Category

Direction Générale

RGPD « 2.0 », l’histoire continue !

By | Banque/Assurance, Chimie, Conformité, Direction Exploitation, Direction Générale, Gestion de projets, Hospitalier, Industrie, Info Sec, IT, Logistique, Pharmaceutique, Production, Public/Institutions, Qualité, Sécurité de l'information, Transports Publics

RGPD / Comment une réglementation fondatrice s’est-elle muée en rupture culturelle ?

 

Pour beaucoup d’entre nous, 2018 restera comme une année charnière en matière de protection des données à caractère personnel.  Le battage médiatique fut tel qu’aujourd’hui nul n’ignore plus l’entrée en vigueur du désormais célèbre Règlement Général sur la Protection des Données (RGPD), un outil législatif européen qui a induit une double prise de conscience.

La double prise de conscience liée au RGPD

1. Les impacts organisationnels du RGPD : la prise de conscience par les organisations de l’ampleur insoupçonnée des contraintes et des sanctions liées au traitement des données de citoyens européens

La mise en application du RGPD, en mai 2018, constitua un événement majeur pour tous les acteurs du monde économique belge.  Mais pourquoi le RGPD, un règlement qui confirme en grande partie une législation déjà existante, a t’il eu un impact aussi important dans les organisations ?

La crainte des lourdes sanctions financières réservées aux contrevenants ne fut sans doute pas étrangère à la prise de conscience qui s’est rapidement installée autour du RGPD.  Le législateur avait bien fait les choses et les montants évoqués (jusqu’à 4% du chiffre d’affaires mondial) avaient de quoi capter l’attention des managers les plus distraits. Depuis de grands acteurs privés ont senti passer le souffle des premiers boulets (1) mais la perspective d’amendes exorbitantes a peu à peu cédé sa place dans l’inconscient collectif à un autre péril, bien plus dommageable….

(1) : C’est notamment le cas en France où la CNIL a sanctionné Google de plusieurs dizaines de millions d’euros, une somme importante mais qui en regard d’un CA annuel de 77 milliards de dollars reste bien dérisoire.

Quand la perte de réputation devient la véritable sanction…

Alors qu’entretemps les entreprises publiques (et leurs mandataires) se sont vues exonérées des sanctions administratives (…), les sociétés cotées en bourse ont compris l’impact potentiel gigantesque d’une utilisation abusive des données à caractère personnel sur le cours de leurs actions.  Ainsi, lors du scandale Cambridge Analytica, où Facebook fut accusé de revendre les données de ses utilisateurs, le réseau social fit le deuil de 60 milliards de dollars de capitalisation boursière et Mark Zuckerberg de 9 milliards de sa fortune personnelle.  Depuis lors, il ne se passe pas un mois sans qu’un sujet lié à un usage abusif de données personnelles ne se glisse à la une des journaux !

Mais les dommages collatéraux de ces mauvaises pratiques ne se limitent pas au seul cours de bourse.  Car si ces pratiques effraient les investisseurs, elles font également fuir clients, collaborateurs et partenaires en écornant durablement l’image de marque des délinquants.  Au final, entre les chutes boursières et les investissements dans des campagnes de reconquête de notoriété, l’addition est lourde pour les contrevenants !  Bon nombre d’organisations publiques ou privées, petites ou grandes, réalisent aujourd’hui que le risque d’atteinte à leur réputation est devenu réel et non-négligeable mais comprennent-elles toujours l’ampleur du mouvement qui s’est engagé ?

Quand la protection des données à caractère personnel devient un défi stratégique.

Ces scandales, procès et sanctions financières ne sont en effet que la partie émergée d’un iceberg qui s’enfonce plus profondément dans la conscience collective de notre société. La politique de protection des données personnelles mise en place par une organisation n’est plus une obligation légale mais un critère d’appréciation de ses valeurs, de son éthique et de sa probité ! Bientôt, elle constituera pour chacun d’entre nous un moyen d’estimer une entreprise avec laquelle nous établissons des relations et de poser des choix relatifs à notre consommation, tout comme nous le faisons aujourd’hui avec les critères environnementaux et sociétaux.

Menace ou opportunité stratégique ?

Dans le monde économique moderne, il est devenu impensable de mettre en œuvre de nouveaux services en ligne, publics ou privés, sans prendre en compte ce changement de paradigme essentiel. Un service de qualité passe donc aussi par la prise en compte de ces paramètres de protection des données dès les premières étapes de la conception. Nous sommes à l’aube d’une lame de fond qui permettra aux audacieux qui l’auront anticipée d’en tirer profit en se positionnant avantageusement et qui plongera les négligents dans les abîmes de la perte de crédibilité.

« Le RGPD constitue donc une chance unique,
pour chaque acteur économique, de réaffirmer ses valeurs,
de se différencier et de revenir à ses fondamentaux »

2. Les impacts culturels du RGPD : la prise de conscience par les individus de la valeur (financière, morale, …) de leurs données à caractère personnel

Excité par les média qui ont mis en lumière le RGPD, le citoyen lambda n’est plus un oiseau pour le chat. Il comprend que la majorité des services offerts gratuitement en ligne ont fait de ses données un business très lucratif. Et comme le dit l’adage : « si c’est gratuit, c’est que c’est vous le produit ! ».

