Quand la crise commence sans prévenir : comment garder le contrôle dans les premières minutes
Une crise ne commence presque jamais comme prévu.
Elle peut surgir un dimanche matin, au milieu de la nuit, pendant un comité de direction ou lorsque la personne disposant de l'expertise indispensable est absente.
Cyberattaque, accident industriel, atteinte réputationnelle, conflit social, défaillance technique, fraude, mise en cause judiciaire ou événement sécuritaire : quelle que soit son origine, le premier danger n'est pas toujours celui que l'on imagine.
Dans les premières minutes, une organisation peut être confrontée à un phénomène particulièrement dangereux : trop d'informations, trop de canaux, trop d'interlocuteurs et pas encore assez de compréhension de la situation.
La difficulté n'est alors pas uniquement de savoir ce qui se passe. Elle consiste à transformer rapidement une masse d'informations imparfaites en une représentation suffisamment claire de la situation pour pouvoir décider.
C'est là que commence véritablement la gestion de crise.
Qu'est-ce qu'une crise ?
Une crise est une situation qui déstabilise le fonctionnement normal d'une organisation, menace ses activités ou ses intérêts essentiels et impose de prendre des décisions importantes dans un contexte marqué par l'incertitude, la pression temporelle et des informations souvent incomplètes.
La crise se distingue donc d'un simple incident.
Un incident peut généralement être traité par les processus habituels de l'entreprise. Une crise impose au contraire un changement de mode de fonctionnement : activation d'une gouvernance spécifique, mobilisation de dirigeants et d'experts, priorisation des enjeux, coordination des actions et communication adaptée.
En matière de crise cyber, l'ANSSI souligne notamment la nécessité d'articuler le pilotage stratégique de la crise avec la réponse technique à l'incident, de coordonner les équipes mobilisées et d'assurer une communication efficace.
Mais avant même de décider, encore faut-il parvenir à comprendre.
Dans les premières minutes d'une crise, le principal danger peut être la confusion
Imaginons la situation.
Un système informatique devient inaccessible. Un premier collaborateur évoque une panne. Un autre parle déjà de ransomware. Le service informatique constate plusieurs anomalies. Un responsable opérationnel signale l'arrêt d'une activité. Un dirigeant apprend qu'un client important commence à s'inquiéter.
Les informations arrivent simultanément par téléphone, SMS, Teams, WhatsApp, messagerie électronique ou conversations informelles.
En quelques dizaines de minutes, cinq personnes peuvent disposer de cinq représentations différentes de la même situation.
La cellule de crise croit alors manquer d'informations.
En réalité, elle souffre parfois du problème inverse : elle dispose d'une quantité d'informations qu'elle n'est plus capable de qualifier, consolider et hiérarchiser correctement.
C'est la saturation informationnelle.
Qu'est-ce que la saturation informationnelle en situation de crise ?
La saturation informationnelle apparaît lorsque le volume, la vitesse ou la diversité des informations reçues dépassent la capacité de l'organisation à les analyser et à les transformer en décisions.
Trois phénomènes se combinent généralement :
multiplication des sources et des canaux ;
informations contradictoires ou insuffisamment vérifiées ;
incapacité à distinguer immédiatement les faits, les hypothèses et les rumeurs.
Le risque est majeur.
Plus une cellule reçoit d'informations, plus elle peut avoir l'impression de maîtriser la situation. Pourtant, si celles-ci ne sont pas structurées, l'information supplémentaire peut paradoxalement réduire sa capacité de décision.
En crise, l'enjeu n'est donc pas de tout savoir immédiatement. Il est de savoir ce que l'on sait, ce que l'on ignore et ce qu'il faut vérifier en priorité.
Pourquoi la multiplication des canaux affaiblit-elle la gestion de crise ?
Lorsqu'une crise survient, chaque acteur utilise naturellement les outils qu'il connaît.
Le directeur des opérations appelle.
La communication écrit sur Teams.
