vendredi matin disparaît... cela peut être la goutte d’eau qui fait déborder le vase.

Un responsable d’équipe doit donc avoir conscience des éléments constitutifs de la motivation de ses collaborateurs et doit les prendre en compte dans le cadre du changement. Il doit s’assurer que les stratégies individuelles des uns et des autres sont compatibles avec le projet, quitte à, si possible, réorienter un petit peu la stratégie de ses collaborateurs.

Que répondre face à un responsable d’équipe qui dirait « je ne sais pas exactement ce qui motive mes collaborateurs… par exemple je sais ce que Martin sait faire, ce qu’il ne sait pas faire, ce qu’il n’aime pas faire, mais ce qui le motive véritablement ... je me demande même s’il le sait lui-même…. »

B.R. :Le changement, ce sont des actions à mener pour atteindre un futur commun, et si ce futur est désiré, il y a toutes les chances que les personnes se mettent en mouvement plus facilement.

Si le changement en question ne met en danger des choses auxquelles les collaborateurs n’attachent que peu d’importance, globalement cela va bien se passer, les collaborateurs vont se dire, « pour moi cela ne me change pas grand-chose ». Et comme ce n’est pas gênant, je ne bloque rien.

A contrario, d’autres personnes vont bloquer, mais sans dire pourquoi. Le responsable d’équipe peut s’interroger sur pourquoi ces personnes résistent. Et conclure hâtivement que c’est complètement irrationnel. Pourtant cela ne l’est pas. Le comportement de ces personnes est très rationnel. La seule chose, c’est qu’ils ont pris la décision la plus rationnelle avec les éléments qu’ils ont. Le devoir du responsable d’équipe est alors de comprendre pourquoi ils adoptent ce comportement…

Un des rôles du manager est de faire parler et d’aider ses collaborateurs à prendre conscience de leurs sources de satisfaction et d’insatisfaction.

Il y a ainsi parfois des gens qu’on stigmatise en disant « oui, mais lui, il est toujours en train de râler... » C’est vrai, nous en connaissons plein. En tant que responsable il faut forcer ces insatisfaits à décrire leur rancœur, les pousser dans leurs retranchements.

Je suis persuadé que si le responsable est suffisamment tenace, à un moment le collaborateur finira par dire ce qu’il ressent. Exemple de dialogue : « Tu es en train de me dire que rien ne va dans ce que tu fais… qu’il n’y a rien de positif... » «si moi, ce que j’aime bien, c’est avoir des contacts avec le client... » ou « j’aime bien régler les litiges les uns après les autres, il y a une forme de satisfaction quand j’arrive à la fin de la liste... » ou « j’adore faire le support aux utilisateurs… ».

Il faut alors aller plus loin pour en connaître la raison, poser la question au collaborateur pourquoi il aime faire cela. Jusqu’à obtenir une phrase comme : :« j’ai l’impression de me sentir utile lorsque toutes les filiales m’appellent pour des problèmes sur un logiciel que je maîtrise ». Cet élément constitutif de la motivation du collaborateur permet d’entrer dans une dynamique vertueuse du changement en identifiant un levier permettant de faire sauter la fameuse résistance au changement.

La grande entreprise, un besoin de communication simple et claire

grande-entreprise-communication-simple
Enfin le troisième point de vigilance, très important, il ne faut pas faire du projet en mode confidentiel, façon bouche-à-oreille. Si le Top Management ne donne les informations qu’au directeur régional, lequel redonne sa vision du projet au suivant, lorsqu’on arrivera à l’équipe de base, le message reçu n’aura plus rien à voir avec l’information initiale.

Si mon entreprise compte cinq niveaux de management, entre le message transmis par le premier collaborateur et celui reçu par le dernier collaborateur, il y aura ce que j’appelle une déperdition naturelle. Sans mauvaise ou bonne intention. Même de bonne foi, on peut changer la signification d’un message. Donc sans même évoquer une volonté de manipuler l’information il y a une déperdition naturelle.

Comme le transmetteur n’a pas le même vécu, la même histoire que le receveur, il ne va pas retenir exactement la même chose ou le traduire exactement de la même manière... C’est un élément à intégrer, à prendre en compte dès le départ du projet.

Je sais que les communicants disent qu’aujourd’hui ce n’est plus possible, avec les nouvelles façons de diffuser l’information, avec les nouveaux outils, la messagerie d’entreprise, l’intranet, les journaux internes, tout le monde a la même information. Mais d’expérience il reste … la machine à café !

