Un lundi matin, en plein bouclement, Sophie B. tombe sur un détail anodin : une collaboratrice envoie depuis des mois les fiches de salaire de plusieurs clients via une petite application de partage gratuite, installée sur son téléphone personnel. Rien de malveillant — juste plus rapide que la messagerie interne, un jour de rush. Personne ne l'avait décidé, personne ne l'avait validé, et surtout personne, à la direction, ne le savait. C'est précisément ainsi que s'installe le shadow IT.
Le shadow IT, ces outils qui échappent à l'entreprise
Le shadow IT — littéralement « l'informatique de l'ombre » — désigne tous les outils, applications et services numériques utilisés pour le travail sans que la direction ou le responsable informatique les ait choisis, autorisés, ou même repérés. Une messagerie personnelle pour dépanner un client un soir, une application de notes en ligne, un convertisseur de PDF déniché sur le web, un compte gratuit de partage de fichiers, un tableur rangé sur le cloud privé d'un collaborateur : chacun rend service, aucun n'a été décidé.
Le terme fait un peu peur, mais le phénomène est banal — et le plus souvent bien intentionné. Vos collaborateurs ne cherchent pas à contourner les règles : ils cherchent à travailler vite, avec des outils qu'ils connaissent déjà dans leur vie privée. Le problème n'est pas la mauvaise volonté, c'est l'invisibilité. Ce que la direction ne voit pas, elle ne peut ni encadrer, ni protéger, ni maîtriser.
Pour une fiduciaire comme celle de Sophie B., l'enjeu est direct. Une structure de services sans informaticien interne repose largement sur la confiance : chacun s'organise avec les moyens du bord. Sauf que les données qui transitent ne sont pas des photos de vacances — ce sont des salaires, des déclarations fiscales, des relevés bancaires de dizaines de PME clientes. Le jour où l'une de ces informations part sur le serveur gratuit d'une application dont personne ne connaît l'éditeur, elle échappe à l'entreprise. Et avec elle, une part du secret professionnel sur lequel repose toute la relation client.
C'est là que se joue le vrai risque du shadow IT : la fuite de données. Pas forcément un piratage spectaculaire — le plus souvent, une simple perte de contrôle. Un compte gratuit fermé du jour au lendemain, et les fichiers deviennent inaccessibles. Un même mot de passe faible réutilisé partout, et une seule fuite ouvre plusieurs portes. Un service qui stocke les documents sur des serveurs dont vous ignorez l'emplacement — parfois hors de Suisse — sans que vous ayez jamais signé le moindre contrat. Beaucoup d'outils gratuits se rémunèrent d'ailleurs sur les données : leurs conditions d'utilisation, que personne ne lit, les autorisent souvent à les analyser ou à les conserver bien au-delà de votre usage.
Or la nLPD, la nouvelle loi suisse sur la protection des données, attend précisément d'une entreprise qu'elle prenne des mesures de sécurité « appropriées » sur les données qu'elle détient. Difficile de sécuriser ce qu'on ne sait même pas exister. Le shadow IT n'est donc pas qu'une question technique : c'est un angle mort qui touche directement votre responsabilité.
En clair. Le shadow IT, ce n'est pas un pirate qui force la porte. C'est une porte qu'on a laissée entrouverte sans s'en rendre compte, parce qu'elle était plus commode que l'entrée principale. Le danger ne vient pas de l'outil en lui-même — souvent très correct — mais du fait qu'il vive hors de votre vue : personne ne sait qui y a accès, où les fichiers atterrissent, ni ce qu'il en reste le jour où la collaboratrice qui l'utilisait quitte l'entreprise.
Ce qu'il faut retenir
Trois idées suffisent à cadrer le sujet.
D'abord, le shadow IT n'est pas une faute à punir, c'est un signal à écouter. Si une collaboratrice contourne l'outil officiel, c'est souvent que celui-ci est trop lent, trop compliqué, ou tout simplement absent. La bonne réaction n'est pas de sanctionner, mais de comprendre le besoin et d'offrir une alternative propre. Sinon, l'outil de l'ombre reviendra par une autre porte.
