Dossier GRC : La surveillance comportementale, jusqu'où ?

Logiciels de comportements : les outils du marketing

Avant de rentrer dans le vif du sujet, il est important de définir les concepts. Dans ce dossier, nous allons parler de surveillance comportementale et de GRC. 

La surveillance comportementale consiste à observer le comportement des personnes pour une finalité précise : des objectifs marketing par exemple (comportement du consommateur) ou une recherche de comportement à risque (surexposition sur des marchés pour des traders, vol d’informations dans les entreprises). Pour Arismore, par exemple, le marketing utilise des outils de datamining pour catégoriser des comportements en construisant des groupes, plus ou moins nombreux, de comportements « similaires », et du profiling. Il n’établit pas de jugement sur ces différents modèles de comportements, mais des groupes majoritaires peuvent se dégager. 

Il s’agit de vendre ces informations à des annonceurs ou de les utiliser directement si on est soi-même un annonceur pour améliorer les services / produits. Les informations comportementales du client sont des données personnelles (si on sait les relier à un identifiant). Leur stockage et finalité devraient être déclarés à la Cnil. S’il s’agit d’identifier des comportements à risque, la démarche consiste à détecter l’apparition d’un comportement jugé à risques. Il faut ensuite mettre en oeuvre les moyens de traiter le problème (sensibilisation, formation,...).

A titre d’exemple, les organismes de formation de pilotes identifient différents types de « comportements à risques » :

• Anti-autoritaire.
• Impulsivité (action à tout prix). 
• Invulnérabilité (rien ne peut m’arriver). 
• Macho (moi, je peux). 
• Résignation (à quoi bon ?).

Pour garantir la non-usurpation d’identité, on utilise la surveillance biométrique mais elle devient comportementale quand elle traite la voix, la vitesse de frappe au clavier ou l’heure/endroit de connexion par rapport au contexte habituel de connexion.

RSA, de son côté, ne parle pas de surveillance comportementale mais de GRC. Il n’existe pas de surveillance comportementale, il n’existe que des comportements à risque de la part des salariés. Cette approche, qui nous a été livrée dans la réponse au questionnaire, est sans nul doute trop succincte par rapport au sujet qui nous occupe.

La GRC (Governance, Risk & Compliance) est un terme qui décrit :

• Comment une entreprise définit les objectifs, les politiques et les procédures par lesquels elle est gouvernée. 
• Comment elle exploite les nouvelles opportunités en évitant ou limitant les effets négatifs.
• Comment elle démontre son adhésion aux lois, réglementations, politiques, obligations contractuelles et standards de son industrie.

Une plateforme de GRC comme RSA Archer eGRC permet de mettre en oeuvre une approche globale de gestion du risque et de la conformité à travers toutes les branches fonctionnelles (informatique, finance, juridique, opérations..). Elle sert de socle commun et unifie les politiques, les contrôles, les risques, les évaluations et les écarts, entre les divers départements. L’entreprise sort ainsi de la confusion inhérente à la multitude de tableaux Excel (encore souvent utilisés pour la gestion du risque) pour passer à un programme coordonné, rationalisé et cohérent. La solution s’interface avec toutes les solutions de gestion des informations et de sécurité existantes dans l’entreprise pour remonter l’information de risque ou de conformité ayant un véritable impact sur l’activité, sous forme facilement compréhensible (tableaux de bord, rapports, ..) et personnalisée aux dirigeants et responsables des lignes d’activité.