Gestion de crise : ce qui doit exister avant qu'elle n'arrive

Une crise n'est pas un gros incident : c'est une situation où les procédures habituelles ne suffisent plus et où il faut décider vite avec des informations incomplètes. Pour une agence de sécurité, elle peut venir du terrain — un sinistre majeur chez un client — ou de l'intérieur — une panne, une atteinte aux données, un accident grave.

La liste d'alerte. Qui appelle qui, dans quel ordre, avec quels numéros — y compris personnels, avec l'accord des intéressés — et quels remplaçants. Elle tient sur une page, elle est imprimée, et elle existe aussi hors du système d'information : une crise informatique rend inaccessible la liste stockée dans l'outil.

Les fiches réflexes. Une par scénario plausible : incendie sur un site client, agression d'un agent, indisponibilité massive du personnel, panne prolongée d'un outil, atteinte aux données. Chacune tient en dix lignes : les trois premières actions, qui prévenir, ce qu'on ne fait pas.

Le modèle de journal. Une crise se conduit avec un journal horodaté : heure, information reçue, décision prise, par qui. C'est le document qui vous protégera ensuite ; personne ne l'écrit s'il n'a pas été préparé.

Ces trois documents se rédigent en une demi-journée. Ils ne se rédigent jamais pendant la crise.

Vous préférez voir plutôt que lire ? Nous vous montrons ShieldOne sur vos propres cas, en 30 minutes.

La première erreur est de mobiliser tout le monde sur un incident qui n'est pas une crise ; la seconde est de traiter en routine ce qui n'en est pas une. Trois questions permettent de trancher en deux minutes.

Y a-t-il un risque pour des personnes ? Si oui, c'est une crise, quelle que soit son ampleur apparente. Les procédures habituelles suffisent-elles ? Si le responsable de secteur peut traiter, ce n'en est pas une. La situation peut-elle s'aggraver dans l'heure ? Une situation stable et une situation qui se dégrade n'appellent pas le même dispositif.

Une fois la qualification faite, nommez un pilote. Une seule personne décide ; les autres exécutent ou informent. Une crise conduite à trois voix produit des décisions contradictoires transmises à des interlocuteurs différents, et c'est ce désordre qu'on se rappelle ensuite.

Tenez un journal horodaté dès la première minute : heure, ce qu'on apprend, ce qu'on décide, qui décide, qui est informé. Cinq colonnes, tenues par quelqu'un qui ne conduit pas la crise.

Son utilité immédiate est de partager l'état : la personne qui arrive à 3h du matin lit le journal au lieu de poser vingt questions à celle qui gère. Son utilité différée est plus importante encore : c'est ce document qui établira, des mois plus tard, ce que l'agence savait et à quel moment elle l'a su.

Deux règles d'écriture. Distinguer ce qui est constaté de ce qui est supposé : en crise, une hypothèse répétée trois fois devient un fait dans l'esprit de tout le monde. Ne jamais réécrire le journal après coup : une correction s'ajoute, datée, elle ne remplace pas. Un journal retouché perd toute valeur, y compris pour les parties exactes.

C'est exactement la logique que nous appliquons aux écrits de terrain : une correction est un nouvel écrit daté, jamais une gomme.

Au client : tôt, factuel, et sans engagement qu'on ne tiendra pas. Ce qui est constaté, ce qui est fait, quand vous rappellerez. Un client informé toutes les heures d'une situation grave reste un client ; un client qui apprend l'incident par un tiers ne l'est plus.

Aux agents : ce qu'ils doivent faire, ce qu'ils ne doivent pas faire, et à qui ils parlent. Le point le plus important est celui-ci : personne ne communique à l'extérieur en dehors du pilote. Une phrase maladroite d'un agent à un journaliste ou sur un réseau social crée une seconde crise par-dessus la première.

Aux autorités : selon la nature de l'événement, une annonce peut être requise. En matière de sécurité des données, une atteinte susceptible d'entraîner un risque élevé pour les personnes doit être annoncée au préposé fédéral dans les meilleurs délais ; la personne concernée est informée lorsque c'est nécessaire à sa protection ou que l'autorité l'exige. Ces réflexes se préparent : ils ne s'improvisent pas un dimanche soir.

Une crise ne suspend pas les autres sites. Le piège est de mobiliser l'encadrement au point que la couverture ordinaire se dégrade : on gère un incendie et on perd trois contrats parce que personne n'a vu les trous de la semaine.

Désignez explicitement quelqu'un qui ne s'occupe pas de la crise et qui tient le planning courant. C'est contre-intuitif et c'est décisif.

C'est aussi le moment où une vue de couverture prend tout son sens : elle permet à cette personne de voir en une minute ce qui reste à couvrir, sans reconstituer. Les postes ouverts peuvent se proposer au volontariat des agents concernés ; une urgence se signale à part. Le responsable garde la décision finale, et chaque affectation reste écrite avec son historique — ce qui compte particulièrement quand on reconstituera les événements.

Faites-le vite : au-delà de deux semaines, les souvenirs se reconstruisent et chacun a déjà arrangé son récit. Le journal horodaté sert de base, ce qui évite la discussion sur « ce qui s'est réellement passé ».

Quatre questions : qu'est-ce qui a fonctionné ? qu'est-ce qui a manqué ? quelle information est arrivée trop tard ? quelle décision prendrait-on différemment ? Une règle : on cherche les défauts du dispositif, pas les fautes des personnes. Un retour d'expérience qui désigne un coupable est le dernier auquel les gens participeront honnêtement.

Produisez trois à cinq actions concrètes, avec un responsable et une date. Mettez à jour les fiches réflexes dans la foulée : c'est le seul moment où l'on sait exactement ce qui leur manquait.

Enfin, testez une fois par an, sur un scénario simple, en une heure. Un dispositif jamais testé est un dispositif qui échouera — non par incompétence, mais parce que personne n'aura jamais vérifié que les numéros de la liste d'alerte sont encore valides.

Vue de couverture, volontariat sur les postes ouverts, historique des affectations et rapports horodatés aident à tenir l'exploitation pendant qu'on gère l'exceptionnel : le fonctionnement d'ensemble est présenté sur la page d'accueil de ShieldOne.