Il y a souvent une résistance au changement qui s’exprime à la machine à café. Il y a toujours des personnes qui ont plus à perdre que d’autre à la mise en place d’un changement. Pour limiter l’effet de la machine à café, il faut adopter des messages suffisamment simples, clairs et sans ambiguïté.

Il faut aussi en permanence faire des allers-retours pour s’assurer que le management à chaque niveau transmet bien les bonnes informations. Et le seul moyen de vérifier que la bonne information est bien passée est de la faire reformuler.

En conclusion de cette longue partie concernant la grande entreprise, je mettrais l’accent sur la gestion de la transition du manager intermédiaire, et j’appellerai à redoubler de vigilance sur la stratégie des acteurs. Pourquoi quelqu’un met de l’énergie ou pas dans un projet, c’est toujours pour une bonne raison, peut-être pas une raison fondée pour l’initiateur du changement, mais pour la personne qui va devoir faire le changement, c’est une bonne raison.

Découvrez les points de vigilance à surveiller en fonction du type d'entreprise:

Conglomérat          Entreprise Matricielle                                      PME          Petite Entreprise                                                                                                    Retour à l'introduction


Quelle conduite de changement pour quel type d'entreprise - la petite ou moyenne entreprise (5/6)

Benoît ROUX, gérant du cabinet Savoie Conseils et Solutions , spécialiste en organisation et conduite du changement, nous dévoile les points de vigilance  à prendre en compte si l'on veut maîtriser la transformation d'une petite ou moyenne entreprise

PME-prioriser-les-actions

Quels sont les points à surveiller dans le cadre de la conduite de changement pour une petite et moyenne entreprise ?

B.R. : Concernant la PME traditionnelle, je trouve qu’elle est souvent caractérisée par une difficulté à prioriser les actions. Il y a un peu cette culture de « tout est important ».

Dans la phase de conception des changements, le travail est plutôt bien fait, il y a une vraie analyse, de la rigueur, des moyens, de la réflexion. Mais dans la phase de mise en place c’est différent. Des ressources vont être allouées, on va dire par exemple à un collaborateur « ce projet représente 10 % de ton temps », mais très vite ce collaborateur va crouler sous les urgences, il sera débordé et le planning ne sera pas respecté. Au final reste l’impression d’un manque de rigueur dans la mise en place.

Il est alors primordial de resituer le changement dans la réalisation d’un objectif global. A un moment il faut que le patron, qui a défini un objectif général pour sa structure, puisse redistribuer les cartes et réassigner les ressources. Si le changement concourt à l’atteinte de son objectif, alors c’est non négociable. Une urgence ne doit pas en chasser une autre.

On dit aussi souvent que passer plus de temps dans l’élaboration d’un projet, en incluant notamment comment on délivre le produit, en facilite le déploiement.

B.R. : Je remarque que souvent les individus -notamment les consultants, les responsables et même les équipes projets- sont persuadés qu’un changement réussi est un changement bien préparé… On est convaincu que plus on prépare, mieux on prépare, mieux on va réussir le changement. Ma conviction à moi est qu’un changement réussi est un changement qui a été correctement mis en place.  

Il y a beaucoup de projets qui aujourd’hui échouent non pas parce qu’ils ont été mal préparés, mais parce que leur mise en place n’est pas assez rigoureuse. Souvent l’équipe projet a sa conscience pour elle, elle argumente que le projet était bien préparé, mais que le déploiement ne s’est pas déroulé comme prévu. L’équipe chargée de la mise en place se défend pour sa part en indiquant que l’équipe projet n’avait pas tout prévu.

Il est certain qu’il faut être beaucoup plus vigilant sur la mise en place des projets. Je considère qu’il ne sert à rien d’épuiser les troupes dans la phase de conception en essayant de tout prévoir. Il y aura toujours des imprévus.

Vu la vitesse à laquelle les environnements évoluent, il est peu probable qu’un projet se déroule comme prévu, car certaines hypothèses prises pendant la phase de construction seront balayées au moment de la mise en place…il est donc illusoire de vouloir tout prévoir. Il faut plutôt créer les conditions et la dynamique pour trouver des solutions face aux impondérables survenant durant la phase de mise en place.

Existe-t-il un autre point de vigilance ?

B.R. : Oui, on ne valorise pas beaucoup le succès et les réussites dans les PME. Comme dans toute gestion de projet ou conduite de changement, il doit y avoir des jalons, et à la fin une célébration.

