Le DSI avisé : Épisode 5 – « Gérer les dépenses invisibles »

Mark Dunkerley : Je peux remonter 20 ans en arrière : à l’époque, les dépenses cachées concernaient essentiellement des besoins traditionnels, du genre « oh, j’ai besoin d’un serveur, j’ai besoin d’espace de stockage ». Et c’était la méthode à l’ancienne. Tout à coup, au cours des cinq ou dix dernières années, tout le monde est passé au cloud. Aujourd’hui, bien sûr, l’IA est le poste le plus important. Je ne pense pas que quiconque sache comment calculer les coûts liés à l’IA. Lorsque nous examinons la situation sous tous ses angles, en nous basant sur les coûts et en tenant compte des éléments que nous essayons de cerner, cela devient de plus en plus difficile et nous devons aller de plus en plus vite, tout en restant aussi à jour que possible, et cela semble être une constante dans toutes les organisations à l’heure actuelle.

Bradd Busick : Vous écoutez « The Savvy CIO », une émission modernisée avec brio par Park Place Technologies. Je suis votre animateur, Bradd Busick, et dans cette émission, nous abordons les contraintes budgétaires, l’adoption de l’IA, la sécurité et l’art de maintenir le système à flot sans tout faire capoter, en compagnie de ceux qui s’attaquent à ces problèmes au quotidien. En matière de matériel informatique — serveurs, commutateurs, etc. —, et même en ce qui concerne les contrats de maintenance nécessaires à leur bon fonctionnement, les coûts sont clairement visibles. On peut toucher le matériel, on peut constater de ses propres yeux des éléments comme l’amortissement et s’y préparer. Mais juste sous cette surface, il y a tout un iceberg de coûts qui sont beaucoup plus difficiles à maîtriser. Des éléments tels que la prolifération des services cloud, des projets pilotes d’IA qui n’ont jamais vu le jour, mais qui n’ont jamais été annulés non plus et continuent de tourner dans votre environnement. Des outils coûteux qui ne comptent que trois utilisateurs.

Il y a une multitude de fuites invisibles. Ce n’est pas leur ampleur qui va vous couler. C’est simplement le fait que vous ayez complètement oublié qu’elles existaient. Mark Dunkerley est vice-président des services technologiques d’entreprise et responsable de la sécurité des systèmes d’information (RSSI) chez Coca-Cola Bottlers’ Sales & Services, ce qui lui confère l’un des points de vue les plus singuliers du secteur. Il accompagne près de 60 embouteilleurs Coca-Cola à travers l’Amérique du Nord ; il a donc l’habitude de gérer la complexité des parties prenantes à grande échelle, et ce dans des dizaines d’environnements commerciaux distincts.

Mark sait qu’aujourd’hui, les dépenses informatiques ressemblent bien moins à une facture d’électricité fixe qu’à un forfait de téléphonie mobile de 2008. On croit souscrire à un service précis, mais pour une raison ou une autre, la facture comporte 17 postes différents dont on ignorait même qu’on les payait. La pression est forte pour développer des projets plus rapidement que jamais, et le compteur tourne sans cesse. Si vous ne gardez pas un œil dessus, vous aurez une très mauvaise surprise au moment de passer à la caisse. Et c’est peut-être le DSI ou le RSI qui se retrouvera à faire les frais si vous ne faites pas attention. Mark, bienvenue dans « The Savvy CIO ».

Mark Dunkerley : Merci, Bradd. Je suis ravi d'être ici.

Bradd Busick : Ouais, je suis vraiment ravi de t'accueillir, mec. Ton parcours est impressionnant. Pour commencer, parle-moi un peu de toi. Comment en es-tu venu à occuper ce poste en particulier au CCBSS ?

Mark Dunkerley : À l’origine, comme vous l’avez sans doute deviné à mon accent, je vis en Floride, mais je ne suis pas originaire de là-bas. Je viens de Newcastle, en Angleterre, et mon rêve était de devenir footballeur. Mais je suis venu aux États-Unis, j’ai fait mes études universitaires grâce à une bourse pour jouer au football américain, et c’est là que j’ai changé d’orientation pour me tourner vers la technologie, en travaillant avec l’université et le département technologique. Au départ, je travaillais comme administrateur réseau, puis j’ai évolué vers le secteur de la santé, où j’ai beaucoup utilisé les outils de collaboration. Naturellement, ces outils s’accompagnent de questions de sécurité, et j’ai occupé différents postes au sein du système Coca-Cola au cours de ces 11 dernières années. Au départ, je devais travailler sur la pile de collaboration, la gestion des e-mails et ce genre d’outils, puis cela a évolué au gré de différents changements au sein de l’entreprise qui m’ont ouvert de nouvelles opportunités.

