Expertises des Systèmes d'information - Novembre 2021 - N°473 - Le mensuel du droit de l'informatique et du multimédia - 378

INTER VIEW
disciplinaires pouvant aller jusqu'à la décision de
se séparer d'une personne, porter l'affaire devant
l'Autorité de la concurrence dans le cadre d'une
clémence ou encore accepter de coopérer dans le
cadre d'une enquête par exemple par le parquet
national financier en France ou le Department
of Justice américain, etc. Généralement, cela
part d'une suspicion d'une pratique illégale ou
non conforme au code d'éthique ou aux règles
internes à l'entreprise, etc.
Comment s'assurer du caractère probant des
éléments issus d'une investigation interne ?
À force de faire des investigations internes, j'ai
identifié plus de 300 points pour s'assurer que le
travail effectué ne puisse pas être remis en cause
et que le process dans son intégralité soit le plus
efficace possible. Sur la base de cette check-list,
je procède étape par étape : cartographier les
données du système d'information, identifier
les actions à effectuer au moment de la collecte
de données, pendant l'investigation c'est-à-dire
par exemple l'organisation de la revue et des
interviews, et après l'investigation, notamment
comment transmettre un rapport en minimisant
le risque de fuites dans la presse comme on a pu
le voir dans certaines affaires. De manière générale,
l'avocat va être l'interface dans l'entreprise
entre les directions des systèmes d'information,
la direction générale, la direction juridique. Il va
être en contact avec les prestataires d'e-Discovery,
avec les autorités dans le cadre d'une enquête, etc.
Il s'agit d'avoir un process le plus efficient et le plus
sécurisé possible en termes de force probante.
Comme la pratique n'est pas normée, le savoirfaire
repose sur l'expérience. La check-list de 300
questions que j'ai constituée a été construite à
partir de chacune des situations auxquelles j'ai
été confronté dans le cadre des investigations
internes dans différents
domaines auxquelles j'ai
contribué ou aux situations
dont j'ai eu connaissance. Il
serait nécessaire d'essayer
de normer les pratiques.
La mise en place d'une gouvernance du patrimoine
informationnel
(cartographie
des
«
Comme les lanceurs d'alerte
seront mieux protégés, les alertes
devraient augmenter et donc
les investigations internes. »
Et quid du rôle des DSI ?
Leur rôle est essentiel quel que soit le type d'investigation
interne. D'où l'importance que les
personnels soient formés à ce type d'opération.
La situation sera beaucoup plus stressante dans
le cas d'une visite de l'Autorité de la concurrence.
D'abord les enquêteurs sont eux-mêmes
très stressés. C'est une situation anxiogène pour
tout le monde car il s'agit d'une situation de crise
immédiate dans laquelle vous n'avez pas 3 mois
pour répondre à un questionnaire et maîtriser
ce que vous fournissez. D'où l'importance d'être
préparé.
378
données, mode et lieu de stockage, accès,
sécurisation, politique de sauvegarde, de
conservation et d'archivage) n'est-elle pas la
meilleure façon d'appréhender les enquêtes
internes que ce soit suite à une alerte, une
procédure de Discovery ou une perquisition ?
Bien sûr. Il y a vingt ou trente ans, les enquêteurs
fouillaient les bureaux, les placards et ils saisissaient
des documents. Aujourd'hui, nous sommes
face à une explosion de la masse informationnelle
et une démultiplication des données susceptibles
d'être concernées par les perquisitions. Le rôle des
DSI est monté en puissance puisque l'accès aux
informations passe par eux. C'est vrai aussi pour
toute investigation interne. Il faut donc cartographier
les systèmes d'information de l'entreprise,
mettre en place une gouvernance de l'information,
organiser la gestion des archives, connaître
les modalités et les délais de restauration, établir
des procédures de collecte, préparer une documentation
relative à la préservation des données,
s'assurer que le règlement intérieur prévoit la
possibilité d'investigation interne, mettre en place
des panels en coopération avec la direction juridique,
ce que les entreprises font très rarement,
etc. Il ne faut pas oublier de constituer une piste
d'audit, c'est essentiel. Tellement d'opérations
vont être réalisées dans le cadre d'une investigation
interne, que l'entreprise doit savoir ce qui a
été effectué ou pas dans un souci probatoire et
d'efficience. Il faut aussi noter qu'une enquête
complexe peut conduire à brasser des millions
de documents et peut durer facilement plusieurs
années. Il faut donc s'attendre à ce qu'une partie
des personnes impliquées dans la gouvernance
en début d'enquête ne soient plus là trois ou
parfois même cinq ans plus tard, quand il faudra
par exemple expliquer
en justice certains choix
méthodologiques opérés
lors de la mise en place de
l'enquête.
Dans le cadre des enquêtes
de l'Autorité de la concurrence,
le DSI va être très vite sollicité pour
accéder aux données. Les entreprises sontelles
conscientes de la fonction sensible de
cette direction dans ces enquêtes ? Le DSI est-il
en général au courant qu'il peut être amené à
devoir collaborer avec des enquêteurs ?
Au cours des dernières années et du fait de la
multiplication des perquisitions des autorités, la
DSI est de plus en plus souvent sollicitée. Mais on
voit bien la différence entre les DSI et entreprises
qui ont vécu cette expérience, et les autres. Des
entreprises qui ont l'habitude d'être confrontées
EXPERTISES NOVEMBRE 2021
Expertises des Systèmes d'information - Novembre 2021 - N°473 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Novembre 2021 - N°473 - Le mensuel du droit de l'informatique et du multimédia