Un changement fondamental des réflexes et des comportements du grand public

Cette prise de conscience induit dans le grand public une hyper vigilance qui confine peu à peu à la méfiance.  En ligne ou en live, le citoyen n’est plus aussi enclin à divulguer ses informations personnelles.  Aujourd’hui on réfléchit avant de s’inscrire à la newsletter d’un portail internet ou de noter son adresse au dos de la carte de fidélité d’un fleuriste, de peur de voir partir nos informations dans les limbes opaques d’un traitement des données que nous ne maîtrisons pas.  Certains redoutent même l’intensification de la surveillance systématique et la génération de revenus à leur insu.

Les convoitises dont font l’objet les données à caractère personnel doivent être balancées par les droits légitimes des personnes concernées.  C’est pour cette raison que fleurissent aujourd’hui des solutions différentes (Qwant, DuckDuckGo, …), n’hésitant pas à mettre en avant leur caractère protecteur des données personnelles et à en faire un véritable « argument de vente ».

Protéger les données sans tuer le commerce

Le RGPD conscientise le client sur ses droits mais il limite également l’arsenal marketing/commercial des entreprises.  Si chacun se réjouira de la diminution sensible du nombre de spams dans sa boîte mail, les directeurs marketing se voient quant à eux contraints dans leur catalogue d’actions.  A ce titre, on soulignera, non sans sourire, la différence fondamentale de vision entre européens (protection de la vie privée) et américains (protection du commerce et de l’esprit d’entreprise).  De quel coté de l’Atlantique que l’on se place, le débat est loin d’être manichéen et le législateur devra réguler dans la durée pour protéger le citoyen mais aussi pour ne pas (trop) entraver le commerce légitime.

 « Entretemps le RGPD donnera aux entreprises l’occasion
de se recentrer sur « l’intérêt légitime » de leurs démarches
et de revalider les fondements de leur prospection ».

Comment réussir la mutation de son organisation et transformer le RGPD en avantage compétitif de protection des données ?

Mielabelo est impliqué dans une multitude de projets liés à la protection des données à caractère personnel, dans le secteur public ou privé.  Cette position centrale lui permet d’observer les évolutions du marché et d’anticiper les opportunités et les menaces.

Les choses bougent !

Du comité de direction à la machine à café, la protection des données à caractère personnel se fraye un chemin dans toutes les strates et toutes les conversations.  Les structures les plus agiles ont identifié cet enjeu stratégique et l’intègre déjà dans leur organisation interne et leurs processus pendant que les autres acteurs se conscientisent peu à peu à cette nouvelle réalité.  Mais à l’exception de grandes organisations privées qui disposaient déjà d’une culture de la conformité et pour lesquelles le RGPD n’était qu’une obligation supplémentaire, peu de structures ont assimilé les changements fondamentaux dont le RGPD n’est que le sommet émergé.

4 types de comportements se distinguent au sein des organisations :

  1. LES « VICTIMES »
    Des acteurs en manque de compréhension de l’étendue et de la portée du RGPD, qui perçoivent la mise en conformité comme un fardeau.
  2. LES « PASSIFS »
    Des acteurs sans plan de marche clair et structuré qui n’entameront des démarches qu’en réaction à une éventuelle contravention.
  3. LES « PRAGMATIQUES »
    Des acteurs qui ont entamé un projet de mise en conformité, qui sont confrontés à des problèmes d’interprétation des lois et qui réalisent que le RGPD n’est pas qu’un problème réglementaire, mais aussi informatique, process, organisationnel, …
  4. LES « VISIONNAIRES »
    Des acteurs qui ont compris que la mise en conformité n’était pas qu’un projet mais bien un processus continu, qui nécessite des ressources à long-terme, un engagement concret du management et une profonde mutation de la culture interne. Ces visionnaires font « vivre » la protection des données à caractère personnel bien au-delà de la simple application de la réglementation.  En faisant du respect des données une valeur et une culture d’entreprise,  ils ont compris que ce défi stratégique consiste avant tout en une modification des comportements humains et à la mise en œuvre de réflexes simples, efficaces et transverses.

Devenir un « visionnaire »

Quand les « victimes » se focaliseront sur le ‘QUOI’ (registre d’activités de traitement et l’identification des bases légales, la nomination d’un Délégué à la Protection des Données, la formalisation des politiques et procédures nécessaires, les mesures de sécurité et de protection des données, …), les « visionnaires » s’attacheront au ‘COMMENT’:

Visionnaire dans la gestion des personnes

  • Choisir son DPO (Délégué à la Protection des Données) en fonction de quatre critères objectifs : son indépendance, sa formation, sa certification et sa motivation.
  • Impliquer le management : créer un Comité de Sécurité et de Protection des Données doté d’un véritable pouvoir de décision et rassemblant du personnel d’un niveau hiérarchique suffisant.