Ce qui m’a vraiment marqué, c’est l’opportunité qui nous a été offerte de rejoindre notre division de services aux entreprises, où nous avons pu mettre en place une toute nouvelle infrastructure en partant de zéro. Et au fur et à mesure que nous avancions dans ce projet, je me suis davantage concentré sur l’architecture. La cybersécurité a commencé à prendre une place beaucoup plus importante. Si l’on remonte six, sept ou huit ans en arrière, c’est vraiment à ce moment-là que le sujet a commencé à prendre de l’importance et que l’accent s’est davantage porté sur la cybersécurité, ainsi que sur l’opportunité de mettre en place un programme de cybersécurité en partant de zéro. Et cela m’a conduit là où je suis aujourd’hui, au sein du département Ventes et Services des embouteilleurs Coca-Cola. Je sais qu’il y a toujours eu, traditionnellement, ceux qui se concentraient sur la sécurité et ceux qui se concentraient sur l’informatique. J’ai eu l’occasion de passer véritablement du domaine de l’informatique à celui de la cybersécurité, puis d’avoir aujourd’hui une vue d’ensemble de ces deux domaines.

Bradd Busick : C'est incroyable. Et ces univers sont désormais tellement flous quand on pense à là où nous avons tous les deux commencé, alors qu'à l'époque, ils étaient distincts. Pour faire une analogie avec le football, le milieu de terrain doit être capable de jouer en défense, mais aussi d’être attaquant. Tu as vu tellement de choses. Je suppose que tu commences à discerner des schémas récurrents. Quelle est la chose que vous avez remarquée dès la première conversation et qui vous en dit long sur leur niveau de maturité ? Parce que vous savez déjà où vous devez les amener. Quels éléments vous sautent aux yeux ?

Mark Dunkerley : Si l’on se place du point de vue de la sécurité, la technologie a toujours été au centre des préoccupations, et constituait manifestement le moteur de l’activité, mais notre approche a évolué au cours des cinq dernières années. Je pense qu’il existe un fossé important dans la compréhension des risques auxquels nous sommes confrontés au sein de l’entreprise et dans notre environnement, et c’est peut-être l’une des chances que j’ai eues : j’ai davantage une approche axée sur les risques. Et même au-delà de ce leader technologique, c’est un aspect sur lequel nous, en tant que dirigeants, devons travailler plus largement à tous les niveaux de l’entreprise : notre état d’esprit doit changer. Nous devons déterminer comment nous collaborons avec nos autres fonctions opérationnelles, et le fait de se pencher sur les embouteilleurs et les autres entités aide vraiment à cerner et à comprendre la nature de ce risque. Cela n’est généralement pas la première chose qui vient à l’esprit. Je pense que les choses évoluent dans ce sens, car des incidents de cybersécurité se produisent. Nous commençons à en mesurer l’impact réel. Mais la continuité des activités et la compréhension de la situation actuelle constituent, selon moi, une lacune importante dans de nombreuses organisations. J’ai toujours tendance à m’y intéresser et à essayer d’en comprendre un peu plus.

Bradd Busick : Oui, j’adore ça, et tu mets en avant un point qui, selon moi, est vraiment important. Premièrement, le responsable informatique d’aujourd’hui doit être autant un homme d’affaires qu’un spécialiste des technologies. Et deuxièmement, je pense qu’on commence enfin à prendre conscience, compte tenu de toutes les cybermenaces et de l’atténuation des risques, en mettant particulièrement l’accent sur la résilience de l’entreprise, en se demandant : « Combien cela me coûterait-il de fermer définitivement ? Quel est mon coût par minute ? » Avant, une panne nous coûtait 10 000 dollars par minute.

Or, quand on présente les choses sous cet angle-là, on pourrait penser que, lorsque le directeur informatique va demander son budget, la direction lui répondrait : « Faites ce qu’il faut pour que nous restions à la page. »

Pas : « Bon, les RH envisagent d’adopter ce nouveau module de recrutement. » C’est plutôt : « Non, mais voulez-vous vraiment que votre organisation soit en mesure de recruter ? » Il s’agit là, je pense, d’un profil de risque et d’une approche fondamentalement différents, que j’espère que les organisations, les conseils d’administration et les dirigeants commencent enfin à percevoir.

Mark Dunkerley : Oui. Oui. Je pense que le message passe, c'est certain. On parle de coûts cachés. On constate les coûts liés à une faille de cybersécurité, et pour reprendre votre argument, je parie que beaucoup d'organisations ne savent pas combien coûte une minute d'indisponibilité. Et si vous commencez à faire ces calculs, vous vous rendez compte des autres coûts en arrière-plan. Et la réputation, alors ? Et la confiance des clients et tout le reste ? C’est donc sans aucun doute un sujet qui prend une ampleur considérable dès lors que l’on commence à décomposer tous les éléments qui composent ce débat plus large.

