5 min de lecture
La résilience se prépare avant la crise
Un lundi, à 6 h 40, le responsable d’exploitation d’une société de logistique de 180 personnes constate que le logiciel d’entrepôt ne répond plus. Trois camions attendent à quai, la messagerie est tombée avec le reste, et personne ne sait encore si c’est une panne ou une attaque. Ce cas est fictif, mais beaucoup de directions le reconnaîtront, et il pose la question de cet article : ce qui décide de la suite, ce sont moins les outils que l’organisation a achetés que les décisions qu’elle a déjà prises, et répétées, avant ce lundi-là.
Ce qu’un plan de continuité ne dit pas
Cette société a un plan de continuité. Il a été rédigé il y a deux ans par un consultant, approuvé par la direction, rangé sur un partage réseau, qui est justement l’un des systèmes tombés ce matin. Même imprimé, il serait de peu d’usage à 6 h 40, et la raison n’a rien d’une négligence : un plan décrit l’organisation telle qu’elle était le jour où on l’a écrit. Depuis, deux responsables ont changé de poste, l’entrepôt est passé sur un logiciel hébergé chez un fournisseur, et le numéro d’astreinte du directeur informatique est celui d’un téléphone que la société a remplacé. Chacun de ces changements a rendu fausse une ligne du plan, sans que personne ne s’en aperçoive, parce que rien dans la vie ordinaire de l’entreprise ne vient jamais vérifier ces lignes.
C’est toute la différence entre un document et une capacité. Un document se constate : il existe, il a été signé, il est à jour à telle date. Une capacité ne se constate qu’à l’usage : elle consiste à continuer de rendre les services essentiels pendant un choc, puis à revenir à la normale sans perdre ce qui compte. Elle dépend de ce que des personnes savent faire ensemble quand les conditions sont mauvaises, et ni l’assurance, ni les sauvegardes, ni le plan n’en tiennent lieu. Ce sont des ingrédients nécessaires, que ce lundi matin ne suffit pas à assembler.
Les décisions qui ne se prennent pas à chaud
Revenons à 6 h 40. Dans la salle où se retrouvent quatre ou cinq responsables, la ressource la plus rare n’est pas technique, c’est l’attention. Chaque décision prise sur place en consomme, et elle en consomme davantage quand l’information manque, quand le temps presse et quand les conséquences touchent des clients. Tant que le groupe débat de la nature de la panne, il ne s’occupe pas de ce qui coûte déjà de l’argent : trois camions qui attendent et des livraisons du jour qui ne partiront pas.
Beaucoup de ces décisions pouvaient pourtant être prises à l’avance, au calme. Quels services sont essentiels, et dans quel ordre veut-on les rétablir ? Qui peut décider de couper une connexion, ou d’arrêter une ligne, sans attendre l’accord de quelqu’un d’injoignable ? Qui parle aux collaborateurs, aux clients, aux autorités ? Quel fonctionnement dégradé est acceptable, et pendant combien de temps ? Pour cette société, une seule de ces réponses aurait changé la matinée : savoir que le responsable d’exploitation a le droit d’autoriser des bons de préparation sur papier, et que ces bons sont imprimés quelque part. Faute de cela, le quai attend une décision que personne ne se sent autorisé à prendre, alors qu’elle ne coûterait presque rien. Quand la réponse à toutes ces questions est « on verra », la crise commence à coûter avant même qu’on sache de quoi il s’agit.
Ce que seule l’épreuve révèle
On ne sait pas si un plan fonctionne en le relisant. La relecture vérifie la cohérence du texte, pas la capacité de l’équipe, et c’est pourquoi l’épreuve a une valeur propre : elle se fait avec un temps limité, des informations partielles et des personnes qui ne sont pas toutes celles que le plan désigne, parce que l’une est en congé et qu’une autre est malade ce jour-là. C’est dans ces conditions qu’apparaissent les écarts : la liste de téléphones périmée, le mot de passe d’un compte critique que seule une personne peut ouvrir, la décision que chacun attendait d’un autre. Aucun n’est spectaculaire, et tous coûtent cher quand on les découvre un lundi à 6 h 40.
Chaque écart trouvé pendant un exercice est donc un écart qu’on ne rencontre pas pendant la vraie crise, et c’est en ce sens précis que l’exercice protège. Il fait aussi autre chose, qui se mesure moins bien : une équipe qui a déjà joué une situation de crise réagit autrement la fois suivante. Elle connaît le vocabulaire, sait qui fait quoi, et a déjà éprouvé la pression, qui la paralyse moins. Une grande part d’un incident se joue dans la qualité de la coordination, bien plus que dans le choix d’un outil.
Par où commencer
Trois gestes suffisent pour commencer, et aucun ne demande de budget. Le premier consiste à lister cinq à dix services dont l’interruption ferait le plus mal, et à écrire, pour chacun, combien de temps l’entreprise peut s’en passer. Le deuxième consiste à noter, pour chaque service, qui décide et qui remplace cette personne quand elle est absente. Le troisième consiste à faire jouer à l’équipe la perte de l’un de ces services, avec les personnes qui seraient réellement dans la pièce, et à noter, sans commentaire, ce qui n’a pas fonctionné.
Reste le plus important : corriger, puis recommencer avec un autre scénario. Pour la société de logistique, cela pourrait donner un premier exercice sur le quai et le papier, un deuxième sur la perte de la messagerie, un troisième sur un fournisseur devenu injoignable. La résilience ne se termine jamais, elle se maintient, par petites séances plutôt que par un grand projet, et l’organisation qui l’a compris n’attend pas un lundi à 6 h 40 pour savoir ce que valent ses décisions.