Contrôle interne et cyber-résilience : pourquoi le tableur ne protège plus les dirigeants

Pendant vingt ans, la gestion des risques et la conformité se sont largement appuyées sur le tableur et sur des campagnes d'audit espacées. C'était cohérent : le tableur est souple, universel, immédiat, et la réglementation de l'époque ne demandait rien de plus et s'en accommodait. Il n'y a là ni faute ni négligence de la part de celles et ceux qui ont fait tourner ces dispositifs, souvent avec des moyens comptés.

Ce qui a changé, ce n'est pas le sérieux des équipes : c'est ce qu'on leur demande. Trois évolutions se cumulent : un empilement réglementaire européen qui passe de l'obligation de moyens à l'obligation de preuve ; une professionnalisation industrielle des attaquants et des réseaux de fraude, démultipliée par l'intelligence artificielle générative ; et une exigence nouvelle, transversale à tous les textes récents : pouvoir démontrer, des mois plus tard, qui a validé quoi et quand.

C'est précisément ce qu'un tableur ne sait pas faire. Il modélise très bien un risque ; il ne peut ni horodater une validation de façon inaltérable, ni tracer une piste d'audit opposable, ni prouver qu'un contrôle a effectivement tourné. Ce n'est pas un défaut de l'outil, c'est une limite de conception rattrapée par un niveau d'exigence pour lequel il n'a jamais été prévu. La GRC cesse d'être un centre de coûts déclaratif pour devenir la colonne vertébrale opérationnelle de la résilience des organisations, publiques comme privées.

1. Le choc réglementaire européen : de la conformité formelle à la gestion de la preuve

Les textes récents ont un point commun : ils exigent une traçabilité vérifiable, une gouvernance active des tiers et, pour les plus exigeants, une responsabilité directe des organes de direction. Encore faut-il savoir précisément où chaque texte en est.

• NIS 2 : le texte le plus structurant, toujours en attente de transposition en France.

  La directive (UE) 2022/2555 devait être transposée avant le 17 octobre 2024. La France a manqué l'échéance : le projet de loi « résilience des infrastructures critiques et renforcement de la cybersécurité », qui transpose à la fois NIS 2, la directive REC et le volet national de DORA, a été adopté par le Sénat le 12 mars 2025, voté en commission spéciale à l'Assemblée nationale le 10 septembre 2025, et n'est toujours pas promulgué à la rentrée 2026. Il n'a pas été inscrit à la session extraordinaire de septembre.

  Ce retard n'est pas une raison d'attendre, pour trois motifs :

  • Le périmètre change d'échelle : environ 15 000 entités concernées contre quelques centaines sous NIS 1, avec l'inclusion des collectivités territoriales prévue par le texte français.

  • La directive impose explicitement la sécurité de la chaîne d'approvisionnement (article 21) : cartographie et maîtrise des prestataires numériques, contractualisation des exigences, suivi dans le temps.

  • Le régime de sanctions est connu : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les entités essentielles, 7 M€ ou 1,4 % pour les entités importantes, et, pour les entités essentielles, la possibilité d'interdire temporairement à un dirigeant d'exercer des fonctions de direction (article 32).

    L'ANSSI a déjà publié en version de travail son Référentiel Cyber France (ReCyF, 17 mars 2026), qui détaille les mesures attendues. Les organisations qui attendent la loi pour commencer se retrouveront avec un délai de mise en conformité court pour un chantier qui prend des mois.

• DORA : applicable depuis le 17 janvier 2025 au secteur financier.

  Le règlement (UE) 2022/2554 est d'application directe. Il impose aux entités financières un registre des prestataires TIC, une gestion contractuelle des risques liés aux tiers et un dispositif de test et de notification des incidents. Pour les organisations hors secteur financier, DORA vaut surtout comme standard de référence : c'est le texte qui a formalisé le plus précisément ce qu'est une gestion des risques tiers opposable.

• AI Act : un calendrier reporté, mais un inventaire à préparer.

