PCA et crise sanitaire

28/08/2020

MASTER EN QUALITE ET GESTION DES RISQUES

Dans quelle mesure l'adoption d'un Plan de Continuité d'Activité en entreprise permet de faire face à une crise sanitaire ?

Mémoire présenté par Mathieu GIUSIANO Promotion 2019/2020

Tuteur Bruno TIBERGHIEN

« La continuité d'activité est une philosophie d'entreprise qui consiste

à préparer la guerre en temps de paix »

Sophie Huberson & Benoit Vraie

REMERCIEMENTS

Je tiens à remercier toute l'équipe pédagogique et les intervenants professionnels responsables de la formation en Master de Qualité et Gestion des risques de l'IMPGT pour en avoir assuré la partie théorique et nous avoir fait part de leurs expériences.

Je tiens à remercier tout particulièrement mon tuteur de mémoire, Bruno TIBERGHIEN pour ses conseils et sa disponibilité quant à l'élaboration de ce mémoire.

Enfin, je tiens à remercier l'ensemble des personnes ayant accepté de participer à l'enquête qualitative et qui ont apporté des éléments de réponses enrichissante pour l'analyse du sujet traité.

Sommaire

Introduction

Section 1 : Les enjeux d'une gestion de la crise sanitaire en entreprise

I- La crise sanitaire

II- Le plan de continuité d'activité

III- Le PCA en période de crise sanitaire

Section 2 : Démarche empirique et résolutions managériales

I- Analyse de terrain : le défi de l'application du PCA dans le cadre de la crise sanitaire de la COVID-19

II- Préconisations managériales en vue d'une évolution du PCA en matière de crise sanitaire

Conclusion

Tables des matières Bibliographie

Résumé

5

Introduction

Depuis toujours, une entreprise est perçue comme une entité qui produit des ressources afin de satisfaire les besoins de la société. L'INSEE définit celle-ci comme une « unité économique, juridiquement autonome dont la fonction principale est de produire des biens et services pour le marché ». Toutefois, on ne peut se limiter à cette seule vision élémentaire. Effectivement, la vie d'une entreprise est dépendante de l'évolution économique, d'un système concurrentiel grandissant, d'une multiplication et d'une complexification de règlementations.

Pour pérenniser leurs activités, les organisations se doivent d'être en interaction avec leur environnement dont l'instabilité peut conduire à l'émergence de risques. Outre le fait que « l'entreprise est au centre de forces concurrentiels » (Porter, 1985), l'apparition de nouveaux choix d'organisation (Aoki, 1986), l'avancée technologique, les mutations du système industriel ou encore l'information en réseaux sont autant de facteurs de risques. En effet, les évènements de crises tels que Bhopal (Inde, 1984), la navette Challenger (Etats-Unis, 1986), Tchernobyl (URSS, 1986) ou plus récemment comme l'explosion de l'usine AZF (France, 2001), Fukushima (Japon, 2011), ou Beyrouth (Liban, 2020) ont « démontré à la communauté internationale que le risque zéro n'existait pas »¹. De plus, au cours des vingt dernières années, la mondialisation avec la multiplication des échanges qu'elle implique, engendre une plus grande transmission de ces risques provocant de fait des crises de plus grande ampleur². En effet, les échanges commerciaux, de communication et les déplacements humains au niveau planétaire ont explosé. La mondialisation facilite la circulation des personnes, des biens et des services et de fait, facilite aussi la circulation et la diffusion des crises sur les territoires. Au même titre que la crise financière des Subprimes de 2008, qui a eu des conséquences à l'échelle internationale, la mondialisation est aussi vectrice de transmission de crise sanitaire. C'est notamment le cas pour la Grippe Espagnole en 1918 qui a provoqué plus de 50 millions de morts dans le mort rendant exsangue les pays atteints, ou encore le virus Ebola qui s'est très largement répandu sur l'ensemble des pays du continent africain depuis 1976.

Cela conduit à une nécessité pour les entreprises de mettre en place une gestion des risques. Ce processus vise à « assurer par tous les moyens la sécurité industrielle et la préservation des

¹ DAUTUN et al. (2014), « Le traitement de l'incertitude en gestion de crise : mise en place d'une veille stratégique du territoire », Hal. Archives ouvertes.

² D. PLIHON et al. (2008), « Mondialisation et crises financières », Les rendez-vous de la mondialisation.

6

éléments clef de son fonctionnement et de son développement » (Sabathier et al., 2008). A ce titre, la littérature abondante en matière de gestion des risques présente le Plan de Continuité d'Activité (PCA) comme un outil pertinent et adapté pour les organisations en réponse aux crises. Le PCA correspond à l'ensemble des mesures visant à assurer, selon divers scénarii de crise, le maintien des activités critiques de l'entreprise. Il a pour objet de « décliner la stratégie et l'ensemble des dispositions qui sont prévues par une organisation pour garantir la reprise et la continuité de ses activités à la suite d'un sinistre ou d'un événement perturbant gravement son fonctionnement normal »¹. Autrement dit, le PCA semble être un outil indispensable pour identifier les risques, menaces et vulnérabilité qui pourrait avoir un impact sur les activités de l'organisation.

En revanche, la crise sanitaire, dans toute sa singularité exige une adaptation des activités entrepreneuriales dans un environnement fortement impacté voire détérioré. Elle revêt alors un caractère « atypique par le fait de son envergure tant géographique que par son aspect multidimensionnel »². L'ampleur de la crise sanitaire touche tous les secteurs de l'économie et vient perturber l'équilibre collectif. Les aspects inédits, incertains, inconnus, sont autant de menaces pour la population et a fortiori, pour les entreprises et le maintien de leurs activités.

Du fait du caractère singulier de la crise sanitaire et des multiples conséquences qu'elle engendre, il nous a paru pertinent de se demander dans quelle mesure l'adoption d'un Plan de Continuité d'Activité en entreprise permet d'y faire face.

Dans l'objectif de cerner plus en détail les enjeux liés à cette problématique, nous relèverons dans une première partie les enjeux d'une gestion de la crise sanitaire en entreprise. Pour cela, nous définirons la notion de crise sanitaire, le concept de continuité d'activité et l'intérêt de son adoption par les entreprises en vue de faire face à ce type de crise. Dans une seconde partie, nous comparerons les théories exposées précédemment avec les données de terrain recueillies dans le cadre d'une démarche empirique de mise en place du PCA en réponse à la crise sanitaire de la COVID-19. Nous proposerons également des préconisations managériales permettant de fournir des réponses complémentaires pour une entreprise en vue de faire face aux crises sanitaires actuelles et futures.

¹ A. COURSAGET et L. HASS (2015), « Le plan de continuité d'activité (PCA) : approche méthodologique », Sécurité et Stratégie, p13-20.

² J. LARRIEU (2012), « La crise sanitaire, curiosité ou paradigme ? », Crise(s) et Droit, p.161-178.

SECTION 1

7

Les enjeux d'une gestion de crise sanitaire en entreprise

8

I. La crise sanitaire

A. La notion de crise au sens large

Afin d'apprécier la notion de crise sanitaire, il convient de définir la crise au sens large du terme. En effet, nous constaterons dans cette partie que le concept de crise revêt une multitude de dimensions. Il apparait que la vision d'une crise peut être perçue différemment selon les acteurs et le domaine d'étude¹. Par ailleurs les études menées sur le sujet de différents sociologues et chercheurs ont permis de définir plus précisément cette notion notamment via la création de typologies.

1. Définition

A l'origine, une crise définissait « des phénomènes pathologiques se manifestant de façon brutale et intense, mais pendant une période limitée, et laissant prévoir un changement généralement décisif, en bien ou en mal, dans l'évolution d'une maladie »². Selon Hippocrate cette notion de crise renvoyait au domaine médical pour lequel il existe une crise heureuse et une crise funeste. La crise était le moment où il fallait décider du traitement à promulguer au patient. Le terme évolue avec l'historien grec Thucydide dans son livre sur La Guerre du Péloponnèse traitant du conflit entre les athéniens et les spartiates. En effet, la crise revêt alors une nouvelle dimension, un nouvel état, qui est la conséquence même d'une prise de décision. Elle n'apparait plus uniquement comme un processus de changement, mais devient un lieu de réflexion sur l'évènement et ses origines, « moments de vérité où s'éclairait la signification des hommes et des événements »³.

Etymologiquement le mot crise provient du grec krisis qui signifie décision, jugement. En cela, la crise constitue une rupture d'équilibre qui nécessite l'adoption de choix. Cette prise de décision va donc permettre de surmonter la crise ou bien de la subir.

¹ M. MILET (2005). Cadres de perception et luttes d'imputation dans la gestion de crise : l'exemple de « la canicule » d'août 2003. Revue française de science politique, vol. 55 (4), 573-605

² Trésor de la Langue Française (TLFI)

³ R. STARN, (1976) « Métamorphoses d'une notion », in Communications, n° 25, pp. 4-18

9

Somme toute, il est possible de décrire la crise comme étant « un événement pénible aux conséquences fâcheuses qui s'insère dans un phénomène en mouvement et qui implique des individus »¹. Ainsi, pour Hermann en 1972, « une crise est une situation qui menace les buts essentiels des unités de prise de décision, réduit le laps de temps disponible pour la prise de décision, et dont l'occurrence surprend les responsables ». Il s'agit donc pour lui d'un évènement externe ou interne soudain qui vient perturber l'équilibre de l'organisation, on parle alors d'approche événementielle. De son côté, Shrivastava (1988) définit les crises comme des « événements à faible probabilité et à fort impact ». En réaction à la catastrophe de l'usine de pesticides à Bhopal survenu en 1984, il ajoute toutefois, que « les crises ne sont pas des événements, mais des processus étendus dans le temps et l'espace » (1992). Ainsi, dans cette approche, une crise serait l'aboutissement de plusieurs évènements à l'origine interdépendants les uns des autres. En effet, en raison d'un contexte organisationnel et environnemental dans lequel ils se produisent, ces évènements évoluent, engendrant des réactions en chaîne, objets même de l'origine de la crise.

De même, Karl E. Weick (universitaire américain - professeur en science de l'organisation) démontre que derrière les organisations les plus complètes en apparence (SAMU, aiguilleur du ciel, contrôleur de central nucléaire, ...) peuvent exister de nombreuses situations exceptionnelles ou fluctuantes qui sont de l'ordre de l'inattendu et de l'inimaginable. Ces aléas, selon Weick (1988) « menace les buts fondamentaux d'une organisation ». Enfin, plus récemment, Thierry Libaert (expert en communication des organisations) appuie cette théorie en précisant que bien souvent l'opinion publique a tendance à confondre la crise et son élément déclencheur comme une seule et même chose. En effet, la crise est une sédimentation plus ou moins longue et plus ou moins complexe selon les domaines concernés. L'élément déclencheur ne serait que l'étincelle révélant la crise.

Perrow (1984) et Forgues (1996) développent quant à eux une approche processuelle de la crise qui n'est pas imprévisible. En effet, l'organisation d'une entreprise est construite sur divers processus au sein desquels peut survenir un dysfonctionnement potentiellement repérable. Des erreurs humaines, sociales, entrepreneuriales ou la combinaison de celles-ci peuvent être à l'origine d'une crise. Cette approche fait l'hypothèse que l'évènement intervient sur un terrain

¹ J. BOUMRAR (2010). « La crise : levier stratégique d'apprentissage organisationnel. » Vie & sciences de l'entreprise, 185-186 p.13

10

propice à la survenue d'une crise. Dans ce cas, l'origine de la crise peut être identifiée¹. Les auteurs de l'approche processuelle distinguent ainsi trois phases d'une crise :

· La phase de déclenchement : où se retrouvent les origines de la crise ;

· La phase aiguë : qui concerne trois manifestations critiques :

a) la convergence des informations et des événements vers l'entreprise ;

b) le dérèglement de ses routines de gestion ;

c) la remise en cause de son identité, sa culture, sa mission et ses valeurs.

· Phase de rééquilibrage et de changement : moment où l'entreprise peut opter soit pour retourner au statu quo, soit initier un changement profond.

Par conséquent, en se basant sur l'approche processuelle, une catastrophe ou un accident industriel peut être considéré comme un phénomène normal bien qu'il soit imprévu. Ce sont des « événements rares mais inévitables » qui ne peuvent pas être une surprise, puisqu'ils font déjà partie du système de l'entreprise (Perrow, 1984 ; Forgues, 1996).

2. Les phases et typologies d'une crise

Les différentes phases d'une crise

Une situation de crise est un évènement dynamique qui est amené à évoluer dans le temps. De ce fait, le cycle de vie d'une crise a été étudié par des chercheurs afin de cerner les enjeux et les impacts liés à celle-ci. En 1986, Steven Fink propose quatre étapes du déroulement d'une crise. La première est la phase de pré-crise qui fait apparaitre les signes avant-coureurs, les premiers signaux d'une crise. La seconde étape dite phase aiguë, équivaut à l'éruption de la crise dans une ou plusieurs sphères (économique, sanitaire, politique, ...). Par la suite vient la phase chronique qui engendre une période de doute, de questionnement, d'auto-analyse afin de lutter et faire face à la crise vécue. En dernier lieu survient la phase de résolution correspondant à la résorption de la crise qui s'accompagne d'un retour à la normal. Il s'agira d'une période de

¹ Roux-Dufort C., «A passion for imperfections: revisiting crisis management», in press, 2005.