Souvent dans l’univers de la PME j’entends des « Ah ça c’est normal, ils sont payés pour ça !». Le management est parfois un peu négligent par rapport à cela. Il ne s’agit pas de distribuer des primes parce que l’objectif est atteint. Une célébration, ça peut être juste le responsable qui paie un coup a boire sans faire de folie…

Donc même si ce n’est pas dans la mentalité de la PME qui considère qu’elle n’a pas de temps à dédier à cette action, il est important de jalonner, de célébrer et de capitaliser sur les succès. Cela engendre de la dynamique.

En conclusion de cette partie, je dirais que dans la vraie vie les PME ont beaucoup de mal à renoncer à tous leurs projets, elles veulent tout faire…et tout faire ensemble, en interne. Donc elles font tout... mais un peu. Et parfois pas très bien. C’est dans la valorisation des ressources, du temps et des gens et dans le rattachement ou non à la stratégie globale d’entreprise que se fait la différence.

Conglomerat          Grande Entreprise          Entreprise Matricielle                        Petite Entreprise                                                                                                                        Retour à l'introduction       


Quelle conduite de changement pour quel type d'entreprise - l'entreprise matricielle (4/6)

Benoît ROUX, gérant du cabinet Savoie Conseils et Solutions , spécialiste en organisation et conduite du changement, nous dévoile les points de vigilance  à prendre en compte si l'on veut maîtriser la transformation d'une entreprise matricielle.

entreprise-projet-conception
Concernant l’entreprise matricielle ou l’entreprise projet, quelles sont les situations à surveiller lors de la conduite d’un changement ?

B.R. :Je constate que les entreprises qui lancent beaucoup de projets ont parfois des projets un peu contradictoires. C’est une tendance actuelle ou tout est projet. Sous prétexte d’agilité, d’opportunité, de flexibilité, les projets sont multipliés, de nombreuses équipes projet sont constituées dans des domaines variés, avec parfois une personne active ou souhaitée telle sur 3 ou 4 projets en même temps.

Il existe des sociétés avec des équipes projet qui fonctionnent un peu dans leur bulle, en autarcie, ou il semble qu’on se fait son petit projet entre soi pour se faire plaisir, ou l’on se recrée son petit monde.

Lorsque plusieurs projets de cette sorte fleurissent dans ces entreprises, il y a inévitablement des projets qui se télescopent. Par exemple une entité A déploie un projet hyper ambitieux de développement commercial avec une équipe projet dédiée, des consultants externes, et 3 mois après l’entité B lance un programme d’économie et de réduction des effectifs dans l’administration des ventes. Qui dans l’entreprise comprend la logique et la cohérence de ces deux projets ?

Il est d’ailleurs intéressant de noter que souvent dans ces cas concrets on peut observer des comportements extrêmes, avec une forme de jusqu’au-boutisme. Coûte que coûte il faut faire avancer son propre projet, il faut se dépêcher, quitte à générer des conflits dans l’allocation des ressources, car il faut à tout prix attirer les meilleures compétences sur son projet…

Cette multiplication des projets conduit aussi à travailler beaucoup dans la phase de conception, mais à négliger la phase de mise en œuvre et de réalisation, parce que justement le projet est plutôt intéressant en terme de réflexion, intellectuellement c’est passionnant, mais la mise en place, alors ça c’est beaucoup moins important.

L'entreprise matricielle, le changement permanent en mode survie

entreprise-projet-changement-mode-survie
Lors de ces projets de grande envergure lancés sur différents domaines, je remarque que l’adaptabilité d’une personne à un changement n’est pas infinie. Il est illusoire de penser qu’une personne peut reconstituer son stock d’adhésion au changement quasi instantanément… Souvent la personne a à peine fini de digérer un premier changement qu’il en vient un second. Je pense qu’il est nécessaire à un moment de laisser du temps au temps, d’accorder une pause dans la transition des personnes et des équipes.

Je vais illustrer mon propos par un exemple vécu. Je me souviens d’un projet ou il était question d’équiper des commerciaux d’une solution de prise de commande mobile. Auparavant la prise de commande était faite par un opérateur qui saisissait les informations dans le système central, soit depuis une commande papier soit via un appel téléphonique du commercial.

Donc un projet est lancé avec les commerciaux. Entre les moyens matériels, les besoins de formation et le coût de la maintenance des équipements, c’est un grand projet. Lorsque les 400 commerciaux sont équipés, formés et autonomes, le projet est clos.