Ensuite, l'invisibilité est le cœur du problème. Une donnée qui circule par un canal connu peut être encadrée ; une donnée qui circule par un canal ignoré ne peut pas l'être. Reprendre la main commence donc par voir, avant même de verrouiller quoi que ce soit.
Enfin, pour une PME suisse qui manie des données sensibles, la responsabilité reste la vôtre, quel que soit l'outil. Confier un fichier de salaires à une application gratuite ne transfère pas la responsabilité à son éditeur : en cas de fuite, c'est votre organisation qui devra en gérer les conséquences — et, le cas échéant, annoncer la violation au Préposé fédéral (le PFPDT, l'autorité suisse de protection des données). Un client dont les données ont fuité ne demandera pas quel outil était en cause : il demandera pourquoi vous ne le saviez pas.
Les gestes à installer cette semaine
Bonne nouvelle : reprendre le contrôle ne demande ni budget, ni informaticien, ni grand projet. Trois gestes simples suffisent à démarrer, et ils tiennent tous dans une semaine ordinaire, entre deux dossiers.
1. Faire l'inventaire, sans juger
Prenez trente minutes en équipe et posez une seule question : « avec quels outils travaillez-vous vraiment au quotidien ? » Pas pour surveiller — pour découvrir. Notez chaque application, chaque service, chaque compte utilisé pour manipuler des données de l'entreprise, y compris ceux installés sur les téléphones personnels. L'objectif est d'obtenir une liste honnête, ce qui n'est possible que si personne ne craint la sanction. Présentez l'exercice pour ce qu'il est : non pas un audit, mais une manière de mieux outiller l'équipe. Vous serez sans doute surpris de la longueur de la liste — c'est normal, et c'est déjà la moitié du chemin, car on ne protège bien que ce qu'on a d'abord posé noir sur blanc.
2. Décider ce qui est « officiel »
Pour les besoins les plus courants — partager un fichier volumineux, échanger un document sensible, prendre des notes, signer un document — choisissez un outil officiel et dites-le clairement. Dans une PME déjà équipée d'une suite bureautique professionnelle, la plupart de ces fonctions existent déjà, en interne, sans rien installer de plus. L'idée n'est pas d'interdire dix outils, mais d'en désigner un, simple et connu de tous, pour chaque usage. Un canal officiel évident fait disparaître une grande partie du shadow IT sans même avoir à l'interdire.
3. Poser une règle simple sur les données sensibles
Une phrase suffit, du moment qu'elle est comprise de tous : les données clients — salaires, pièces comptables, documents fiscaux — ne quittent jamais les outils validés de l'entreprise. Pas de compte personnel, pas d'application gratuite non approuvée, pas de clé USB qui traîne dans un sac. Écrivez-la, partagez-la, rappelez-la à l'arrivée de chaque nouvelle personne. Une règle courte et vivante protège mieux qu'un règlement de dix pages que personne n'ouvre.
Où en êtes-vous vraiment ?
Ces trois gestes font reculer le shadow IT, mais ils ne répondent pas à eux seuls à la vraie question : où, précisément, votre organisation est-elle solide, et où repose-t-elle encore sur des habitudes que personne n'a jamais vérifiées ? C'est tout l'objet d'une auto-évaluation structurée.
Cyber Passport ne certifie rien et ne vous déclare « conforme » à aucune norme : il vous aide à faire le tour, question par question, de vos usages numériques — quels outils, quelles données, quels canaux — pour transformer une inquiétude diffuse en une image claire, partageable avec vos clients et vos auditeurs. Le reste, c'est-à-dire le plan d'action détaillé pour cadrer durablement vos outils et remettre le shadow IT à la lumière, fait l'objet d'un blueprint dédié.