11

restructuration, de réparation mais également de l'évaluation de la situation qui peut notamment se faire via un retour d'expérience.¹

A partir des travaux établis par S. Fink puis complétés par P. Lagadec (1991) et Mitroff (1994), le chercheur Pierre Bérubé (2018)² propose un modèle d'évolution de la crise plus étoffé qui comprend cinq phases. Au sein de chacune d'elles, l'auteur propose une stratégie de communication et une gestion particulière afin de faire face à la crise.

· L'incubation ou la phase préliminaire : Autrement appelée phase pré-crise comme nous avons pu le voir plus haut, cette phase correspond à la préparation de crise avec les conditions qui permettent son émergence. C'est à cet instant qu'il est primordial de mettre en place une gestion préventive de la crise.

· La phase de déclenchement : il s'agit ici d'une rapide perte de contrôle de la situation qui nécessite une quête d'information. L'entrée en communication de la crise devient officielle.

· La phase chronique : La crise prend une très grande proportion et une intensité extrême. C'est « le moment où les repères tombent et où s'installe l'incertitude, le chaos » (P. Bérubé). Lors de cette période située au coeur de la crise, le gestionnaire doit alors prendre le soin de contrôler autant que possible les répercussions de celle-ci dans l'organisation.

· Le redressement : Cette phase de transition tend vers une situation un peu plus contrôlée. La crise perd en intensité, il s'agit à présent de reconstruire, ramener de l'ordre et entamer la reprise des activités.

· La cicatrisation : lors de cette phase l'organisation se transforme et s'adapte à son nouvel environnement. L'objectif à présent est de réduire les effets négatifs si une telle crise serait amenée à se reproduire.

· Le retour à l'incubation : bien qu'il ne s'agisse pas véritablement d'une nouvelle phase de la crise, le retour à l'incubation marque la fin de cette dernière. Il convient de préciser que la stabilité est encore fragile et pour cela, le gestionnaire doit demeurer en situation de veille et de prévention pour se préparer à une potentielle future crise. En effet, selon P. Bérubé « de nouvelles crises sont toujours en gestation ».

¹ Steven Fink, «Crisis Management: Planning for the Inevitable», 1986, p.20-25

² Pierre Bérubé. « La gestion des communications en situation de risque et de crise » In Introduction aux relations publiques. Fondements, enjeux et pratiques, 2018

12

Les typologies de la crise

Les nombreuses définitions qui peuvent être faite selon les auteurs autour du concept de crise peuvent être expliquées par les multitudes de dimensions que cette notion peut prendre.

Selon Gerald Meyers, ancien PDG d'American Motors Corporation il existerait 9 types de crises au sens organisationnel :

- La crise d'opinion,

- La rupture du marché,

- La crise produit,

- La crise de succession,

- La crise de trésorerie,

- La crise sociale,

- L'OPA Hostile : il s'agit d'une offre publique d'achat d'une entreprise souhaitant en

acquérir une autre,

- La crise politique,

- La régulation/dérégulation : réguler un secteur économique/supprimer la régulation

Nous pouvons toutefois imaginer de nombreuses autres formes de crises conduisant à une rupture d'équilibre telles que la crise écologique, la crise médiatique, mais également la crise sanitaire. Ces crises peuvent avoir de réels impacts sur les organisations au niveau humain, financier et organisationnel.

Les nombreux travaux sur le sujet ont permis d'approfondir les origines de crises. C'est ainsi qu'en 1988 les auteurs Mitroff, Pauchant et Shrivastava ont établi une typologie de la crise. Pour cela, ils ont pris en compte l'origine de la crise qu'elle soit interne ou externe à l'organisation, ainsi que son origine technologique ou humaine. Ils illustrent de façon très structurée leur théorie avec la présentation ci-dessous :

13

Enfin, pour compléter l'étude sur les dimensions et les formes de crise pouvant exister, le chercheur français Patrick Lagadec propose en 1989 un classement de ces crises davantage lié à la perception que l'on peut s'en faire. Il les décline comme suit :

· La crise « inimaginable » : que l'on n'imaginait pas mais qui survient ;

· La crise « négligée » : dont les causes étaient connues par l'organisation ;

· La crise « quasi inévitable » : l'organisation n'avait que peu, voire pas de moyen pour y faire face ;

· La crise « compulsive » : inaptitude à gérer de manière efficace et efficiente l'organisation ;

· La crise « voulue » : provoqué sciemment par l'entreprise.

L'auteur Shel Holtz en étudiant les conséquences d'une crise sur une entreprise, les a, quant à lui, réparties au fil des ans en quatre grandes catégories :

· La crise « météorique » : le danger ne pouvait être anticipé, mais l'organisation doit prouver via sa stratégie de communication qu'elle en est la victime ;

· La crise de « prédation » : quelque chose devant rester secret dans l'organisation est révélée au public ;

·

14

La crise de « détérioration » : l'organisation a négligé des aspects de gestion ou son niveau de performance est trop peu élevé ;

· La crise « persistante » : qui perdure dans le temps.

Nous pouvons ainsi constater que les différentes définitions des auteurs ayant écrit sur le sujet peuvent expliquer l'existence de ces nombreuses typologies de crise.

3. Crise et incertitude

Dans son ouvrage Pour une crisologie, le sociologue et philosophe français Edgar Morin met en relation le phénomène de crise et la notion d'incertitude. En cela, il écrit « C'est bien le premier sens qu'apporte avec lui le mot crise : le surgissement de l'incertitude là où tout semblait assuré, réglé, régulé, donc, prédictible »1

L'incertitude peut être défini à la fois comme une situation imprévisible en sus de l'existence d'un état incertain. Selon le sociologue et chercheur Y. Chalas, l'incertitude est l'« inconnu et l'inattendu généralisés ». La notion d'incertitude qualifie de fait des situations pour lesquelles la « connaissance des différents scénarios possibles ainsi que leurs conséquences, est limitée, voire inexistante » (Haddad, Benois, 2014). Elle est également décrite comme une situation qui résulte du mélange entre insuffisance des connaissances scientifiques et imprévisibilité des effets, provenant du caractère complexe de cette même situation (Chailleux, 2016).

Ainsi, comme nous avons pu le voir précédemment, tandis que la crise correspond à une prise de décision, l'incertitude quant à elle renvoi à l'incapacité de décider. De ce fait, bien que la notion de crise et celle d'incertitude puissent se compléter, cette discordance tend à engendrer une incapacité à agir de manière rationnelle en période de crise. A cette notion d'incertitude peut s'ajouter l'inimaginable (ou inconcevable) qui rendent les acteurs incapables, à un moment donné, de se figurer l'événement à venir, un événement « hors-cadre», qui demande un changement radical dans la manière de concevoir et de mettre en oeuvre une gestion de crise. L'économiste J. Keynes résuma l'incertitude en 1937 en disant « we simply don't know ».

¹ Morin, 1984 [1981a], p.326)

15

L'incertitude peut provenir de l'écart entre le volume d'information requis pour l'exécution des tâches et le volume d'information détenu par les acteurs organisationnels concernant les différentes données du problème auquel ils font face. En cela, la prise de décision en période de crise est fortement corrélée avec l'information collectée et l'interprétation qui en est faite par les décideurs. Cette prise de décision peut également être influencée par le caractère d'urgence qu'engendre la situation de crise. En complément de ces éléments, le théoricien Karl E. Weick développe la notion de sensemaking. Ses recherches portent sur la capacité à détecter des anomalies afin d'adapter son action de manière appropriée au cours d'une situation incertaine¹. Le sensemaking correspond donc à la création de sens, la construction du sens en situation de crise et de catastrophe entrainant la perte de repères. A travers son étude, Karl E. Weick apporte de l'importance à la qualité des interactions entre les membres d'un collectif de travail au sein d'une organisation. Il découle de son analyse quatre facteurs pouvant influer cette construction du sens.

· Les facteurs individuels : il s'agit de la capacité à repérer, sélectionner et interpréter les indices essentiels permettant la compréhension d'une situation de crise dans un contexte d'incertitude.

· La situation de travail : la charge cognitive ou charge mentale (John Sweller et Fred Paas) peut également rendre les gens moins attentifs à d'éventuels indices permettant la compréhension de la situation.

· Le collectif de travail : la qualité des interactions entre les collaborateurs peut apparaitre comme un frein dans le processus de fabrication du sens. En effet, les niveaux hiérarchiques, l'absence de variété de point de vue et de compétences sont autant de variables pouvant réduire la compréhension de la situation via la recherche collective de sens.

· Les processus d'organisation : il s'agit ici de la culture organisationnelle, les systèmes de management, les attentes de la direction ou encore le pilotage de celle-ci pouvant influencer la fabrication du sens.

¹ Karle E. Weick, «Sensemaking in Organizations», Sage, Thousand Oaks, 1995

16

La notion de sensemaking et d'incertitude sont étroitement liée. En effet, en période de crise, l'incertitude est omniprésente, notamment lors de la phase chronique (S. Fink). De ce fait, la création de sens parait primordiale pour le gestionnaire en charge d'établir des plans d'actions. En effet, la qualité, la pertinence et la quantité d'informations sont essentielles dans le processus décisionnel.

B. Notion de crise sanitaire

Edgar Morin (2020) déclare dans le journal Le Monde « Cette crise nous pousse à nous interroger sur notre mode de vie, sur nos vrais besoins masqués dans les aliénations du quotidien ».

Après avoir cerné les dimensions d'une crise, la multitude des formes qu'elle peut prendre et les visions que les gestionnaires peuvent s'en faire, il convient à présent de s'intéresser plus en détail à la crise sanitaire. Pour cela, nous définirons tout d'abord ce qu'est une crise sanitaire, comment elle apparait et par quels canaux elle peut se développer et se transmettre.

1. Définition d'une crise sanitaire

Jean François Girard dans son Rapport sur la Mission d'Evaluation et d'Expertise de la Veille Sanitaire en France définit la crise sanitaire comme « une situation qui menace les buts essentiels des unités de prises de décisions, qui réduit le peu de temps disponible pour cette prise de décision et dont l'occurrence surprend les responsables ». La crise apparait comme une menace pour l'état de santé d'une population qui nécessite une réponse adaptée du système de santé. La terminologie de crise provient de deux caractéristiques : l'état d'urgence de la situation et le caractère inédit du risque de par sa nature, son ampleur ou sa localisation ayant conduit à l'apparition de cette crise. L'origine du risque sanitaire quant à elle peut provenir de plusieurs canaux dont la consommation d'aliments ou de produits nocifs sur la santé, une catastrophe naturelle, une pollution de l'environnement, une épidémie, etc.

17

La notion de crise sanitaire est donc fortement corrélée à un problème de santé publique. De ce fait, des dispositifs de veille et d'alerte sont mis en oeuvre afin de collecter des données par l'existence d'indicateurs de morbidité, de mortalité et d'exposition. Pour cerner véritablement l'apparition d'une crise sanitaire, il faut se baser sur certains critères :

· La fréquence : le nombre d'individu concerné doit être relativement important ;

· La gravité : le problème de santé peut entrainer un bousculement important dans la qualité de vie de l'individu au niveau social mais aussi en raison d'une invalidité pouvant aller jusqu'au décès ;

· Les conséquences sur le système de soin : le phénomène nécessite une forte mobilisation en ressources et en énergies de la part des professionnels.

Un dispositif de veille est également essentiel pour se prémunir de l'apparition soudaine d'une crise sanitaire. Selon l'Institut de Veille Sanitaire française, la veille consiste en une « collecte et une analyse, en continu, [...] de signaux évoquant un risque pour la santé publique, dans une perspective d'alerte, d'anticipation et d'action précoces ». La veille est primordiale dans le système de santé, et c'est la raison pour laquelle elle se fait à différents échelons. De nombreuses institutions telles que les Cellules interrégionales d'épidémiologies (CIRE), l'Institut de Veille Sanitaire, ainsi que les Directions Départementales des Affaires Sanitaires et Sociales coopèrent pour relever les signaux d'alerte d'un risque sanitaire afin d'en évaluer la menace qui peut peser sur la santé de la population.

Par ailleurs et dans l'objectif de cadrer l'évolution de la situation sanitaire, il existe trois niveaux d'alerte.

- Niveau 1 : Il s'agit ici d'une gestion courante des alertes sanitaire. Les conséquences sont minimes pour la santé de la population et par conséquent la situation ne nécessite que peu de moyens humains et financiers. L'intervention de l'Organisation Mondiale de la Santé est elle aussi minime.

18

- Niveau 2 : Le Centre Opérationnel de Régulation et de Réponses aux Urgences Sanitaires et Sociales (CORRUSS) est renforcé d'une équipe dédiée à la gestion d'un évènement particulier ayant un impact sanitaire significatif. La situation nécessite une action modérée autant au niveau national que par l'OMS.

