Sujet 6.4 — Gouvernance et assurance

La gouvernance existe pour vous aider à prendre de bonnes décisions rapides et sûres et pour prouver — à vous-même, votre conseil d'administration, et le public — qu'un service numérique est géré de manière responsable, donc traitez-la comme un facilitateur de la livraison plutôt qu'une taxe sur celle-ci.

Pourquoi c'est important dans la santé et l'action sociale#

Dans la plupart des secteurs, une gouvernance faible coûte de l'argent et de la réputation. Dans la santé et l'action sociale, elle peut coûter des vies, ancrer l'inéquité, et éroder la confiance publique dont dépend tout le système. Un changement mal gouverné à un système clinique peut propager une erreur de dosage à des milliers de patients avant que quiconque ne le remarque ; un flux de données non gouverné peut violer la confidentialité des personnes les plus vulnérables que vous servez ; une mise en production non assurée peut verrouiller un service qui exclut discrètement ceux qui ont le plus besoin de soins. Les enjeux expliquent pourquoi « comment vous travaillez » est une question de sécurité clinique, d'équité, et de confiance, pas simplement d'efficacité.

Dans le même temps, la gouvernance dans la santé et l'action sociale a une réputation bien méritée d'être lente, rituelle, et déconnectée de la livraison. Les équipes s'assoient à travers des réunions de conseil d'administration qui tamponnent des décisions déjà prises, remplissent des modèles que personne ne lit, et regardent les risques ambres devenir verts la semaine avant une revue pour échouer spectaculairement ensuite. C'est le paradoxe que vous devez résoudre. La réponse n'est pas moins de gouvernance ni plus ; c'est une gouvernance proportionnée qui s'échelonne avec le risque et la valeur, donne à des personnes claires une responsabilité claire, et produit une information honnête assez vite pour agir dessus. Ce sujet vous montre comment construire cela, et comment superposer une assurance indépendante par-dessus afin que les personnes responsables — et le public — puissent être confiants que les contrôles fonctionnent réellement. Il se connecte étroitement au Sujet 1.6 — Sécurité clinique et gestion des risques, Sujet 1.7 — Gouvernance de l'information, protection des données et cybersécurité, Sujet 5.3 — EPPM, et Sujet 10.4 — Visibilité pour le PDG et les dirigeants seniors.

Concepts fondamentaux#

La gouvernance est le système de droits de décision, de responsabilité, et de surveillance par lequel une organisation dirige et contrôle ce qu'elle fait. Dans la santé et l'action sociale numérique, vous gérez réellement trois domaines de gouvernance qui se chevauchent à la fois. La gouvernance d'entreprise couvre l'intendance du conseil d'administration pour l'organisation dans son ensemble — finances, stratégie, risque, et devoirs juridiques. La gouvernance clinique est le cadre par lequel les organisations de santé sont responsables de l'amélioration continue de la qualité et de la sécurité des soins. La gouvernance de l'information couvre comment l'organisation traite les données légalement, en toute sécurité, et éthiquement. Un service numérique touche les trois ; si vous ne gouvernez qu'un seul, vous serez pris au dépourvu par les autres.

La responsabilité à point unique est l'épine dorsale d'une bonne gouvernance. Le Senior Responsible Owner (SRO) est l'individu unique et nommé personnellement responsable qu'un programme ou projet majeur atteigne ses objectifs et réalise ses bénéfices — un rôle popularisé par le gouvernement britannique mais universellement utile. Les droits de décision sous le SRO sont rendus explicites via une matrice d'attribution des responsabilités, communément la forme RACI (responsible, accountable, consulted, informed), qui prévient les deux échecs classiques de « tout le monde pensait que quelqu'un d'autre le possédait » et « tout le monde essayait de le posséder ».