Bradd Busick : Oui. Je trouve ça génial, et cela devient en partie une nécessité lorsqu’un incident survient dans le cadre des fonctions de DSI ou de RSSI. Je pense que notre conseil serait le suivant : soyons proactifs. Nous voulons que nos DSI et nos RSSI commencent à aider le service marketing, la direction et le conseil d’administration à mettre en lumière certains de ces risques dont personne ne se soucie tant qu’un incident ne se produit pas, après quoi on se retrouve dans une situation où l’on ne peut plus que réagir.

Mark Dunkerley : Exactement.

Bradd Busick : Avant d’entrer peut-être dans les détails concernant les dépenses cachées, je pense qu’il faut sans doute commencer par expliquer pourquoi ce phénomène devient si courant. Un jour, quelqu’un m’a dit : « Il faut que le service informatique reste dans son domaine de compétence. »

Et ma réponse a été : « Non, en fait, inversons les rôles. C’est toi qui es sur mon terrain. La technologie est le fondement même de l’entreprise. Et donc, sans technologie, il n’y a pas d’entreprise. » J’aimerais beaucoup que vous nous en disiez un peu plus sur la façon dont vous avez vu les rôles du DSI et du RSSI commencer à se distinguer ou à converger.

Mark Dunkerley : Oui, c'est un cas intéressant, car cette structure est probablement l'une de nos organisations les plus récentes, je dirais, datant des 10 à 20 dernières années. Et bien que nous ayons eu une certaine présence en matière de sécurité, je veux dire, disons au cours des cinq ou dix dernières années, elle s’est en réalité développée de manière significative tout à coup en raison des exigences, de la réglementation et de tout ce qui va avec. Et c’est intéressant, car les organisations ont commencé à mettre en place des fonctions dédiées à la cybersécurité et à la sécurité.

Et puis il y a cette question : à qui le RSSI rend-il compte ? Le RSSI devrait-il siéger au conseil d’administration ? Et puis il y a le DSI. Je pense que ce sont toutes des discussions très pertinentes. Je pense que cela dépend en grande partie du contexte. Je pense qu’au bout du compte, on aura soit un RSSI, soit un DSI. Je pense qu’ils ne peuvent pas travailler de manière indépendante, ni séparément. Et il faut qu’il y ait une sorte de structure qui leur permette à tous les deux de travailler ensemble, qu’ils relèvent l’un de l’autre ou qu’ils relèvent du conseil d’administration.

Mais si vous disposez du personnel adéquat, le DSI et le RSI travaillant ensemble, ils doivent se comprendre mutuellement. Je pense que, dans l’ensemble, un DSI doit aujourd’hui posséder des compétences en matière de sécurité et de cybersécurité pour réussir. Et je pense que l’inverse est également vrai : le RSI, le responsable de la sécurité, doit posséder ces compétences technologiques et les comprendre. Aujourd’hui, ces fonctions doivent donc travailler main dans la main. Il ne devrait y avoir ni cloisonnement ni rivalité entre leurs activités respectives. Tout ce que vous faites dans le cadre de votre fonction vise à servir au mieux les intérêts de l’entreprise, à assurer sa réussite et sa sécurité, et à réduire les risques ; pour y parvenir, nous travaillons avec nos pairs et d’autres collaborateurs au sein de l’entreprise, et le DSI et le RSSI devraient sans aucun doute former ensemble l’équipe la plus solide qui soit.

Bradd Busick : Je pense que c’est tout à fait juste, et j’ai vu des DSI vraiment, vraiment exceptionnels qui sont ensuite devenus RSI. J’ai même vu des RSI vraiment exceptionnels qui ont pris les fonctions de DSI dans une autre entreprise, et je pense que cela m’a surtout fait prendre conscience de cette culture commune où tout le monde comprend ce qu’est la gestion des risques, et que ce n’est plus seulement la tâche d’un RSSI, ni celle d’un DSI. C’est une responsabilité partagée. Je pense que nous commençons à voir ces liens évoluer. Du moins, c’est ce que j’espère.

Mark Dunkerley : Oui, je suis d'accord, d'accord. Tout à fait.

Bradd Busick : Changeons un peu de sujet. L’un des problèmes liés à la gestion des risques réside évidemment dans le fait qu’il est vraiment, vraiment difficile d’élaborer une planification à long terme. Et certains diront que ce n’est tout simplement plus possible, à l’époque, il y a dix ans, quand un PDG demandait : « Mark, quel est ton plan sur trois ans ? » Je pense que le plan sur 18 mois est également révolu. Comment parvenez-vous à maintenir un minimum de discipline financière dans cet environnement extrêmement hyper-agile dans lequel vous et moi nous trouvons aujourd’hui ?