- Niveau 3 : l'évènement a des conséquences importantes sur la santé publique. Ce niveau s'accompagne de l'activation du centre de crise sanitaire en raison du caractère exceptionnel de la situation. Cela passe notamment par la mise en place d'une cellule de gestion de crise active 7 jours sur 7. De plus, L'OMS propose une aide de grande envergure et une équipe d'appui issue de l'OMS est apportée dans les pays touchés par la crise.

2. Du signal d'alerte à la notion de crise sanitaire

Comme nous avons pu le constater précédemment, pour parvenir à une situation de crise sanitaire, des signaux d'alerte doivent être reconnus par les institutions tant au niveau local, que national et international. En effet, une alerte de santé publique ne peut se faire que par l'existence d'un signal vérifié représentant une menace pour la population. Le Rapport d'un groupe de travail de l'Institut de la Veille Sanitaire en mai 2005 définit le système sanitaire comme « une surveillance épidémiologique qui vise à détecter le plus précocement possible tout événement sanitaire anormal représentant un risque potentiel pour la santé publique, quelle qu'en soit la nature ». L'objectif est donc de prévenir l'apparition de risques sanitaires pouvant conduire à un état de crise, et également d'établir des mesures afin d'alerter et protéger la population sur ce phénomène.

Ainsi, pour assurer le bon fonctionnement du système d'alerte, il convient de vérifier le signal en lui-même, c'est-à-dire sa pertinence, et l'évaluation de la menace et les risques qui peuvent peser sur la population. La première étape consiste en une détection des signaux qui peuvent être de natures variables :

· Signaux en rapport avec le signalement d'une maladie à déclaration obligatoire ;

· Signaux détectés par un système de surveillance (notamment via les indicateurs de mortalité et de morbidité) ;

· Signaux notifiés ou détectés en relation avec un évènement de santé ;

·

19

Signaux notifiés ou détectés en relation avec une exposition ;

· Signaux d'origine interministérielle, européenne ou internationale.

Dans un second temps et après avoir analyser d'où provenait le signal d'alerte, il convient de s'attarder sur la portée et l'intensité du signal. Cette analyse peut s'effectuer selon différents niveaux :

· L'alerte de portée nationale : l'importance ou la portée du risque dépasse le cadre local, il sera donc nécessaire de coordonner la situation au niveau régional ou national ;

· Alerte de portée locale avec appui : bien que la portée ne soit que locale, l'évaluation de la situation ou la prise en charge de celle-ci nécessite un appui extérieur ;

· Alerte de portée locale nécessitant une information : L'alerte se situe au niveau local, toutefois bien que la situation soit gérée par la Direction départementale des Affaires sanitaire et sociales, des informations doivent également provenir du niveau national afin de cerner la menace de la situation sanitaire ;

· Alerte de portée locale : ici l'alerte est gérée par la Direction départementale des Affaires sanitaire et sociales ;

· Alerte non confirmée : le signal d'alerte n'apparait pas comme une menace et n'engendre donc pas de risque pour la santé d'une population.

20

Il est possible de représenter l'évaluation de la portée du signal d'alerte via un logigramme.

Evaluation de la portée des signaux d'alerte sanitaire

Figure 1 : Contribution de l'InVS à l'élaboration du Plan Régional de Santé Publique, 2005

Nous avons pu constater qu'un risque sanitaire pouvait provenir de différents canaux. Pour faire face à une crise sanitaire liée à une épidémie, le gouvernement français développe une stratégie opérationnelle issue du Plan de Prévention et de Lutte Pandémie Grippale. La démarche consiste à mettre en oeuvre des actions qui seront déployées jusqu'à trois stades différents en fonction de l'évolution et la gravité de la crise sanitaire.

Ø Stade 1 : Freiner l'introduction du virus sur le territoire

A ce stade, une stratégie préventive est déployée dès la détection de premiers cas avérés sur le territoire national. Il s'agit d'endiguer la propagation de l'épidémie sur une plus large zone géographique et d'assurer une rapide prise en charge médicale des patients atteints. En appliquant le Règlement Sanitaire International (RSI), un contrôle s'opère également au niveau des frontières pour éviter une plus large introduction de l'épidémie sur le territoire national.

Ø 21

Stade 2 : Freiner la propagation du virus sur le territoire

Lorsque les autorités ont connaissance de différents foyers répartis sur le territoire national, le stade 2 est enclenché. Ainsi, des mesures-barrières sont mises en place et une organisation plus stricte du système sanitaire s'opère sur les foyers concernés. C'est à cette étape que seront alloués des ressources spécifiques pour faire face à cette épidémie. Peuvent également être décidées les fermetures d'établissements scolaires.

Ø Stade 3 : Atténuer les effets de la vague épidémique

Lorsque le niveau épidémiologique dépasse le stade de foyers et s'étend sur l'ensemble du territoire national, le stade 3 est déclenché. Il s'agit d'éviter une pandémie et de limiter les conséquences sanitaires, humaines et économiques au niveau national. Des mesures drastiques sont alors prises, à savoir la fermeture des écoles mais également différents autres lieux publics pouvant aller jusqu'à des mesures de confinement total.

De ces différentes méthodes d'analyse de crise sanitaire, jusqu'aux moyens mis en oeuvre pour faire face à celle-ci, de nombreux acteurs institutionnels interviennent à la fois pour communiquer à la population sur les différentes décisions et à la fois pour organiser les plans d'actions.

3. Les acteurs qui veillent à la crise sanitaire

Pour assurer la prévention d'une crise sanitaire, des institutions et organisations oeuvrent tant sur le plan local que sur le plan international en établissant des veilles sanitaires et en définissant des stratégies. Elles agissent en collaboration avec les Etats qui, eux seuls, peuvent déclarer officiellement une situation de crise sanitaire sur leur territoire.

22

Au niveau international

En matière de Santé Publique sur le plan international, l'Organisation Mondiale pour la Santé est une institution incontournable. Cette agence spécialisée de l'Organisation des Nations Unies (ONU) créée en 1948 a pour voeu d'améliorer les perspectives d'avenir et la santé future pour toutes les populations du monde. Pour assurer pleinement sa mission, l'OMS compte 194 Etats Membres et travaille dans 150 bureaux de pays. Elle travaille donc étroitement avec ses pays en soutenant leur politique en matière de santé et en coordonnant les actions sur leur territoire tout en les mettant en lien avec différents partenaires. Parmi ses nombreux domaines d'activités, l'OMS priorise ses actions sur les maladies non transmissibles, les maladies transmissibles mais aussi la préparation, la surveillance et les plans d'actions pour faire face aux crises sanitaires qui peuvent survenir. En cela, l'OMS joue un rôle essentiel pour les Etats membres en leur fournissant de l'aide quant à la préparation des situations d'urgence. De ce fait, l'OMS évalue les risques sanitaires afin d'établir une classification des situations d'urgence dans le but de cerner leurs ampleurs et leurs complexités. Cela permet à l'OMS de préparer et affecter ses ressources afin d'apporter l'aide nécessaire, d'adapter sa stratégie de communication et de déclencher des procédures d'actions d'urgences pour répondre à la situation sanitaire. Ainsi, concernant les interventions en cas de crise, l'OMS a établi un plan stratégique qui oeuvre à réduire la charge mondiale liée à la mortalité, à la morbidité et au handicap. Par ailleurs, elle élabore un cadre d'actions d'urgence pour présenter sa procédure de classification, ses critères d'actions et ses fonctions essentielles lors de cette situation d'urgence.

Dans ce cadre, en 2005 le Règlement Sanitaire International entre en vigueur dans le but de protéger tous les Etats de la propagation internationale des maladies. Cet instrument juridique international a plusieurs objectifs, notamment de détecter, réduire et d'éliminer les sources de propagation de l'infection, améliorer la surveillance sanitaire, et prendre des dispositions préventives pouvant aller jusqu'à entraver les voyages et échanges internationaux.

Au niveau national

En France, la loi de modernisation du système de santé du 1^er mai 2016 précise et élargi les missions de l'Agence Nationale de Santé Publique. Autrement appelée Santé Publique France, cette nouvelle institution constitue la fusion entre l'Institut de Veille Sanitaire (InVS), l'Institut National de Prévention et d'Education pour la Santé (INPES), l'Etablissement de préparation et de Réponse aux Urgences Sanitaires (EPRUS) ainsi que Addictions Drogues Alcool Info

23

Service (ADALIS). Elle assure de fait une multitude de missions, et plus spécifiquement une observation et une surveillance épidémiologique afin de connaitre l'Etat de santé de la population française pour mettre en place des politiques de santé adaptées aux besoins et aux problèmes de santé. Elle réalise également une veille sanitaire en permanence afin de pouvoir agir dès l'apparition de signaux pouvant attester de l'existence de risques sanitaires.

Plus largement en France c'est le ministère des Solidarités et de la Santé qui est en charge de la mise en oeuvre de la politique dans les domaines relevant de la Santé Publique. Des agences nationales agissent ainsi sous la tutelle de ce ministère afin de garantir la réussite de cette mission telles que l'Agence Nationale de Sécurité du Médicament et des Produits de Santé (ANSM) et l'Agence nationale de Sécurité Sanitaire de l'alimentation, de l'environnement et du travail (ANSES). L'ANSM, créée par la loi du 29 décembre 2011 place ses préoccupations dans la sécurité de l'usager et l'accès des patients à l'innovation thérapeutique. De ce fait, elle est responsable de l'évaluation scientifique et technique des médicaments et des produits biologiques. Il est également important de préciser que l'ANSM est en charge d'identifier les médicaments dont l'approvisionnement doit être assuré et notamment en période de crise sanitaire. L'ASNES quant à elle, créée par la loi du 1^er juillet 2010 par la fusion de deux agences (l'Agence Française de Sécurité Sanitaire des Aliments et l'Agence Française de Sécurité Sanitaire de l'Environnement et du Travail) oeuvre à la sécurité sanitaire humaine dans les domaines de l'environnement, du travail et de l'alimentation. Ainsi, comme il est spécifié dans le Code de la Santé publique, article L1313-1, l'ANSES a pour principale mission « de réaliser l'évaluation des risques, de fournir aux autorités compétentes toutes les informations sur ces risques ainsi que l'expertise et l'appui scientifique et technique nécessaires à l'élaboration des dispositions législatives et réglementaires et à la mise en oeuvre des mesures de gestion des risques ». En complément de cette mission, l'ANSES se doit également d'évaluer les risques relevant de substances chimiques.

En prenant l'exemple de ces deux agences, on constate en effet que de nombreuses institutions nationales oeuvrent pour la surveillance et la protection des individus en matière de Santé Publique.

24

Au niveau local

En France, au niveau local, l'Agence Régionale de Santé (ARS), est chargée de la mise en oeuvre de la politique de santé dans les régions. En cela, elle assure le financement des actions de prévention, la gestion au quotidien des risques sanitaires ainsi que l'accompagnement des citoyens par l'accès à la santé pour tous. Elle assure donc la coordination entre la politique nationale en matière de Santé Publique et son exécution effective au niveau local. Ainsi, créée par la loi Bachelot et apparue en avril 2010, l'ARS est en charge « du pilotage régional du système de santé ». En période de crise, l'ARS assure un rôle essentiel. En effet, elle est l'entité qui prend les décisions et gère l'organisation du système de santé dans les régions. Parmi ses nombreuses missions, elle autorise l'augmentation des capacités hospitalières, organise les opérations de transports de patients entre les régions, est en charge de l'approvisionnement en médicament et programme les tests de dépistages. Pour assurer ses missions, l'ARS dispose de plusieurs sources de financement. Outre les subventions de l'Etat et les contributions des régimes d'Assurances Maladie, les ressources financières peuvent également provenir de la Caisse Nationale de Solidarité pour l'Autonomie et les Régimes Obligatoires d'Assurances Maladie. Enfin, l'ARS peut également bénéficier de dons et de versements provenant des collectivités territoriales.

Afin de rendre opérationnelle sa stratégie et afin de réaliser ses missions dans les régions, l'Agence Nationale de Santé Publique dispose de Cellules d'Intervention en Région (CIRE), rattachées à l'ARS. La mission principale des CIRE est la veille sanitaire et la surveillance épidémiologique orientée vers l'alerte, afin de pouvoir réagir rapidement pour contrôler une situation. De ce fait, les CIRE assurent trois missions essentielles :

- L'expertise des signaux sanitaire et la réponse aux alertes : Une CIRE peut être amenée à investiguer sur des risques épidémiologiques afin de proposer des mesures de prévention, de gestion ou de contrôle.

- Le développement et le pilotage des systèmes de surveillance régionalisé : Les CIRE assurent le prolongement de l'activité nationale de Santé Publique France dans les domaines de la surveillance et l'observation de l'état de santé des individus sur le territoire.

- Etudes et expertises : Ces études ont pour vocation de répondre aux objectifs opérationnels et participer à l'amélioration des connaissances pour proposer une aide quant à la prise de décision.