L'assurance est distincte de la gouvernance. La gouvernance est l'acte de diriger et décider ; l'assurance est la confirmation indépendante et objective que la gouvernance et les contrôles fonctionnent réellement comme prévu. Le modèle mental dominant est les « trois lignes de défense » : la première ligne est la direction opérationnelle qui possède et gère le risque au quotidien ; la deuxième ligne est les fonctions de surveillance (risque, conformité, sécurité clinique, gouvernance de l'information) qui fixent la politique et défient ; et la troisième ligne est l'audit interne, indépendant des deux, rapportant au conseil d'administration. Les régulateurs et auditeurs externes forment une quatrième ligne de facto.

Deux concepts supplémentaires tiennent le système ensemble. L'appétit pour le risque est la quantité et le type de risque que l'organisation est prête à accepter dans la poursuite de ses objectifs ; sans cela, l'escalade est arbitraire. Et le journal des risques — souvent étendu à un journal RAID (risques, hypothèses, problèmes, dépendances) construit sur la même discipline qu'un registre des risques — est l'enregistrement de travail qui garde une livraison honnête. Les points de revue sont fournis par une assurance échelonnée telle qu'un processus de porte de phase et, dans le gouvernement britannique, des revues de type gateway exécutées par l'Infrastructure and Projects Authority (IPA). Au-dessus du niveau d'un projet unique se trouve la gestion des risques d'entreprise, la discipline à l'échelle de l'organisation consistant à identifier et gérer les risques qui pourraient empêcher toute l'entreprise d'atteindre ses objectifs, plutôt que de traiter le risque numérique, clinique, financier, cyber, et opérationnel comme des silos séparés.

Bonnes pratiques#

1. Nommez un SRO responsable et faites-le sérieusement. Nommez un individu unique et suffisamment senior qui est personnellement responsable du résultat, a l'autorité pour prendre des décisions, et reste avec le programme assez longtemps pour être tenu responsable. Écrivez leur responsabilité dans les termes de référence et leurs objectifs. Résistez à la tentation de répartir la responsabilité à travers un comité — les comités conseillent et décident collectivement, mais ils ne peuvent pas être responsables, car une responsabilité partagée est une responsabilité absente.

2. Concevez la gouvernance pour s'adapter au risque et à la valeur, pas au calendrier. Un petit outil interne à faible risque n'a pas besoin du même conseil, portes, et paperasse qu'un dossier de santé électronique régional. Fixez des niveaux afin que le travail à faible risque et faible valeur circule via une gouvernance légère au niveau de l'équipe, tandis que le travail à haut risque ou haute valeur attire des conseils formels et une revue indépendante. Publiez les seuils afin que les équipes sachent dans quel niveau elles se trouvent et puissent s'auto-servir. La proportionnalité est ce qui empêche la gouvernance de devenir un goulot d'étranglement que les équipes contournent.

3. Écrivez des termes de référence qui clarifient les droits de décision. Chaque conseil devrait avoir un court document de termes de référence énonçant son objectif, sa composition, son quorum, quelles décisions il peut prendre, ce qu'il peut seulement recommander, et ce qui doit escalader au-dessus de lui. Associez ceci à un RACI afin que les types de décisions récurrents — choix d'architecture, approbation clinique, libération de budget, approbation de mise en production — aient un propriétaire responsable nommé. Les droits de décision ambigus sont la cause la plus courante unique de dérive de gouvernance, où les réunions se multiplient parce que personne n'est sûr de qui peut réellement dire oui.

4. Séparez l'assurance de la gouvernance et utilisez les trois lignes. Ne laissez pas les personnes livrant un programme être les seules personnes assurant qu'il est sûr. Assurez-vous que la deuxième ligne — agents de sécurité clinique, responsables de gouvernance de l'information, cybersécurité — a une voix indépendante et peut escalader au-dessus du SRO quand nécessaire, et que l'audit interne teste périodiquement tout le système. Cette séparation est ce qui transforme l'auto-rapport optimiste en assurance crédible, et c'est une attente réglementaire dans la plupart des systèmes de santé, pas une gentillesse.