Un groupe WhatsApp apparaît.
La direction utilise la messagerie.
Les équipes techniques créent leur propre canal.
Des messages privés circulent parallèlement.
Chaque outil semble efficace individuellement. Collectivement, ils peuvent devenir contre-productifs.
Une cellule de crise doit disposer d'une situation commune
Le problème ne réside pas dans l'outil lui-même.
Il apparaît lorsque plusieurs circuits produisent plusieurs versions concurrentes de la situation.
Une information essentielle transmise à cinq personnes différentes mais absente de la vision consolidée de la cellule ne constitue pas une information utile.
Elle constitue du bruit.
L'objectif d'un dispositif de crise doit donc être de produire une situation opérationnelle commune, compréhensible par tous les décideurs.
Autrement dit : la cellule de crise doit travailler à partir de la même réalité.
La première règle : distinguer les faits, les hypothèses et les informations à confirmer
Cette distinction paraît élémentaire.
Dans la pratique, elle est souvent négligée.
Prenons une cyberattaque.
« Nos serveurs sont chiffrés » constitue un fait uniquement lorsque cette information a été techniquement confirmée.
« Il s'agit probablement d'un ransomware » est une hypothèse.
« Des données clients auraient été exfiltrées » constitue une information à confirmer tant qu'aucun élément fiable ne permet de l'établir.
Mélanger ces trois niveaux entraîne rapidement de mauvaises décisions.
Une grille simple pour qualifier l'information
Chaque information stratégique arrivant dans la cellule devrait pouvoir être classée dans une catégorie simple :
Fait établi : information vérifiée et dont la source est identifiée.
Hypothèse : explication plausible qui doit encore être validée.
Information à confirmer : élément reçu dont la fiabilité n'est pas encore suffisante.
Décision : arbitrage officiellement rendu par l'autorité compétente.
Action : mesure décidée, affectée à un responsable et associée à une échéance.
Cette discipline réduit considérablement les confusions.
Elle permet également de reconstruire ultérieurement la chronologie de la crise et de comprendre pourquoi certaines décisions ont été prises.
Une main courante de crise n'est pas un accessoire administratif
La main courante constitue l'un des outils fondamentaux d'une cellule de crise.
Elle permet de conserver la chronologie des informations reçues, des décisions prises, des actions engagées et des événements importants.
Mais son utilité va beaucoup plus loin.
Une bonne main courante est aussi un outil cognitif collectif.
Elle évite que chacun tente de reconstruire mentalement la situation à partir de ses propres informations.
Elle donne à l'organisation une mémoire commune.
Que doit contenir une main courante de crise ?
À minima, chaque entrée devrait permettre d'identifier :
l'heure ;
l'information ou l'événement ;
la source ;
le niveau de fiabilité lorsqu'il doit être précisé ;
la décision éventuelle ;
l'action demandée ;
son responsable ;
son statut.
L'outil utilisé importe finalement moins que sa fiabilité et son appropriation par l'équipe.
Tableau physique, solution numérique dédiée ou dispositif hybride peuvent fonctionner.
La règle essentielle reste la même : la cellule doit savoir où se trouve la version de référence de la situation.
Le dirigeant n'a pas besoin d'être expert technique, mais il doit comprendre les enjeux
La crise cyber constitue probablement l'un des meilleurs exemples.
Lorsqu'un RSSI, un DSI ou un prestataire explique qu'un Active Directory est compromis, qu'une exfiltration est suspectée ou qu'un environnement OT pourrait être affecté, ces éléments ont un sens immédiat pour un spécialiste.
Ils peuvent être beaucoup moins intelligibles pour le président ou le directeur général qui doit pourtant prendre des décisions pouvant engager l'avenir de l'entreprise.
Le dirigeant n'a pas vocation à devenir ingénieur cybersécurité.
En revanche, il doit disposer d'une traduction stratégique du problème.