Visionnaire dans les procédures et processus

  • Favoriser l’amélioration continue en débutant par établir un véritable état des lieux et un référentiel permettant la mesure de la progression de l’organisation dans le temps.
  • Privilégier une approche collaborative et engageante : utiliser des taskforces multidisciplinaires qui impliquent tous les acteurs et créent le changement culturel.
  • Travailler en amont : intégrer la protection des données au sein des processus clé de l’organisation et notamment avant de procéder à la mise en œuvre des nouvelles activités de traitement.
  • Aligner les mesures de protection sur les risques réels en matière de sécurité de l’information (éviter la surprotection/le surinvestissement ou à l’inverse la sous-protection/le sous-investissement).
  • Documenter les choix posés pour justifier les interprétations du texte légal en cas de contrôle

Visionnaire dans les outils

  • Instaurer un programme pluriannuel structuré permettant à tous les acteurs impliqués de disposer des outils pour appliquer concrètement les bonnes pratiques dans leur travail quotidien.
  • Créer une démarche continue : disposer des outils nécessaires pour maintenir et mettre à jour la base documentaire de conformité sur la durée.

Pour ces raisons, bon nombre d’organisations envisagent aujourd’hui la mise en place d’un système de gestion ISO27001 comme soutien pérenne et durable de ce processus de mise en conformité.


Conclusions

Comme pour tout texte légal, bien des articles du RGPD doivent être correctement interprétés et chaque organisation peut, en documentant ses décisions, justifier les choix qu’elle fait en fonction de ses spécificités propres. Il n’y a donc pas une seule façon de mettre en œuvre la protection des données à caractère personnel, mais bien autant de solutions que d’organisations !

Pour réussir la mutation de son organisation et transformer le RGPD en avantage compétitif de protection des données, il est fondamental de prendre du recul et d’appréhender les choses sous l’angle le plus large possible. 

Les données à caractère personnel interviennent dans pratiquement tous les processus de l’organisation.  S’interroger sur la protection de ces données permet de remonter toute une série d’opportunités d’amélioration au niveau structurel.  Plus complexe qu’une simple ‘checklist’ dont les cases sont à cocher, cette mise en conformité ‘2.0’ s’avère :

  • Un chemin plus long car il s’agit d’un processus continu, gérant la problématique de conformité sur la durée et non un projet avec un début et une fin.
  • Un chemin plus large car les implications du RGPD touchent TOUS les services (IT, RH, …), impliquent de nombreux acteurs (juristes, informaticiens, sécurité de l’information, gestion des risques, ressources humaines, achats, …) et ne s’arrêtent pas aux frontières de l’Europe.
  • Un chemin plus profond car les réflexes attendus doivent s’intégrer dans une mutation forte de la culture interne.
  • Un chemin plus radieux car bien au-delà de son image coercitive, le RGPD constitue pour chaque acteur économique une occasion unique de se poser les bonnes questions, de revenir à ses fondamentaux et d’induire les changements qui lui permettront de mieux (ré)affirmer sa différence compétitive.
Mathieu Briol
Practice Manager InfoSec

Le CHR Liège pourrait devenir le premier hôpital francophone à obtenir la certification ISO 27001

By | Alignement, Conformité, Direction Générale, Gestion de projets, Gouvernance, Hospitalier, Info Sec, IT, Performance, Qualité, Quartiers Opératoires, Sécurité de l'information | No Comments

Contexte

Le CHR Liège, une ville dans la ville
Le CHR Liège est des acteurs majeurs de la santé en Province de Liège mais aussi un de ses principaux employeurs avec quelques 3.530 collaborateurs et plus de 490 médecins.  Chaque année, il accueille 600.000 patients grâce à ses 897 lits agréés et ses 140.000m2 d’installations réparties sur 3 sites (Citadelle, Sainte-Rosalie, Château Rouge).

Un SMART hôpital dans une SMART city
Depuis plusieurs années, le CHR Citadelle poursuit une politique d’amélioration et d‘excellence de ses services et mène, entre autres, plusieurs projets au niveau de :

  • La qualité des soins
    Démarche d’obtention de la prestigieuse accréditation JCI.
    NB. La Joint Commission International- JCI est une organisation américaine réputée qui fixe un grand nombre de normes internationales en matière de qualité des soins et de sécurité du patient et certifie les plus grands hôpitaux.
  • La qualité et protection de l’information
    • Mise en conformité RGPD/GPDR : protection des données à caractère personnel
    • Mise en conformité par rapport à la directive européenne NIS (cybersécurité des infrastructures critiques).
    • Certification ISO 27001 : sécurité des systèmes informatiques

Solutions.

Pour quelles raisons Mielabelo a-t-il remporté l’appel d’offres qui pourrait faire du CHR Liège le premier hôpital francophone à disposer de la certification ISO 27001 ?

