« Jour d’après » : la résilience comme culture d’entreprise

11 septembre, Xynthia, Fukushima, Subprimes, Brexit et Covid-19 : les crises se suivent et ne se ressemblent pas… Cet environnement imprévisible et complexe rend la tâche des dirigeants et décideurs de plus en plus ardue. 

La situation actuelle s’apparente ainsi pour beaucoup à courir un marathon à la vitesse d'un sprint : il va sans dire qu’on ne saurait espérer tenir une telle performance sans une excellente préparation. 
Dans quelle mesure la définition d’une stratégie de continuité peut-elle réellement y contribuer ? 

Aucun Plan de Continuité d’Activité (PCA) n’aurait permis à une organisation de vivre le choc sanitaire et économique que nous connaissons sans tressaillir. Malgré tout, Orange par exemple annonce avoir conservé 90% de ses capacités opérationnelles après l’activation de son PCA, ce qui inclut des interventions de terrain y compris dans le Grand Est, et une explosion de la sollicitation des réseaux inimaginable il y a peu. 

Le PCA a pourtant souvent mauvaise presse, plutôt vu comme une obligation réglementaire ou contractuelle que comme un réel outil opérationnel. Alors comment mettre en place un PCA apportant une réelle aide en cas de crise ?

Quatre piliers nous semblent essentiels pour l’élaboration d’une stratégie de continuité efficace : une réponse globale, l'intelligence collective, l'amélioration continue, le pragmatisme.

Le Plan de Continuité d'Activité - PCA - doit être une réponse globale

Beaucoup d’organisations ont concentré leurs efforts sur la continuité des services informatiques, dans la mesure où l’IT est le support de l’essentiel des processus. Près de la moitié des responsables de PCA en France dépendent ainsi des DSI.

Pourtant un PCI (Plan de Continuité Informatique) n’est pas un PCA : les sous-traitants, la logistique, les transports pour accéder aux sites, sont aussi des composantes essentielles de l’écosystème d’une organisation.

C’est pourquoi l’approche que nous recommandons consiste à commencer par prendre de la hauteur et repartir des processus clés de l’organisation (relation client, logistique, paye…). On mesure ensuite l’impact de l’interruption de chaque processus afin de leur fixer des objectifs de continuité. Ce n’est qu’une fois ce travail réalisé qu’il sera possible d’identifier les risques portant sur chaque processus et de définir les actions à mener pour en assurer la continuité (mode dégradé, site de repli, partenariats, stocks…).

Enfin pour être complet, il est essentiel que ce travail inclut les partenaires (sous-traitants, prestataires essentiels). Ce qui ne sera pas une mince affaire lorsque l’on sait que de nombreuses entreprises n’ont pas de référentiel de leurs sous-traitants de rang 1, et ignorent tout de ceux de rang 2… Nous verrons plus loin comment une approche normative peut aider sur ce point.

S’appuyer sur l’intelligence collective

Un élément apparemment insignifiant peut arrêter toute une chaîne de production. De ce fait un plan de continuité doit s’appuyer sur la connaissance opérationnelle de toutes les strates de l’organisation. C’est pourquoi il nous semble essentiel d’appuyer la démarche sur le capital humain, en impliquant largement les collaborateurs dans la co-construction du PCA afin d’avoir une vision très opérationnelle des mesures à prendre et d’aboutir à des procédures de crise efficaces.

Les démarches collaboratives issues des projets agiles nous semblent particulièrement adaptées, comme par exemple la rétrospective en étoile pour consolider les retours d’expérience. Cette co-construction est par ailleurs un facteur déterminant pour intégrer peu à peu la continuité d’activité dans la culture de l’organisation, et qu’elle soit ainsi prise en compte progressivement dès la conception de ses processus clés.

Pratiquer l’amélioration continue

Un plan de continuité est vivant. La crise actuelle en est un parfait exemple : si elle pouvait difficilement être anticipée de par son ampleur, il est de la responsabilité de chacun d’en tirer les enseignements pour l’avenir.

C’est précisément l’objectif des principes de l’amélioration continue. De ce point de vue, l’AFNOR apporte une démarche intéressante décrite dans le document « Sécurité et résilience – Systèmes de management de la continuité d'activité » (ISO22301, en accès libre sur le site de l’Afnor pendant la crise du COVID19).

Elle nous fournit un cadre très efficace pour déployer un PCA robuste et efficace : 

●    La démarche est construite sur le cycle d’amélioration continue « PDCA » qui a largement fait ses preuves depuis son invention par Demming dans les années 50 (Plan-Do-Check-Act, parfois traduit par Planifier-Developper-Contrôler-Ajuster),

●    La méthode couvre tous les facteurs clés de réussite : de l’implication de la Direction à la formation des collaborateurs en passant par la méthode d’analyse des processus ou l’affectation de moyens suffisants,

●    Le dispositif est auditable. Cela en facilite le contrôle et alimente les boucles d’amélioration tout en augmentant la confiance des tiers (clients, employés, actionnaires), 

●    Il apporte de la cohérence avec les autres systèmes de management de la qualité, de la sécurité de l’information ou de la RSE, et peut être une bonne base d’échange avec les fournisseurs et sous-traitants.

Rester pragmatique

Les moyens humains et financiers, la disponibilité des intervenants, les priorités des chantiers font que tous les facteurs de risque de continuité ne peuvent être traités. 

Mais tout l’intérêt d’une démarche PCA bien menée est d’augmenter globalement et progressivement la résilience de l’organisation sur un panel de plus en plus large de contextes de crises. Par exemple, le télétravail anticipé pour pallier l’inaccessibilité des bureaux administratifs dans le scénario d’une catastrophe naturelle se révèlera très adapté dans l’hypothèse d’un confinement.

On pourra d’ailleurs trouver des bénéfices collatéraux à la mise en place des mesures de continuité d’activité, comme la dématérialisation de documents pour parer à l’inaccessibilité d’un site, et qui en faciliteront l’usage au quotidien.

Chaque aspect qui pourra être anticipé contribuera à réduire le stress en situation de crise. Il n’en reste pas moins que ce qui caractérise une crise, c’est l’incertitude : le rôle de la cellule de crise sera dès lors d’adapter le dispositif à la situation rencontrée.

Demain ne meurt jamais

Dans la logique de Deming énoncée plus haut, il est essentiel après la crise de prendre de la hauteur pour dresser l’inventaire : quelles dispositions prendre pour être mieux préparés à court ou long terme ? Quelle pérennité donner aux mesures prises dans l’urgence ? Doit-on réviser notre manière d’appréhender les risques ?

Nassim Nicholas Taleb a nommé cygnes noirs ces crises majeures et imprévisibles (ou plutôt collectivement imprévues) qui transforment profondément nos sociétés. Elles sont aussi l’opportunité de renforcer notre anticipation des risques et de renforcer la robustesse de nos organisations, en faisant progressivement de la résilience un élément majeur de nos cultures d’entreprises.