La technique doit être transformée en conséquences opérationnelles
Une bonne cellule de crise ne doit pas simplement répondre à :
« Que se passe-t-il techniquement ? »
Elle doit également répondre à :
« Qu'est-ce que cela signifie pour l'entreprise ? »
Par exemple :
Quels sites fonctionnent encore ?
Quelles activités sont interrompues ?
Quelles activités peuvent continuer en mode dégradé ?
Des personnes sont-elles exposées ?
Des données sensibles sont-elles potentiellement concernées ?
Quels clients ou partenaires peuvent être affectés ?
Quelle décision doit être prise immédiatement ?
Que se passera-t-il si aucune décision n'est prise dans les deux prochaines heures ?
La gestion de crise commence lorsque l'expertise technique devient intelligible pour le décideur.
En crise, la hiérarchisation compte davantage que l'exhaustivité
L'un des pièges les plus fréquents consiste à attendre d'avoir toutes les informations avant de décider.
Cette situation arrive rarement.
La norme internationale ISO 22361 consacrée à la gestion de crise place précisément la prise de décision stratégique parmi les dimensions centrales du dispositif de crise.
Car une décision de crise est presque toujours prise dans l'incertitude.
L'objectif ne consiste donc pas à supprimer l'incertitude.
Il consiste à obtenir suffisamment d'informations fiables pour prendre la meilleure décision possible à un instant donné, puis à réévaluer cette décision lorsque de nouveaux éléments apparaissent.
Les cinq questions qui doivent structurer le premier point de situation
Dans les premières minutes, une cellule de crise devrait pouvoir répondre à cinq questions :
Que savons-nous avec certitude ?
Que ne savons-nous pas encore ?
Quels sont les impacts actuels ?
Quels sont les risques d'aggravation ?
Quelles décisions doivent être prises maintenant ?
Ces questions permettent de déplacer la cellule d'une logique de collecte vers une logique de décision.
C'est une différence fondamentale.
L'absence d'un expert clé ne devrait jamais désorganiser toute la cellule
Une crise réelle survient rarement dans des conditions idéales.
L'expert indispensable peut être absent.
Le dirigeant peut être en déplacement.
Le responsable informatique peut être indisponible.
Une partie des systèmes peut ne plus fonctionner.
Un prestataire peut être difficile à joindre.
C'est précisément ce qui rend la préparation indispensable.
Les exercices sont parfois construits dans des conditions artificiellement favorables.
Le directeur informatique est présent.
Le directeur général est disponible.
Les locaux fonctionnent.
Les téléphones aussi.
La vraie crise n'accorde aucune de ces garanties.
Une organisation résiliente doit prévoir la suppléance
Chaque fonction critique du dispositif devrait disposer d'au moins une solution de remplacement.
Qui remplace le directeur de crise ?
Qui assure la fonction communication ?
Qui peut parler au prestataire informatique ?
Qui prend la main si le RSSI est inaccessible ?
Qui possède les coordonnées des acteurs externes ?
Qui peut accéder aux documents de crise si le système informatique ne fonctionne plus ?
Une organisation véritablement préparée ne dépend pas d'une seule personne.
La résilience repose autant sur la redondance humaine que sur la redondance technique.
Pourquoi les exercices de crise doivent-ils être inconfortables ?
Un exercice trop fluide rassure.
Il ne prépare pas nécessairement.
L'entraînement doit confronter les participants aux imperfections qui caractérisent une véritable crise : manque d'informations, absence d'un acteur, contradiction entre plusieurs sources, pression médiatique, problème technique, demande urgente d'un client ou événement venant remettre en cause la décision précédente.
L'ANSSI considère l'entraînement comme un élément essentiel de la préparation aux crises cyber.
L'objectif n'est pas de vérifier que chacun sait lire une procédure.
Il est de vérifier que l'organisation reste capable de penser, de coordonner et de décider lorsque la procédure ne suffit plus.