5. Utilisez l'assurance intégrée et des points de revue échelonnés. Plutôt que de commander des revues non coordonnées, planifiez un calendrier d'assurance et d'approbation intégré qui aligne les revues de sécurité clinique, gouvernance de l'information, technique, et commerciale aux mêmes points de décision. Adoptez des revues de type gateway aux transitions qui comptent — avant d'engager de l'argent, avant la construction, avant la mise en production — modelées sur les revues gateway de l'IPA et, pour les services numériques destinés au public, les évaluations de service pionnières par le Government Digital Service (GDS) et adaptées par le NHS. Une bonne porte est un défi de soutien qui dérisque la prochaine phase, pas un examen à contourner.

6. Rendez l'appétit pour le risque explicite et laissez-le piloter l'escalade. Convenez, au niveau du conseil d'administration, de combien de risque vous êtes prêt à porter dans chaque domaine — sécurité patient, données, livraison, finances, réputation — et exprimez-le assez concrètement pour qu'une équipe puisse dire si un risque donné se situe dans ou hors de l'appétit. Ensuite, connectez l'escalade à l'appétit : tout ce qui est hors appétit monte automatiquement, avec un propriétaire nommé et une échéance de décision. Cela arrête les deux modes d'échec des banalités engorgeant le conseil et des risques sérieux siégeant discrètement dans une feuille de calcul.

7. Exécutez un journal RAID vivant et un Board Assurance Framework. Maintenez un journal RAID qui est révisé à chaque cycle de livraison, avec chaque entrée possédée, datée, notée, et activement travaillée — pas un cimetière d'éléments ambres périmés. Au niveau organisationnel, maintenez un Board Assurance Framework (BAF) qui cartographie vos principaux risques stratégiques aux contrôles en place et à l'assurance que vous avez que ces contrôles fonctionnent, exposant les lacunes où vous comptez sur l'espoir. Le BAF est ce qui permet à un conseil d'administration de voir, sur une page, si ses objectifs les plus importants sont réellement protégés.

8. Rapportez honnêtement et tuez le théâtre de gouvernance. Insistez sur un reporting de statut franc qui fait surgir les mauvaises nouvelles tôt, et protégez les personnes qui les soulèvent. Surveillez le « reporting pastèque » — vert à l'extérieur, rouge à l'intérieur — où les tableaux de bord restent verts jusqu'au moment de l'échec ; contrez-le en faisant rapporter les fonctions d'assurance et les responsables de livraison sur les mêmes faits. Coupez toute réunion, modèle, ou rapport qui ne change pas une décision. Une gouvernance qui produit des documents sur lesquels personne n'agit n'est pas de la prudence, c'est du gaspillage déguisé en diligence.

9. Gérez le risque au niveau de l'entreprise, pas seulement au niveau du projet. Tenez un registre de risques d'entreprise au niveau du conseil d'administration et une déclaration d'appétit pour le risque écrite qui relient le risque numérique, clinique, financier, cyber, et opérationnel au lieu de traiter chacun dans son propre silo. De nombreux risques qui coulent réellement les services de santé numériques — un parc vieillissant de systèmes hérités, une cyberattaque, une sur-dépendance à un fournisseur unique — traversent chaque projet et ne sont possédés par aucun d'eux, donc donnez à chaque risque transversal un propriétaire exécutif nommé et une place sur le registre. C'est la différence entre savoir que vos programmes sont chacun approximativement sur la bonne voie et savoir si l'organisation dans son ensemble est dans son appétit.

10. Agrégez les mêmes risques jusqu'au conseil d'administration sans les aseptiser. Connectez vos trois lignes de défense afin qu'un risque vu par une équipe de livraison voyage jusqu'au registre d'entreprise de manière reconnaissable, pas reconditionné en langage rassurant à chaque couche. Le BAF et le registre d'entreprise ne sont honnêtes que dans la mesure du reporting en dessous d'eux, donc gardez-vous contre l'effet pastèque où l'ambre devient vert en chemin vers le haut, et faites de l'escalade de routine des risques transversaux — héritage, cyber, concentration de fournisseurs — qu'aucun projet unique ne possède. Un conseil d'administration qui ne voit que des chiffres agrégés et adoucis ne peut pas gouverner les risques qui comptent le plus.

