Votre ex-commercial a encore accès à votre boîte mail . Vous ne le savez pas

1 mars 2026 · Gouvernance · 6 min de lecture

Vous avez une politique de congés. Un règlement de travail. Une procédure pour signer un bon de commande.
Mais si je vous pose cette question maintenant : savez-vous exactement qui a accès à votre boîte mail principale, à votre outil de facturation, à votre site web ? Dans la grande majorité des PME de 10 à 20 personnes, la réponse est non — ou du moins, pas complètement. Ce n'est pas un reproche. C'est un angle mort organisationnel que l'on retrouve presque systématiquement, et qui peut transformer un incident mineur en crise majeure.

Pourquoi la gouvernance numérique n'existe pas dans les petites structures

Le terme lui-même fait fuir. « Gouvernance numérique » évoque des audits de 200 pages, des comités de pilotage, des responsables de la sécurité des systèmes d'information en costume. Des choses réservées aux grandes entreprises avec un département IT étoffé.

Pourtant, derrière ce mot un peu intimidant se cache une réalité très simple : est-ce que votre organisation sait qui accède à quoi, dans quelles conditions, et que se passe-t-il si quelque chose sort de l'ordinaire ?

Dans une PME, la réponse est presque toujours la même. Les accès se sont accumulés au fil des années, des recrutements, des départs, des prestataires qui passent. Personne n'a jamais tenu de liste formelle. Et personne n'a eu le temps — ni la raison apparente — de s'en préoccuper. Jusqu'au jour où un incident révèle que l'ex-commercial parti en mauvais termes six mois plus tôt avait encore accès à la boîte mail de la direction.

Ce que révèle vraiment un incident numérique

Lorsqu'une PME est confrontée à un incident — intrusion, fuite de données, compte compromis, ransomware — la première heure est rarement consacrée à résoudre le problème technique. Elle est consacrée à comprendre ce qui s'est passé : par où est-on entré, qui avait accès à quoi, quels systèmes sont concernés.

Si cette cartographie n'existe pas — et elle n'existe presque jamais — c'est une course contre la montre dans le noir.

Un scénario concret, fréquent : un prestataire externe avec qui vous travaillez depuis des années se fait pirater. Il avait accès à votre outil de facturation pour télécharger des rapports mensuels. Par son compte compromis, les attaquants entrent dans votre système. Vous n'avez aucune liste des accès actifs. Vous ne savez pas si d'autres prestataires ont des droits similaires. Vous ne savez pas par où couper sans risquer de bloquer votre propre activité.

Résultat : 48 heures d'activité paralysée, le temps de démêler ce qui aurait dû être documenté en amont. Dans une PME de 15 personnes, c'est une réalité économique et humaine très concrète.

Ce que dit la loi — et pourquoi ça vous concerne directement

Beaucoup de dirigeants de PME pensent que la responsabilité en matière de protection des données repose sur leur prestataire informatique ou leur hébergeur. C'est une erreur fréquente, et coûteuse.

Le Règlement Général sur la Protection des Données (RGPD) est explicite : la responsabilité repose sur le responsable du traitement, c'est-à-dire la personne qui détermine les finalités et les moyens du traitement des données personnelles. Dans une PME, c'est vous — le dirigeant. Pas votre informaticien. Pas votre hébergeur.

L'Autorité de protection des données belge (autoriteprotectiondonnees.be) le rappelle régulièrement dans ses lignes directrices : déléguer l'aspect technique ne transfère pas la responsabilité légale. En cas de violation de données — fuite, accès non autorisé, perte — c'est le responsable du traitement qui doit notifier l'incident dans les 72 heures, qui peut être sanctionné en cas de manquement, et qui doit démontrer qu'il avait pris des mesures appropriées.

Des mesures appropriées. Pas parfaites. Pas celles d'une multinationale. Mais documentées, proportionnées, et réelles.

5 questions pour évaluer votre niveau de gouvernance aujourd'hui

Pas besoin d'un cabinet de conseil pour commencer. Ces cinq questions suffisent à identifier les angles morts les plus critiques dans votre organisation.

Qui a accès à quoi dans votre entreprise ? Chaque application, chaque outil, chaque boîte mail dispose d'une liste d'utilisateurs actifs. Savez-vous qui figure sur ces listes — et si chaque accès est encore justifié aujourd'hui ?

Vos anciens collaborateurs ont-ils encore leurs accès ? Un départ, même bien géré sur le plan humain, laisse souvent des comptes actifs non désactivés. C'est l'un des vecteurs d'accès non autorisé les plus courants, et l'un des plus facilement évitables.

Où sont vos mots de passe critiques — et qui peut y accéder si vous êtes indisponible ? Site web, outil de facturation, messagerie principale, accès bancaire en ligne. Si vous êtes absent ou indisponible demain, votre équipe peut-elle continuer à travailler ? Ou tout s'arrête en attendant votre retour ?

Qui est responsable en cas d'incident — vous ou votre prestataire IT ? La réponse légale est claire. Mais dans les faits, avez-vous formalisé cette répartition des responsabilités avec vos prestataires, dans un contrat ou un accord de traitement des données ?

Avez-vous une procédure — même simple — si quelque chose tourne mal ? Pas un plan de continuité de 50 pages. Juste une réponse claire à : qui prévient qui, dans quel ordre, avec quels outils alternatifs si les systèmes habituels sont hors service.

Par où commencer — concrètement

La bonne nouvelle : poser les bases d'une gouvernance numérique dans une PME de 10 à 20 personnes ne nécessite ni budget important ni expertise technique poussée. C'est avant tout un exercice d'organisation.

Une matinée de travail bien conduite permet de produire trois livrables essentiels : une cartographie des accès (qui a accès à quoi, avec quel niveau de droits), une procédure de départ (les étapes à suivre systématiquement lorsqu'un collaborateur ou prestataire quitte l'entreprise), et une liste des outils critiques avec leurs responsables désignés et les procédures d'urgence associées.

Ce n'est pas de la technique. C'est de l'organisation appliquée au monde numérique — le même bon sens que vous appliquez déjà à vos processus financiers ou RH.

Et c'est précisément ce que la plupart des PME n'ont jamais pris le temps de faire.

Ce que ça change réellement

La gouvernance numérique ne protège pas contre tous les risques. Aucune mesure ne le peut. Mais elle réduit considérablement le temps de réaction en cas d'incident, elle limite la surface d'exposition en s'assurant que les accès inutiles sont supprimés, et elle permet de démontrer, en cas de contrôle ou de litige, que vous avez agi en responsable.

La vraie question n'est pas « est-ce qu'on sera un jour concernés ? » Pour une PME qui traite des données clients, des informations financières, des dossiers sensibles — la question est réglée.

La vraie question est : « Si ça arrive demain, est-ce qu'on sait quoi faire — et en combien de temps ? »

														<img width="559" height="1024" src="/uploads/2026/03/beforensic_infographie_gouvernance-559x1024.png" alt="Gouvernance" srcset="/uploads/2026/03/beforensic_infographie_gouvernance-559x1024.png 559w, /uploads/2026/03/beforensic_infographie_gouvernance-164x300.png 164w, /uploads/2026/03/beforensic_infographie_gouvernance-768x1408.png 768w, /uploads/2026/03/beforensic_infographie_gouvernance-838x1536.png 838w, /uploads/2026/03/beforensic_infographie_gouvernance.png 1080w" sizes="(max-width: 559px) 100vw, 559px" />

← Tous les articles