Réaliser une mission de cette envergure est un premier challenge, la réussir en est un autre.
Ce succès repose tout autant sur la qualité́ des experts en place que sur la capacité de l’organisation à anticiper et à accompagner le changement.  Grâce à sa connaissance du référentiel ISO 27001, Mielabelo accompagne ainsi le CHR Liège dans sa gestion du changement et lui permet de maximiser la contribution du projet à ses objectifs stratégiques grâce à 5 leviers :

  1. Un véritable accompagnement opérationnel
    Une flexibilité d’accompagnement sur le terrain qui suivra l’hôpital et ses équipes pas à pas jusqu’à l’obtention de la certification en décembre 2019
  2. Des méthodes agiles
    Mielabelo propose un référentiel de mise en place ISO 27001 qui intègre la maturité du client et se déploie en fonction de ses ressources réelles et non théoriques.
  3. Une connaissance pratique et pragmatique du secteur de la santé
    Engagé depuis de nombreuses années dans le secteur de la santé et de la sécurité de l’information, Mielabelo connaît les écueils de ce type de mission ainsi que les actions concrètes à mettre en œuvre pour atteindre les objectifs et tenir les délais.
  4. Un programme de formations internes
    Au travers de son centre de formation Campus Mielabelo, Mielabelo a la capacité interne de former les collaborateurs du CHR et de leur apporter les certifications PECB ISO 27001/5 nécessaires.
  5. Une capacité à gérer le changement culturel
    Souvent sous-estimée, l’évolution de la culture d’entreprise joue un rôle prépondérant dans la réussite des projets stratégiques. Pour y parvenir, Mielabelo assure l’implication des collaborateurs au travers de campagnes de sensibilisation aux enjeux liés à la sécurité de l’information

Résultats

En accompagnant de manière opérationnelle la certification ISO 27001 du CHR Liège, Mielabelo contribue à la transformation globale vers une « médecine 2.0 » qui mise sur les technologies du futur pour mieux soigner ses patients tout en protégeant leurs données.

Depuis le démarrage de la mission ISO27001, le CHR Liège a déjà obtenu une reconnaissance de la qualité du travail sous forme de récompenses.

Au concours « PUBLICA AWARDS 2018 » organisé par la société EBP récompensant les meilleurs projets publics de l’année, le CHR Liège a obtenu deux récompenses qui sont publiées sur le site du « PUBLICA AWARD 2018 »:

  • Publica Awards « Sécurité » – médaille de Bronze
    ISO27001 au CHR Liège – Centre Hospitalier Régional de la Citadelle
  • Publica Awards « Bonne Gouvernance » – médaille de Bronze
    ISO27001 au CHR Liège – CHR Liège

CAMPUS MIELABELO unique partenaire PECB Platinium en Belgique

By | Banque/Assurance, Chimie, Conformité, Direction commerciale, Direction Exploitation, Direction Générale, Gestion de projets, Hospitalier, Industrie, Info Sec, IT, Logistique, Pharmaceutique, Production, Public/Institutions, Qualité, Quartiers Opératoires, Sécurité de l'information, Transports Publics

De plus en plus d’experts du secteur connaissent aujourd’hui PECB (Professional Evaluation and Certification Board – www.pecb.com).

En une dizaine d’années, cet organisme mondial est en effet devenu quasi- incontournable en matière de formation et de certification des personnes pour un large éventail de normes internationales (ex. ISO 9001, ISO 14001, ISO/IEC 20000, ISO 22301,ISO/IEC 27001, ISO/IEC 27005, OHSAS 18001, ISO 22000, ISO 26000 et ISO 28000).  Internationalement reconnu, PECB a gagné une solide réputation d’intégrité, de respect des valeurs et des meilleures pratiques en fournissant cette assurance sur base d’exigences de compétences rigoureuses et internationalement reconnues.

PECB offre une expertise et des certifications dans les domaines comme la sécurité de l’information ou l’IT mais aussi en Business Continuity, Service Management, Quality Management Systems, Risk & Management, Health, Safety et Environnement.

 

Campus Mielabelo, UNIQUE PARTENAIRE PECB PLATINIUM EN BELGIQUE ! 

Depuis sa création, Campus Mielabelo est un partenaire actif de PECB, dispensant de nombreuses formations certifiantes du groupe d’origine canadienne à travers le pays. Aujourd’hui il voit ses efforts récompensés et reçoit la distinction suprême en devenant le seul partenaire Platinium du PECB en Belgique.

 

« Depuis de nombreuses années, nous sentions une demande et un besoin grandissants en termes de formation, c’est pourquoi nous avons créé Campus Mielabelo début 2013.  Aujourd’hui les évolutions culturelles, technologiques ou réglementaires des marchés accélèrent ces besoins.  Je n’en voudrais pour preuve que le boom des certifications autour du RGPD (Règlement général de protection des données) auxquelles nous avons à faire face depuis près d’un an.  Que ce soit en IT ou dans d’autres domaines, la plupart de nos clients et de nos experts internes profitent de formations régulières pour maintenir leur qualité de travail dans un monde économique en constante mutation. Avec PECB nous disposons d’une large palette de formations mais surtout de certifications internationalement reconnues ». Mathieu BRIOL, directeur de Campus Mielabelo.

 

De nouvelles solutions « tout-en-un » en RGPD ou ISO27001

Les feedbacks des formations dispensées entre les deux partenaires permettent une amélioration continue des cours PECB et un contenu sans cesse plus adapté aux besoins nationaux, comme par exemple le RGPD.