Questions à discuter avec votre équipe#

1. Où la responsabilité à point unique est-elle véritablement claire sur notre travail numérique le plus important, et où est-elle une fiction confortable ? Parcourez vos trois principales initiatives et demandez, pour chacune, qui répondrait personnellement au conseil d'administration si elle échouait. Si la réponse honnête est « le conseil d'administration », « le programme », ou un nom qui change constamment, vous avez une lacune. Testez si le SRO nommé a réellement l'autorité et le temps que le rôle exige, ou s'ils sont une figure de proue tandis que les véritables décisions se passent ailleurs. Considérez si la responsabilité est sapée par une matrice dans laquelle le SRO ne peut pas diriger les personnes qui livrent. Discutez de comment la continuité est protégée quand les SRO partent, car une responsabilité qui se réinitialise à chaque réorganisation n'est aucune responsabilité du tout. Le but n'est pas de blâmer des individus mais de s'assurer que quand quelque chose tourne mal, une personne habilitée possède la remise en état.

2. Notre gouvernance est-elle proportionnée, ou appliquons-nous un processus lourd à un travail à faible risque et vice versa ? Cartographiez vos conseils, portes, et étapes d'approbation actuels contre le véritable risque et la valeur de ce qui les traverse. Cherchez le changement à faible risque qui a attendu six semaines pour un conseil qui se réunit mensuellement, et le changement clinique à haut risque qui est passé sur la seule parole d'une équipe. Demandez si les équipes contournent la gouvernance parce qu'elle est trop lente, ce qui est en soi un signal de risque sérieux. Considérez si vous avez publié des niveaux et seuils clairs, ou si tout revient par défaut à la cérémonie maximale par prudence. Débattez de où vous pourriez déléguer des décisions en toute sécurité pour aller plus vite, et où vous avez été dangereusement légers. L'objectif est un système où le poids de la gouvernance suit visiblement le poids du risque.

3. Comment saurions-nous si notre reporting nous dit la vérité ? Discutez d'exemples concrets récents où un statut est passé de vert à rouge avec peu d'avertissement, et demandez quels étaient les signaux précoces et pourquoi ils n'ont pas fait surface. Explorez si les responsables de livraison et les fonctions d'assurance rapportent depuis les mêmes faits ou depuis des versions séparées et commodément divergentes. Considérez ce qui arrive, socialement et professionnellement, à quelqu'un qui rapporte un statut rouge ici — sont-ils remerciés ou punis ? Demandez si votre conseil d'administration voit une assurance indépendante aux côtés du propre récit de la direction, ou seulement ce dernier. Examinez si vos tableaux de bord mesurent des choses qui prédisent les problèmes ou seulement des choses faciles à rendre vertes. Le but est de construire une culture où les mauvaises nouvelles honnêtes voyagent vite, car un système de gouvernance qui ne peut pas entendre les mauvaises nouvelles ne peut pas gouverner.

4. Avons-nous écrit notre appétit pour le risque assez concrètement pour qu'une équipe puisse agir dessus, ou est-ce un slogan ? Prenez un risque vivant sur l'un de vos programmes et demandez si les personnes les plus proches pourraient dire, à partir de votre appétit énoncé, s'il se situe dans ou hors de la ligne. La plupart des organisations ont une déclaration d'appétit pour le risque qui se lit bien et ne décide rien — « nous adoptons une approche équilibrée du risque » ne dit à aucun clinicien si un défaut d'affichage d'allergie non détecté est tolérable. Discutez de si l'appétit est exprimé par domaine — sécurité patient, données, livraison, finances, réputation — car un chiffre global unique cache le fait que vous pourriez avoir un appétit nul pour les défauts de sécurité clinique et un véritable appétit pour le glissement de calendrier. Examinez si l'escalade est réellement connectée à l'appétit, afin que tout ce qui est hors de celui-ci monte automatiquement avec un propriétaire nommé et une échéance, plutôt que de dépendre de quelqu'un choisissant de le soulever. Considérez qui possède l'appétit et à quelle fréquence il est revisité, car un appétit fixé une fois et jamais revisité dérive hors phase avec le monde réel. Une réponse honnête nomme une décision récente que la déclaration d'appétit a véritablement façonnée, et admet où la déclaration est actuellement trop vague pour mordre.

