Security Leadership Master Class 6 : When disaster strikes

La Résilience Organisationnelle face aux Crises

Face à l’inévitable survenue d’incidents ou de catastrophes, la véritable mesure d’une organisation réside dans sa capacité à contenir, répondre, maintenir ses opérations (même dégradées), récupérer et tirer des leçons. Une gestion efficace de ces situations, tout en assurant un support client et le bien-être du personnel, peut même renforcer la marque.

La résilience ne dépend pas tant de plans rigides que de capacités éprouvées et d’une mémoire organisationnelle acquise par la pratique. En situation de crise, la panique et l’unicité des événements rendent les plans détaillés peu pratiques. C’est la “musculature” acquise lors d’exercices et l’utilisation de listes de contrôle et de guides d’exécution qui s’avèrent efficaces. Ces capacités doivent être continuellement entretenues et testées indépendamment des crises.

Pour intégrer la résilience dans un système, il faut concevoir pour les états dégradés, minimiser le rayon d’impact des incidents, et augmenter le découplage entre les systèmes et processus. Il est crucial de maximiser des caractéristiques telles que la capacité de tampon, la flexibilité, la marge et la tolérance à la dégradation. L’application de la théorie du contrôle et l’instauration de contraintes de sécurité hiérarchiques sont également des approches clés.

La préparation doit viser à construire une mémoire organisationnelle par des exercices fréquents, ciblés et de petite échelle (“micro-drills”), séparés des tests de capacités fondamentales. L’utilisation régulière des capacités de résilience en opérations courantes renforce leur fiabilité. Des structures de commandement de crise répétées et distinctes pour la direction et les équipes techniques évitent les interférences.

L’apprentissage continu, issu des incidents et des quasi-accidents, est fondamental pour améliorer la résilience. Il faut surveiller la “dérive vers l’échec”, où de petites décisions compromettent progressivement la sécurité. Les dirigeants doivent activement contrer la “thermocline de la vérité” pour que les réalités complexes des projets et des risques parviennent au plus haut niveau. La création de “sanctuaires de l’échec” pour documenter et partager les leçons apprises, ainsi que la suppression des obstacles au signalement des problèmes, sont des pratiques essentielles.

En définitive, la sécurité et la sûreté sont des actions continues plutôt que des états statiques. Privilégier les capacités dynamiques, concevoir pour absorber le stress et exercer rigoureusement la mémoire de réponse permet aux organisations de fonctionner même dans des scénarios extrêmes.

Points Clés :

• La résilience repose sur des capacités et une mémoire organisationnelle acquise par la pratique, et non sur des plans rigides.
• Les plans détaillés sont inefficaces en situation de crise ; les guides et les listes de contrôle sont préférables.
• La résilience doit être intégrée dès la conception des systèmes (“engineering”).
• Des exercices fréquents, ciblés et de petite échelle (“micro-drills”) sont essentiels pour bâtir la mémoire organisationnelle.
• L’apprentissage continu des échecs et des quasi-accidents est crucial pour l’amélioration.
• La culture organisationnelle doit encourager le signalement des problèmes et la transparence.

Vulnérabilités :

• Les plans détaillés ne sont pas adaptés aux situations de crise uniques et imprévisibles.
• La tendance à la “dérive vers l’échec” par des décisions successives qui érodent les marges de sécurité.
• Les barrières organisationnelles qui empêchent la remontée d’informations sur les problèmes réels.
• Le manque de pratiques régulières et la dépendance à de grands exercices annuels peu fréquents.

Recommandations :

• Développer des capacités résilientes plutôt que de se fier uniquement à des plans.
• Concevoir des systèmes pour fonctionner même dans des états dégradés.
• Minimiser le rayon d’impact des incidents potentiels.
• Augmenter le découplage des systèmes et processus.
• Mettre l’accent sur des caractéristiques clés de résilience : tampon, flexibilité, marge, tolérance.
• Utiliser la théorie du contrôle pour modéliser les systèmes.
• Mettre en place des contraintes de sécurité hiérarchiques.
• Séparer les tests de capacités des exercices de crise.
• Conduire des “micro-drills” fréquents impliquant des sous-ensembles de l’organisation.
• Utiliser régulièrement les capacités résilientes en opérations courantes.
• Établir des structures de leadership de crise répétées et bien définies.
• Apprendre continuellement des échecs et des incidents.
• Surveiller activement la “dérive vers l’échec”.
• Créer une culture où la vérité remonte sans filtre (“Bust the Thermocline of Truth”).
• Documenter et partager les leçons apprises des échecs (“Shrines of Failure”).
• Supprimer les obstacles au signalement des problèmes et les conséquences négatives associées.

Source