L’extension du partenariat avec PECB permet en effet aujourd’hui à Mielabelo d’offrir des packages mêlant Conseil/Accompagnement/Formations dans le cadre de projets de mise en conformité RGPD ou ISO27001 et de répondre ainsi à la demande croissante du marché avec un produit simple et circonscrit.

Cinq raisons de lancer un projet de certification ISO27001

By | Alignement, Banque/Assurance, Chimie, Conformité, Direction Générale, Hospitalier, Industrie, Info Sec, IT, Pharmaceutique, Public/Institutions, Sécurité de l'information, Transports Publics | No Comments

Contexte.

La norme ISO27001 s’est imposée depuis plusieurs années comme LA référence en matière de sécurité de l’information. Cette norme, ainsi que les différents documents qui l’accompagnent (ISO27002, ISO27005, etc.), permet de structurer les efforts en matière de sécurité de l’information, en instaurant la primauté de la gestion de risques dans la réflexion liée à la sélection de mesures de sécurité.

Quels sont les avantages concrets de la mise en œuvre d’un système de management de la sécurité de l’information (SMSI) ‘estampillé’ 27001 ?

  1. Se différencier et créer un avantage compétitif
    Dans le contexte d’un marché où peu de concurrents ont fait l’effort d’investir dans ce type de certification, le précieux sésame peut rapidement se transformer en une arme commerciale redoutable. Bien utilisé, l’argument aidera à marquer la différence avec les concurrents.
  2. Gérer ses risques de manière systématique et inspirer la confiance chez ses partenaires
    L’obtention d’une certification peut constituer un signal d’engagement vers les différentes parties prenantes. La certification ISO 27001 d’une organisation délivre un message fort en direction de ses partenaires, qu’ils soient clients, employés, citoyens ou fournisseurs et contribue ainsi à créer une relation de confiance. Elle démontre :

    • que l’organisation a mis en place des processus efficaces de gestion de la sécurité de l’information
    • que la direction considère la sécurité de l’information comme une thématique importante à laquelle des moyens humains et financiers sont alloués.
  1. Répondre à un besoin ou une exigence de vos clients
    De nos jours, la sécurité de l’information et la protection des données à caractère personnel est devenue un sujet d’actualité. Clients et partenaires peuvent dès lors raisonnablement s’inquiéter du traitement réservé aux informations confiées à leurs prestataires et même, les obliger à adapter leurs procédures. La certification ISO27001 pourrait ainsi se généraliser dans le panel des exigences des acheteurs publics ou privés.
  1. Réduire les coûts de gestion de la sécurité
    La norme ISO27001 instaure le rôle central de la gestion des risques dans l’exercice de sélection des mesures de sécurité. Gérer ses risques de sécurité, c’est tout d’abord les identifier, les évaluer de manière répétable et répétée, décider du traitement à y apporter et sélectionner des mesures de sécurité en adéquation avec l’ampleur des risques identifiés. De par sa structure et les réflexes qu’elle promeut, la norme ISO27001 aide à sécuriser de manière raisonnable et raisonnée les informations et à ne pas surinvestir inutilement dans la protection des données.
  1. Assurer la conformité
    Règlement Général de Protection des Données, normes d’industrie telles que PCI-DSS ou SOX, lois et règlementations (inter)nationales en vigueur… autant d’éléments à prendre en compte pour lesquels une mise en œuvre ciblée d’un SMSI 27001 pourrait permettre d’obtenir une conformité et d’éviter toute amende ou sanction éventuelle.

 

Solutions

Sur le terrain, les consultants de Mielabelo ont notamment la charge de :

  • Implémentation et maintien d’un système de management de la sécurité de l’information ISO 27001
  • Analyse de risque (ISO 27005), analyse d’impact sur la vie privée
  • Plan de traitement des risques et mise en œuvre de mesures de sécurité (ISO 27002)
  • Protection des données à caractère personnel et gestion de la conformité
  • Sensibilisation, formation et sensibilisation vers les différents acteurs impliqués

L’accréditation dans le secteur hospitalier

By | Alignement, Conformité, Direction commerciale, Direction Exploitation, Direction Générale, Gestion de projets, Gouvernance, Hospitalier, IT, Logistique, Production, Qualité, Qualité/Validation, Quartiers Opératoires | No Comments

Contexte.

De nombreux hôpitaux à Bruxelles et en Wallonie se lancent dans un processus d’accréditation.

Besoin de certifier leur démarche d’amélioration ? De renforcer leur trajet Qualité, épée de Damoclès dans un contexte changeant ?  Effet de mode ? Mimétisme avec nos voisins français ? …  Les raisons de ce changement sont multiples ! C’est en tout cas une démarche qui fait actuellement son chemin dans le secteur hospitalier.

Mielabelo et l’UCL Mons se sont associés pour tirer quelques enseignements des premières mises en oeuvre de ces trajets d’accréditation.

