Vers un devoir de vigilance informationnel : hypothèse d'un glissement de la bonne pratique à la diligence attendue

Une organisation qui surveille ce qui se dit de ses fournisseurs, de ses implantations et de ses produits accomplit aujourd'hui un acte de bonne gestion. Elle le fait parce que c'est utile, parce que la direction y tient, parce qu'un incident passé en a démontré l'intérêt. Rien ne l'y oblige au sens strict, et l'absence de ce travail ne constitue pas en elle-même une faute caractérisée.

L'hypothèse que nous examinons ici est que ce statut change lentement. Non par l'apparition d'un texte nouveau qui créerait un devoir de vigilance informationnel autonome, mais par la convergence de trois lectures : celle des régulateurs, qui demandent de plus en plus souvent comment un dispositif de surveillance des tiers fonctionne ; celle des assureurs, qui tarifent un risque en fonction de ce que l'assuré maîtrise ; celle des juges, qui apprécient une diligence à l'aune de ce qui était accessible.

Cette hypothèse doit être tenue pour ce qu'elle est : un raisonnement sur des tendances observables, pas une prédiction datée ni une lecture d'un texte existant. Nous en exposons les indices, la conséquence principale, le déplacement de charge qu'elle implique, et la posture qu'elle justifie sans céder à l'alarmisme.

Les indices d'un glissement dans les logiques de conformité déjà installées

Le premier indice tient à la structure du raisonnement de conformité, qui ne porte jamais sur le résultat seul. Un dispositif anticorruption, un dispositif de lutte contre le blanchiment ou un dispositif de protection des données ne sont pas évalués sur l'absence d'incident : ils sont évalués sur l'existence d'une organisation, d'une cartographie des risques, de contrôles proportionnés et de traces. Cette grammaire est transposable à n'importe quel domaine où l'on estime qu'une organisation devait savoir quelque chose.

Le deuxième indice vient des logiques de responsabilité de la chaîne d'approvisionnement. Elles reposent toutes sur une même idée : une organisation répond de ce qui se passe chez ses partenaires dans la mesure de son influence et de sa connaissance. Or la connaissance, dans ces dispositifs, n'est pas seulement ce que l'on sait ; c'est aussi ce que l'on aurait dû savoir en menant les diligences attendues d'un acteur comparable. La veille sur les tiers cesse alors d'être un choix de gestion pour devenir un moyen d'établir la diligence.

Le troisième indice est assurantiel. Un assureur ne raisonne pas en obligations mais en probabilités et en réductions de sinistre. Dès lors qu'un dispositif de détection précoce se traduit statistiquement par des sinistres moins fréquents ou moins coûteux, il entre dans le questionnaire de souscription, puis dans les conditions, puis dans la tarification. Ce qui commence comme une question posée à l'assuré finit régulièrement comme une exigence contractuelle, sans qu'aucun régulateur ait eu à intervenir.

Le quatrième indice est probatoire. Les travaux publiés par l'Observatoire de l'Intelligence Économique documentent la manière dont des faits circulent, se datent et se mesurent, et les reportages du Le Fil de la Veille montrent à quelle vitesse un signal public devient un événement matériel. Cette documentation croissante a un effet second : plus il est facile de démontrer après coup qu'une information circulait, plus il devient difficile de soutenir qu'elle était hors de portée.

Ce que « ne pas savoir » coûtera quand l'information était publiquement disponible

Le cœur de l'hypothèse tient dans une asymétrie. Ignorer une information confidentielle n'engage personne : elle n'était pas accessible. Ignorer une information publique, durablement disponible, indexée, relayée, consultable pour un coût dérisoire, se défend beaucoup moins bien. La disponibilité publique transforme la question de fait, avait-elle été vue, en question d'organisation, un dispositif normalement constitué l'aurait-il vue ?

Trois caractéristiques rendent une information difficile à ignorer sans conséquence. Sa persistance d'abord : un signal présent pendant des mois se distingue d'une mention fugace. Sa visibilité ensuite : un contenu massivement relayé, repris par des acteurs identifiables, se distingue d'une publication marginale. Son accessibilité enfin : un registre public, un jugement publié, une base sectorielle ouverte ne demandent aucun moyen d'enquête particulier.

Le coût attendu n'est donc pas celui d'une sanction spécifique créée pour l'occasion. Il prend des formes plus ordinaires et plus probables : une clause d'assurance qui joue moins bien, un partage de responsabilité moins favorable dans un litige commercial, une appréciation sévère de la diligence dans un contrôle, une position de négociation dégradée face à un client qui demande à voir le dispositif. Ces coûts se cumulent sans jamais porter le nom de devoir de vigilance informationnel.

L'ignorance ne devient coûteuse qu'au moment où l'on démontre qu'elle était évitable à coût raisonnable, et cette démonstration est chaque année plus facile à produire.

