Publications · Gouvernance
Ce qu'un conseil d'administration devrait exiger avant de voter un budget d'automatisation
Un budget d'automatisation se vote en séance en quelques minutes. Il engage l'entreprise pour cinq à dix ans, bien au-delà du mandat de la plupart des administrateurs qui lèvent la main. Ce vote n'est pas comparable à l'approbation d'un abonnement logiciel : l'investissement est lourd, l'intégration est longue, le retour en arrière coûte plus cher que d'aller de l'avant. Un conseil d'administration qui approuve ce budget sans avoir posé les bonnes questions n'a pas rempli son rôle de surveillance.
Ce que ce vote engage au-delà de l'achat
Un abonnement logiciel se résilie en trente jours. Un projet d'automatisation industrielle crée des dépendances qui tiennent à la configuration du parc machine, aux contrats d'intégration, aux formations délivrées, aux données migrées et aux processus redessinés autour de la solution. Changer d'avis deux ans après le vote coûte plus cher que continuer. C'est précisément pour cela que le vote du conseil d'administration a du sens : c'est le seul endroit de l'entreprise où quelqu'un peut dire « pas encore » sans avoir de position personnelle à défendre dans le projet.
Cinq catégories de questions permettent à un conseil de se prononcer en connaissance de cause. Elles ne demandent aucune expertise technique ; elles demandent de savoir ce qu'on est en train de signer.
Retour sur investissement : la façon dont le chiffre a été construit
La présentation de la direction montrera un retour sur investissement. Le conseil doit valider la façon dont ce chiffre a été construit, pas le chiffre lui-même.
Les questions à poser en séance :
- Qui a construit le modèle financier, la direction ou le fournisseur ? Les deux ont intérêt à ce que le projet avance.
- Quelle hypothèse de productivité est retenue, et comment a-t-elle été mesurée : au chronomètre sur le terrain, par observation de postes comparables, ou par extrapolation à partir d'une brochure ?
- Le calcul inclut-il les coûts qui ne figurent pas dans l'offre commerciale : l'intégration au système d'information existant, la formation des opérateurs, la maintenance en dehors des plages horaires garanties, le temps de traitement des erreurs et des exceptions que la machine ne sait pas gérer ?
- Qui, dans l'entreprise, sera responsable de mesurer le ROI réel après déploiement, selon quelle fréquence et selon quelle méthode ?
La dernière question mérite d'être posée explicitement : si le gain de productivité annoncé n'est atteint qu'à 70 %, l'investissement reste-t-il justifié ? Un modèle qui ne tient qu'à l'hypothèse haute est un modèle fragile.
Dépendance fournisseur : ce qui ne figure pas dans la présentation
Toute automatisation crée une dépendance. On ne peut pas l'éviter, c'est une condition de tout investissement technologique. La question est de mesurer à quoi l'entreprise se lie avant de signer.
Les questions à poser :
- Quelle part de la solution est propriétaire ?
- Si le fournisseur triple ses tarifs de maintenance dans trois ans, l'entreprise peut-elle migrer vers un concurrent, et à quel coût estimé ?
- Le fournisseur est-il rentable, et son modèle de revenus tient-il sur la durée du contrat ? Un intégrateur qui coule douze mois après la mise en production laisse l'entreprise sans support sur une installation qu'elle ne maîtrise pas entièrement.
- Que se passe-t-il si le fournisseur est racheté par un concurrent direct de l'entreprise ? Les conditions contractuelles survivent-elles à la cession, et sous quelles conditions le cessionnaire peut-il les modifier ?
La dépendance est une information qui change le niveau de risque que le conseil accepte, pas un refus de projet. Un conseil qui a posé ces questions peut voter oui en sachant ce qu'il approuve.
Compétence interne : après le départ de l'intégrateur
La mise en production est gérée par l'intégrateur. Le vrai test commence le lendemain de la réception. Qui, dans l'entreprise, sera capable de faire face à un incident, d'ajuster un paramètre, de former un nouvel opérateur six mois plus tard ?
Les questions à poser :
- Qui est identifié pour assurer la compétence interne, par nom et pas seulement par intitulé de poste ?
- Quel programme de formation est prévu, pour combien de personnes, sur quelle durée ?
- Ce coût est-il intégré au budget soumis au vote, ou est-il hors enveloppe ?
- Si la personne formée quitte l'entreprise dans dix-huit mois, quel est le plan de remplacement et qui en paiera le coût ?
- L'équipe opérationnelle a-t-elle été consultée pendant la phase de sélection du fournisseur, ou seulement informée de la décision finale ?