Mark Dunkerley : Ce n’est pas facile, car même aujourd’hui, je veux dire lorsque nous travaillons avec nos conseils d’administration respectifs et nos dirigeants, nous devons disposer d’indicateurs et d’objectifs bien définis. Ces feuilles de route triennales et annuelles sont donc des objectifs vers lesquels nous devons continuer à tendre. On peut donc lancer quelques fléchettes sur la cible et savoir où on va se retrouver, mais si je me base sur mon expérience, même en matière de technologie, même au cours des 20 dernières années : avant l’avènement de la technologie, il était facile d’établir un budget annuel et un plan financier. C’était simple : nous savions ce que nous voulions faire, quels étaient nos objectifs pour l’année à venir. On introduit la technologie et elle évolue si rapidement qu’il est impossible de prévoir dès maintenant, avec l’IA, ce qui va changer dans trois à six mois.

Bradd Busick : C'est tout à fait vrai.

Mark Dunkerley : Donc, si on me demande ce que je dois prévoir dans le budget pour l’année prochaine, je pense qu’avant tout, nous devons faire preuve de transparence à ce sujet et en informer les autres ; ou lorsqu’on nous demande de fournir ces informations, nous pouvons le faire, mais la transparence consiste à faire savoir aux autres dirigeants – notamment ceux qui ne sont pas spécialistes de la technologie – que la technologie a évolué très rapidement. Vous viendrez me voir l’année prochaine parce que, tout à coup, vous aurez besoin de quelque chose, ou parce que quelqu’un vous vendra quelque chose et que vous penserez que cela va vous aider à obtenir ce retour sur investissement, ce qui est formidable, mais nous n’avons pas prévu de budget pour cela. Nous devons maintenant nous asseoir, réfléchir et en discuter, et cela arrive tout le temps. Donc, d’un point de vue budgétaire, je sais que nous donnons le meilleur de nous-mêmes à mesure que nous avançons dans l’année à venir. Nous disposons bien sûr de feuilles de route, et celles-ci fonctionnent bien, car il y a la dette technologique classique et les étapes à franchir tout au long du cycle de vie.

Mais, compte tenu de l’évolution actuelle de la technologie, parlons de l’état actuel de l’IA et de la capacité à exploiter ses fonctionnalités. Comment planifier au mieux et mener ces discussions ? Mon équipe et moi-même veillons toujours à ce qu’une partie du budget soit réservée aux projets qui se présentent. Et là encore, il faut faire attention au montant que l’on demande. Il faut trouver un équilibre entre ce dont on a besoin simplement par mesure de sécurité. Mais en fin de compte, je pense que tout revient au fait que, à mesure que la technologie évolue et s’intègre de plus en plus dans l’entreprise, elle crée ces relations qui nous permettent de travailler ensemble pour déterminer comment nous pouvons mener à bien un nouveau projet qui est peut-être sorti de nulle part, car nous ne pouvons pas prévoir son budget suffisamment à l’avance.

Bradd Busick : En l’absence de relations, comme vous venez de le souligner, on ne peut pas être un DSI performant. On ne peut pas être un RSSI performant. Le capital relationnel est tout aussi important que votre utilisation du cloud. Et je pense que les DSI, les RSSI et les responsables informatiques qui écoutent cette discussion : si vous n’avez pas de relation avec les métiers, vous n’êtes pas à la bonne place. Et j’apprécie donc que vous ayez soulevé ce point, je trouve cela brillant. Je pense également que cela met en évidence l’agilité que nous commençons à observer au sein de l’entreprise, ce qui va exiger de l’informatique qu’elle soit tout aussi agile.

Ainsi, par exemple, si l’un de vos clients venait vous voir et vous disait : « Tiens, il y a cette nouvelle plateforme SaaS ou ce nouveau module d’IA qui permet de contrôler la qualité sur la chaîne de montage », vous devez être prêt à mener cette analyse approfondie, à réagir, à trouver un budget pour une solution qui a été réorientée ou à vous associer à eux pour formuler cette demande conjointe, car le conseil d’administration va désormais dire : « Bon, chef d’entreprise, cela va améliorer la qualité de notre production ou réduire nos rebuts de 10 %. Mark, est-ce que c’est sûr ? » Et si vous disposez de ce capital relationnel, tout se met soudain en place, et c’est magnifique quand cela se produit. Malheureusement, cela n’arrive pas tout le temps, c’est pourquoi je suis ravi d’apprendre que vous vous y préparez.