25

C. Les impacts et conséquences d'une crise sanitaire

1. Crise sanitaire : crise prévisible ?

Dans une tribune parue dans le journal Le Monde le 25 mars 2020, le sociologue et philosophe français Bruno Latour écrit qu'une « crise sanitaire prépare, induit, incite à se préparer à la mutation climatique »¹. En effet, l'apparition d'une crise sanitaire peut conduire à des conséquences parfois plus graves que la crise en elle-même. Les impacts d'une crise sanitaire peuvent toucher de multitudes domaines tels que l'économie et les finances, l'environnement ou encore le social. De son côté, Bill Gates avait annoncé en réponse à la crise sanitaire d'Ebola que « si quelque chose tue plus de 10 millions de personnes dans les prochaines décennies, ce sera probablement un virus hautement contagieux plutôt qu'une guerre ». Mais le fondateur de Microsoft n'est pas le seul à avoir anticipé la multiplication de crises sanitaires. La Central Intelligence Agency imaginait déjà de tels scénarii. Le livre Le nouveau rapport de la CIA : comment sera le monde en 2025 paru en 2009 énonce que la prochaine menace mondiale sera « l'apparition d'une nouvelle maladie respiratoire humaine virulente, extrêmement contagieux, pour laquelle il n'existe pas de traitement adéquat ». Ce rapport ajoute également que « si une maladie pandémie se déclare, ce sera sans doute dans une zone à forte densité de population, de grande proximité entre humains et animaux, comme il en existe en Chine et dans le Sud-Est asiatique »².

Notre époque contemporaine a déjà fait face à de nombreux épisodes de crise sanitaire. Les épidémies apparaissent comme la principale source de crise sanitaire. Au début du 20^ème siècle, la grippe espagnole a entrainé entre 20 et 50 millions de victimes selon les sources. La catastrophe de Tchernobyl en 1986 a été un épisode sanitaire sans précèdent ayant engendré des conséquences terribles car, outre-les quelques 900 000 victimes, il y eu de graves séquelles sur l'état de santé des individus sur le plus long terme du fait des rejets radioactifs dans l'air. Plus récemment, c'est la crise sanitaire de la COVID-19 qui conduit à un véritable bousculement dans le système de santé.

¹ Bruno Latour, « La crise sanitaire incite à se préparer à la crise économique », Le Monde, 25 mars 2020

² Le nouveau rapport de la CIA : comment sera le monde en 2025 ? présenté par Alexandre Adler, Editions Robert Laffont, S.A., Paris, 2009

2. 26

Crise sanitaire : nos modes de vie remis en question ?

En 2008, une étude a démontré qu'au cours des 60 dernières années sur les 355 maladies infectieuses recensées, plus de 60% étaient d'origine animale, et parmi elles 70% d'origine sauvage¹. Il s'agit de la zoonose, c'est-à-dire la transmission d'une maladie infectieuse des animaux vertébrés à l'être humain. Le journaliste scientifique David Quammen annonce en ce sens que la « Zoonose est un mot d'avenir, dont le XXIe siècle fera un grand usage »². L'émergence de ces formes de pandémies est motivée par des facteurs socio-économiques, environnementaux et écologiques³. Notre société mondialisée, l'hyperconsommation et l'augmentation exponentielle de la population mondiale sont autant de vecteurs favorisant l'apparition de crise sanitaire, et plus spécifiquement d'origine animale. En effet, l'être humain est amené à s'approprier des territoires sauvages afin de s'y implanter que ce soit pour y habiter mais également pour y installer des entreprises ou des espaces d'agriculture. C'est ainsi qu'en 1999, des mesures radicales ont dû être prises en Malaisie. La déforestation à proximité de la ville de Nipah, a favorisé l'implantation de nombreuses industries de viande porcine dans cette zone. Toutefois, la présence d'animaux sauvages dans la région a provoqué la transmission de virus à l'homme par l'intermédiaire des porcs. Après l'apparition de symptômes inquiétants chez les ouvriers et afin d'éviter la propagation d'une épidémie virulente, près de mille soldats ont reçu l'ordre d'abattre quelque 600 000 porcs dans le seul Etat de Negeri Sembilan, en Malaisie. On peut de fait constater que pour endiguer le plus rapidement possible un début d'épidémie et dans le même temps préserver la santé publique, les autorités peuvent prendre des mesures draconiennes. En effet, les conséquences d'une crise sanitaire peuvent être parfois désastreuses.

3. Les conséquences multiples d'une crise sanitaire

Au niveau économique, une crise sanitaire et les éventuelles mesures pour y faire face sont des facteurs entrainant un ralentissement de l'activité nationale, voire mondiale. Dans ce secteur, la crise actuelle de la COVID-19 annonce de véritables bousculements. En effet, la Banque

¹ Jones, K., Patel, N., Levy, M. et al. Global trends in emerging infectious diseases. Nature 451, 990-993 (2008)

² David Quammen, Spillover-Animal Infections and the Next Human Pandemic (2013)

³ Smolinski, MS, Hambourg, MA & Lederberg, J.Microbial Threats to Health: Emergence, Detection, and Response (National Academies Press, Washington DC, 2003)

27

Mondiale annonce que l'économie planétaire va connaitre sa pire récession depuis la Seconde Guerre Mondiale. Elle prédit une baisse du PIB mondiale entre -3% et -5%. Cela peut s'expliquer par le caractère particulier qu'engendre la crise sanitaire de la COVID 19. En effet, il apparait que la crise engendre à la fois un choc d'offre et à un choc de demande, ce qui est phénomène relativement rare car bien souvent, un ralentissement économique provient soit de l'un soit de l'autre. Le choc d'offre tout d'abord provient du fait de la fermeture d'entreprises causées par le confinement, un ralentissement économique dans de très nombreux pays dans le monde qui ne permet pas de s'approvisionner complètement et également de nombreux secteurs à l'arrêt tels que la construction ou la restauration. Le choc de demande quant à lui s'explique d'une part car les entreprises voyant leur activité tourner au ralenti n'achète plus de produit ou de service. D'autre part, outre le confinement qui limite la liberté de consommation des individus ces derniers anticipent également une situation difficile en raison du ralentissement économique global. En France, on prévoit une récession de 12% et un déficit budgétaire de 14%. Cette récession économique peut entrainer un cercle vicieux. C'est la raison pour laquelle les pouvoirs publics optent pour des politiques de relance, notamment en mettant en place du chômage partiel en France afin que les individus soient incités à consommer. C'est aussi la raison pour laquelle les pays membres de l'Union Européenne ont signé un accord pour un Plan de relance de grande envergure à plusieurs milliards d'euros pour pallier la hausse de chômage. Par ailleurs, une partie du fonds de relance sera dédié à divers programmes de recherche, de développement rural ou encore de transition énergétique. Selon le chef économiste de Groupama Asset Management Christophe Morel, parce qu'elle a affecté tous les pays simultanément, la crise sanitaire de la COVID-19 peut être perçue comme une « opportunité historique d'envisager des solutions aux défis à long terme sous la forme d'une destruction créatrice schumpetérienne ». La crise actuelle, malgré ses conséquences terribles d'un point de vue économique et sanitaire, peut être un moment clé pour reconstruire notre société de demain, notamment en préservant l'environnement et respecter les zones géographiques sauvages, bien souvent source de crise sanitaire.

Par ailleurs comme nous avons pu le constater, une crise sanitaire engendre un ralentissement économique. Ainsi, il apparait que ces périodes de crise s'accompagnent d'une hausse du chômage qui sous-entend également une augmentation de la précarité et de la pauvreté. Les conditions de vies sont alors dégradées de par des conséquences directes telles que le stress et l'anxiété grave mais aussi des conséquences indirectes comme la malnutrition provenant de la

28

pauvreté et autres comportements à risque (tabagisme, alcoolisme, ...). De plus, les mesures de confinement prises par les gouvernements dans le monde entrainent également d'autres risques qui ne sont, a priori, pas en lien avec la crise sanitaire de la COVID-19. Parmi ces risques, il est possible de relever des cas de suicides, l'augmentation de violences conjugales et des décès provenant d'autres maladies. En effet, il apparait que les efforts justifiés du gouvernement et des systèmes de santé visant à stabiliser la situation sanitaire et préserver la population, peuvent a contrario conduire à l'apparition de nouveaux risques au sein de la population.

Enfin, le ralentissement économique qu'engendre une crise sanitaire a également eu des répercussions sur l'environnement. L'augmentation croissante de la population mondiale, une empreinte carbone très élevé pour les habitants des pays développés et les activités industrielles très polluantes sont autant de facteurs qui fragilisent l'écosystème de notre planète. De nombreuses études attestent d'une hausse de CO² s'accompagne d'une augmentation des températures. Les mesures de l'observation de Mauna Loa à Hawaï démontrent que le niveau de CO² a doublé depuis l'époque préindustrielle, c'est-à-dire dans au milieu du 18^ème siècle. De plus, le Groupe d'Experts Intergouvernemental sur l'Evolution du Climat (GIEC) estime un réchauffement climatique compris entre +2,3°C et +4,5°C dans les décennies à venir. Toutefois, l'apparition d'une crise sanitaire vient ralentir l'activité économique, et de fait les impacts négatifs sur la planète. Concernant les pandémies majeures telles que la peste noire et la grippe espagnole, la diminution des impacts écologiques provenaient de fort taux de mortalité.¹ En effet, la main d'oeuvre devient plus rare et l'activité économique s'en voit touchée. Ainsi, le prélèvement des ressources naturelles et les émissions de CO² diminuent fortement. La crise de la COVID-19 a également eu des répercussions sur l'environnement. Selon une étude faite en février 2020², les mesures de confinement et l'arrêt net de l'activité économique en Chine tout d'abord aurait provoqué un recul de 200 millions de tonnes en émissions de CO². Plus globalement, on compte une baisse de 17% des émissions de CO² quotidiennes mondiales par rapport à la moyenne de 2019. Les mesures de confinement ont fait diminuer le trafic routier qui a réduit de 43%. En Ile-de-France, la circulation a baissé de 90% pour une amélioration de la qualité de l'air de l'ordre de 20% à 30%. Il apparait donc que l'apparition d'une crise sanitaire

¹ Barry John M., The Great Influenza: The Epic Story of the Greatest Plague in History, New York : Viking, 2004

² Myllyvirta Lauri, Analysis: Coronavirus Temporarily Reduced China's CO2 Emissions by a Quarter », Carbon Brief, 19 février 2020

29

a des nombreuses conséquences, que ce soit au niveau économique, écologique mais également sur la santé des populations à court et long terme.

Dans cette première partie, nous avons pu apprécier les origines d'une crise sanitaire, leurs manifestations dans les domaines économiques, sanitaires et écologiques et les acteurs en charge de préserver la santé de leur population.

De fait, les entreprises peuvent être plus ou moins impactées par une situation de crise sanitaire en raison des conséquences de la crise en elle-même tout d'abord, mais également du fait des décisions politiques prises en faveur de la préservation de la santé publique. C'est pourquoi afin de se préparer à une telle situation un outil peut être mis en place dans les organisations, le Plan de Continuité d'Activité.

II. Le Plan de Continuité d'Activité

A. Le PCA - Origine

1. Les premières normes

« Le hasard ne favorise que les esprits préparés » - Louis Pasteur

La multiplication de situations de crise telle qu'on a pu le constater précédemment nécessite la mise en place d'outils permettant d'assurer la continuité de l'activité des entreprises, et ceci tout en préservant la santé de leur personnel. En 1988 la création du DRI (Disaster Recovery Institute) apporte une première vision de la continuité d'activité. Cet institut apporte des conseils et du soutien à de nombreuses entreprises dans le monde et fournit notamment des formations, accréditation et leadership éclairé sur la thématique de continuité d'activité. C'est donc pour faire face à l'apparition de catastrophe qu'apparaissent les Plans de Secours Informatiques (PSI), les Plans de Reprise d'Activité (PRA) et les Plans de Continuité d'Activité (PCA). Le Comité de la Réglementation Bancaire et Financière en date du 21 février 1997 modifié le 8 janvier 2004, définit le PCA dans son article 4 comme « l'ensemble des mesures visant à assurer, selon divers scénarios de crises, y compris face à des chocs extrêmes, le

30

maintien, le cas échéant de façon temporaire selon un mode dégradé, des prestations de services essentielles de l'entreprise puis la reprise planifiée des activités ». Ces plans s'attachent à répondre à une situation d'incertitude et à prévoir l'imprévisible afin de limiter les pertes et préserver la santé des salariés en période de crise. Il s'agit donc, pour une entreprise, de pallier les conséquences de l'arrêt de son activité, voire de contribuer à l'éviter en identifiant différents types de scénarios qui pourraient survenir. C'est ainsi que le Plan de Continuité d'Activités doit répondre à deux objectifs. Le premier est d'identifier les principaux événements qui pourraient frapper et rendre indisponible pour une durée significative une organisation ou un site. Cela peut provenir des catastrophes naturelles, d'actes terroristes, de malveillance, de pandémie, etc. Le second objectif correspond à la conception d'un plan de continuité d'activité optimisant les processus pour une reprise normale d'activité de l'organisation ou du site. Par ailleurs, un PCA permet de limiter les conséquences d'un sinistre à court et à long terme. A court terme tout d'abord il limite les pertes de chiffre d'affaires, de marge, de pénalités de retard, etc. A long terme ensuite, il limite les pertes de clients, de l'image de marque, des impacts juridiques, voire des problèmes sociaux.