Cette dernière question n'est pas anodine. Un projet bien vendu à la direction et mal accepté par l'équipe qui va le faire vivre produit rarement les gains annoncés dans le plan financier.
Sécurité des données : la question que personne ne pose jusqu'au problème
Les systèmes d'automatisation traitent des données : données de production, de qualité, de performance individuelle des opérateurs, parfois de clients ou de fournisseurs. Ils se connectent au système d'information de l'entreprise. Ils sont souvent accessibles à distance par le fournisseur pour la maintenance. Ce flux de données engage l'entreprise juridiquement.
Le règlement général sur la protection des données (règlement UE 2016/679, article 28) impose à toute entreprise qui confie un traitement à un prestataire de le formaliser dans un contrat spécifique, dit accord de traitement des données. Ce document doit définir l'objet, la durée, la nature et la finalité du traitement, les catégories de données concernées, et les obligations du prestataire en matière de sécurité et de confidentialité. L'absence de cet accord expose l'entreprise en cas de contrôle de l'Autorité de protection des données ou en cas d'incident de sécurité.
Les questions à poser en séance :
- Quelles données de l'entreprise, de ses salariés ou de ses clients transitent dans ce système ?
- Où sont-elles stockées (en Belgique, dans l'Union européenne, ou en dehors), et ce lieu de stockage est-il compatible avec les obligations du RGPD ?
- Le contrat contient-il un accord de traitement des données conforme à l'article 28 ?
- Qui, chez le fournisseur, peut accéder à distance aux données de l'entreprise, sous quelle procédure et avec quel niveau de traçabilité ?
- Que se passe-t-il si le fournisseur subit une violation de données ? Le contrat prévoit-il une obligation de notification et un délai ?
Le RGPD n'est pas une contrainte à déléguer au département juridique. Une violation de données dans un système d'automatisation connecté peut avoir des conséquences opérationnelles et réputationnelles immédiates, indépendamment des amendes.
Sortie de contrat : la clause que personne ne lit en entrant
La plupart des contrats d'automatisation ont été négociés par la direction, avec l'appui éventuel du département achats. Le conseil d'administration ne les lit pas. C'est compréhensible pour un contrat d'achat de fournitures. Ça l'est moins pour un engagement pluriannuel qui reconfigure une partie des opérations.
Ce que le conseil doit avoir vérifié avant de voter :
- Quelle est la durée d'engagement minimale, et quelles sont les conditions et le coût d'une sortie anticipée ?
- Si l'entreprise décide de ne pas renouveler à l'échéance, que devient la propriété des adaptations développées spécifiquement pour elle : les gabarits, les programmes, les interfaces métier ?
- Les données historiques de production peuvent-elles être exportées dans un format lisible par un autre système, ou l'entreprise perd-elle l'accès à son propre historique si elle change de fournisseur ?
- Quel est le délai de préavis pour notifier la non-reconduction, et ce délai est-il compatible avec le rythme de décision du conseil d'administration ?
Un contrat dans lequel les données ne peuvent pas être exportées en format standard, ou dans lequel les développements spécifiques restent propriété de l'intégrateur, est structurellement un contrat de dépendance permanente. Le conseil qui vote ce budget signe aussi ce contrat, même s'il ne l'a pas lu.
Ce qu'un administrateur indépendant apporte dans ce vote
J'ai conçu et déployé des systèmes d'automatisation, et je siège dans des conseils d'administration. La combinaison des deux points de vue m'a appris une chose : les questions les plus utiles dans un conseil ne sont pas techniques. Elles portent sur les hypothèses cachées, les engagements que personne n'a lus, et les risques qu'on n'a pas mis sur la table parce que tout le monde avait intérêt à ce que le projet avance.
Un administrateur indépendant, qui n'a ni capital à défendre dans l'entreprise ni relation commerciale avec le fournisseur, est en position de les poser sans calcul. Pas pour bloquer le projet, mais pour s'assurer que le conseil vote en connaissance de cause et que la direction entre dans ce projet avec les yeux ouverts sur ce qu'elle s'engage à livrer.
La question technique (faut-il automatiser, et à quel volume cela se justifie-t-il) précède ce vote et relève de la direction. C'est une question d'analyse opérationnelle et financière, pas de gouvernance. La question du conseil est différente : l'engagement que nous allons prendre est-il structuré pour réussir, ou est-il structuré pour satisfaire une ambition sans en cadrer les risques ?
Si votre conseil s'interroge sur sa gouvernance des investissements technologiques, écrivons-nous. Voir aussi la gouvernance de l'IA au conseil d'administration et, pour la décision opérationnelle en amont, l'analyse faut-il robotiser ? sur robotiser.eu.