  Le règlement (UE) 2024/1689 s'applique par vagues. Sont en vigueur aujourd'hui : les interdictions de certaines pratiques (depuis février 2025), les obligations des fournisseurs de modèles à usage général (août 2025) et les obligations de transparence de l'article 50 (août 2026). En revanche, les obligations lourdes sur les systèmes à haut risque, celles qui imposent gestion des données, documentation et surveillance humaine, ont été reportées par le règlement « Digital Omnibus » (UE) 2026/1744 : au 2 décembre 2027 pour l'annexe III (recrutement, éducation, accès aux services essentiels, infrastructures critiques), au 2 août 2028 pour l'IA embarquée dans des produits réglementés. Le report ne change rien au premier réflexe attendu : recenser les systèmes d'IA utilisés, y compris les usages informels, et les qualifier.

• CSRD : un périmètre réduit d'environ 80 %.

  Le reporting de durabilité, présenté un temps comme la prochaine vague de contrôle interne, a été recentré par la directive Omnibus I (en vigueur depuis le 18 mars 2026) sur les entreprises dépassant à la fois 1 000 salariés et 450 M€ de chiffre d'affaires. Il ne concerne pas les organismes publics et n'est plus, pour la plupart des organisations, un facteur de pression.

• La constante : la responsabilité des dirigeants.

  NIS 2 et DORA placent expressément la cybersécurité et la gestion des risques au niveau de l'organe de direction, qui approuve les mesures, en supervise la mise en œuvre et doit s'y former. Le sujet ne se délègue plus intégralement au RSSI ni au prestataire.

2. Fraude et cyber-criminalité : l'industrialisation de l'attaque

La frontière entre fraude, risque opérationnel et cyber-attaque s'est effacée. La fraude financière moderne est un sous-produit de l'ingénierie sociale numérique.

Ce que dit le Baromètre Fraude 2026 d'Allianz Trade (enquête Odoxa, avril-mai 2026, auprès de 315 dirigeants et directeurs financiers en France, publiée le 16 juin 2026) :

• 60 % des PME et 85 % des ETI et grandes entreprises ont subi au moins une tentative de fraude sur douze mois ; 52 % des ETI et grandes entreprises constatent une hausse.

• Dans 40 % des cas, au moins une tentative a abouti ; 85 % des entreprises victimes déclarent un préjudice financier, dont 19 % supérieur à 10 000 euros.

• Parmi les entreprises ayant subi une tentative, 88 % citent des fraudes externes (usurpation d'identité par un tiers) contre 37 % des fraudes internes ; en tête, le faux fournisseur (42 %) et le faux client (41 %).

• 76 % des dirigeants estiment que l'IA augmente le risque de fraude, notamment via l'usurpation d'identité par la voix ou l'image.

• Côté prévention, le seul dispositif majoritaire est la vérification des coordonnées bancaires (55 %) ; 36 % réalisent des procédures de contrôle interne, 13 % seulement disposent d'un plan d'urgence, et 16 % n'ont aucun dispositif spécifique.

Ce que dit l'ANSSI (Panorama de la cybermenace 2025, publié en mars 2026) :

• 2 209 signalements et 1 366 incidents portés à sa connaissance en 2025 ; quatre secteurs concentrent les trois quarts des incidents traités : éducation et recherche (34 %), ministères et collectivités territoriales (24 %), santé (10 %), télécommunications (9 %).

• 128 compromissions par rançongiciel, avec les collectivités en deuxième position des cibles (11 %) derrière les PME, TPE et ETI.

• Le prestataire est confirmé comme vecteur majeur de compromission : l'Agence décrit des cas où un attaquant compromet un prestataire, exfiltre des données de ses clients puis exploite les interconnexions pour se latéraliser vers d'autres organisations, et un cas de rançongiciel chez un prestataire ayant coupé l'accès de l'ensemble de ses clients à l'application fournie.

Ce que dit l'Agence française anticorruption (rapport d'activité 2025, publié en juillet 2026) :

• 1 125 faits d'atteinte à la probité enregistrés par les forces de l'ordre en 2025, contre 968 en 2024 (+16 %).

