Dans beaucoup de PME, les règles informatiques existent, mais uniquement dans la tête du dirigeant. Chacun devine plus ou moins ce qui se fait et ce qui ne se fait pas. Tant que rien ne dérape, cela tient.
Le problème apparaît le jour où un collaborateur installe un logiciel gratuit qui ouvre une porte, envoie un fichier client sur son adresse privée, ou part avec une copie de la base de données. La question devient alors : que lui aviez-vous interdit, exactement, et pouvez-vous le démontrer ?
C’est à cela que sert une charte informatique.
À quoi sert vraiment une charte informatique ?
Une charte informatique est un document interne qui décrit l’usage attendu des outils de l’entreprise : ordinateurs, téléphones, messagerie, accès distants, espaces de stockage. Elle remplit deux fonctions distinctes, et les deux comptent.
Elle donne un cadre clair aux collaborateurs. La plupart des manquements ne sont pas malveillants, ils viennent de l’ignorance. Personne n’a jamais dit à votre comptable qu’il ne fallait pas transférer un fichier de salaires sur sa messagerie personnelle pour le finir le week-end. Il croit bien faire, il travaille. Une règle écrite supprime cette zone grise.
Elle permet à l’employeur d’agir en cas de manquement. C’est le point que les dirigeants sous-estiment. Reprocher à quelqu’un d’avoir enfreint une règle suppose que cette règle existait, qu’elle était formulée, et que la personne en avait connaissance. Sans support écrit et porté à la connaissance des employés, la discussion tourne vite au malentendu, et la position de l’entreprise est fragile.
Scénario type : un employé quitte l'entreprise et emporte le fichier de ses contacts commerciaux, « comme tout le monde le fait ici ». Aucun document ne l'avait jamais interdit, et l'usage toléré jusque-là joue contre l'employeur. Le moment de fixer les règles n'est pas celui où le problème survient.
Que contient une charte en pratique ?
Une charte de PME n’a pas besoin d’être longue. Elle doit couvrir les situations que vos collaborateurs rencontrent réellement.
| Thème | Ce que la charte précise |
|---|---|
| Usage privé des outils | Si un usage personnel raisonnable est toléré, et dans quelles limites |
| Mots de passe | Interdiction de partager ses accès, utilisation de l’outil de l’entreprise |
| Appareils personnels | Si le téléphone ou l’ordinateur privé peut accéder aux données professionnelles |
| Télétravail | Réseau utilisé, verrouillage de l’écran, documents papier, conditions de connexion |
| Installation de logiciels | Qui a le droit d’installer quoi, et par quelle procédure demander un outil |
| Stockage cloud | Les services autorisés, et l’interdiction des comptes personnels pour les données de l’entreprise |
| Réseaux sociaux | Ce qui peut être dit de l’entreprise, de ses clients et de ses projets |
| Départ du collaborateur | Restitution du matériel, des accès et des données, effacement des comptes |
| Signalement d’un incident | À qui s’adresser, dans quel délai, et la garantie qu’on ne sera pas puni pour avoir signalé |
Deux points de cette liste méritent une attention particulière.
Le stockage cloud personnel est devenu le contournement le plus banal. Un collaborateur pressé dépose un dossier sur son propre compte de partage de fichiers pour y accéder de chez lui. Les données de l’entreprise sortent alors de tout contrôle, et personne ne le sait. Autorisez explicitement une solution utilisable, sinon les équipes en trouveront une elles-mêmes. Le même raisonnement vaut désormais pour les outils d’intelligence artificielle, que nous traitons dans puis-je utiliser ChatGPT avec les données de mon entreprise.
Le signalement d’incident est la clause la plus rentable de toute la charte. Un employé qui a cliqué sur un lien de hameçonnage et qui craint la sanction attend, parfois plusieurs jours. Ce délai est exactement ce dont un attaquant a besoin. Écrivez noir sur blanc que signaler rapidement une erreur n’expose à aucune sanction.
Le ton : réaliste, ou contournée
Une charte qui interdit tout n’est pas appliquée, elle est ignorée. Interdire toute consultation personnelle, tout appareil privé, tout outil non validé produit un document que personne ne respecte, et une règle que personne ne respecte ne protège plus rien du tout. Pire : elle décrédibilise les règles importantes, qui se retrouvent noyées avec les autres.
Expliquez systématiquement le pourquoi. « Ne réutilisez pas votre mot de passe professionnel sur des sites privés » ne suffit pas. Ajoutez la raison : quand un site tiers est piraté, les identifiants volés sont essayés ailleurs, y compris sur votre messagerie d’entreprise. Une règle comprise est appliquée, une règle subie est contournée.
