Everyone Has A Plan Until They Get Punched In The Face

La Résilience : Capacités contre Plans Rigides

L’efficacité face à l’adversité, qu’il s’agisse d’un incident de cybersécurité ou d’une crise plus large, ne réside pas dans des plans préétablis qui sont vite dépassés par la réalité. Il s’agit plutôt de posséder des capacités solides et éprouvées qui permettent de s’adapter.

Les organisations qui réussissent disposent d’une combinaison de personnes compétentes, de processus éprouvés et de technologies robustes. Ces capacités doivent être constamment entretenues et utilisées dans le cadre des opérations quotidiennes pour garantir leur bon fonctionnement. En cas de crise, ces capacités sont réorganisées et déployées de manière flexible pour répondre à la situation.

Face à un événement imprévu, les équipes sous pression ne consultent pas de volumineux manuels. Les crises sont souvent uniques, rendant les plans génériques difficiles à appliquer. De plus, des plans peu testés peuvent révéler des défaillances dans leurs composantes essentielles au moment où elles sont le plus nécessaires.

Pour bâtir une véritable résilience, il faut se concentrer sur le développement et le maintien de ces capacités.

Points clés :

• La résilience est une affaire de capacités, pas seulement de plans. Les plans rigides ne survivent pas au contact avec la réalité d’une crise.
• Les capacités sont des ensembles de personnes, processus et technologies maintenus et surveillés pour répondre à des niveaux de service définis.
• L’utilisation régulière des capacités est essentielle pour assurer leur bon fonctionnement.
• La gestion de la capacité et la possibilité de la faire évoluer rapidement sont cruciales.
• Il est important de séparer les tests de capacités des exercices de réponse aux crises. Les exercices doivent se concentrer sur l’entraînement des équipes, en s’appuyant sur des capacités déjà fiables.
• Les “micro-exercices”, petits et fréquents, permettent de renforcer la mémoire collective de l’organisation pour répondre aux crises.
• Minimiser le “rayon d’impact” des événements potentiels en découplant les systèmes et processus.
• Anticiper les menaces en étudiant les incidents passés et en combinant des scénarios extrêmes pour tester la résilience.
• Utiliser des “playbooks” et des checklists pour guider l’utilisation des capacités, mais ces documents doivent être concis et orientés vers l’action.
• Mettre en place des structures de leadership de crise claires, avec des protocoles de communication établis et des rôles bien définis pour assurer une réponse coordonnée.

En fin de compte, les organisations les plus résilientes disposent d’un socle solide de capacités, d’une mémoire organisationnelle leur permettant de les réarranger rapidement et d’une culture favorisant l’adaptation continue. Elles ont bien des plans, mais elles ne dépendent pas d’eux.

Source