• Les collectivités territoriales concentrent 40 % des affaires d'atteintes à la probité jugées.

• Première sanction pécuniaire prononcée par la commission des sanctions de l'AFA, après constat du non-respect de sept des huit obligations de l'article 17 de la loi Sapin II, dont l'absence de procédure d'évaluation des tiers et de contrôles comptables anticorruption. L'argument de la société, qui affirmait avoir corrigé ses manquements après le contrôle, a été écarté : les manquements s'apprécient à l'issue du contrôle, pas à la date de la décision.

La leçon est la même dans les trois sources : une procédure ne vaut que si elle est documentée, testée périodiquement et capable de produire la preuve de son exécution. C'est exactement ce qui manque à un dispositif tenu à la main, non par manque de rigueur, mais parce que l'outil n'a pas été conçu pour produire cette preuve.

3. La bascule méthodologique : du contrôle a posteriori au contrôle continu

Face à ce niveau de menace, un audit annuel ponctuel revient à vérifier la pression de ses pneus une fois par an sur l'autoroute. Ce n'est pas une critique des équipes qui les mènent : c'est la fréquence qui ne correspond plus au rythme des risques.

HierAujourd'huiCartographies statiques mises à jour une fois l'an dans un tableurRegistre dynamique des risques relié aux processus métierContrôle sur pièces a posteriori, par échantillonContrôle automatisé continu (Continuous Control Monitoring)Silos séparés (DSI, finances, juridique, qualité)Référentiel d'audit unique, partagé entre directionsConformité sur parole (« nous avons une charte »)Preuve opposable (« voici les journaux d'exécution »)

Automatiser la séparation des tâches, la validation croisée des coordonnées bancaires des fournisseurs et la surveillance des écritures manuelles atypiques n'est plus une affaire de spécialistes. C'est ce qui permet de préserver la trésorerie, de tenir face à un contrôle (AFA, chambre régionale des comptes, commissaire aux comptes, certificateur) et de maintenir l'assurabilité des risques.

4. Comment porter ce discours auprès des instances de direction

Trois arguments pragmatiques permettent de sortir la GRC de son image de bureaucratie paralysante :

• Chiffrer le coût de l'inaction : Une sanction, une attaque par rançongiciel ou un détournement de fonds coûtent infiniment plus cher que l'outillage et l'animation d'un dispositif de contrôle interne. Le contrôle interne n'est pas un frein : c'est le système de freinage qui permet d'accélérer en sécurité.

• Alléger la charge des équipes : La multiplication des contrôles épuise les équipes opérationnelles quand les pièces justificatives sont dispersées dans des boîtes mail. Centraliser la collecte de preuves rend du temps à toutes les directions.

• Avancer par étapes : Inutile de déployer un cadre exhaustif d'un bloc. Le plus efficace est de sécuriser d'abord les points de fuite immédiats — tiers fournisseurs, chaînes d'approbation financière, accès informatiques critiques — avant d'étendre la granularité des contrôles.

Sources

• Allianz Trade / Odoxa, Baromètre Fraude 2026, 16 juin 2026 : https://www.allianz-trade.fr/actualites/etude-fraude-2026.html

• ANSSI, Panorama de la cybermenace 2025, mars 2026 : https://cyber.gouv.fr/actualites/panorama-de-la-cybermenace-2025/

• Agence française anticorruption, Rapport d'activité 2025, juillet 2026 : https://www.agence-francaise-anticorruption.gouv.fr/fr/publication-rapport-dactivite-2025

• Textes européens : Directive (UE) 2022/2555 (NIS 2) ; règlement (UE) 2022/2554 (DORA) ; règlement (UE) 2024/1689 (AI Act) ; règlement (UE) 2026/1744 (Digital Omnibus IA) ; directive Omnibus I (CSRD), JOUE du 26 février 2026

• Assemblée nationale, Dossier législatif du projet de loi Résilience (n° 1112) : https://www.assemblee-nationale.fr/dyn/17/dossiers/DLR5L17N50731