Ainsi, un thème majeur qui revient déjà très souvent dans de nombreuses conversations de cette saison du podcast « The Savvy CIO » est la pression considérable exercée par les organisations et le secteur pour que les acteurs se présentent à la table des négociations avec une stratégie d’IA concrète. Et, le plus souvent, la toute première question qui suit est : « Est-ce sécurisé ? » Quel est le retour sur investissement ? J’aimerais donc connaître votre avis, votre opinion à chaud. Pensez-vous qu’il y ait un retour sur investissement pour les projets sur lesquels nous travaillons tous dans le domaine de l’IA ? Que constatez-vous et comment le mesurez-vous ?

Mark Dunkerley : Je pense qu’il y a eu des cas d’utilisation qui ont démontré un retour sur investissement, mais je pense qu’ils sont très limités ; alors que tout à coup, il y a beaucoup de fournisseurs, on nous parle de ces formidables opportunités et l’entreprise a été vendue. En quoi consisterait ce superbe retour sur investissement ? Nous allons résoudre tous ces problèmes. Et je pense que tout le monde s’est lancé dans cette aventure, en investissant beaucoup d’argent. Mais en réalité, d’un point de vue commercial, c’est beaucoup plus difficile que ce qu’on nous a fait croir.

Je pense que cela se résume à deux points. Premièrement, il y a encore beaucoup de données de mauvaise qualité, et l’IA ne va pas résoudre le problème des données de mauvaise qualité. Deuxièmement, la plupart des entreprises continuent de fonctionner selon des processus datant de plusieurs années. Et si ces processus n’ont pas été optimisés ou revus pour s’adapter à la réalité actuelle et aux progrès technologiques, là encore, l’IA ne va pas régler ce problème. Ainsi, du point de vue commercial, je pense que nous avons encore un long chemin à parcourir lorsque nous essayons d’utiliser l’IA pour améliorer l’activité et les services des entreprises. Il y a toutefois des opportunités. Je sais que nous nous intéressons aux agents IA et que la composante « agentique » se développe, mais il reste encore certains aspects fondamentaux à résoudre avant que nous puissions, selon moi, véritablement réussir à mettre en œuvre l’IA dans le domaine commercial.

En ce qui concerne la productivité, les choses évoluent très rapidement. Je veux dire, on parle de ChatGPT, de Copilot et de tous ces outils : c’est là-dessus que les entreprises devraient se concentrer dès maintenant, sur la manière dont elles collaborent avec leurs utilisateurs pour tirer pleinement parti de ces outils en termes de productivité, car leur efficacité est avérée. La productivité est là, les capacités sont là, et nous avons tous tellement à faire. Nous avons tellement de tâches répétitives, et ces outils nous permettent vraiment, je pense, de nous libérer d’une partie de ce travail quotidien fastidieux et de nous concentrer sur les aspects stratégiques indispensables à l’entreprise, car c’est toujours la même histoire : nous devons en faire plus avec moins.

Bradd Busick : C'est vrai.

Mark Dunkerley : Le défi, c’est que tout ce que nous avons accompli en matière de technologie au cours des 20 ou 30 dernières années est désormais une réalité. Eh bien, devinez quoi ? C’est désormais le facteur humain que nous devons surmonter. C’est le changement, c’est l’adoption, et c’est là-dessus que nous devons nous concentrer et ce vers quoi nous devons vraiment nous tourner lorsque nous examinons la question de la productivité. Comment concevoir nos programmes pour favoriser cette adoption, pour en démontrer la valeur, pour montrer en quoi cela complète notre travail et comment cela va continuer à rendre nos tâches plus efficaces à l’avenir ? Je pense que c’est là-dessus qu’il faut se concentrer en ce moment : essayer de cerner les enjeux commerciaux en analysant nos données, nos processus et la manière dont nous pouvons intégrer l’IA pour gagner en efficacité. Quant au retour sur investissement dans ce domaine, je pense que nous avons encore du mal à le cerner personnellement.

Bradd Busick : Oui, je trouve que c'est bien dit. Quelqu'un m'a dit, en ce qui concerne la productivité, « La façon dont nous pourrons mesurer l’impact des outils de productivité, c’est que nous allons constater une baisse du taux de divorce, car désormais, les gens ne vont plus travailler 80 heures par semaine, elles travailleront 60 heures et pourront consacrer ces 60 heures aux aspects stratégiques, comme vous l’avez souligné. »

Mark Dunkerley : J'adore ça.

Bradd Busick : J'ai trouvé que c'était un indicateur intéressant.

