Dans cet article, nous nous intéressons aux processus de négociation des règles de sécurité liées à la gestion et à l’utilisation des systèmes d’information. À partir d’une collecte de données qualitatives réalisée dans une entreprise du secteur bancaire où cette sécurité est d'importance stratégique, nous analysons à l’aide de la Théorie de la Régulation Sociale (TRS) la manière dont se créent et se transforment les règles de sécurité. Nous identifions quatre modes successifs : la sécurité autonome, la sécurité obligatoire, la sécurité négociée et la sécurité contrôlée. Ces modes suivent une dynamique dépendant à la fois d'un système de contrôles que nous mettons en évidence et des enjeux des acteurs de la sécurité qui, en situation, négocient et construisent les pratiques effectives. Le cas sélectionné nous sert de point d’ancrage et de révélateur des relations sociales qui se développent entre les acteurs. Dans le domaine industriel des banques et des paiements électroniques, la sécurité et le contrôle sont au cœur de l’activité économique, et la sécurisation des systèmes d’information est un souci permanent pour sa pérennité. En effet, de la fabrication des cartes aux paiements dans les points de vente, l’activité de paiement électronique est totalement informatisée ; une défaillance sécuritaire peut avoir des conséquences importantes pour l’ensemble des acteurs de la chaine. La méthode d’investigation est l’étude de cas et la collecte des données repose sur l’observation participante et non participante, sur l’étude de données secondaires telles que des documents internes, ainsi que sur la conduite d’entretiens semi-directifs. Cette approche qualitative est idéale pour montrer comment les acteurs font d’abord émerger un nouveau concept pour redéfinir les frontières des nouvelles règles du jeu, convenant ensuite des règles de sécurité compatibles, d’une part, avec leurs enjeux d’autonomie et de contrôle, et d’autre part, avec les exigences de la norme de sécurité.