Le questionnaire a été testé avec des coordinateurs qualité (généralement en charge de l’accréditation).  Une quarantaine d’hôpitaux ont été sollicités pour participer au sondage, en Wallonie et à Bruxelles.

Quels sont les principaux écueils des démarches d’accréditation actuelles ?

Gestion des priorités.
Pour 40% des répondants, l’accréditation en soi n’est pas réellement une priorité, même si la qualité des soins reste un objectif fondamental des hôpitaux. En effet, les ressources des hôpitaux sont parois absorbées par des projets d’infrastructure qui prennent beaucoup d’énergie, des Rapprochements, fusions, synergies qui induisent des perturbations organisationnelles importantes, etc.

Un pilotage top-down
Près de ¾ des initiatives proviennent d’un organe de Direction ou de décision à haut niveau; la Direction Générale, en plus d’y voir une contribution à sa démarche qualité, y perçoit un avantage intrinsèque par rapport à des attentes, à venir du SPF.  Un élément très favorable dans ce contexte est d’obtenir un soutien important au sein de l’Institution et, de ce fait, associer des projets connexes (ex: gestion électronique des documents) à la démarche.

L’accréditation des hôpitaux relève de la volonté d’un Comité de Direction (au sens large) qui anticipe un changement réglementaire.  Elle est semblable aux démarches qualité (type ISO 9001) qui ont débuté il y a 30 ans dans l’industrie.  Il s’agit de mettre en place une « Culture Qualité », supportée par un Système de Gestion de la Qualité (QMS).  Les bonnes pratiques industrielles – et elles sont nombreuses – pourraient donc être largement mises à profit dans ce contexte.

L’accréditation apparaît donc principalement comme une démarche Top-Down.

Un déficit d’appropriation sur le terrain
L’accréditation est certes bénéfique à l’Institution et aux patients mais le personnel de terrain ne semble pas en retirer un bénéfice direct.  Le risque existe donc que la démarche s’essouffle après l’obtention du précieux sésame.

La mise en œuvre demande beaucoup d’énergie et de créativité aux coordinateurs qualité qui n’ont pas toujours l’expérience et l’accès à un référentiel de bonnes pratiques de mise en œuvre alors que ces approches existent dans d’autres secteurs.

 

Solution

La démarche d’accréditation devra donc, au-delà de la formalisation de standards, produire des améliorations opérationnelles pragmatiques et palpables pour le personnel et mener à la mise en œuvre d’un écosystème de gestion de la qualité impliquant le terrain, au-delà même de la coordination qualité.  Pour la pérennisation de l’accréditation, la mise en œuvre d’un Change Management opérationnel est une étable incontournable.

Dans ce type de démarche d’accréditation, il est dès lors essentiel:

  • d’impliquer le Comité de Direction afin de rendre visible le projet et de le soutenir pendant toute sa durée,
  • d’investir dans un programme de sensibilisation et d’information des différents types de personnel (médical, paramédical, administratif, etc.), idéalement au travers d’une plateforme centrale de type portail,
  • de mettre en oeuvre une structure de relais qualité afin d’intégrer la démarche au coeur même des services de l’hôpital mais aussi de pérenniser la démarche d’amélioration,
  • de se doter des outils requis afin de gérer facilement la documentation produite et de la rendre facilement traçable et auditable,
  • de s’inspirer des bonnes pratiques de gestion de systèmes Qualité en recourant à du soutien externe spécialisé, le cas échéant. »

La gestion temps réel des projets d’amélioration par l’Obeya (Lean Management)

By | Banque/Assurance, Chimie, Direction commerciale, Direction Exploitation, Direction Générale, Gestion de projets, Gouvernance, Hospitalier, Industrie, IT, Logistique, Opex, Performance, Pharmaceutique, Production, Public/Institutions, Qualité, Transports Publics | No Comments

Contexte.

Le pilotage des projets, quels qu’ils soient, donne souvent lieu à une structure assez statique se limitant à des réunions de revue d’avancement où les participants ne sont pas toujours tous pleinement concernés et impliqués.  Généralement tenues a posteriori, ces réunions ne disposent que de peu de possibilités de réaction rapide.

 

Solution

Pour suivre efficacement un projet en temps réel, il convient de rassembler les informations du projet et les intervenants dans un même lieu afin de pouvoir prendre rapidement et régulièrement des actions de remédiation. Baptisée « salle Obeya », cet endroit s’inscrit comme un outil classique des approches Lean.   Cette salle de pilotage est une déclinaison intégrée du « visual management » qui a pour objectif d’assurer l’alignement des activités de projet avec les attentes et les besoins des Clients.

Quels sont les rôles d’une salle Obeya ?

  • Créer un espace partagé (avec les acteurs du terrain) où différents indicateurs pertinents sont rassemblés. Elle doit disposer les éléments matériels comme des tableaux fixes ou amovibles, des tableaux papier, …
  • Intégrer le plus clairement possible ce que le Client veut, pas ce qu’on peut lui fournir mais aussi ce dont le Client se plaint et ce qu’il craint.
  • Donner un état de l’attente des objectifs (on y arrivera ou pas?) en quelques indicateurs et tableaux.
  • Permettre, en plus d’un affichage des résultats, une analyse en temps réel des problèmes.