L'instauration du PCA s'appuie sur deux sources :

· La norme British Standard Institute BS 25 999 : cette norme de Management de la Continuité d'Activité (MCA) apparu en 2006 comprend deux parties. La première partie pose les bases de bonnes pratiques quant à l'établissement des processus, des principes et des terminologies du MCA. La seconde partie est davantage axée sur les exigences de la mise en place, l'exploitation et l'amélioration du MCA.

· La norme ISO 22 301 : Mise à jour en 2019, cette récente norme a pour vocation de fournir un cadre de référence pour planifier, établir, mettre en oeuvre, exécuter et améliorer le Système de Management de Continuité d'Activité. Prévue pour être applicable à toutes les organisations, la présente norme vise à faire de la continuité d'activité un processus majeur de l'organisation.

Il convient également de préciser que l'élaboration d'un PCA équivaut à l'établissement de procédures documentées servant de guide à toutes les organisations visant à faire face à une situation de catastrophe pour laquelle quatre scénarii peuvent apparaitre : l'indisponibilité des

31

ressources humaines, l'inaccessibilité et l'indisponibilité des bâtiments, l'interruption du système d'information et de la téléphonie ainsi que la défaillance de prestataire et sous-traitants stratégiques. La prise en compte de ces différents éléments via un PCA donne de fait un avantage concurrentiel aux organisations puisqu'il démontre un signe de maturité de l'organisme et rassure les parties prenantes.

De plus, l'apparition de la notion de continuité d'activité via l'existence des normes a permis de légitimer la fonction de Responsable Plan de la Continuité des Activités (RPCA). Dans le cadre de l'élaboration et de la gestion d'un PCA, le RPCA a la charge de sa formalisation de manière efficiente, son évaluation ou encore la mise à jour d'outils permettant la bonne réalisation des missions de contrôle. Parmi ses nombreuses missions, le RPCA se doit d'assurer la vision d'ensemble de la Continuité d'activité dans le cadre de son système de management, il doit mettre à jour le Plan de Reprise d'Activité et le Plan de Continuité d'activité de manière régulière afin que ces documents soient en constante adéquation avec la réalité du marché et doit avoir une vision à long terme de la démarche au-delà des moyens alloués.

2. Aspect réglementaire

Afin d'apprécier l'importance et le poids qu'a pris la notion de Système de Management de la Continuité d'Activité (SMCA), il convient de préciser le cadre réglementaire qui a permis l'évolution de cette notion.

Il apparait que l'élaboration d'un PCA est obligatoire dans certains secteurs. Le comité de Bâle, créé en 1974 regroupe les représentants des banques centrales et autres organismes de surveillance bancaire. Il est la principale instance d'établissements des normes et recommandations des activités bancaires. C'est ainsi qu'en 2004, les Accords de Bâle II rendent obligatoire l'élaboration d'une PCA dans les banques. Il s'agit d'intégrer une culture du risque et de préparer les banques à d'éventuelles catastrophes pouvant conduire à la mise en place d'une stratégie de continuité d'activité afin de maintenir l'équilibre financier mondial. Plus largement, les accords de Bâle II s'appuient sur trois piliers. Le premier est axé sur l'exigence de fonds propres des banques qui doivent représenter au moins 8% des crédits qu'elles ont accordés. Il s'agit de prévenir les risques des crédits via un calcul plus sophistiqué afin d'assurer une liquidité des banques en période de crise. Le deuxième pilier repose sur la procédure de surveillance de la gestion des fonds propres qui consistent en une évaluation de l'adéquation du

32

niveau de ces fonds propres en lien avec les risques auxquels ils peuvent être confrontés. Enfin, le troisième pilier promeut la transparence et la discipline du marché. Les banques ont une obligation accrue de communiquer leur état financier ainsi que le montant effectif de leurs fonds propres.

La seconde obligation d'élaboration d'un PCA concerne les sociétés cotées au NYSE. C'est la loi Sarbanes-Oxley du 30 juillet 2002 qui impose donc aux entreprises cotées au New York Stock Exchange qui constitue la plus grande bourse mondiale d'assurer un contrôle interne. Cela passe notamment par la mise en oeuvre de procédures cadrées en matière de contrôle interne. Il convient de relever que l'objectif premier de cette loi est de « fournir des contrôles protégeant l'information contre toute utilisation, divulgation ou modification non autorisée et contre tous dommages ou pertes à l'aide de contrôle ». Il s'avère en effet, que le PCA est un outil permettant de limiter les pertes financières, et en cela il répond à la présente loi. Toutefois, la loi ne concerne pas uniquement les entreprises américaines. Les entreprises européennes ayant des intérêts avec les entreprises américaines que ce soit par l'existence de filiales ou diverses autres relations commerciales peuvent également être soumises à cette loi. Néanmoins, la loi Sarbanes-Oxley, ou loi SOX, trouve son influence en France avec la Loi de Sécurité Financière en 2003. De fait, ladite loi repose sur trois axes majeurs que sont la responsabilité accrue des dirigeants, un renforcement du contrôle interne ainsi qu'une réduction des sources de conflits d'intérêt.

Enfin, Solvabilité II provenant de la Directive du Parlement Européen et du Conseil en 2009 rend obligatoire l'élaboration d'un plan de continuité dans les secteurs de l'assurance. En effet, l'alinéa de l'article 41 sur les Exigences générales en matière de gouvernance stipule que « les entreprises d'assurance et de réassurance prennent des mesures raisonnables afin de veiller à la continuité et à la régularité dans l'accomplissement de leurs activités, y compris par l'élaboration de plans d'urgence. A cette fin, elles utilisent des systèmes, des ressources et des procédures appropriés et proportionnés »¹. Il s'agit une fois encore d'instaurer des procédures qui permettent d'élaborer et de documenter des plans d'urgence afin de s'assurer que l'activité peut être maintenue, en dégradé, en période de crise.

¹ Directive 2009/138/CE du Parlement Européen et du Conseil

33

Toutefois, hormis les cas spécifiques décrits précédemment, l'élaboration du PCA n'est pas une obligation dans une organisation. De même, aucune loi n'impose à un organisme de maintenir son activité en période de crise. Ainsi, bien qu'il soit fortement recommandé de mettre en place un PCA afin d'assurer la pérennité de l'entreprise, l'employeur n'est pas tenu de maintenir son activité lorsqu'un évènement affecte le fonctionnement normal de l'entreprise.

B. Norme ISO 22 301

1. Origine de la norme ISO 22 301

La norme ISO 22 301 correspond à une norme relative au Système de Management pour la gestion de la Continuité des Activités (SMCA) dans le domaine de Sécurité et Résilience. Comme nous avons pu le constater précédemment, la présente norme remplace la BS 25 999 du British Standards Institute. L'Organisation Internationale de Normalisation (ISO) qui introduit les normes dans les domaines industriels et commerciaux a ainsi instauré en 2012 le SMCA. Le SMCA est un processus de gestion globale qui veille aux menaces potentielles pesant sur l'organisation et les impacts de celles-ci sur l'activité. Il s'agit donc de préserver les intérêts vis-à-vis des principales parties prenantes, sa réputation, sa marque ainsi que les valeurs qu'elle promeut. De plus, puisque la norme ISO 22 301 s'inscrit dans le cadre du système de management d'une organisation, elle évolue dans un cycle d'amélioration continue. Cela signifie que le processus doit assurer un effort continu afin d'améliorer les produits, les services et les processus. Pour s'assurer de cette procédure, la norme ISO 22 301 se découpe en quatre parties issues de la roue de Deming :

Ø Plan : Il s'agit de la planification de la continuité. Cette phase passe par l'implication de la direction dans la mise en oeuvre et l'application de cette norme. Elle comprend de fait l'élaboration d'une politique de continuité en respectant les exigences légales. C'est lors de cette phase que le responsable du SMCA analyse les risques pouvant affecter la bonne conduite de l'activité afin d'en faire ressortir les solutions de continuité possible et les ressources à allouer pour les réaliser.

Ø Do : A ce stade, il faut mettre en oeuvre les processus en charge de la continuité d'activité. Cela correspond donc à des dispositifs de gestion de crise, un protocole de

34

veille et d'alerte mais aussi l'élaboration du Plan de Reprise d'Activité. Ce document établit les procédures qui permettent la reprise des activités en adoptant des mesures temporaires pour répondre aux exigences habituelles à la suite d'un incident. C'est lors de cette phase que le Plan de communication est également instauré dans le but que chacun des collaborateurs soient concernés et impliqués dans la procédure de continuité d'activité.

Ø Check : Cette phase consiste à surveiller, mesurer et parfois auditer les procédures relevant de la norme ISO 22 301. L'établissement d'exercices et de tests permet de s'assurer de la fiabilité des procédures en réponse à une crise. Cela passe notamment par la pertinence des scénarii de risques et l'évaluation des mesures de réductions des impacts en cas de survenance d'un risque majeur. Il s'agira de prendre des mesures de correction si des écarts apparaissent entre les attentes des procédures et leur réalisation effective.

Ø Act : Cette dernière étape s'axe véritablement sur la thématique de l'amélioration continue. Le retour d'expériences des tests et exercices faits lors de la phase précédente permet de comprendre la nature et l'amplitude des écarts entre le cadre méthodologique tel qu'il a pu être énoncé et la réalité des pratiques mises en oeuvre.

Par ailleurs, le SMCA a également pour vocation d'améliorer la résilience de toute entreprise. La notion de crise est fortement corrélée à la notion de changement. En effet l'apparition d'une crise peut faciliter le changement organisationnel. On parle alors de changement radical pouvant être définit comme « un changement majeur, global et rapide qui survient en situation de crise réelle ou appréhendée »¹. Il convient de préciser qu'en réponse à une crise, le changement peut être volontaire et délibéré². Mais le changement peut aussi être subi, ce qui engendre des répercussions négatives pour l'organisation. C'est dans ce contexte que la notion de résilience prend tout son sens. La résilience peut s'apparenter à la valeur caractérisant la résistance à un traumatisme où l'intérêt réside dans sa capacité à évoluer et à grandir. L. Bout définit en 2005 la résilience organisationnelle comme « un principe qui réside dans la capacité à sortir plus fort d'un traumatisme et qui permet de mettre en évidence la capacité intrinsèque

¹ Soparnot, R, 2005 :33

² Demers, C, 1999

35

des organisations à retrouver leur état d'équilibre, soit leur état initial, soit un nouvel équilibre, pour fonctionner après un désastre ». Cette notion fait écho à la continuité d'activité car la résilience permet également de relever la capacité d'une organisation à faire face à une crise en y résistant dans un premier temps, mais aussi en changeant et en grandissant. Ce constat s'apparente fortement à l'amélioration continue dans lequel évolue le SMCA issue de la norme ISO 22 301.

2. Méthodologie de la norme ISO 22 301

Nous avons pu voir précédemment que le SMCA s'inscrit dans une démarche qualité à travers le PDCA en tant que système de management. De ce fait, le Plan de Continuité d'Activité est assimilé à la culture de l'organisation. La norme ISO 22 301 décrit en ce sens la méthodologie à adopter pour assurer de manière efficience l'intégration du SMCA au sein d'une entreprise.

Les prérequis à la mise en oeuvre d'un SMCA

L'objectif d'un SMCA est de déterminer les processus où il est nécessaire de minimiser voire supprimer les risques potentiels pouvant bousculer le fonctionnement normal de l'activité et pouvant entacher la santé des salariés. Pour cela, il est primordial d'identifier en amont les objectifs de l'organisation et les obligations vis-à-vis des parties prenantes ainsi que les processus métiers et les différentes activités. Cela permettra de déterminer les activités critiques de l'organisation, qui sont indispensables à sa pérennité. Il est également nécessaire de recenser les besoins des acteurs essentiels à la continuité d'activité en mode dégradé suite à la survenance d'un évènement majeur. Un fonctionnement en mode dégradé consiste en la fourniture de produit ou de service jugé indispensable malgré le manque de ressources financières, matérielles et humaines notamment dans le cadre d'une situation de crise. C'est la raison pour laquelle l'estimation des ressources minimales nécessaire pour la reprise des activités doit être faite également au plus tôt. Le SMCA permettra également d'estimer deux indicateurs primordiaux dans la gestion de crise. Le premier est le Délai Cible de Rétablissement (Recovery Time Objective/RTO) qui est la durée maximale d'interruption après un sinistre. Cet indicateur est mis en lien avec le Recovery Point Objective (RPO) qui correspond au niveau d'informations nécessaire à une activité afin qu'elle puisse être opérationnelle lors de sa reprise.

36

Cette première étape de mise en place d'un SMCA permet d'établir des objectifs qui s'apparent bien souvent à la préservation des intérêts du personnel et des autres parties prenantes, la conformité aux engagements légaux et réglementaires, le maintien du niveau de performance financière mais aussi l'avantage concurrentiel que l'adoption de cette norme peut apporter par rapport aux entreprises concurrentes n'ayant pas réalisé cette démarche. L'atteinte de ces objectifs passe par la définition d'un périmètre qui détermine ce qui est inclus dans le SMCA et ce qui en est exclu. La définition du périmètre est un facteur à ne pas négliger car s'il n'est pas clairement défini le SMCA ne répondra pas aux attentes lors d'une crise ce qui peut fragiliser l'organisation au lieu de la renforcer. Il existe trois frontières du périmètre :

Ø Les limites organisationnelles : il s'agit ici de prendre en compte les unités organisationnelles qui seront inclus dans le SMCA, leurs structures ainsi que les responsabilités de chacun. Ce premier périmètre est généralement public et peut être consulté sur le site Web de l'entreprise ou sur leur intranet.

