La gestion de crise, une compétence qui s’acquiert

Les événements soudains obligent les directions d’entreprise à prendre des décisions rapides tout en agissant sur le plan opérationnel, c’est-à-dire à gérer un événement tout en comprenant, en évaluant et en limitant ses répercussions sur leur propre système. Cette simultanéité peut mettre à rude épreuve les capacités de direction au sein de l’entreprise : les responsabilités, les processus décisionnels et les réglementations sont conçus pour le fonctionnement normal et ne suffisent plus en cas de crise. La gestion de crise vise à créer un cadre d’organisation temporaire. Or, pour cette phase aiguë, il n’existe à ce jour aucune méthode de commandement civile qui relie, au sein d’un processus continu, les étapes allant de la compréhension de la situation à la mise en œuvre des mesures.

Dans la pratique, cette lacune méthodologique est souvent comblée par des approches issues de deux autres univers : la gestion des urgences ou le commandement militaire. Les modèles de gestion des urgences sont axés sur la maîtrise d’un événement. Ils fonctionnent bien lorsque l’événement a été anticipé, que les responsabilités sont définies et que des mesures rodées peuvent être déclenchées, comme en cas d’incendie, d’accident de la circulation ou de panne informatique.

Une crise confronte toutefois la direction de l’entreprise à un autre défi : les problèmes pertinents pour l’entreprise surviennent à la suite d’un événement, ne sont souvent pas immédiatement identifiables et peuvent être existentiels pour une entreprise. La gestion de crise ne considère donc pas seulement la gestion de l’événement comme une tâche, mais aussi, simultanément, la gestion des répercussions de cet événement sur l’entreprise. La gestion des urgences et la gestion de crise ont ainsi des perspectives différentes sur un même événement.

Un cyberincident en est un exemple parlant. Celui-ci peut constituer une situation d’urgence pour le service informatique concerné et déclencher des mesures préparées et répétées à cet effet. Pour l’entreprise, cela peut rapidement déboucher sur une situation de crise, car les processus métier ne peuvent plus être exécutés, ou ne le sont plus que de manière très limitée. Le cyberincident a des répercussions sur la production, les chaînes d’approvisionnement, les collaborateurs, les fournisseurs, les clients, la capacité à facturer ou à payer des prestations, et bien d’autres aspects encore. Le service informatique est en mode urgence et tente de rétablir les services. L’entreprise passe en mode crise et doit prendre des décisions pour tenter de limiter les dégâts autant que possible.

Les méthodes de commandement militaire traitent ce second défi de façon plus structurée : elles visent à cerner les problèmes dans leur ensemble, à évaluer la situation, à définir des options d’action et à prendre des décisions sous pression et dans l’incertitude. Leur application directe en entreprise reste toutefois limitée, car elles répondent à des exigences et à des structures propres au monde militaire. Elles s’appuient en outre sur une terminologie très normalisée et sur une logique de commandement claire et directe. Indispensable dans les organisations militaires, cette approche peut sembler étrangère aux entreprises civiles et freiner son adoption. Elle suppose aussi une formation approfondie. Jusqu’ici, les entreprises ne disposaient donc pas d’une méthode civile simple à comprendre et à utiliser pour gérer les crises.

C’est pour combler cette lacune qu’EARN a vu le jour. EARN, acronyme de « Enterprise Adaptive Resilience Navigator », est un modèle de processus qui aide les entreprises en situation de crise à agir de manière adaptée à l’événement et à prendre des décisions en fonction de la situation, malgré la pression du temps et l’incertitude. L’accent n’est pas mis sur la compréhension de la terminologie, mais sur les étapes du processus nécessaires à cet effet.

EARN présente de manière claire les étapes nécessaires, depuis l’alerte en cas d’incident jusqu’à la mise en œuvre des mesures requises. Le modèle rassemble et coordonne trois axes d’action déjà bien connus au sein des entreprises : les premières interventions des équipes d’urgence pour maîtriser l’incident à l’origine de la crise, les mesures opérationnelles de l’équipe de crise pour soutenir et sécuriser les activités commerciales, et les décisions stratégiques visant à garantir la pérennité et la poursuite des activités de l’entreprise. Pour ce dernier axe d’action, les décisions sont élaborées par l’organisation de crise, évaluées à l’aune du cadre normatif de l’entreprise, puis soumises au niveau hiérarchique compétent pour décision.

Le modèle exploite autant que possible les processus et les ressources existants au sein de l’entreprise. EARN ne fonctionne donc pas avec une structure de direction parallèle, mais utilise la structure de gouvernance existante pour gérer l’événement et la situation qui en découle pour l’entreprise. Le modèle vise un état cible minimal défini au départ ; une fois celui-ci atteint, la crise est considérée comme maîtrisée et l’entreprise peut reprendre son fonctionnement normal. Le modèle ne constitue donc pas un cycle récurrent. Les phases ne sont répétées que si un changement de la situation susceptible d’influencer la prise de décision venait à se produire. En revanche, les changements mineurs de la situation sont intégrés dans les mesures opérationnelles ou pris en compte en plus lors des décisions importantes pour l’entreprise. Il existe des modèles pour les différentes étapes, qui facilitent les tâches correspondantes tout en documentant leurs résultats.

EARN a déjà été testé et mis en place chez Endress+Hauser Flowtec, dont la cellule de crise a été formée à la méthode EARN. Au cours d’une formation d’une journée, la cellule de crise s’est familiarisée avec la méthodologie et a appris à utiliser les modèles préparés. Le lendemain, la cellule de crise a mené à bien, de manière autonome, un exercice exigeant.

EARN convient également à une gestion des risques basée sur des scénarios. Dans ce cas, le modèle est réduit aux décisions stratégiques pertinentes pour l’entreprise. À partir d’un scénario hypothétique, une entreprise peut identifier et évaluer les risques qui y sont liés et, le cas échéant, prendre des mesures en amont afin d’atténuer les conséquences de ces risques.

EARN est libre de droits pour les entreprises qui l’utilisent à des fins internes. Une formation d’une journée est toutefois recommandée pour l’utilisation du modèle.