L’histoire est celle d’une entreprise française engagée dans un litige commercial avec un concurrent local, à l’étranger. Les autorités du pays décident de lancer un audit et l’entreprise, soucieuse d’être irréprochable, accepte de transmettre des données financières ainsi que des informations sur ses procédés de fabrication.
Résultat : L’entreprise écope malgré tout d’une surtaxe, puis perd la majorité de ses clients au profit du concurrent qui l’avait dénoncée. Entre-temps, elle a livré des informations économiques précieuses qui, elles, ne pourront jamais être reprises.
Ce cas m’a conduite à m’interroger sur une dimension de la conformité dont nous ne parlons pas suffisamment à mon goût. Nous la considérons généralement comme un moyen de réduire les risques, de protéger l’entreprise et d’établir la confiance.
Mais que se passe-t-il lorsque les outils de la conformité (l’audit, l’inspection, la certification) cessent d’être des garde-fous pour devenir des armes de guerre économique ?
Derrière la procédure, le rapport de force
L’audit nous paraît neutre parce que son vocabulaire l’est. On parle de référentiel, de preuves, d’écarts, de mesures correctives. Tout semble relever d’une méthode objective dont la conclusion découlerait naturellement des faits observés.
Pourtant, une procédure de contrôle ne se déroule jamais en dehors du contexte politique et économique dans lequel elle a été décidée.
La DGSI le dit sans détour : ces audits, « généralement demandés par les autorités gouvernementales dans le cadre de procédures réglementaires, peuvent également résulter de demandes d’entreprises concurrentes ».
Ce que je comprends par là : la procédure officielle peut être détournée pour capter du savoir-faire, ralentir un rival, ou le forcer à s’exposer.
Puisque c’est l’autorité qui audite, qui détermine les informations qu’elle souhaite obtenir, le pouvoir se trouve de l’autre côté et le rapport des forces est déséquilibré.
Les deux autres exemples rapportés par la DGSI illustrent précisément ce risque : un audit lié à une licence d’exportation fait traîner les délais jusqu’à mettre une usine en rupture d’approvisionnement, et dans l’autre cas, une inspection de conformité débouche sur des exigences de modification suffisamment lourdes pour déstabiliser l’entreprise concernée.
Les informations qu’un audit permet d’obtenir sont considérables : la chaîne logistique complète, le détail des procédés industriels, l’identité des détenteurs du savoir-faire, l’architecture d’un système, parfois l’accès au code source.
Ainsi, retarder une licence, suspendre une livraison, s’inspirer des procédés, prendre le marché, imposer des modifications coûteuses deviennent une réalité dans le rapport de forces économiques et industriels.
Dans chacune de ces situations, la coopération de l’entreprise ne suffit pas à la protéger. Cela ne signifie évidemment pas qu’il faudrait refuser tout audit ou soupçonner toute certification d’être une manœuvre hostile. Cela signifie simplement qu’un outil technique peut aussi avoir une fonction politique, et qu’il serait imprudent de l’oublier.
Les cas concrets
Sans nous attarder sur les exemples bien connus d’Alstom ou BNP Paribas sur les ingérences étrangères qui vont même au-delà des simples procédures d’audit, il y a un bon nombre de cas concrets à connaître.
L’affaire Micron, en Chine, constitue probablement l’exemple le plus clair de ce glissement.
En mars 2023, l’autorité chinoise du cyberespace ouvre une revue de cybersécurité sur les produits du fabricant américain de mémoires. Deux mois plus tard, elle annonce que ces produits présentent de graves problèmes susceptibles de menacer la chaîne d’approvisionnement des infrastructures critiques du pays. Les opérateurs concernés reçoivent donc l’ordre de ne plus les acheter.
Le régulateur ne publie pas d’éléments techniques suffisamment précis pour permettre d’évaluer la nature des vulnérabilités constatées.
La décision intervient par ailleurs dans un contexte de fortes tensions autour des semi-conducteurs, alors que les États-Unis ont déjà renforcé leurs restrictions sur l’exportation de technologies avancées vers la Chine.
Il n’est donc guère surprenant qu’elle ait été largement interprétée comme une mesure de rétorsion, même si le motif officiellement invoqué reste celui de la cybersécurité. Ici, une préoccupation de sécurité réelle sert une stratégie économique plus large : la décision a mis en jeu la moitié du marché chinois de Micron, soit environ 12,5 % de son chiffre d’affaires mondial.
La Chine a déjà suscité des inquiétudes en 2015, quand elle a voulu imposer aux prestataires des services dans le secteur bancaire des règles de contrôle très intrusives qui suggèrent de laisser tout le savoir-faire à la frontière d’entrée. La démarche a été suspendue la même année suite à d’importantes pressions diplomatiques.
Un rapide détour par nos voisins britanniques, nous montre le cas de Huawei.
À partir de 2010, l’entreprise chinoise se soumet à des contrôles britanniques pendant près d’une décennie. Le GCHQ (Government Communications Headquarters) puis le NCSC (National Cybersecurity Center) examinent les équipements de l’entreprise, son code source et ses pratiques d’ingénierie. En juillet 2020, les services britanniques ne sont pas convaincus et sous la pression américaine, Huawei est retiré du réseau 5G britannique.