Le département Ventes et Services de Coca-Cola Bottling est gigantesque. Je veux dire par là que vous avez une multitude d’éléments à gérer dans un éventail extrêmement varié de services et d’environnements, et pourtant, vous fonctionnez vraiment comme un seul et même ensemble. Je veux dire par là que vous agissez et vous comportez de manière cohérente. Votre poste vous offre une perspective unique sur plus de 50 embouteilleurs, ce qui vous permet de voir chaque jour ce qui fonctionne et ce qui ne fonctionne pas à grande échelle. Selon vous, quelle est l’erreur la plus courante que vous observez chez les responsables informatiques en matière de gestion des dépenses et peut-être de certains de ces coûts cachés ?

Mark Dunkerley : Je pense qu’en retracent simplement l’évolution au fil des années, on constate que la tendance est assez constante dans l’ensemble. Je ne pense pas que ce soit vraiment un cas particulier. Mais je pense qu’en examinant le cycle de vie, je veux dire, je peux remonter 20 ans en arrière, et les coûts cachés, les dépenses cachées, se limitaient à la demande classique : « Tiens, j’ai besoin d’une application. »
« Eh bien, comment vas-tu héberger ça ? »
« Oh, j’ai besoin d’un serveur. J’ai besoin d’espace de stockage. » Et c’était la méthode à l’ancienne. Puis, tout à coup, au cours des cinq ou dix dernières années, tout le monde est passé au cloud.

Bradd Busick : Ouais.

Mark Dunkerley : Et là, on se dit : « Super, il suffit juste de mettre en place le cloud. » Et dans les grandes entreprises, on commence à devoir gérer l’informatique parallèle et ces coûts de consommation. Et même si vous disposez d’une bonne équipe chargée de l’infrastructure cloud, bien gérée, vous êtes toujours confronté aux défis posés par le cloud lui-même ; les coûts liés à la consommation constituent un véritable casse-tête, et leur gestion demande beaucoup d’efforts. Je constate donc que de nombreuses organisations, encore ancrées dans un modèle traditionnel sur site, migrent vers le cloud et tentent de gérer les coûts d’abonnement, tout en essayant de comprendre en quoi ils consistent.

Aujourd’hui, c’est évidemment l’IA qui occupe le devant de la scène. Nous commençons désormais à voir apparaître nos fournisseurs d’IA. Nous avons commencé par un système de licences, mais leur coût commence à évoluer vers un modèle davantage basé sur les jetons, et je ne pense pas que quiconque sache comment calculer les coûts de l’IA lorsque l’on se base sur des coûts par jeton ; c’est d’ailleurs une question à laquelle nous essayons de répondre. C’est une question que tout le monde se pose. Je pense qu’un autre enjeu majeur auquel tout le monde est encore confronté – et je ne pense pas que quiconque ait réussi à le surmonter – est ce qu’on pourrait appeler la « dette technique héritée ». Nous avons encore des serveurs hérités, des serveurs en fin de vie, et nous essayons de nous en débarrasser, de passer à autre chose.

Les anciennes applications qui n’ont pas été modernisées et qui utilisent des méthodes d’authentification obsolètes : comment les sécuriser et les isoler ? Je veux dire, quand on aborde la question de la dette technologique et des systèmes hérités, je pense que c’est un défi auquel tout le monde continue d’être confronté de manière constante. Et d’autant plus que les risques liés à la cybersécurité ne cessent d’augmenter, la situation devient de plus en plus difficile et nous devons aller de plus en plus vite, nous moderniser de plus en plus rapidement et être en mesure de rester aussi à la page que possible. Et cela semble être une réalité très répandue dans toutes les organisations à l’heure actuelle.

Bradd Busick : C'est vrai, et c'est là, je pense, toute la beauté de cette tension : les PDG, les directeurs financiers et les conseils d'administration disent : « Hé, il faut qu’on se dote d’IA », sauf qu’ils n’ont pas investi suffisamment pour vous permettre ne faisant que d’en arriver au point où vous pouvez dire oui à l’IA. C’est comme mettre de l’essence de très mauvaise qualité dans une Ferrari. Ça n’a tout simplement aucun sens. Et donc, pour revenir à ce que vous disiez, et je pense que cela vaut aussi pour nos auditeurs, il faut réfléchir sérieusement à la manière de résorber une partie de cette dette technique, ne pas se lancer dans l’IA avant d’avoir mis en place la bonne stratégie en matière d’identité, jusqu’à ce que vous ayez la bonne stratégie en matière d’authentification, et simplement certaines bases que la plupart des entreprises n’ont même pas eu l’occasion d’aborder parce qu’elles se sont concentrées sur leur survie. C’est donc comme demander à quelqu’un de se lancer d’un bond dans la stratégie alors que vous n’avez même pas pris le temps de maîtriser les bases.

