Les certifications qui étaient autrefois mises à jour une fois tous les cinq ans doivent désormais évoluer de manière quasi continue à l’ère de l’IA. Erik Prusch, PDG de l’ISACA, explique comment l’organisme d’audit et de sécurité se réinvente, et pourquoi il pense que l’humain y devient plus important, et non superflu.
La dynamique qui préoccupe le plus Erik Prusch en tant que PDG de l’ISACA sur le plan humain est la vitesse. Alors que les certifications étaient auparavant actualisées tous les cinq ans, ce rythme est aujourd’hui intenable. Les mises à jour doivent être plus fréquentes pour que les professionnels restent qualifiés pour le travail qu’ils accomplissent.
Cela a des conséquences sur l’ensemble du modèle d’apprentissage. Il ne suffit plus d’étudier pendant quatre ou cinq mois, de réussir un examen et de se déclarer prêt, à l’exception de quelques formations continues. De nouvelles disciplines et de nouvelles formes d’apprentissage doivent s’y ajouter : un webinaire d’une heure, un court cours de remise à niveau, d’autres moyens de transférer les connaissances au rythme auquel les membres peuvent les absorber. Selon M. Prusch, l’ancrage lui-même ne change pas.
« Les certifications restent actuellement le seul moyen de prouver de manière tangible qu’une personne possède les connaissances requises. Ce qui change, c’est la méthode et le temps nécessaire. »
Trois nouvelles certifications en IA
Concrètement, cela se traduit par trois nouvelles certifications en IA, rattachées aux domaines que l’organisation dessert depuis des décennies. Il s’agit de l’AAIA pour les professionnels de l’audit, de l’AAISM pour la gestion de la sécurité et de l’AAIR pour la gestion des risques.
M. Prusch souligne qu’elles constituent un complément et non un remplacement des titres existants. Elles s’appuient sur des valeurs établies telles que CISA, CISM et CISSP, de sorte que ceux qui les possèdent déjà peuvent progresser avec la couche IA.
Le raisonnement sous-jacent est que le seuil d’accès doit rester bas. Plus l’investissement nécessaire pour rendre quelqu’un compétent est faible, plus le travail est, d’une certaine manière, démocratisé. « Davantage de personnes peuvent alors participer, à un moment où la pénurie de talents dans le secteur reste criante. »
Le cadre comme référence
Pour M. Prusch, c’est le cadre sous-jacent qui maintient la cohésion de tout ce mouvement. « Sans un cadre de base, personne ne pourrait naviguer et vous ne sauriez jamais où se trouve le nord. Le cadre indique les différents domaines que vous devez valider et leur permet d’approfondir leurs connaissances en toute confiance, sachant que l’approche a fait ses preuves au fil des ans. Les fondamentaux ne changent pas si vite, c’est leur contenu qui évolue. »
Des centaines de milliers d’yeux qui, dans le monde entier et en temps réel, signalent les changements dans le paysage des menaces.
Erik Prusch, PDG d’ISACA
Ce qui distingue l’ISACA, selon lui, c’est l’échelle à laquelle elle conçoit ses produits. L’organisation compte plus de 195 000 membres répartis dans 190 pays, et ces membres contribuent bénévolement à l’élaboration des produits. « Des centaines de milliers d’yeux qui, dans le monde entier et en temps réel, signalent les changements dans le paysage des menaces. Ce matériel est traité dans les produits et partagé en retour. »
L’IA comme outil et comme objet d’audit
Une nuance importante dans son discours est que l’IA n’est pas seulement l’objet du contrôle, mais aussi l’outil. Auparavant, la pratique de l’audit fonctionnait par sondages ; grâce à la technologie, ces sondages peuvent désormais être plus vastes, plus fréquents et plus complets dans ce qu’ils testent. L’utilisation de l’IA dans sa propre pratique est, pour M. Prusch, tout aussi importante que l’audit de l’IA elle-même.
C’est là sa réponse immédiate à la crainte que l’IA ne rende l’auditeur superflu. « Les métiers vont changer », reconnaît-il, « car les professionnels vont intégrer l’IA dans leur travail quotidien. L’impact sera justement plus grand, car sa portée sera plus vaste. » C’est, selon ses termes, une époque passionnante pour exercer ce métier.
Des talents plus larges, des mentalités différentes
La démocratisation a également des conséquences sur les personnes qui entrent dans le secteur. L’auditeur arrivait autrefois par une voie assez tracée. Aujourd’hui, celle-ci doit s’élargir, car les compétences requises doivent pouvoir couvrir toutes sortes de domaines qui ne se rejoignaient pas auparavant. Il n’est plus nécessaire d’avoir un profil purement mathématique ou informatique.
M. Prusch y voit une évolution passionnante. « Des mentalités différentes apportent des solutions différentes et des présupposés différents sur ce qui doit être fait. Je m’attends à ce que l’organisation ajuste également sa propre réflexion en conséquence. Le recrutement pour la profession s’élargit, et c’est selon moi une opportunité plutôt qu’une perte. »
Cercle vicieux ou réel progrès ?
Une remarque critique s’impose ici. La recertification permanente est logique compte tenu du rythme de la technologie, mais c’est aussi précisément le modèle économique d’un organisme de certification. Les professionnels qui affichent, selon leurs propres termes, « cinq ou sept titres de compétences » investissent déjà beaucoup de temps pour rester « à la pointe ». La question est légitime de savoir si un modèle de mises à jour continues est viable à long terme pour le professionnel individuel, ou s’il s’agit d’un engrenage avec un risque d’inflation des certifications.
M. Prusch : « Le métier ne devient pas plus simple, mais plus complexe. En trente ans, l’audit n’est jamais devenu plus facile, seulement plus compliqué. La formation continue n’est pas une charge administrative, mais le seul moyen de maintenir le travail réalisable. » L’entretien n’a pas permis de savoir si cela protège également le professionnel individuel de l’épuisement.
Le métier ne devient pas plus simple, mais plus complexe. En trente ans, l’audit n’est jamais devenu plus facile, seulement plus compliqué.
Erik Prusch, PDG d’ISACA
De la calculatrice à la prochaine renaissance
M. Prusch conclut par une anecdote qui illustre bien le chemin parcouru. Lorsqu’il a commencé son premier emploi d’audit en 1988, on lui a confié une calculatrice avec un rouleau de papier. « Votre compétence était mesurée à votre capacité à taper sans regarder les touches. Une erreur signifiait qu’il fallait recommencer, car il n’y avait pas de touche d’effacement. »
« De là, en passant par Lotus Notes et Excel, jusqu’à l’IA qui anticipe ce qui doit être fait. Sans parler du quantique comme possible prochaine étape. »
Le véritable test de l’ère de l’IA, vu sous cet angle, n’est pas de savoir si la technologie peut suivre le rythme. C’est de savoir si la profession peut suivre la cadence sans épuiser le professionnel ou éroder la valeur d’une certification. M. Prusch parie sur la première option. Les années à venir diront si cet optimisme est justifié.