Ø Les limites des lignes d'activité : Plus précisément, on détermine à ce stade les produits et/ou services qui seront inclus dans le SMCA.

Ø Les limites physiques : il s'agit du lieu géographique qui sera inclus dans le périmètre, ainsi que les besoins nécessaires pour assurer son bon fonctionnement, notamment en mode dégradé.

La mise en oeuvre d'un SMCA

En prenant en compte les divers éléments détaillés plus haut, la mise en oeuvre d'un SMCA consiste à rendre opérationnel la stratégie de continuité d'activité. En effet, la stratégie doit être en cohérence avec les ressources disponibles en cas de situation de crise. Pour cela, il est pertinent de mettre à dispositions des collaborateurs des outils facilitant la communication tels que des lignes téléphoniques d'urgence, des salles de réunions équipées ou encore des VPN (Virtual Private Network), c'est-à-dire un système qui permet de créer un lien direct entre des ordinateurs distants tout en les isolant du reste du trafic. Pour rappel, l'apparition d'une crise peut conduire à différents scénarii d'indisponibilité (par site, par activité, par pays, ...) auxquels les stratégies de continuité d'activité se devront de répondre. C'est au caractère singulier et unique d'une crise et aux conséquences spécifiques qu'elle engendre que le SMCA se doit de répondre.

37

Afin de s'assurer que les stratégies de continuité d'activité soient cohérentes, deux indicateurs doivent être établis. Le premier est la Durée Maximale d'Indisponibilité Admissible (DMIA). Selon l'ISO 22 301, il permet de définir le « temps nécessaire pour que les impacts défavorables pouvant résulter de la non-fourniture d'un produit/service ou de la non-réalisation d'une activité, deviennent acceptables ». Il correspond au RTO dont nous avons fait état précédemment. Le second indicateur est le Business Impact Analysis (BIA). Toujours selon la norme ISO 22 301 il est défini comme le « processus d'analyse des activités et de l'effet qu'une perturbation de l'activité peut avoir sur elles ». Autrement dit, le BIA est chargé d'identifier les activités et les processus critiques de l'organisation pour en analyser les impacts et les conséquences en cas d'arrêt des activités. Pour assurer cela, le BIA contient un descriptif de l'ensemble des activités, et notamment les activités jugées critiques, et l'évolution des impacts sur celles-ci. Une méthode d'évaluation des risques permet leur identification et leur évaluation dans l'objectif de les hiérarchiser. Pour cela, deux facteurs doivent être prise en compte : la gravité du risque et sa fréquence. La gravité du risque correspond au niveau de perte qu'implique la survenance d'un sinistre. La fréquence du risque équivaut au nombre de fois où le sinistre se réalise. Chacun de ces deux indicateurs est évalué par ordre croissant (généralement de 1 à 4). Cela signifie que le niveau de risque correspond au produit de ces deux indicateurs (un risque côté à 1 sur sa gravité et sa fréquence sera un risque faible/ un risque côté 4 sera élevé). L'ensemble des risques et leur cotation sera représenté dans une cartographie des risques. Ce document permet de faire ressortir les risques pour lesquels l'impact est le plus élevé. La finalité de cette méthode consiste à réaliser des plans de prévention pour faire diminuer l'impact de ces risques, c'est-à-dire transformer un risque brut élevé en un risque résiduel comportant un impact moindre. Il existe trois grands types de mesures :

Ø La mesure préventive : cette mesure située en amont d'un potentiel sinistre veille à s'assurer que les impacts de l'apparition de celui-ci ne touchent pas ou très peu l'organisation.

Ø La mesure de détection : déclenchée lors de l'incident, cette mesure à court terme donne rapidement des informations sur la situation afin d'agir au plus vite. On peut prendre pour exemples les alarmes incendies, les caméras de sécurités, les systèmes de détection d'intrusion...

Ø

38

La mesure corrective : Située à posteriori d'un sinistre, la mesure corrective consiste à atténuer les conséquences de celui-ci. Ces mesures doivent être prises en compte dans l'amélioration continue que promeut la norme ISO 22 301.

Outre l'importance primordial que nécessite l'évaluation des risques, la mise en oeuvre du SMCA se doit également d'établir des mesures à prendre en cas de crise. Pour cela, la stratégie de continuité doit faire figurer les différentes solutions de repli oeuvrant à préserver la santé du personnel. Par ailleurs, une cellule de crise doit être constituée. Elle peut être composée des membres du personnel dont :

Ø Le responsable de la cellule de crise : Il a la responsabilité de l'organisation. De fait, il est la personne qui prendra les décisions stratégiques, désigne le pilote de la cellule de crise et valide avec lui la composition de la cellule. Il est également chargé d'anticiper les conséquences à moyen et long terme.

Ø Le responsable opérationnel : Généralement élu pilote de la cellule de crise, il est chargé d'évaluer la situation, de mettre en place des solutions pour assurer sereinement la reprise des activités et coordonne les ressources techniques et logistiques.

Ø La fonction communication : elle définit et met en oeuvre les politiques de communication en interne auprès du personnel pour lui communiquer la conduite à tenir. Elle communique également les informations à l'externe, notamment pour les médias, les clients, les fournisseurs, ...

Ø La fonction logistique : elle a la charge d'allouer les ressources pour assurer la reprise des activités, et gère le site lors de la crise. La fonction logistique est également tenue d'assurer le retour à la normale sur le site principal après une période d'indisponibilité.

A travers les membres qui composent la cellule de crise, on constate qu'elle est une entité essentielle en période de crise. En effet, elle est responsable des décisions conduisant à la bonne continuité des activités et à la préservation de la santé de son personnel. Ainsi pour faciliter l'organisation et la bonne communication entre ses membres, il est important de prédéfinir les salles de gestion de crise et de les équiper d'outils essentiels tels que des téléphones, une imprimante et un fax, des prises réseaux et autres fournitures de bureau.

39

Pour faciliter l'organisation en gestion de crise et garder une traçabilité des décisions, de nombreuses fiches sont renseignées. Parmi elles, existe :

· Les fiches « aide à la décision » : elles permettent dès l'apparition de la crise de faciliter la prise de décision en envisageant les solutions les plus adaptées à la situation ;

· La fiche « point de situation » : elle permet la remontée d'information en temps réel auprès des acteurs concernés dans l'objectif de déterminer les actions à mener et les responsables qui en auront la charge ;

· La fiche « bilan de crise » : remplie à la fin de la crise cette fiche permet de faire un bilan sur la situation finale avec notamment le recensement des impacts et la rédaction d'un compte rendu complet ;

· La fiche « retour d'expérience » : dans un souci d'amélioration continue, cette fiche permet de recenser les points forts et les points faibles qui ont pu être relevés lors des différentes phases de la crise.

Contrôler, mesurer et améliorer le SMCA

Afin d'assurer l'amélioration continue du SMCA, il est essentiel de réaliser des tests qui permettent de relever les points faibles et les points forts de celui-ci. La mise en place d'exercices va également familiariser les acteurs du PCA avec les procédures ce qui assure une meilleure anticipation des incidences et des crises. Tous ces éléments veillent à la mise à jour de manière régulière du SMCA et vérifie que les acteurs du PCA soient toujours compétents. La phase de tests a donc une grande importance du fait qu'ils permettent de relever la capacité de l'organisation à mettre en oeuvre le PCA et à assurer sa bonne utilisation. L'ensemble des tests aboutit à un Retour d'Expérience (REX). Autrement dit, le retour de ces tests permet de tirer des enseignements afin de mettre à jour et corriger le PCA. En cela, la norme ISO 22 301 déclare que « cumulés au fil du temps, les exercices et tests valident l'ensemble des dispositions en matière de continuité d'activité, en impliquant les parties concernées ».

Il existe différents types de tests :

Ø Test « sur table » : il s'agit de mobiliser la cellule de crise afin de vérifier sa capacité de réaction, d'adaptation et de réalisation des procédures.

Ø Test « sélectif » : il cible une ou plusieurs activités critiques pour évaluer la mise en oeuvre de la gestion de la continuité en cas de crise.

Ø

40

Test PCA global : centré sur l'ensemble de l'organisation en conditions réelles, il s'agit du type de test le plus complet qui permet d'évaluer la totalité des processus et l'ensemble des acteurs clés.

Il convient de préciser que pour les différents types de tests, le personnel peut soit être informé de la date de réalisation et son envergure, soit ne pas l'être pour assurer une réelle mise en situation.

Outre la réalisation de tests et d'exercice, il est pertinent de mesurer la performance du SMCA. La performance d'un système peut être perçue comme l'évaluation de l'effort consacré à l'atteinte d'un objectif particulier. Pour cela un indicateur de performance doit permettre à un décideur de conduire une action particulière ou lui permettre d'en évaluer le résultat. Pour être pertinent, l'indicateur doit être associé à un objectif stratégique mais il doit également permettre de comprendre les facteurs de réussite ou d'échec. De plus, il est possible de distinguer les indicateurs quantitatifs qui portent sur des éléments chiffrés, des indicateurs qualitatifs qui décrivent la qualité d'un résultat. Dans le cadre de l'évaluation d'un SMCA, il est possible d'évaluer la performance du système via des indicateurs tels que le coût moyen d'un incident, le nombre d'heures de formation par employés, le nombre d'exercices réalisés en un an, etc.

Pour finir, l'audit interne est également un moyen incontournable pour évaluer son système de management. Selon l'Institut des Auditeurs Internes, l'audit interne peut être défini comme « une activité indépendante et objective qui donne à une organisation une assurance sur le degré de maîtrise de ses opérations, lui apporte ses conseils pour les améliorer, et contribue à créer de la valeur ajoutée ». L'objectif de l'audit interne pour une organisation consiste à l'aider dans l'atteinte de ses objectifs en évaluant ses processus, son contrôle et sa gouvernance. En matière de SMCA, l'auditeur sera amené à examiner l'état des lieux, c'est-à-dire si ses activités critiques ont été correctement analysée et si la stratégie est en cohérence avec ses besoins. Il évaluera également la conduite du projet du PCA avec l'adéquation des ressources mobilisées, son intégration dans la culture de l'entreprise et la qualité des processus supports. Ainsi, en plus de vérifier la pertinence du système de management, l'audit interne va également vérifier sa conformité par rapport au référentiel de la norme ISO 22 301.

41

C. Le Plan de Continuité d'Activité en réponse à la crise sanitaire

1. Le PCA : un outil qui se veut préventif

Il semble intéressant de se pencher sur l'application d'un Plan de Continuité d'Activité en réponse à une crise sanitaire pour plusieurs raisons. Comme nous avons pu le constater, une crise peut être de plusieurs natures et peut également être amenée à évoluer. Au niveau national, il est fait état de cinq risques majeurs pouvant conduire à une situation de crise : la menace terroriste, les risques naturels, les risques technologiques, les risques sanitaires et les risques cyber. Ainsi, une crise d'origine technologique (ou industrielle) peut conduire à une crise sanitaire en cas de libération dans l'air, l'eau ou le sol de produits chimiques. Nous avons pu nous rendre compte que la crise peut être évaluée différemment selon la perception des acteurs concernés, toutefois il s'avère que le concept de crise est fortement corrélé avec la notion d'incertitude. En France, le Plan National de Prévention de de Lutte « Pandémie Grippale » annonce que « le propre de la crise tient à l'incertitude. S'il est possible de la réduire, on ne peut jamais l'éliminer totalement ». Bien que cette notion d'incertitude soit inhérente à chaque crise, elle prend une place prépondérante en situation de crise sanitaire. En ce sens, le chercheur C. Roux-Dufort résume la crise en une « somme d'accumulation de déséquilibres et d'ignorance managériale »¹. Il apparait en effet que l'incertitude est d'autant plus forte lors de crises sanitaires anxiogènes en raison du caractère indéfini de celles-ci. Dans un entretien avec le Centre National de la Recherche Scientifique (CNRS) en avril 2004, Edgar Morin explique qu'initialement les citoyens étaient rassurés de voir le président Emmanuel Macron s'entourer d'un conseil scientifique. Mais devant les avis et points de vue contradictoires des scientifiques entre eux, il est apparu que la science ne peut pas toujours fournir de réponse en matière de crise sanitaire telle que celle de la COVID-19. Le philosophe déclare alors « nous essayons de nous entourer d'un maximum de certitudes, mais vivre, c'est naviguer dans une mer d'incertitudes, à travers des îlots et des archipels de certitudes sur lesquels on se ravitaille ». Une organisation ressent la même chose au cours de son évolution en souhaitant acquérir de nouvelles parts de marché, en se développant en interne, par le partenariat de nouveaux partenaires, etc. Cela est d'autant plus vrai en période de crise ou de nombreux repères deviennent caduques et ne permettent plus d'assurer le bon suivi de l'activité et l'évolution de l'environnement. En cela, la planification apparait comme un dispositif permettant d'encadrer

¹ C. Roux- Dufort, « Gérer et décider en situation de crise », Dunod 2002.