Truffée d’indicateurs du déploiement de la solution en cours et des problèmes rencontrés, la salle Obeya sera donc également un espace de recherche de solutions et de résolutions immédiates.

Ces éléments sont agencés selon trois grandes zones :

  • La zone donnant la cible : on y retrouve les objectifs du projet (stratégiques, financiers, commerciaux, organisationnels, …) qui sont souvent décrits dans un PID ou un «project charter ». On y retrouve aussi la Voix du Client (VoC) càd les attentes spécifiques, quantifiées et précises (ex : Nous devons pouvoir créer un contrat d’assurance en moins de 40 minutes).  De la même manière, on y rassemble des dessins ou des écrans de la solution à implémenter, de manière à garder en tête ce que le Client a demandé de recevoir ;
  • La zone « santé du projet » : on va y présenter des plannings macro (un gantt chart) mais aussi le planning des équipes (qui fait quoi dans les prochains jours). On y place aussi les indicateurs du projet.  Ces derniers doivent être très spécifiques et donner une vision univoque sur la progression du projet ;
  • La zone des problèmes : les projets connaissent généralement des soucis. La puissance de la salle Obeya est justement d’adresser les problèmes en temps réel par les outils du Lean management (analyse des causes, 5 Pourquois, …) et de proposer des remèdes rapides et pragmatiques (kaizen) avant que les écueils ne s’accumulent.

La réalisation pratique ne nécessite pas toujours un local dédié ; des agencements de panneaux peuvent également être prévus.

L’Obeya peut également être supportée de manière numérique par des applications mobiles gratuites, permettant une modification simple et dynamique du statut des activités de projet ou autres.

L’intérêt de l’approche repose sur :

  • Une mobilisation et une participation des intervenants impliqués directement dans la problématique discutée,
  • Un moment court (15 minutes) de réunion, à fréquence rapide (quotidienne), pour adresser les problèmes du moment,
  • Une discipline d’équipe qui crée un rituel de concertation et d’échange, facilitant la transformation.

Accompagnement du Groupe TEC dans l’introduction de la Billettique Mobib

By | Alignement, Direction commerciale, Direction Exploitation, Direction Générale, Gouvernance, Transports Publics | No Comments

Contexte

Une révision complète des activités et des bénéfices stratégiques du projet à garantir.

En 2015, le Groupe TEC a lancé la mise en place de sa billettique sans contact Mobib, basée sur un support unique permettant d’accueillir à terme les titres de transport  des quatre opérateurs de transports publics  belges.
Cette nouvelle billettique transformait de manière profonde les habitudes pour les consommateurs (facilité d’usage et d’achat mais aussi obligation de validation obligatoire à chaque montée) mais aussi les activités du groupe :

  • Nouvelles façons de vendre avec 170 automates de vente, l’e-Shop pour les rechargements,
    ou les 1.500 Points TEC pour l’achat des tickets sans contact jetables
  • Nouveaux terminaux de vente et nouvelle orientation plus axée sur le service d’accueil,
    d’information et de service après-vente au niveau des Espaces TEC
  • Nouvelles façons de travailler pour les chauffeurs, les contrôleurs et les équipes
    d’exploitation

 

Solution

Pour faire face à des difficultés d’appréhension de ces enjeux terrain, le Groupe TEC a fait appel à Mielabelo.
Celui-ci a pris en charge la description et la documentation des toutes les activités impactées afin de répondre aux besoins de compréhension et de formation des équipes tout en gardant en ligne de mire les objectifs et exigences du projet (obligation de validation, simplification pour l’usager, respects des règles de confidentialité dans le traitement des données, contrat avec le fournisseur de la solution billettique, etc.)

 

Résultats

Dans ce cadre, l’intervention de Mielabelo a permis de produire les résultats suivants:

  • Fourniture de l’ensemble des procédures & instructions de travail nécessaire pour les équipes concernées.
  • Construction du référentiel « activités – rôles & responsabilités – fonctions- savoir- faire » en lien avec les initiatives RH, pour préciser les besoins de compétences et les ranges.
  • Support à l’appropriation de la démarche générale et des concepts d’appréhension des activités et processus (coaching des responsables d’activités).

L’ensemble a permis d’alimenter la conduite du changement et de mettre à niveau l’ensemble des équipes impactées pour faire face à l’échéance de bascule dans le nouveau mode de fonctionnement.

Audit des activités de support du Parlement Bruxellois

By | Alignement, Direction Générale, Gouvernance, Public/Institutions | No Comments

Contexte

Le Parlement Bruxellois est à la fois l’entité Politique et l’ensemble des bâtiments permettant le bon
fonctionnement des institutions qui y siègent. La gestion des bâtiments et des moyens et services associés à destination des parlementaires et du bureau, est donc une activité particulièrement sensible, qui relèvent de la responsabilité des services
du Greffe, et plus particulièrement de la Direction Infrastructure & logistique et du Service Informatique.