La charge que ce déplacement fait porter aux organisations

Le déplacement principal n'est pas une charge de collecte, il est une charge de preuve. Une organisation qui surveille bien mais sans trace se trouve, devant un tiers, dans la même position que celle qui ne surveille pas. Ce qui compte n'est plus seulement d'avoir vu, mais de pouvoir montrer que le sujet entrait dans un périmètre défini, qu'il a été observé, et que l'absence de réaction résulte d'un arbitrage plutôt que d'un angle mort.

La deuxième charge est celle du périmètre. Un dispositif sans périmètre écrit se retrouve rétrospectivement responsable de tout, puisque rien ne permet de dire ce qu'il ne couvrait pas. Un périmètre défini à l'avance, listant les entités surveillées, les thèmes retenus, les langues et la fréquence, protège justement par ses exclusions, à condition que ces exclusions soient motivées et datées.

La troisième charge est organisationnelle. Un signal détecté et laissé sans destinataire aggrave la position plutôt qu'il ne l'améliore : il établit que l'organisation savait. La détection sans circuit de traitement crée une exposition supplémentaire, ce qui explique pourquoi le travail décisif porte moins sur les outils que sur les seuils d'escalade et les responsabilités nommées.

La posture raisonnable, entre inaction et surenchère

L'alarmisme conduit à deux erreurs symétriques. La première consiste à ne rien faire tant qu'aucun texte n'impose rien, ce qui revient à parier sur l'immobilité d'un environnement qui bouge. La seconde consiste à tout surveiller, ce qui produit un volume ingérable, des alertes non traitées et, paradoxalement, une exposition accrue.

La posture raisonnable est graduée. Elle commence par une hiérarchie d'exposition : les tiers critiques, les implantations sensibles et les produits réglementés justifient une surveillance continue et documentée ; le reste appelle une observation périodique et légère. Elle se poursuit par une règle d'écriture simple, une trace datée pour chaque signal retenu et pour chaque décision de ne pas agir. Elle se termine par une revue annuelle du périmètre, qui vaut démonstration de sérieux même quand aucun incident n'est survenu.

La condition matérielle de cette posture est la traçabilité de la collecte. NewsCore (www.newscore.fr) couvre en continu des millions de sources publiques, fait remonter les signaux pertinents en temps réel et relie chaque synthèse à son document d'origine horodaté : la preuve existe dès la détection, et l'organisation consacre son temps à l'arbitrage. La définition du périmètre et la décision d'escalade restent, elles, la part de l'organisation, et c'est bien à ce niveau que la diligence se juge.

Reste à garder l'hypothèse à sa place. Rien ne garantit que ce glissement aboutisse à une obligation formelle, et il est possible qu'il reste diffus, contractuel et assurantiel. Mais une organisation qui adopte dès maintenant la discipline décrite ne perd rien si l'hypothèse ne se réalise pas : elle gagne un dispositif plus lisible, des décisions mieux motivées et une position plus solide le jour où on lui demande ce qu'elle savait.

Questions fréquentes

Existe-t-il aujourd'hui un devoir de vigilance informationnel ? Non, pas sous ce nom ni comme obligation autonome. Ce que l'on observe est un faisceau : des logiques de conformité et de responsabilité de la chaîne d'approvisionnement qui interrogent déjà ce qu'une organisation savait ou aurait dû savoir, et des acteurs privés, assureurs et donneurs d'ordre, qui posent la question dans leurs contrats. L'hypothèse est que ce faisceau se resserre.

Comment savoir si mon dispositif tiendrait devant un tiers ? Posez-lui trois questions. Le périmètre surveillé est-il écrit et daté ? Existe-t-il une trace consultable des signaux détectés au cours des douze derniers mois ? Les décisions de ne pas agir sont-elles motivées quelque part ? Un dispositif qui répond non à l'une de ces questions fonctionne peut-être très bien, mais il ne se démontre pas.

Faut-il surveiller tous ses fournisseurs au même niveau ? Non, et l'uniformité est le meilleur moyen d'échouer. Graduez selon la criticité : dépendance opérationnelle, exposition géographique, sensibilité réglementaire du produit. Un niveau élevé sur quelques tiers, écrit et tenu, se défend mieux qu'un niveau moyen appliqué à tous et abandonné au bout de six mois.

Détecter un signal sans pouvoir le traiter aggrave-t-il la situation ? Oui, si rien n'en est fait et si aucune trace n'explique pourquoi. La réponse n'est pas de renoncer à détecter, mais de définir à l'avance ce qui déclenche une escalade et qui en est responsable. Une décision motivée de ne pas agir est une position tenable ; un signal orphelin dans une boîte de réception ne l'est pas.