Mark Dunkerley : Tout à fait d’accord. Je pense que c’est là que l’aspect sécurité m’aide vraiment beaucoup, car je crois que la sécurité et la gestion des risques s’appuient davantage sur ces éléments fondamentaux sur lesquels nous devons nous concentrer. Les meilleures pratiques en matière d’identité, et la manière dont nous devrions procéder à l’authentification à plusieurs facteurs, ainsi que la mise à jour des correctifs. Traditionnellement, on parle d’un cycle de mise à jour de plus de 30 jours. Eh bien, devinez quoi ? Si un correctif est publié, j’ai besoin qu’il soit installé immédiatement. C’est cette mentalité qu’il faut adopter. Pour mettre en œuvre une modernisation à jour, toutes ces mesures s’appuient largement sur la cybersécurité et le respect de ces cadres afin de se reconcentrer sur ce qui doit être soutenu. Se moderniser pour mieux soutenir, comme vous le soulignez, ces nouvelles initiatives pour lesquelles les conseils d’administration et les dirigeants affirment : « Il faut agir maintenant, tant que nous disposons encore de certaines bases solides. »

Et je pense que cela nous ramène à la question suivante, en tant que dirigeants : comment s'assurer, en tant que DSI et RSSI, d'être en mesure de revenir en arrière et de dire : « Bon, il nous reste encore des choses à faire. » Et j’applique cela du côté de la sécurité, en tant que RSSI : je mets les données et les faits sur la table, et cela s’avère souvent très efficace. Ce n’est pas une question de conversation, mais de savoir comment je peux réellement l’exprimer d’une manière qui soit compréhensible au niveau de l’entreprise ? Et pour moi, ce sont les statistiques, ce sont les données, ce que je peux leur présenter pour leur montrer où nous en sommes et pourquoi nous devons agir ainsi afin de contribuer à construire ce récit.

Bradd Busick : Alors, pour ce DSI qui écoute cette conversation en ce moment même et qui est sous le poids d’une pression budgétaire écrasante ou dont le budget est inférieur à 3 % du chiffre d’affaires net, ce qui signifie le strict minimum, se trouve sur la défensive et tente de réagir au lieu d’anticiper, quel est le conseil essentiel qu’il doit suivre pour inverser la tendance et prendre les devants plutôt que de courir après les problèmes ?

Mark Dunkerley : Vous en avez parlé tout à l’heure : il s’agit de faire évoluer nos programmes et notre état d’esprit pour devenir plus proactifs. Si l’on observe le secteur informatique au fil des années, on constate que nous sommes restés dans cette posture réactive, ce qui nous ramène à ces coûts cachés. Je veux dire par là qu’il faut essayer d’expliquer que, tout à coup, nous devons agir immédiatement, mais que je ne dispose pas des ressources nécessaires et que je dois trouver des solutions pour contourner ce problème. Et encore une fois, ce n’est pas facile de s’en sortir, mais du point de vue de la sécurité, j’insiste beaucoup sur l’approche proactive plutôt que réactive, et sur la manière dont nous pouvons nous positionner pour réussir à long terme. Il s’agit également de faire évoluer les mentalités pour comprendre que ce n’est pas uniquement la responsabilité du DSI ou du RSSI. Nous avons été confrontés à ce problème ces dernières années : en cas d’incident de sécurité, le RSSI risque de perdre son poste.

Bradd Busick : Exactement.

Mark Dunkerley : Eh bien, cela doit changer, et cela fait partie d’un changement de mentalité. Et comment faire pour que cette responsabilité et cette obligation de rendre des comptes ne reposent plus sur une seule personne, à savoir le DSI et le RSSI, mais soient réparties entre la direction générale et le conseil d’administration ? C’est ainsi que l’on apporte cette visibilité. La façon dont je procède, et dont nous procédons dans le programme de cybersécurité – et cela devrait être le cas à tous les niveaux –, consiste à se demander comment gérer au mieux vos programmes. La gouvernance, la gestion des risques et la conformité constituent l’un des programmes les plus importants.

Et cela peut s'appliquer bien au-delà de la cybersécurité, tout comme pour le DSI dans le domaine technologique. Comment présenter et piloter le programme qui transfère cette responsabilité d'une seule personne à l'ensemble de l'entreprise ? C'est là qu'elle devrait finalement se situer. Donc oui, c’est en quelque sorte mon point de vue. Il y a des données disponibles. Je pense que nous en avons suffisamment au sein de la communauté. Nous faisons cela depuis si longtemps maintenant que je pense que nous savons comment nous positionner au mieux pour connaître encore plus de succès que par le passé.

