4 min de lecture
La préparation est une habitude, pas un projet
En mars, une entreprise fictive de 500 personnes termine son projet de plan de crise : deux jours d’atelier, un plan de quarante pages, une validation par le comité de direction, un dossier rangé là où l’on range les dossiers. En octobre, personne ne l’a rouvert. Pendant ces sept mois, le responsable de la sécurité est parti, un nouvel entrepôt a ouvert, et le fournisseur de messagerie a changé. Si une crise éclate demain, le plan décrira une entreprise qui n’existe plus. Ce sort est celui de beaucoup de préparations conduites comme des projets, avec un début, une fin et un dossier. La préparation ressemble davantage à la forme physique qu’à un achat : elle n’existe que tant qu’on l’entretient.
Pourquoi un plan vieillit
Rien de ce qui précède n’est une faute des auteurs du plan. Une organisation vit, et chacune de ses évolutions, banale en elle-même, invalide discrètement une ligne du texte : un collaborateur change de fonction, un système migre vers le cloud, un fournisseur est remplacé, un site ouvre ou ferme. Aucune de ces décisions n’est prise en pensant au plan de crise, et c’est normal, car elles répondent à d’autres besoins. Mais l’effet cumulé est réel. Au bout d’un an, la liste des contacts et la cartographie des dépendances ne décrivent plus l’organisation, et personne ne le sait avant d’en avoir besoin.
C’est la raison pour laquelle un plan daté ne prouve rien, quel que soit le soin apporté à sa rédaction. Sa date dit quand il était exact, pas s’il l’est encore. Seule une épreuve récente dit si l’organisation décrite est encore celle qui existe.
Une fois par an ne suffit pas
Un exercice annuel teste, en réalité, l’organisation d’il y a un an. Entre deux exercices, les participants oublient une partie de ce qu’ils ont appris, et les nouveaux arrivés n’ont jamais joué. Il vaut mieux multiplier des exercices plus courts, plus fréquents et plus variés : un rançongiciel, une fuite de données, un incident chez un fournisseur, la perte d’un site, avec des rôles différents à chaque fois et la direction autour de la table.
Un rythme réaliste pour une année pourrait ressembler à ceci : un exercice tabletop avec la direction au premier trimestre, une simulation avec les équipes informatiques au deuxième, un scénario centré sur un fournisseur au troisième, un exercice sur la communication et les autorités au quatrième. Chacun dure moins d’une demi-journée, et le rapport de l’un alimente la préparation du suivant. Dans notre entreprise fictive, cette cadence aurait fait ressortir le départ du responsable de la sécurité dès le deuxième trimestre, parce que la simulation aurait buté sur un rôle sans titulaire, et l’ouverture de l’entrepôt au troisième, parce qu’un scénario de site perdu ne l’aurait pas trouvé dans la liste.
Ce qui rend la répétition possible : son coût
L’obstacle principal à cette cadence est le coût. Un exercice animé par un prestataire demande plusieurs jours de préparation et un budget à chaque séance, si bien qu’on le fait une fois et qu’on s’en tient là. Si préparer un exercice prend quelques minutes au lieu de plusieurs jours, répéter devient réaliste. C’est le pari d’UnderCrisis : générer l’exercice à partir de votre contexte, pour un budget faible, afin de pouvoir le rejouer. Cela ne dispense pas de l’essentiel, qui reste humain : que les bonnes personnes soient dans la pièce, et que les écarts trouvés soient corrigés.
Mesurer les progrès, et la conformité qui en découle
Répéter n’a de sens que si l’on voit ce qui s’améliore. Quelques indicateurs suffisent, suivis d’un exercice à l’autre : le temps avant la première décision, le temps avant la notification, la part des actions du dernier exercice réellement closes, le nombre de rôles qui ont tenu leur place. On referme les actions de l’exercice précédent avant d’en lancer un nouveau, et on rejoue parfois le même scénario pour constater ce qui a changé.
La conformité découle de cette discipline plus qu’elle ne la dicte. La directive NIS2 demande des mesures de gestion des incidents, de continuité d’activité et de gestion de crise. Le règlement DORA impose aux entités financières un programme de tests de résilience opérationnelle numérique, qui comprend des tests fondés sur des scénarios. Le délai de 72 heures du RGPD ne se tient que si quelqu’un sait que cette notification est la sienne. Les autorités demandent des preuves, et le rapport d’un exercice, avec ses traces, en est une. La conformité est la conséquence d’une organisation préparée, pas son but, et l’entreprise fictive de mars l’aurait compris en octobre : la préparation ne se termine pas avec le projet, elle commence là.