42

l'activité en période de crise, mais elle doit également comporter une part de flexibilité et d'agilité, notamment en période de crise sanitaire. Nous avons pu voir que la mise en place d'un PCA permettait de répondre à une indisponibilité de ressources d'ordre humain, matériel ou du système informatique. Néanmoins il apparait que lors d'une crise sanitaire apparaissent de nombreuses indisponibilités simultanément. Bien souvent les PCA sont adaptés pour répondre à des situations brusques liés à des pénuries de ressources et d'infrastructures locales. A contrario, une crise sanitaire provenant d'une pandémie n'engendre, a priori, aucun dégât matériel mais peut conduire à des impacts extrêmes sur l'état de santé d'une vaste population. Une partie du personnel peut être affecté par le virus, les déplacements peuvent être réduits afin de limiter la contagion, et la présence dans les infrastructures pourrait être réduite durant un certain temps. De plus, les conséquences induites au niveau mondial par une pandémie rendent la définition du périmètre des indisponibilités plus difficile. Suite à la pandémie de la COVID-19, Edgar Morin explique qu'il est très difficile d'en cerner les dimensions en raison du fait que l'on ne connait pas l'origine même du virus, les différentes formes qu'il peut prendre et sa potentielle évolution ainsi que les personnes auxquelles il s'attaque. De plus, les conséquences initialement sanitaires peuvent conduire à l'apparition de crises ultérieures ou concomitantes d'ordre social et économique.

2. Le PCA face à la complexité et la virulence des récentes crises sanitaires

En matière de Plan de Continuité d'Activité il est évident qu'il est nécessaire de prévoir des mesures de prévention pour la protection des salariés tout en maintenant l'activité en sécurisant les postes essentiels. En cela, il est important d'anticiper des scénarii de risques afin de préparer en amont des plans d'actions réalisables lors d'une situation de crise. Toutefois, il n'est pas possible de tout anticiper en raison du caractère incertain d'une crise. En effet, les accidents industriels de Tchernobyl en 1986 et de Fukushima et 2011 ont impacté de nombreuses organisations sur des zones très étendues. Ces deux catastrophes nucléaires ont eu des conséquences telles que nul ne pouvait les prédire. Ainsi, outre l'impossibilité de se rendre dans les locaux situés dans la zone d'exclusion nucléaire, les risques sanitaires sont également omniprésents. La radioactivité induite par l'explosion peut quant à elle perdurer dans l'air, l'eau et les sols pour de nombreuses années. Suite à l'accident nucléaire de Fukushima, le Ministre de la Science du pays a indiqué que 30 000km² du sol japonais restaient contaminés au césium.

43

A ce titre, une zone de 1 800 km² est classée comme durablement inhabitable. Ces paramètres ne sont que peu imaginés dans la conscience du gestionnaire en charge de l'élaboration du PCA. Toutefois, concernant les organisations se situant à proximité de sites Seveso, et tout particulièrement des centrales nucléaires, il est pertinent de rapporter les risques encourus dans le PCA car bien qu'ils ne paraissent que peu réalisables, l'Histoire nous a démontré que le pire peut se produire. A ce titre il est également possible de prendre pour exemple l'explosion de l'usine AZF en 2001 située en plein coeur de la ville de Toulouse. Tout comme l'accident survenu à Beyrouth le 4 août dernier, c'est la réaction chimique de nitrates d'ammonium qui a été à l'origine de l'explosion. Bien que les dégâts en pertes humaines et matériels soient considérables, il est possible de constater les effets à plus long terme. En effet, suite à l'accident de l'usine AZF, une étude a permis de répertorier les conséquences sanitaires de l'évènement. Il est apparu que sur un échantillon de 2500 individus, 30% d'entre eux ont été victimes d'acouphènes dans les années qui suivirent. Par ailleurs, 15% des hommes et 22% des femmes ont souffert de stress posttraumatique. Ces éléments viennent démontrer qu'un accident à l'origine industriel peut engendrer de sévères conséquences sur l'état de santé d'une population. A travers le Business Impact Analysis (BIA) présent au sein du PCA, il est possible d'imaginer les scénarios dont nous avons pu faire état afin de protéger au mieux la santé des employés de l'organisation tout en veillant à assurer la continuité de l'activité. En cela, il apparait primordial de définir de manière pertinente le périmètre du PCA par une analyse complète du contexte géographique et organisationnel. Par ailleurs, l'élaboration du PCA permettra de définir la stratégie de continuité selon le scénario de crise. En effet, la gestion de crise sous-entend une mise en oeuvre de dispositifs et procédures nécessaires pour conduire les activités critiques de l'organisation.

En matière de pandémie grippale, le PCA s'avère également très utile. Une pandémie peut avoir des conséquences sur l'état de santé d'une population et pour cela, il est important d'instaurer des moyens de prévention pour limiter sa propagation. En ce sens, l'objectif d'un PCA Pandémie est à la fois de protéger les salariés en limitant la propagation de la pandémie tout en maintenant un certain niveau d'activité. Le mode de contamination d'un agent pathogène peut se faire sous plusieurs formes : contamination par contact, contamination par microgouttelettes ou microparticules aéroportées, contamination par vecteur (moustique, aliments, ...). Les conséquences d'une pandémie sur une organisation peuvent relever d'une diminution des effectifs dont une indisponibilité simultanée de plusieurs dirigeants, des annulations de commandes ou l'impossibilité de les satisfaire, ou encore d'une interruption forcée d'activité.

44

Il apparait également que les gouvernements peuvent prendre des dispositions particulières pour protéger la santé de leurs citoyens et contenir la propagation du virus. C'est ce que nous avons pu constater en France le 17 mars 2020 avec les mesures de confinement prisent pour limiter la propagation du virus SARS-COV-2, plus connu sous le nom de COVID-19. Il est toutefois difficile pour le gestionnaire d'imaginer une pandémie d'une telle envergure. A ce titre, et pour fournir un cadre d'analyse, l'OMS recommande plusieurs scénarii se caractérisant notamment par une vague pandémique allant de 8 à 12 semaines avec un taux d'absentéisme de 25% tout au long de la pandémie, pouvant aller à 40% sur les deux semaines de pointe. Par ailleurs, il est défini plusieurs niveaux d'alerte pandémique pour une entreprise passant d'une période de vigilance à une période d'alerte pandémique pouvant aller jusqu'à une période pandémique maximale. A chacune de ces niveaux correspondent des mesures adaptées retranscrites dans le PCA. Pour faire face à une pandémie grippale, il est essentiel de sensibiliser le personnel sur les mesures de protection à adopter. Parmi les principales mesures de précaution il y a se laver les mains de manière régulière, éviter les personnes malades, porter des masques de protection. De fait, ces éléments seront indiqués dans le PCA Pandémie à travers les matériels nécessaires en cas de pandémie et les consignes d'hygiène et de sécurité en cas de contamination.

Pour résumer, le PCA est un outil reprenant de nombreuses thématiques permettant d'assurer une continuité d'activité en préservant la santé des salariés. Cela passe notamment par l'établissement de procédures de précaution pour se prémunir de la situation sanitaire en protégeant la santé du personnel et du public.

III. Le PCA en période de crise sanitaire

A. Le PCA : un outil managériale expérimenté

1. Les facteurs de réussite du PCA

Depuis sa première apparition dans le milieu des années 1990, le Plan de Continuité d'Activité a pu s'enrichir au gré de l'avancée des expériences et des événements de crise dont nous avons pu faire état précédemment. En effet, il est esentiel de rappeler que pour devenir un outil performant dans une entreprise, le PCA doit être mis à jour de manière régulière. Cette actualisation de l'outil peut se faire après des audits, après des tests et/ou exercices mais

45

également après la survenance d'une crise ayant permis de relever les points faibles de l'organisation en matière de continuité d'activité. La norme ISO 22 301 établi en 2012 fournit un cadre méthodologique mais aussi une reconnaissance à l'international des bonnes pratiques sur le Système de Management de Continuité d'Activité par le biais de cette certification.

On peut ainsi constater que le PCA apparait comme un outil de management pertinent et reconnu pour assurer la continuité de l'activité pour une organisation en réponse à une crise. En effet, l'élaboration structurée d'un PCA dans une entreprise va permettre, lorsqu'une crise survient, de prendre les décisions adéquates dans les meilleurs délais. Toutefois, pour que l'outil puisse être véritablement performant il est nécessaire de relever les facteurs de réussite.

Ø Pourquoi réaliser un PCA ? : Cette question essentielle va permettre de définir les activités assurant la pérennité de l'entreprise. Cela signifie que le PCA ne concourt pas à préserver l'intégralité de l'organisation mais bel et bien certaines activités, certains secteurs. La réflexion autour de cette question apparait donc comme incontournable, coeur de travail pour impulser les démarches en faveur de ces activités jugées critiques.

Ø La composition : Le PCA comporte de nombreux éléments à mettre en place dont notamment des activités, des procédures, de la documentation, etc. Bien que tous ces éléments n'apparaissent pas comme primordiaux, leur mise en place tend à assurer au mieux la préservation de l'activité. Dans la composition du PCA on retrouve :

o L'analyse d'impact sur le business (BIA) : Pour rappel, cette analyse va permettre de détailler les activités critiques et essentielles à la pérennité de l'entreprise. L'objectif est donc d'anticiper les impacts qu'il est possible de rencontrer si une de ces activités cesse. Cela comprend également les relations avec les différentes parties prenantes de l'entreprise, et plus particulièrement les clients et les fournisseurs.

o Le Plan de Continuité Opérationnel (PCO) : Après la survenance de la crise, cette étape consiste à redémarrer l'activité avec un minimum de ressources pour délivrer un minimum de produits et/ou de services. C'est ce qu'on appelle plus communément le mode « dégradé ».

o Le Plan de Reprise Informatique (PRI) : De la même manière que l'on redémarre les activités de produits et/ou de services, le PRI a pour finalité de remonter le système informatique qui a pu être détruit ou qui a pu être indisponible que ce

46

soit par l'accessibilité des locaux mais également par des pertes de données. Il semble important de définir un PRI quand on sait l'importance que prennent les Technologies de l'Information et de la Communication (TIC) dans la gestion des activités de nos jours.

o Gestion de crise : Ce module est d'une grande importance. En effet, même si le PCA n'est pas finalisé ou ne répond pas au caractère spécifique de la crise, cela permet d'avoir des outils suffisant pour gérer l'évènement et parvenir à redémarrer l'activité plus sereinement.

o Plan de communication : La communication revêt un rôle très important. Elle va s'orienter vers la presse, les médias, les clients, fournisseurs et autres partenaires sans oublier les collaborateurs qui ont besoin d'avoir les informations relatives à l'évolution de la crise et ses impacts sur la gestion au l'entreprise. La communication va également être un levier pour diminuer le stress et l'anxiété qui peuvent émerger du fait de la situation de crise.

Ø Un pilotage par la Direction : Tout d'abord, il faut bien considérer que bien que le Plan de Continuité d'Activité se doit d'être impulsé par la Direction, il touche l'ensemble de l'organisation de manière horizontal. Qu'elles soient critiques ou non-critiques, toutes les activités vont être concernées par le PCA. C'est la raison pour laquelle la Direction doit être porteur de ce projet et de sa bonne réalisation. Pour ce faire, elle doit s'impliquer dans toutes les phases de la continuité d'activité. Sans cela, le PCA peut être voué à l'échec ou peut avoir des impacts très négatifs sur l'entreprise après la survenance d'une crise.

Ø Une culture d'entreprise : Il s'avère que plus le PCA est intégré dans l'entreprise et dans l'ensemble des activités, plus la capacité de résilience va augmenter. Cela va parfois permettre d'engendrer une certaine autonomie des processus du fait de l'implication récurrente de la stratégie de continuité d'activité.

Ø Focaliser sur l'indisponibilité : Afin de prévenir les conséquences d'une crise, il est préférable de se focaliser sur les indisponibilités plutôt que sur les risques eux-mêmes. En effet, cela va permettre un gain de temps et d'argent car le PCA veille à répondre à ces indisponibilités et à assurer la continuité d'activité malgré ce manque de ressources.

Ø

47

Adapter la technologie : Les avancées technologiques permettent de préserver de nombreuses données essentielles à l'entreprise, autant en matière de continuité d'activité qu'en facteur clés de succès qui assurent sa pérennité et son avantage sur le marché. Il est donc pertinent de s'équiper et de former les collaborateurs autour de la technologie. Néanmoins, il apparait comme évident de trier les données que l'on souhaite conserver au risque d'engranger un trop-plein d'informations.

Ø Pratiquer : Comme le préconise la norme ISO 22 301, il est essentiel de pratiquer par des tests et des exercices le PCA afin de rendre l'organisation toujours plus résiliente et autonome en matière de continuité d'activité. Cela va par ailleurs conduire à l'apparition de reflexes. Ainsi, dès la survenance de la crise, il sera possible de mettre en oeuvre les premiers modes opératoires pour conduire la continuité d'activité sans avoir à chercher dans les procédures les conduites à tenir. Enfin, plus l'entreprise aura réaliser des tests et exercices, et plus son personnel sera autonome. On parvient dès lors à mettre en pratique un PCA de façon véritablement efficiente.