Dès le début du projet, un certain nombre d’avantages ont été répertoriés. Ont aussi été mis en avant que ce nouveau mode de prise de commande doit générer de nouvelles opportunités. C’est à dire changer la façon dont le commercial présente les promotions clients, comment il s’assure de la disponibilité du produit en stock, etc. On attend donc du projet qu’il induise de nouveaux comportements.

Mais changer un comportement, cela prend du temps. Or avant même que les nouvelles habitudes s’installent, des voix s’élèvent déjà pour dire que tous les bénéfices attendus ne sont pas réalisés. Très vite on constate que « c’est vrai, on a équipé les commerciaux d’ordinateurs portables, c’est probablement un peu dépassé aujourd’hui, il faut qu’on change de produits… pourquoi pas des tablettes ». Et puis encore plus tard, on conclut en disant « tout compte fait, tout cela ne nous a pas fait gagner grand-chose... ». Je pense qu’on n’a pas laissé le temps au temps...

Autre exemple significatif de la difficulté à changer véritablement. Il y a dans ce même projet un commercial qui a été formé, un peu difficilement certes, mais qui a reçu une formation comme les autres. En regardant les fichiers d’entrée dans le logiciel de commande, on s’aperçoit que ce commercial envoie toujours ses commandes le soir vers 21h30 alors qu’un des objectifs du projet est justement de favoriser la prise de commande au fil de l’eau.

L’information remonte jusqu’au responsable du commercial qui confirme que des rappels lui ont été adressés pour qu’il saisisse ses commandes lorsqu’il les conclut. Néanmoins, il continue d’envoyer ses commandes tous les soirs à 21h30.

Voici le fin mot de l’histoire. Lorsqu’il est en clientèle, ce commercial dispose bien de son ordinateur portable, mais il continue de prendre ses commandes à la main, et le soir…il donne ses commandes papier à sa femme pour qu’elle les saisisse dans le logiciel ! Double peine pour Madame qui a d’abord dû dompter l’ordinateur portable avant d’apprivoiser la tablette !

Le changement comme une évolution permanente est un leurre. C’est une hypothèse dans laquelle sont enfermées aujourd’hui les organisations. Chaque personne ne vit pas le changement comme une évolution, mais comme des phases assez marquées de transition. Entretenir ce mythe que l’entreprise de demain doit être une entreprise en évolution permanente, une entreprise qui se nourrit du changement permanent, cela me semble illusoire. En tout cas pour les collaborateurs d’une telle entreprise c’est synonyme de stress permanent, de burn-out, etc.

Ce changement permanent est quand même souvent présenté comme seul gage de survie pour l’entreprise …

B.R. :Je ne crois pas. De mon point de vue, une entreprise doit faire périodiquement un point, constater sur quels aspects elle a bâti son succès, son histoire, sa réussite, et se fixer de nouveaux objectifs a moyen et long terme pour développer tel nouveau produit ou service, ou devenir ce qu’elle imagine. Ce processus est pour moi la marque d’une rupture, d’une réorientation. Et c’est différent d’une évolution constante.

entreprise-projet-stress-burnoutL'entreprise matricielle, stress et burn-out autour des projets

Il est clair que les entreprises doivent s’adapter à leur environnement. Si demain le travail des collaborateurs d’une entreprise est de s’assurer qu’on satisfait toujours les besoins des clients alors qu’on ne les connaît même pas encore -c’est quand même un peu la tendance actuelle- cette notion d’adaptation permanente va générer beaucoup de stress et engendrer des difficultés sur les équipes. Et une équipe continuellement sous stress est moins efficace.

Ce changement permanent a quand même tendance à engendrer des tensions. Cette impression de ne jamais finir son projet, de ne jamais capitaliser, de ne pas tirer les bénéfices de ce qui a été fait. Il y a beaucoup d’équipes qui sont sous stress. Le domaine roi du burn-out c’est bien l’équipe projet. Quel chef de projet n’a pas vécu une dépression post-projet ? Quand on mène à bout de bras un projet qui dure un, deux ou trois ans, et que sitôt fini sitôt réaffecté sur un autre projet, c’est dur.

Aujourd’hui il semble que l’escalier soit sans fin. Il n’y a plus de palier. Avant il y avait un temps de maturation et un temps de digestion du changement. Aujourd’hui il n’y en a plus. Pourtant les gens en ont besoin. Physiologiquement.  
Découvrez les points de vigilance à surveiller en fonction du type d'entreprise:

Conglomerat          Grande Entreprise                                             PME          Petite Entreprise                                                                                                 Retour à l'introduction