Les sept réflexes à adopter lorsqu'une crise commence
Une organisation confrontée à un événement majeur devrait très rapidement chercher à accomplir sept actions.
1. Qualifier l'événement
Déterminer si l'incident justifie ou non l'activation du dispositif de crise.
Tous les incidents ne nécessitent pas l'activation d'une cellule stratégique. En revanche, attendre trop longtemps peut faire perdre un temps précieux.
2. Identifier le directeur de crise
Une personne doit être clairement responsable du pilotage et des arbitrages.
L'ambiguïté sur le leadership constitue l'un des premiers facteurs de désorganisation.
3. Réunir uniquement les fonctions nécessaires
Une cellule trop nombreuse ralentit la circulation de l'information et dilue les responsabilités.
Les experts peuvent être mobilisés ponctuellement sans nécessairement participer à toutes les séquences de décision.
4. Créer une situation opérationnelle commune
Centraliser les faits disponibles et distinguer clairement les informations confirmées des hypothèses.
Tout le monde doit travailler à partir de la même représentation de la situation.
5. Réduire les canaux parallèles
Déterminer où l'information de référence doit être centralisée.
Il ne s'agit pas nécessairement d'interdire tout autre outil, mais de définir clairement quel canal ou support fait autorité.
6. Prioriser les décisions
Toutes les informations ne nécessitent pas une décision immédiate.
Certaines décisions, en revanche, ne peuvent pas attendre.
La cellule doit donc constamment distinguer ce qui est urgent de ce qui est simplement important.
7. Anticiper
La cellule ne doit pas uniquement gérer ce qui vient de se produire.
Elle doit en permanence se demander ce qui pourrait arriver ensuite.
Une cellule de crise doit simultanément gérer le présent et préparer l'avenir
C'est probablement l'un des exercices les plus difficiles.
Une partie de l'organisation traite les conséquences immédiates.
Une autre doit déjà regarder plusieurs heures ou plusieurs jours devant elle.
Que se passe-t-il si l'interruption dure 24 heures ?
Et 72 heures ?
Que se passe-t-il si l'information devient publique ?
Si un journaliste appelle ?
Si un client stratégique s'inquiète ?
Si une autorité intervient ?
Si une seconde défaillance apparaît ?
Cette fonction d'anticipation est indispensable.
Sans elle, la cellule passe toute la crise en retard d'un événement.
La communication de crise commence avant le premier communiqué de presse
La communication de crise est parfois réduite à la relation avec les médias.
C'est une erreur.
Avant de communiquer à l'extérieur, l'organisation doit savoir ce qu'elle veut dire, à qui, dans quel objectif et sur la base de quelles informations.
Elle doit également coordonner sa communication interne.
L'ANSSI rappelle dans son guide consacré à la communication de crise cyber l'importance de préparer les messages clés et de piloter de manière cohérente la communication interne et externe.
Le premier enjeu de communication est donc la cohérence.
Une entreprise ne peut pas expliquer correctement sa situation à ses salariés, ses clients, ses partenaires, les autorités ou les médias si sa propre cellule de crise ne partage pas une compréhension commune de l'événement.
Le vrai enjeu de la gestion de crise : recréer de la clarté
Une crise crée une rupture.
Rupture des habitudes.
Rupture des circuits de décision.
Rupture des certitudes.
Rupture parfois des outils habituels.
Face à cette rupture, la mission d'une cellule de crise peut finalement être résumée simplement :
réduire progressivement l'incertitude pour permettre à l'organisation de reprendre le contrôle.
Cela nécessite de filtrer les informations, de hiérarchiser les enjeux, de formuler des hypothèses, d'anticiper, de décider puis de contrôler les conséquences des décisions prises.
Le premier ennemi n'est donc pas toujours l'absence d'information.
C'est souvent la confusion.
Comment préparer son entreprise avant la prochaine crise ?
Une organisation réellement résiliente ne se contente pas de disposer d'un classeur intitulé « Plan de gestion de crise ».