5. Nos portes et revues d'assurance ont-elles réellement des dents, ou les programmes défaillants les traversent-ils sans encombre ? Regardez en arrière sur vos dernières revues gateway ou d'évaluation de service et demandez si l'une d'entre elles a arrêté, mis en pause, ou remodelé matériellement le travail — si chaque programme a passé chaque porte, vos portes sont presque certainement du théâtre. Discutez de si les revues sont traitées comme un défi de soutien qui dérisque la prochaine phase ou comme un examen à contourner, avec le dossier de preuves organisé pour garantir un succès. Considérez si la sécurité clinique, la gouvernance de l'information, l'assurance technique et commerciale arrivent aux mêmes points de décision ou comme une dispersion de revues non coordonnées qui épuisent les équipes sans ajouter de confiance. Examinez quelle autorité un réviseur de porte a réellement : peut-il retenir une mise en production, et sera-t-il soutenu s'il le fait, ou la pression commerciale les outrepassera-t-elle ? Explorez si les personnes qui livrent sont aussi, en effet, les personnes qui assurent — car une porte dirigée par les optimistes n'est pas une assurance. Le but est une revue qu'un problème sérieux ne pourrait pas survivre, car une porte que rien n'échoue jamais est un coût sans contrôle derrière lui.

6. Lesquels des risques qui pourraient réellement nous couler ne sont possédés par aucun projet unique, et qui les possède ? Listez les échecs les plus susceptibles d'arrêter vos services numériques — un parc vieillissant de systèmes hérités, une cyberattaque, une sur-dépendance à un fournisseur unique, une main-d'œuvre qui ne peut pas exploiter les nouveaux outils — et demandez, pour chacun, sur quel registre il se trouve. Ces risques transversaux sont dangereux précisément parce qu'ils appartiennent à tout le monde et donc à personne, tombant entre les fissures de la gouvernance au niveau du projet. Discutez de si vous tenez un registre de risques d'entreprise au niveau du conseil d'administration qui relie le risque numérique, clinique, financier, cyber, et opérationnel, ou si chacun est géré dans son propre silo aveugle aux autres. Considérez si un risque vu par une équipe de livraison voyage jusqu'au conseil d'administration de manière reconnaissable, ou est adouci de rouge à ambre à vert à chaque couche jusqu'à ce que le conseil d'administration ne voie que du réconfort. Examinez si chaque risque transversal a un propriétaire exécutif nommé avec l'autorité d'agir à travers les programmes. Une réponse honnête confronte l'écart entre savoir que chaque programme est approximativement sur la bonne voie et savoir si l'organisation dans son ensemble est dans son appétit.

En pratique : un exemple de santé et d'action sociale#

Un système de soins intégrés (ICS) déploie un dossier de soins partagé qui permet aux cliniciens à travers les hôpitaux, les soins primaires, et l'action sociale de voir une vue unifiée de chaque patient. C'est à haute valeur et à haut risque : cela touche les décisions cliniques, relie des données sensibles à travers les organisations, et sert une population avec une large variation d'accès numérique.

Au début, la responsabilité est trouble. Trois directeurs de l'information se sentent chacun partiellement responsables, un fournisseur pilote le calendrier, et le conseil de programme de dix-huit personnes passe ses réunions à recevoir des mises à jour plutôt qu'à décider. Le reporting est vert. Puis un quasi-accident fait surface : une allergie médicamenteuse enregistrée dans un système ne s'affiche pas dans un autre, et un clinicien manque de prescrire un médicament auquel le patient est allergique.