Les outils construits par la France
La France n’est pas démunie, elle possède plusieurs moyens réglementaires défensifs :
La loi de blocage de 1968, longtemps quasi inappliquée, a été réformée en 2022 (décret n° 2022-207). Elle interdit de transmettre à une autorité étrangère des informations sensibles d’ordre économique, commercial, industriel, financier ou technique touchant aux intérêts essentiels de la France. Depuis avril 2022, un guichet unique, le SISSE (Service de l’information stratégique et de la sécurité économiques, rattaché à la DGE), rend un avis sous un mois pour dire ce qui peut être transmis ou non (sources : economie.gouv.fr, DGE, DGSI).
À ce bouclier judiciaire s’est ajouté un bouclier d’infrastructure. La doctrine cloud au centre, définie par circulaire en 2021 et actualisée en 2023, impose aux administrations d’héberger leurs projets numériques sur les clouds internes de l’État ou sur des offres commerciales qualifiées.
Pour les données d’une sensibilité particulière, l’offre retenue doit être qualifiée SecNumCloud, ou disposer d’une qualification européenne équivalente, et être immunisée contre tout accès non autorisé par des autorités publiques d’États tiers.
Cette qualification va au-delà des mesures techniques en couvrant le contrôle juridique de l’entreprise, son personnel, la localisation de ses activités et les législations auxquelles le service peut être soumis.
SecNumCloud constitue en ce sens un outil défensif. Il permet à l’État de définir les conditions dans lesquelles certaines données sensibles peuvent être confiées à un prestataire, au lieu d’accepter que le marché ou des puissances étrangères définissent seuls le niveau de risque que nous devrions tolérer.
La France a ensuite défendu l’introduction de critères comparables dans le projet européen de certification des services cloud, EUCS, notamment pour son niveau le plus élevé. Ces critères de souveraineté n’ont jamais fait consensus entre États membres. Le schéma reste en attente depuis.
Plusieurs États membres et organisations représentant des intérêts industriels européens et étrangers se sont opposés à ces critères, qu’ils jugeaient protectionnistes et étrangers à une certification supposée rester purement technique. À l’inverse, plusieurs entreprises européennes ont demandé leur maintien, précisément parce qu’elles considéraient que la sécurité d’un cloud ne pouvait être séparée du droit auquel il est exposé.
Les États-Unis, eux, n’hésitent pas : leur programme FedRAMP conditionne depuis des années l’accès des services cloud au marché fédéral à une certification qu’ils contrôlent.
Ce débat en dit beaucoup de notre difficulté collective. Au moment même où nous cherchions à définir les conditions de confiance applicables à notre propre marché, nous avons hésité à assumer qu’une certification puisse aussi traduire un choix de souveraineté. Pour reprendre l’image de l’arme, nous avons commencé par la limer nous-mêmes. La réalité est que nous n’avons pas su nous doter des garde-fous nécessaires face aux outils de conformité des pays extra-européens.
Leur fonctionnalité est défensive, ce sont des remparts. Contrairement aux FCPA et OFAC qui sont des instruments de projection : ils vont chercher l’entreprise étrangère chez elle.
De la conformité subie à la réciprocité
ll y a 2 400 ans, Thucydide met en scène le dialogue de Mélos. Athènes veut soumettre la petite île de Mélos, qui invoque le droit et la justice. La réponse des Athéniens est restée célèbre : « les forts font ce qu’ils peuvent et les faibles subissent ce qu’ils doivent ».
L’idée est de ne pas dévaloriser l’utilité de la conformité et du droit, ou remettre en question l’ouverture des marchés. Mais de rappeler qu’être en règle ne garantit pas d’être protégé. Le droit ne se défend pas tout seul : il ne protège réellement que si une puissance publique est prête à le faire respecter.
Tant que l’asymétrie des moyens de pression existe, l’acteur le plus agressif gardera son avantage. Si l’accès à un marché étranger suppose de communiquer du code source ou d’ouvrir ses usines, nous devons pouvoir exiger des garanties comparables.
Il est temps d’adjoindre un principe que l’Union européenne et ses États membres ont commencé à établir depuis peu, mais hésitent encore à assumer pleinement : la réciprocité de leur cadre réglementaire face aux instruments juridiques offensifs des pays tiers.
— Darya KHENDRIK, Compliance Manager chez Clever Cloud – RSMI (Responsable de Système de Management Intégré), DPO
Sources
- DGSI — Audits étrangers, vecteurs de déstabilisation et d’ingérence
- Cyberspace Administration of China — décision Micron du 21 mai 2023
- USITO — suspension des règles bancaires chinoises « secure and controllable »
- NCSC — analyse des sanctions américaines de mai 2020 concernant Huawei
- NCSC — avis sur les fournisseurs à haut risque
- ANSSI — référentiel SecNumCloud 3.2
- ITI — prise de position du 11 avril 2024 sur le retrait des critères de souveraineté d’EUCS
- FedRAMP — conditions d’accès des services cloud au marché fédéral
- EUR-Lex — instrument international sur les marchés publics, règlement 2022/1031
- EUR-Lex — règlement 2022/2560 sur les subventions étrangères
- EUR-Lex — instrument anti-coercition, règlement 2023/2675