Elle vérifie régulièrement que son dispositif fonctionne.
Elle teste sa chaîne d'alerte.
Elle entraîne ses dirigeants.
Elle forme les suppléants.
Elle prépare ses outils.
Elle organise des exercices réalistes.
Elle teste sa communication.
Elle réalise des retours d'expérience.
Et surtout, elle adapte ses procédures aux enseignements du terrain.
Un plan de crise qui n'a jamais été testé reste une hypothèse.
FAQ : les questions essentielles sur les premières minutes d'une crise
Que faut-il faire en premier lorsqu'une crise survient ?
La première priorité consiste à qualifier la situation, identifier les impacts immédiats, mobiliser les fonctions nécessaires et établir une vision commune des faits disponibles.
Il ne faut pas chercher immédiatement à tout résoudre.
Il faut d'abord organiser le pilotage.
Qui doit diriger une cellule de crise ?
La cellule doit être dirigée par une personne disposant d'une légitimité suffisante pour arbitrer et engager l'organisation.
Selon la nature et l'importance de la crise, il peut s'agir d'un dirigeant, d'un directeur général ou d'un responsable disposant d'une délégation clairement définie.
Combien de personnes faut-il dans une cellule de crise ?
Il n'existe pas de nombre universel.
La cellule doit être suffisamment complète pour couvrir les fonctions essentielles, mais suffisamment restreinte pour conserver sa capacité de décision.
Les experts peuvent être sollicités sans nécessairement participer en permanence au niveau stratégique.
Pourquoi faut-il centraliser les informations pendant une crise ?
Parce que plusieurs canaux parallèles créent rapidement plusieurs représentations de la situation.
La centralisation permet aux décideurs de travailler à partir des mêmes faits, d'identifier les contradictions et de conserver une traçabilité des décisions.
À quoi servent les exercices de gestion de crise ?
Les exercices permettent de tester les procédures, mais surtout les comportements, la coordination, la chaîne de décision, la circulation de l'information et la capacité de l'organisation à fonctionner sous contrainte.
Ils permettent également d'identifier les vulnérabilités avant qu'une crise réelle ne les révèle.
Comment améliorer la prise de décision en situation de crise ?
Il faut distinguer les faits des hypothèses, hiérarchiser les enjeux, identifier les informations réellement nécessaires à la décision, attribuer clairement les responsabilités et réévaluer régulièrement la situation.
L'objectif n'est pas d'attendre la certitude, mais de décider de manière structurée malgré l'incertitude.
Préparer la crise avant qu'elle ne décide à votre place
La question n'est pas de savoir si une organisation connaîtra un jour un événement déstabilisant.
La vraie question est de savoir comment elle fonctionnera lorsque ses certitudes, ses outils et ses habitudes seront brutalement remis en cause.
Une procédure ne remplacera jamais la capacité de jugement.
Un outil ne remplacera jamais une gouvernance claire.
Et aucune technologie ne supprimera totalement l'incertitude.
Mais une organisation entraînée peut apprendre à décider malgré cette incertitude.
ARKANE RISK : préparer, entraîner et accompagner les organisations face aux crises complexes
ARKANE RISK accompagne les entreprises, dirigeants et équipes de direction dans la préparation et la gestion des situations sensibles : gestion et communication de crise, exercices de simulation, organisation des cellules de crise, aide à la décision, anticipation, gestion globale des risques et accompagnement opérationnel en situation réelle.
Notre approche poursuit un objectif concret : construire des dispositifs simples, robustes et réellement utilisables lorsque la crise survient.
Vous souhaitez évaluer la maturité de votre organisation, tester votre cellule de crise ou préparer vos équipes à un scénario complexe ?
Contactez ARKANE RISK ou prenez directement rendez-vous avec notre agence : https://zcal.co/arkanerisk/entretien
Parce qu'en situation de crise, le moment de découvrir les faiblesses de son organisation ne devrait jamais être le jour où l'événement survient.
Commentaires