Les directeurs généraux utilisent ceci comme un point de retournement et reconstruisent la gouvernance. Ils nomment un SRO — un médecin-chef avec l'ancienneté pour diriger le programme et la position pour défier le fournisseur. Ils réécrivent les termes de référence du conseil, le réduisent aux décideurs, et y attachent un RACI afin que l'approbation de sécurité clinique, l'approbation de gouvernance de l'information, et l'autorisation de mise en production aient chacune un propriétaire responsable nommé. L'appétit pour le risque est rendu explicite : appétit nul pour les défauts de sécurité clinique non détectés, appétit limité pour le glissement de calendrier. Cette déclaration unique réordonne tout.

L'assurance est séparée de la livraison. L'agent de sécurité clinique et le responsable de gouvernance de l'information rapportent indépendamment et peuvent escalader au-dessus du SRO vers les directeurs généraux ; le travail de dossier partagé est ajouté au Board Assurance Framework de chaque partenaire. Un calendrier d'assurance intégré fixe trois portes — avant la construction supplémentaire, avant le pilote, avant le déploiement complet — chacune combinant sécurité clinique, gouvernance de l'information, technique, et revues d'accessibilité, dans l'esprit des revues gateway de l'IPA et des évaluations de service du NHS. Le journal RAID est révisé toutes les deux semaines, avec le défaut d'affichage d'allergie enregistré comme un problème rouge possédé nommément avec une date de résolution fixe.

La première porte est inconfortable : l'équipe de revue trouve que le dossier de sécurité clinique est plus mince que les rapports verts ne l'impliquaient, et le déploiement est mis en pause pendant quatre semaines. C'est exactement la pastèque que l'ancien reporting avait cachée. Parce que la pause se produit avant le pilote plutôt qu'après la mise en production, aucun patient n'est blessé, le fournisseur corrige le mappage de données, et le déploiement éventuel est plus lent à démarrer mais bien plus sûr et digne de confiance. La gouvernance n'a pas ralenti la livraison ; elle a prévenu un échec qui l'aurait arrêtée entièrement.

Angles sectoriels#

Startup#

Une startup de santé numérique a rarement besoin de conseils et de revues gateway, mais elle a besoin des essentiels tôt, car les régulateurs, acheteurs, et investisseurs demanderont. Nommez un fondateur ou dirigeant responsable pour la sécurité clinique et un pour la protection des données, gardez un journal RAID léger, et écrivez votre appétit pour le risque même s'il tient sur une seule page. Le piège est de traiter la gouvernance comme quelque chose à ajouter plus tard ; adapter rétroactivement des preuves de décisions sûres et légales à travers un produit en mouvement rapide est douloureux et parfois impossible. Construisez la gouvernance viable minimale qu'un acheteur NHS sérieux reconnaîtrait, et laissez-la grandir avec vous plutôt que de basculer de rien à la bureaucratie du jour au lendemain.

Petite entreprise#

Un prestataire établi de petite taille — un cabinet de médecins généralistes, une pharmacie communautaire, une maison de retraite, ou une clinique monosite — porte les mêmes devoirs statutaires pour la sécurité clinique et la protection des données qu'un grand trust, mais sans comité d'audit, sans audit interne, et souvent sans personnel informatique dédié pour les exécuter. La discipline de gouvernance ici est une proportionnalité radicale : une personne nommée responsable de la sécurité clinique et une pour la gouvernance de l'information (qui dans une très petite organisation peut être le même clinicien senior ou associé), un appétit pour le risque d'une seule page, et un court journal RAID qui est véritablement révisé plutôt que classé. Appuyez-vous sur les cadres que vos régulateurs attendent déjà — le Data Security and Protection Toolkit, les exigences de la CQC, et toute obligation de sécurité clinique que vos fournisseurs doivent satisfaire — et faites en sorte que l'assurance de vos fournisseurs de logiciels (leurs dossiers de sécurité DCB0129, leurs certifications) fasse le travail que vous ne pouvez pas faire vous-même. Le piège réaliste n'est pas le théâtre de gouvernance mais la négligence de gouvernance : des décisions sûres et légales prises informellement et jamais enregistrées, afin que lorsqu'un incident ou une inspection arrive, vous ne puissiez pas montrer ce que vous avez décidé ou pourquoi. Gardez la piste de preuves légère mais réelle, car pour une petite entreprise, le but est des décisions défendables avec un budget serré, pas une machine de gouvernance que vous ne pouvez pas doter en personnel.