Bradd Busick : J’adore ça. Oui, j’ai vraiment l’impression que l’avenir s’annonce très prometteur, et j’adore le mot que tu as évoqué, à savoir « communauté ». J’ai un groupe WhatsApp de 87 DSI avec lesquels j’ai travaillé sur certains des plus grands systèmes du pays, et c’est comme ça que les décisions se prennent. Ils disent tout simplement : « Salut, tu utilises le produit X ? Et si ça convient à Coca-Cola, ça nous conviendra aussi. » Et c’est parfois comme ça que se déroule la conversation.

Et bien sûr, quand l’affaire CrowdStrike a éclaté, et quand la dernière faille « zero-day » a été découverte, c’est passionnant de voir la communauté se mobiliser. Et en réalité, cela me donne beaucoup d’espoir pour l’avenir. Alors, Mark, ce fut un plaisir de discuter avec vous aujourd’hui. Merci beaucoup d’avoir participé à l’émission « The Savvy CIO ».

Mark Dunkerley : Oui, j'ai vraiment beaucoup apprécié ce moment, Bradd. Je vous remercie de m'avoir accordé ce temps et cette opportunité, et je vous remercie tous.

Bradd Busick : J’ai passé la journée avec Mark aujourd’hui. Voici ce que j’ai retenu et qui, selon moi, mérite vraiment qu’on s’y attarde. Les anciennes « voies de nage » et les « silos » ont disparu ; je pense qu’il est extrêmement important de les fusionner en une seule voie d’optimisation. Mark a souligné l’importance des relations commerciales. On voit bien, à son attitude, qu’il comprend le monde des affaires. Il comprend les relations, et il n’enverrait jamais un partenaire commercial seul devant le conseil d’administration. Il l’accompagnerait, et cela n’est possible que grâce à une expérience partagée, à une planification commune et à un véritable partenariat. Mark est capable de changer de cap en un clin d’œil, car il n’a pas de feuille de route sur 18 mois. Au mieux, il dispose probablement d’une feuille de route de six mois définissant les capacités qui, selon lui, soutiendraient l’entreprise, non pas parce qu’il les a inventées, mais grâce à son partenariat avec celle-ci. Et ce sont eux qui lui ont dit : « Tiens, voici les choses que nous aimerions peut-être être capables de faire. » J’ai donc beaucoup apprécié le point de vue de Mark sur ce sujet et d’avoir pu passer un peu de temps avec lui pour discuter de la façon dont Coca-Cola s’y prend.

C'est tout pour aujourd'hui. Merci beaucoup de nous avoir écoutés. N’hésitez pas à nous suivre pour ne manquer aucun épisode. Vous écoutiez « The Savvy CIO », une émission proposée par Park Place Technologies. Si vous souhaitez en savoir plus sur Park Place, rendez-vous sur www.parkplacetechnologies.com.

Et maintenant, un dernier mot de notre invité. Alors, Mark, comme tu le sais, l’émission s’intitule « The Savvy CIO ». Une simple question : quel est le choix le plus avisé que tu aies fait dans ta carrière jusqu’à présent ?

Mark Dunkerley : C’est une bonne question qui me met sur la pièce. Je pense que le choix le plus judicieux que j’ai fait jusqu’à présent a été de m’orienter vers ce poste dans la cybersécurité. Cela m’a vraiment aidé à grandir et à évoluer, et je pense que cela va m’aider à devenir un meilleur dirigeant dans l’ensemble du pôle technologique à mesure que j’avance dans ma carrière.

Bradd Busick : 100 % bilingue. Affaires et sécurité : une combinaison gagnante.

Je suis votre animateur, Bradd Busick, et comme toujours, l'informatique ne devrait pas se contenter d'être présente à la table : l'informatique, c'est la table.

Mark Dunkerley est un dirigeant chevronné dans les domaines de la cybersécurité et des technologies, fort de plus de 20 ans d’expérience dans l’enseignement supérieur, le secteur de la santé et au sein d’entreprises du classement Fortune 100. Il est spécialisé dans l’architecture d’entreprise, la direction des opérations informatiques et la mise en œuvre de programmes de cybersécurité résilients et évolutifs. Mark a dirigé des fonctions technologiques d’entreprise couvrant l’infrastructure, les plateformes et la prestation de services, en alignant la stratégie informatique sur les résultats commerciaux. Titulaire d’un MBA et de plusieurs certifications professionnelles, il est un leader d’opinion actif, un conférencier de renom, membre de comités consultatifs et auteur publié. Reconnu à l’échelle mondiale, il a été désigné « Top Cybersecurity Leader » (2022), « Top Global CISO » (2024, 2025) et lauréat du prix « OnCon Icon Award » 2026 dans la catégorie Sécurité de l’information.