Cybersécurité, gouvernance et performance organisationnelle des PME marocaines : une analyse empirique par la modélisation PLS-SEM

Résumé

La transformation numérique des petites et moyennes entreprises marocaines accroît leur exposition aux risques cybernétiques, tout en soulevant des enjeux majeurs de gouvernance, de transparence informationnelle, de contrôle interne, de responsabilité managériale et de performance organisationnelle. Cette recherche analyse l’impact des pratiques de cybersécurité sur la gouvernance des PME marocaines, en intégrant le rôle médiateur de la culture de cybersécurité organisationnelle et le rôle modérateur du cadre réglementaire et institutionnel perçu. L’originalité de cette étude réside dans la conceptualisation de la cybersécurité non comme un simple dispositif technique, mais comme un levier organisationnel et institutionnel de gouvernance. Sur le plan théorique, l’article articule la théorie de l’agence, la théorie des parties prenantes, la théorie institutionnelle et l’approche par les ressources afin d’expliquer comment les pratiques cybernétiques peuvent réduire les asymétries d’information, renforcer la reddition de comptes et améliorer la qualité des mécanismes de contrôle. Sur le plan méthodologique, l’étude teste un modèle multidimensionnel intégrant cinq dimensions de cybersécurité, quatre dimensions de gouvernance, une variable médiatrice et une variable modératrice dans le contexte spécifique des PME marocaines. Sur le plan managérial, elle propose une hiérarchisation des leviers de cybersécurité les plus pertinents pour les dirigeants de PME. L’étude repose sur une enquête quantitative transversale menée auprès de 246 dirigeants de PME marocaines. Les données ont été traitées selon une démarche séquentielle combinant la purification psychométrique sous SPSS et la modélisation par équations structurelles selon l’approche Partial Least Squares Structural Equation Modeling sous SmartPLS 4, avec bootstrapping de 5 000 sous-échantillons. Les résultats montrent que les pratiques organisationnelles de cybersécurité — politiques et procédures, formation et sensibilisation, conformité réglementaire — produisent des effets significatifs sur la gouvernance, tandis que les technologies de protection et la gestion des incidents ne génèrent pas, à elles seules, d’effets directs significatifs. La culture de cybersécurité joue un rôle médiateur partiel et sélectif, alors que le cadre réglementaire et institutionnel perçu ne présente pas d’effet modérateur significatif. Enfin, la transparence informationnelle, le contrôle interne et la responsabilité des dirigeants contribuent positivement à la performance organisationnelle.