Entreprise#

Un grand prestataire ou fournisseur a déjà des conseils, des comités d'audit, et un audit interne, donc le risque d'entreprise est l'opposé de celui de la startup : trop de gouvernance, mal intégrée, générant du théâtre. Consolidez les conseils qui se chevauchent, publiez des niveaux de proportionnalité, et intégrez l'assurance clinique, de l'information, technique, et commerciale dans un seul calendrier afin que les équipes fassent face à un ensemble cohérent de portes plutôt qu'une douzaine de revues non coordonnées. Assurez-vous que les trois lignes de défense sont véritablement indépendantes et que l'audit interne teste périodiquement la livraison numérique, pas seulement les finances. Le prix est de transformer une machine de gouvernance existante et coûteuse en une qui accélère réellement les décisions sûres.

Gouvernement#

Les organismes nationaux et régionaux — NHS England, ICB, organismes déconcentrés — opèrent sous une responsabilité statutaire, des contrôles de dépenses publiques, et des régimes d'assurance formels tels que les revues gateway de l'IPA et les processus de contrôle des dépenses et d'évaluation de service du gouvernement. Ici, le rôle de SRO est codifié et personnellement responsable devant le Parlement ou ses équivalents, et la transparence est un devoir, pas un choix. La discipline est de rendre cette gouvernance mandatée proportionnée et d'aligner les nombreuses demandes d'assurance externes afin qu'elles informent la livraison plutôt que simplement l'auditer après coup. Bien faite, la gouvernance du secteur public est un modèle de responsabilité ; mal faite, elle est l'origine du « théâtre de gouvernance » que tout le secteur craint.

Modes d'échec courants#

• Responsabilité par comité. Aucun SRO unique, donc quand les choses tournent mal, tout le monde pointe sur le côté et rien n'est possédé.
• Théâtre de gouvernance. Des conseils qui reçoivent plutôt que décident, des modèles que personne ne lit, et des portes qui sont des examens à réussir plutôt qu'un véritable dérisquage.
• Reporting pastèque. Le statut reste vert jusqu'au moment de l'échec parce que les mauvaises nouvelles sont mal accueillies et les rapports de livraison ne sont pas contestés par l'assurance.
• Processus unique pour tous. Une gouvernance lourde appliquée à un travail trivial, poussant les équipes à la contourner, tandis que le travail véritablement risqué passe légèrement.
• Assurance capturée par la livraison. Les personnes construisant le service sont les seules personnes confirmant qu'il est sûr, donc l'optimisme n'est pas vérifié.
• Journaux RAID périmés. Risques enregistrés une fois et jamais travaillés ; éléments ambres qui deviennent discrètement verts avant une revue sans changement en dessous.
• Aveuglement de domaine. Bien gouverner la livraison mais manquer la dimension de sécurité clinique, gouvernance de l'information, ou équité jusqu'à ce qu'elle devienne une crise.
• Théâtre de porte sans dents. Points de revue qui n'arrêtent ou ne remodèlent jamais réellement le travail, donc les programmes défaillants traversent chaque porte sans encombre.