Visez le principe plutôt que l’énumération. « Les données de l’entreprise ne quittent pas les outils fournis par l’entreprise » couvre plus de situations, et vieillit mieux, qu’une liste de services interdits que vous devrez compléter tous les six mois.
Comment la faire adopter ?
Une charte rédigée puis oubliée sur le serveur commun ne remplit ni sa fonction pédagogique ni sa fonction de preuve. Trois gestes simples font la différence.
Faites-la accepter formellement. Signature papier, signature électronique ou validation dans un outil interne : peu importe le moyen, pourvu qu’il reste une trace datée. C’est cette trace qui établit que la règle était connue.
Remettez-la à l’arrivée. Intégrez-la au dossier d’entrée, au même titre que le contrat et l’accès au matériel. Un nouveau collaborateur qui reçoit la charte le premier jour comprend qu’elle fait partie du fonctionnement de la maison, pas qu’elle est une contrainte ajoutée après coup.
Rappelez-la. Une fois par an, en dix minutes de réunion d’équipe, revenez sur deux ou trois points. Profitez-en pour signaler ce qui a changé. C’est aussi l’occasion de parler des menaces du moment, comme la fraude au président, qui repose entièrement sur le contournement des procédures internes.
Avant de diffuser votre charte, lisez-la à voix haute devant deux collaborateurs qui ne l'ont pas rédigée. Chaque fois qu'une phrase provoque un « oui mais concrètement, on fait comment ? », vous tenez une règle inapplicable. Corrigez-la avant la diffusion, pas après le premier incident.
Le contrôle : un terrain à traiter avec prudence
Beaucoup de dirigeants voient dans la charte un moyen d’autoriser la surveillance des collaborateurs. C’est une erreur d’approche, et elle peut coûter cher.
En Suisse, la surveillance des employés est encadrée à la fois par le droit du travail et par le droit de la protection des données. Ces cadres posent des limites qu’un document interne ne peut pas écarter : ce n’est pas parce qu’une charte annonce un contrôle que ce contrôle devient admissible. À l’inverse, certains dispositifs techniques normaux, comme la journalisation des accès ou le filtrage des messages, supposent que les personnes concernées soient informées de leur existence et de leur finalité.
Retenez deux idées, sans aller plus loin sans conseil. D’abord, informer est généralement nécessaire, mais informer ne rend pas tout possible. Ensuite, la frontière entre un contrôle technique légitime, destiné à la sécurité du système, et une surveillance du comportement des personnes est précisément le point délicat.
La clause qui décrit ce que l'entreprise consulte, enregistre ou analyse est la plus sensible de toute la charte. Une rédaction approximative expose l'employeur au lieu de le protéger. Faites relire ce passage par un juriste ou un avocat spécialisé en droit du travail, en lui décrivant précisément les outils techniques dont vous disposez.
Pourquoi un modèle en ligne ne suffit pas
Un modèle de charte téléchargé sur internet a été écrit pour une autre entreprise. Il ne connaît ni vos outils, ni votre organisation, ni vos contrats de travail.
Il mentionnera des règles pour un serveur que vous n’avez pas, restera muet sur l’outil collaboratif que toute votre équipe utilise quotidiennement, ou imposera une procédure de validation qui suppose un service informatique interne inexistant chez vous. Il peut aussi entrer en contradiction avec vos contrats de travail ou avec un règlement d’entreprise déjà en vigueur.
Une charte inadaptée est au mieux inutile, parce que personne ne s’y reconnaît. Au pire elle est inapplicable, et c’est alors le document lui-même qui affaiblit votre position : invoquer une règle manifestement décalée du fonctionnement réel de l’entreprise se retourne facilement contre celui qui l’invoque.
Le travail utile n’est donc pas la rédaction, c’est l’adaptation. Partez de l’inventaire de vos outils réels et des usages réels de vos équipes, y compris ceux que vous ne validez pas officiellement. Écrivez ensuite les règles qui correspondent à ce paysage, et à lui seul.
Ce socle documentaire fonctionne de pair avec les mesures techniques décrites dans les 10 mesures essentielles et avec l’authentification à deux facteurs. Pour situer votre niveau global, le check-up cyber donne un aperçu rapide, et l’ensemble des mesures prioritaires est regroupé dans le pilier Bonnes pratiques.
Ces mesures constituent un socle, elles ne remplacent pas une analyse de votre situation. Une charte cohérente avec vos contrats, vos obligations sectorielles et vos outils réels demande un regard qui connaît à la fois votre organisation et le cadre juridique applicable.