Gestion de crise en entreprise : plan d’action

C’est la crise ! Une phrase qu’on entend souvent sur un ton dramatique… mais qui, en entreprise, peut rapidement devenir une réalité bien concrète. Qu’il s’agisse d’un incident technique majeur, d’une cyberattaque, d’un bad buzz sur les réseaux sociaux ou d’un accident impliquant la sécurité, une crise en entreprise peut surgir à tout moment, sans prévenir.

Et dans ces moments-là, l’improvisation n’est pas une stratégie. La gestion de crise en entreprise, c’est avant tout une capacité à anticiper, à réagir de manière coordonnée, et à protéger ce qui compte : les personnes, les activités, et la réputation de l’organisation.

Dans ce contexte, disposer d’un plan clair, d’une équipe formée et d’une communication maîtrisée devient non seulement une nécessité, mais un facteur clé de résilience et de continuité d’activité.

La gestion de crise va ainsi permettre à un organisme de se révéler face à une situation incertaine, inattendue et dangereuse pour sa pérennité. En effet, si la gestion des risques traite les causes en évitant qu’un risque advienne et si la continuité d’activité traite les conséquences en aidant l’organisme à relancer ses activités, la gestion de crise en entreprise permet de traiter l’urgence et de trancher les décisions et actions à prendre en priorité afin de retourner à un état nominal.

Bien que chaque crise ait ses propres spécificités, elles ont souvent des caractéristiques communes : incident mal maîtrisé, instabilité latente qui se mue en incident grave, pression très importante sur l’exécutif de l’organisme… Ce qui explique que certains éléments, certains outils sont à mettre en place afin de se préparer au mieux. Tels les parachutistes qui réalisent au sol cent fois les mêmes mouvements techniques afin de renforcer leur coordination, les membres de la cellule de crise doivent être entraînés et prêts afin d’affronter toutes les turbulences.

1. Concept

D’après la norme ISO 22361, la crise c’est un « événement ou situation anormal ou extraordinaire qui menace un organisme ou une communauté et exige une réponse stratégique, adaptative et en temps utile, afin de préserver sa viabilité et son intégrité ».

On est bien sur une situation qui est en dehors de l’incidentologie : la crise en entreprise menace directement l’existence de l’organisme et se caractérise par une dimension incertaine et complexe.

Si les incidents peuvent être résolus en utilisant des fiches pratiques, des plans ou des procédures sur étagères, la gestion de crise demande une réponse flexible et créative. En témoigne la mise à jour d’un logiciel de l’entreprise de cybersécurité Crowdstrike qui a provoqué le crash de plusieurs millions de postes Windows à travers le monde : l’impact a été planétaire et multisectoriel ! Face à cela, l’entreprise a adopté une démarche de transparence sur ce qu’il s’est passé techniquement en communiquant de manière très proactive et en reconnaissant ses responsabilités.

2. Étapes d’une gestion de crise en entreprise

Suite à une remontée d’alerte, si la situation est reconnue comme nécessitant l’activation d’une cellule de crise, tout un système doit se mettre automatiquement en place. Dans les premiers instants de la crise, c’est donc une démarche quasi mécanique qui s’enclenche :

• Mobilisation des membres de la cellule de crise
• Identification du pilote de crise
• Mise en place de la main courante
• Identification de l’information pertinente sur la crise
• Définition de l’orientation stratégique de l’organisme face à la situation et de ses objectifs de sortie de crise
• Mise en œuvre des axes de travail prioritaires identifiés
• Prise en compte du contexte réglementaire
• Communication proactive à destination des parties intéressées (clients, partenaires, collaborateurs)

Disposer d’une procédure de gestion de crise en entreprise permet de cadrer ces séquences et surtout de ne pas en oublier. De plus, il est primordial de disposer de certains outils comme un annuaire de crise qui va rassembler les contacts des différentes personnes mobilisables en cas d’urgence, que ce soit pour leur expertise technique ou leur positionnement hiérarchique.

L’objectif de la cellule de crise va être de mobiliser dans une même synergie les cadres dirigeants ainsi que les experts techniques afin de trouver une réponse rapide et coordonnée à la crise.

3. Help ! Comment vous organiser ?

Pas de panique, tout d’abord il faut garder la tête froide et s’appuyer sur les procédures qui ont été formalisées.

« Procédure ? Formalisée ? Mais nous n’avons rien de tout cela, la dernière sensibilisation date de plus de 5 ans et notre SI est complètement bloqué par un ransomware… que faire ??? »

Pas d’inquiétude, l’ISO 22361 apporte une réponse très claire à ces questions :

• Mobilisez la direction générale, la DRH, la DAF, la direction juridique et la direction communication dans une même salle / dans une même réunion Teams
• Désignez un responsable de la cellule de crise qui va trancher les décisions à prendre (souvent un membre de la direction générale) ainsi qu’un responsable de la main courante qui va noter toutes les décisions de la cellule et les responsables de leur mise en application
• Invitez les experts métiers pertinents qui peuvent vous aider à résoudre cette crise (RSSI dans le cas d’un ransomware par exemple)
• Soignez votre communication : que dire aux clients ? Aux collaborateurs ? Aux journalistes ? Ne communiquez que sur ce dont vous êtes certains et ce qui a été validé en cellule de crise. Désignez un porte-parole unique qui prendra les appels média.
• Définissez des objectifs de sortie de crise : on ne reste pas en crise pendant des mois, il faut cadencer la reprise d’activité et indiquer une sortie de crise
• Calzone ou Margarita ? Vous devez impérativement prévoir un soutien logistique (nourriture, boissons), sinon les membres vont inexorablement quitter la cellule de crise

Le plus important reste de se préparer ! Des procédures formalisées, des textes à trous « sur étagère » et des rôles déjà distribués vous feront gagner un temps précieux. Vous avez des questions sur votre organisation ? Vous souhaitez tester votre CODIR ? N’hésitez pas à nous contacter.