Modèle de maturité#

Liste de contrôle#

• Chaque initiative majeure a un SRO unique, nommé, suffisamment senior, et habilité.
• Chaque conseil a des termes de référence actuels énonçant ses droits de décision, son quorum, et son escalade.
• Un RACI assigne un propriétaire responsable nommé à chaque type de décision récurrent.
• Les niveaux de gouvernance s'échelonnent avec le risque et la valeur, et les seuils sont publiés.
• Les trois lignes de défense sont en place, avec une voix de deuxième ligne indépendante qui peut escalader.
• Un calendrier d'assurance intégré aligne les revues cliniques, de gouvernance de l'information, techniques, et commerciales aux portes échelonnées.
• L'appétit pour le risque est écrit par domaine et l'escalade y est connectée.
• Un journal RAID vivant est révisé à chaque cycle de livraison, avec chaque entrée possédée et datée.
• Un Board Assurance Framework cartographie les risques principaux aux contrôles et à l'assurance que ces contrôles fonctionnent.
• La livraison et l'assurance rapportent depuis les mêmes faits, et soulever de mauvaises nouvelles est sûr.
• Chaque réunion, modèle, et rapport que vous gardez change une véritable décision.

Sources clés#

• Infrastructure and Projects Authority (IPA), Principles for Project Success and the gateway/assurance review guidance — UK Cabinet Office / HM Treasury.
• NHS England, Clinical Risk Management Standards (DCB0129 and DCB0160) — for clinical governance of health IT (see also Sujet 1.6).
• Institute of Internal Auditors (IIA), The IIA's Three Lines Model (2020 update) — the authoritative statement of the three-lines approach.
• HM Treasury, The Orange Book: Management of Risk — Principles and Concepts — risk appetite, controls, and assurance in UK public bodies.
• NHS England / former Government Digital Service, Service Standard and service-assessment guidance — assurance of public-facing digital services.
• UK Corporate Governance Code — Financial Reporting Council — board accountability and internal control.

Références#

1. Governance — Wikipédia — https://en.wikipedia.org/wiki/Governance
2. Corporate governance — Wikipédia — https://en.wikipedia.org/wiki/Corporate_governance
3. Clinical governance — Wikipédia — https://en.wikipedia.org/wiki/Clinical_governance
4. Information governance — Wikipédia — https://en.wikipedia.org/wiki/Information_governance
5. Senior responsible owner (Executive sponsor) — Wikipédia — https://en.wikipedia.org/wiki/Senior_responsible_owner
6. Responsibility assignment matrix (RACI) — Wikipédia — https://en.wikipedia.org/wiki/Responsibility_assignment_matrix
7. Assurance services — Wikipédia — https://en.wikipedia.org/wiki/Assurance_services
8. Internal audit (Three Lines model) — Wikipédia — https://en.wikipedia.org/wiki/Internal_audit
9. Risk appetite — Wikipédia — https://en.wikipedia.org/wiki/Risk_appetite
10. Risk register — Wikipédia — https://en.wikipedia.org/wiki/Risk_register
11. Phase-gate process — Wikipédia — https://en.wikipedia.org/wiki/Phase-gate_process
12. Infrastructure and Projects Authority — Wikipédia — https://en.wikipedia.org/wiki/Infrastructure_and_Projects_Authority
13. The IIA's Three Lines Model — Institute of Internal Auditors — https://www.theiia.org/en/content/position-papers/2020/the-iias-three-lines-model-an-update-of-the-three-lines-of-defense/
14. The Orange Book: Management of Risk — Principles and Concepts — HM Treasury — https://www.gov.uk/government/publications/orange-book
15. Clinical Risk Management: its Application in the Deployment and Use of Health IT Systems (DCB0160) — NHS England — https://digital.nhs.uk/services/clinical-safety
16. Service Standard — Government Digital Service / GOV.UK — https://www.gov.uk/service-manual/service-standard
17. The UK Corporate Governance Code — Financial Reporting Council — https://www.frc.org.uk/library/standards-codes-policy/corporate-governance/uk-corporate-governance-code/
18. Enterprise risk management — Wikipédia — https://en.wikipedia.org/wiki/Enterprise_risk_management