 

Solution

Dans ce contexte, de nombreux dysfonctionnements observés, tant en termes de qualité des services délivrés que de fonctionnement internes des équipes concernés, constituaient une menace à la fois pour l’image du Greffe et pour le bien être des collaborateurs. Face à ces problèmes importants et pour pouvoir réagir en connaissance de cause, le Greffe a fait appel à Mielabelo, qui est donc intervenu en mars 2015 pour réaliser un audit.

Celui-ci était basé non pas sur la recherche de responsabilités individuelles et sur l’application d’un modèle managérial standardisé, mais sur la recherche participative des causes racines de dysfonctionnement, de leur interaction et de leur impact sur les activités, et des axes d’amélioration issues des bonnes pratiques.

L’objectif était de clairement identifier comment modifier l’organisation et les pratiques managériales afin de stabiliser le management et d’optimiser les interactions au niveau des services rendus conjointement par les différentes équipes, aussi bien de la Direction I&L que du Service Informatique.

Pour ce faire, Mielabelo a notamment déployé une démarche d’analyse multi dimensionnelle de cause à effet dite Ishikawa, issue au départ du monde de la gestion de la qualité industrielle et adaptée par Mielabelo au contexte des activités de service et des administrations.

 

Résultats

Le Greffe a disposé d’un rapport de synthèse structuré, rapport défendu par la suite par les
consultants Mielabelo devant le Bureau du Parlement en session, pour explication des orientations
préconisées.

 

Application Continuity Assessment @ BNP Paribas Fortis

By | Banque/Assurance, Continuité/Gestion des risques, Direction Générale, Info Sec, IT | No Comments

Contexte

Les banques domestiques d’importance systémique sont les institutions dont la cessation des activités (suite à une faillite ou désastre technique par exemple) pourrait mettre en danger l’économie du pays tout entier.

Identifiés par la Banque Nationale de Belgique, ces huit* EIS belges (établissements d’importance systémique) font l’objet d’une surveillance étroite et se doivent d’observer des règles strictes imposées par les organes régulateurs. Parmi ces obligations, il leur est notamment demandé d’augmenter la maturité de leur système de management de la continuité des activités.  Ceci implique non seulement les processus métiers critiques, mais également les actifs informatiques soutenant ceux-ci.

BNP Paribas Fortis a fait appel à Mielabelo pour l’accompagner dans le respect de ses obligations de résilience imposées par la BNB.

* BNP Paribas Fortis, KBC Group, ING Belgique, Belfius Banque, Euroclear, The Bank of New York Mellon, Axa Bank Europe, et Argenta.

 

Solution

Dans le cadre d’une mission continuité informatique, Mielabelo met notamment en œuvre un « application continuity assessment » (évaluation de la continuité des applications). En pratique, il s’agit d’un questionnaire, servant de support à une réunion avec les différents responsables de chaque application (représentants métier, analystes, développeurs, support deuxième et troisième ligne, architectes, continuité métier et continuité IT).

Les buts sont les suivants :

  • Remise en question du BRTO : le BRTO est le temps de recouvrement minimal demandé par le métier, suite à un désastre ou une interruption de fonctionnement de l’application. Cependant, le métier ne se rend pas toujours compte du coût d’implémentation et de maintien d’une solution de continuité IT.
  • Etablissement du RTO : Le RTO est le temps de recouvrement que l’IT s’engage à respecter. Celui-ci peut être très différent du BRTO. En effet, l’IT sait qu’avant de restaurer la dite application, il y a toute une série d’actifs IT à restaurer, tels que le réseau, le mainframe, les bases de données …
  • Accord IT-métier sur la continuité : après échange d’information de part et d’autre (exigences métiers, prérequis IT…), les deux parties se mettent d’accord sur un RTO réaliste.
  • Analyse de la solution de continuité : Au vu du RTO décidé de commun accord entre le métier et l’IT, la solution de continuité implémentée est analysée. Celle-ci peut être soit surdimensionnée par rapport au besoin, et pourra donc être remplacée par une solution moins coûteuse. Si la solution est sous-dimensionnée, un plan de mise à niveau sera mis au point.
  • Revue à 360° de la documentation : Une revue complète de toute la documentation sera également faite, des différents schémas architecturaux à l’inventaire des actifs, les plans de continuité, les recommandations du groupe en la matière, les contacts critiques…

 

Résultats

Cette évaluation, réalisée chaque année a pour objectif :

  • D’avoir une vision complète et précise sur les actifs informationnels critiques ainsi que leur solution de continuité ;
  • De rétrograder la criticité d’un certain nombre d’applications, et ainsi faire baisser les coûts de maintenance de leur solution de continuité ;
  • De s’assurer que chaque application dispose bien d’une solution de continuité adaptée

 

Sur le terrain, les consultants de Mielabelo ont notamment la charge de :

  • Implémentation et maintien d’un système de management de la continuité conforme à la norme ISO 22301
  • Analyse d’impact métier
  • Planification et mise en œuvre de plans de gestion de crise, plans de continuité des activités et plans de recouvrement suite à un désastre
  • Coordination de migration de datacentres
  • Formation des différents acteurs impliqués