A travers ces différents éléments, on constate que la seule mise en place d'un PCA ne permet pas de répondre à une crise. Pour cela, il est essentiel que la Direction soit impliquée dans le projet. En ce sens, une stratégie réfléchie de communication doit s'établir à travers les principaux partenaires ainsi qu'au personnel. De plus, pour assurer son efficience, le PCA doit être intégrer dans le système de management de l'entreprise, notamment pour assurer son amélioration continue.

2. REX et PCA

Le Retour d'Expérience (REX-RETEX) est un processus très important en matière de continuité d'activité. L'OMS défini le REX comme « une évaluation en profondeur des actions de gestion entreprises au cours d'un événement de santé publique, faites par la suite afin d'identifier les lacunes, les leçons et les meilleures pratiques ». Ainsi, concernant un événement d'ordre sanitaire, l'OMS ajoute que le REX « offre une approche structurée pour les individus et les organisations impliqués dans la préparation et la réponse aux événements sanitaires de réfléchir à leurs expériences et leurs perceptions sur la réponse donnée à l'événement ». Il apparait donc

48

que le RETEX ne consiste pas en une simple suite de remarques mais bel et bien une réflexion sur les enjeux soulevés par une crise. En ce sens, il met en exergue les points positifs et les points négatifs d'une organisation dans sa qualité d'adaptation face à une crise, et en cela, se veut être un outil d'amélioration continue pour l'entreprise. En effet la norme ISO 22 301 énonce qu'une « organisation doit continuellement améliorer l'efficacité de son dispositif de continuité d'activité et de gestion de crise soit à la suite d'exercices, d'audits mais aussi de crises réelles et leurs retours d'expériences ». Ainsi, le REX est un processus qui a permis de faire évoluer le PCA et son applicabilité en temps de crise.

Par ailleurs, les différentes crises majeures que nous avons relevées précédemment dont Tchernobyl, Fukushima, AZF, etc., ont également pu être des bases de réflexion pour améliorer la prévention et assurer au mieux la continuité d'activité pour de très nombreuses entreprises. Bien que beaucoup de structures n'aient pas été directement impactées par les conséquences de ces événements, elles ont néanmoins pu mettre à jour leur PCA tant au niveau de leur BIA que de leur stratégie de communication ainsi que dans la gestion de leur cellule de crise. Par conséquent, les faits marquants de l'Histoire qui ont conduit à des situations de crise ont été des sources conduisant à l'amélioration de l'outil de management qu'est le PCA pour le rendre toujours plus performant. L'étude quant à l'amélioration de l'outil a notamment permis de faire ressortir une construction du PCA fondée sur les conséquences d'une crise et non pas les risques générés. Ainsi, dans un article paru dans Sécurité et Stratégie, Stéphanie Ruelle déclare que « ces réflexions donnent un caractère très opérationnel à la gestion des crises et à la continuité d'activité qui ne doivent plus être considérées comme des activités connexes à l'entreprise »¹.

Nous avons démontré qu'il est primordial d'élaborer le PCA en collaboration étroite entre la Direction et le personnel ainsi que divers autres partenaires. En matière de crise sanitaire, la grippe A (H1N1) a favorisé l'élaboration d'un PCA dans les entreprises pour faire face à un épisode d'épidémie pouvant aller jusqu'à une situation de pandémie. A ce titre, Patrick Le Moal, Directeur adjoint du travail au sein de la Direction Régionale du Travail, de l'Emploi et de la Formation Professionnel en Haute Normandie a constaté que de nombreuses entreprises se sont inquiétées des conséquences d'une telle épidémie. En réponse à l'intérêt d'établir un PCA pour anticiper la crise sanitaire de la Grippe A en 2009, Patrick Le Moal déclare « si cette

¹ Ruelle, S. (2012). Continuité d'activité et gestion de crise : de la technique à l'humain. Sécurité et stratégie, 10(3), 32-40.

49

pandémie ne se déclare pas, il est statistiquement envisageable que nous en connaissions une autre dans les années à venir ». Ainsi, les entreprises ayant mis en oeuvre un PCA en amont de la survenance d'une crise ont pu anticiper des actions à mettre en oeuvre si une autre crise survenait. Par ailleurs, il ajoute que le PCA « est en fait un travail plus global sur la préparation de l'entreprise à un fonctionnement en mode dégradé. Sachant qu'aujourd'hui beaucoup travaillent déjà en flux tendu, avec des effectifs « serrés » et de fortes dépendances entre les métiers, on s'aperçoit que cette réflexion n'est pas inutile ». On constate de fait que l'élaboration d'un PCA, en plus de son objectif premier qui est de faire face à une crise, est présenté une fois encore comme un outil rendant une organisation davantage résiliente et assure son efficience.

Néanmoins, outre son apport qui peut procurer dans la gestion d'une crise, le PCA présente également des aspects négatifs

B. Le PCA : le dévoiement de l'outil de ses réelles finalités

1. Les limites intrinsèques au PCA

Malgré son souhait d'anticiper et répondre à une crise, le PCA présente néanmoins quelques faiblesses. Tout d'abord il convient de rappeler que le PCA n'apparait pas comme une solution miracle en temps de crise. En effet, une organisation ne peut déployer un PCA lors de la survenance d'une crise et imaginer ainsi sauver ses activités critiques. Pour être efficace, l'outil doit être élaboré en amont de la crise afin d'anticiper les impacts sur l'organisation et les possibles actions qui permettent de préserver le personnel et les ressources clés. C'est la raison pour laquelle un PCA doit être mis à jour de manière régulière. Toutefois, aux yeux de certains dirigeants, le PCA peut être un outil couteux. Ainsi, bien qu'il soit mis en place dans les entreprises, il n'est pas une priorité dans un grand nombre d'entre elles, et de fait est rarement mis à jour. De ce constat découle une mauvaise communication de l'outil auprès du personnel ce qui rend son application très complexe.

Bien qu'il existe une norme, l'ISO 22 301, qui permet de définir les principes généraux d'un plan de continuité d'activité et son intégration dans le système de management d'une entreprise,

50

le PCA devient bien souvent qu'une procédure de plus dans un tiroir pour beaucoup d'organisations. Tandis que le PCA procure une sensation de sécurité pour l'organisation, et notamment pour ses dirigeants, il devient dans ce cas très peu efficace. L'élaboration d'un PCA entraine une mise en place de procédures supplémentaires et spécifiques à la gestion de crise. Mais l'apparition d'exercices, de tests ou d'audits, peuvent être perçus comme fastidieux et couteux. Néanmoins, ces étapes sont primordiales pour prendre en compte les évaluations des risques, la vulnérabilité des processus, les nouvelles réglementations et leurs impacts sur l'organisation de l'entreprise. Les crises ne surviennent que rarement, ainsi sans la réalisation de tests et exercices qui permettent la maitrise instinctive des processus, le risque de subir un dysfonctionnement est davantage élevé. Clotilde Marchetti, Directrice de l'offre « Risques Extrêmes » dans les cabinets d'Audit Grant Thornton déclare qu'il « ne suffit pas de mettre en place un PCA, il faut le faire vivre. Les organisations évoluent et les hommes changent au sein des organisations. Il faut donc s'assurer régulièrement que les PCA sont toujours adaptés et les tester à travers des exercices pour que les personnes soient mieux armées en condition de crise. Il y a un sujet à la fois de formation et de compétence non seulement pour les spécialistes et responsables du PCA, mais aussi pour les métiers et les fonctions support ». Toutefois, il s'avère que dans 88% des cas, le PCA n'est actualisé qu'annuellement. C'est alors que l'objectif premier qui est de contenir les effets négatives d'une crise n'est pas atteint, la mauvaise application des procédures relevant du PCA fait apparaitre de nouveaux risques.

Par ailleurs, c'est bel et bien le coût en temps et en argent qui désincite les dirigeants à la bonne mise en place d'un PCA dans leur entreprise. En effet, le projet d'élaboration d'un PCA ne permet pas de gagner de l'argent à une organisation, il est donc considéré et traité comme un centre de coûts. Bien qu'il puisse être perçu comme une assurance en cas de crise, nous avons pu constater que son application seule ne permet pas de maitriser la totalité des conséquences de la crise et préserver ainsi l'ensemble de ces activités. Et puisqu'un PCA n'assure pas pleinement la pérennité de l'entreprise, son coût peut apparaitre comme un frein pour les dirigeants. A ce titre, en France, le Secrétariat Général de la Défense et de la Sécurité Nationale propose dans le Guide pour réaliser un Plan de Continuité d'Activité un schéma permettant d'apprécier le coût de la mise en place d'un PCA et lien avec la durée de l'interruption de l'activité.

51

Schéma : Coût de mise en place d'un PCA

Source : SGDSN, Guide de réalisation d'un PCA

Ce que le SGDSN relève, c'est qu'il est possible que le coût de mise en place d'un PCA puisse s'avérer plus élevé que les conséquences de l'interruption de l'activité. Dans ce cas, il serait préférable de mettre oeuvre une stratégie de prévention et de protection pour limiter ces conséquences mais également préserver la santé du personnel. In fine, une étude menée par les cabinets d'audits Grant Thornton sur plus de 5000 entreprises a démontré que bien que 60% d'entre elles entretiennent le projet de réalisation d'un PCA avec leur Direction, seuls 15% des sondés ont véritablement mis en place un PCA dans leur entreprise. Clotilde Marchetti ajoute à cela que « le maintien en conditions opérationnelles des PCA est souvent perçu comme une corvée administrative et chronophage, alors qu'il existe des solutions digitales ou innovantes pour le faciliter ».

Il est également possible d'externaliser la mise en place de son PCA, notamment en matière de continuité du système d'information. Mais là encore, son coût par rapport à la probabilité de survenance d'une crise n'incite que très peu les directions d'entreprises à opter pour cette méthode. D'autant plus qu'à cela s'ajoute des enjeux de responsabilité et une obligation de résultat.

La dénomination du PCA peut également être trompeuse. En effet, la notion de « Plan » induit que l'ensemble des procédures sont écrites, anticipées et lors de la survenance d'une crise il ne

52

suffira que de déployer le PCA pour assurer la pérennité de l'entreprise et préserver l'état de santé du personnel. La pandémie COVID-19 a démontré la défaillance du PCA sur ce sujet. En effet, le PCA peut répondre à une indisponibilité de ressources humaines, une indisponibilité des locaux ou encore une interruption du système d'information mais peu d'entreprises ont anticipé une indisponibilité des ces trois domaines simultanément. C'est ce que le statisticien Nassim Nicholas Taleb a dénommé Le Cygne Noir¹. Il s'agit d'une théorie selon laquelle un évènement imprévisible et peu probable se réalise et a des conséquences de grandes envergures. Autrement dit, le cygne noir repose sur les caractéristiques relevant d'une anomalie, d'un impact extrêmement fort, et d'une prévisibilité rétrospective et non prospective. C'est dans ce contexte que la rigidité de la documentation du PCA et le cadrage des procédures l'a emporté sur la flexibilité. La simultanéité des indisponibilités en raison de la dimension de la crise sanitaire fait apparaitre des points faibles dans l'organisation de la continuité d'activité : les cellules de crise mettent davantage de temps à s'organiser en raison du caractère inédit et de l'ampleur de la crise, le confinement a ralenti le processus de gestion de crise, que peu d'entreprises avaient anticipé le télétravail comme solution de repli (avant le confinement, seuls 7% des salariés français selon Forum Vies Mobiles). Ainsi, bien que le PCA soit un outil essentiel dans le domaine de la gestion des risques et la continuité d'activité, la crise de la COVID-19 a permis de constater qu'il présentait des limites. La crise est imprévisible par nature, notamment car elle nait et évolue dans des systèmes complexes. A ce titre, l'élaboration d'un PCA peut donner une illusion de contrôle alors qu'il est difficile d'envisager l'ensemble des scénarios permettant de limiter les conséquences d'une crise.

Enfin, nous avons constaté que le PCA se réalise en priorisant les activités jugées critiques pour la survie de l'organisation. De ce fait, il est essentiel d'une part que la Direction soit fortement impliquée, et d'autre part que les Directions métier se sentent concernées par le sujet. Afin d'apprécier la criticité des processus métiers, il est nécessaire d'auditionner les managers opérationnels qui sont les seuls à pouvoir évaluer ce qui est critique ou non dans leur activité. Néanmoins cela soulève une faille dans la bonne gestion de la procédure de continuité d'activité. En effet, les services et les équipes peuvent entrer en concurrence pour justifier leur valeur et leur position dans leur entreprise. Certain se sentirait lésé de constater que leur activité n'est pas perçue comme importante pour l'organisation. Cela peut déboucher sur des conflits

¹ Rioust de Largentaye, A. (2011). Nassim Nicholas Taleb, Le Cygne noir, la puissance de l'imprévisible. Afrique contemporaine, 237(1), 157-160

53

en interne mais peut également apparaitre comme une source d'anxiété quant à la pérennité de leur emploi qui ne serait pas indispensable pour l'entreprise.

2. Le dévoiement du PCA de ses finalités

Nous avons pu constater qu'une mauvaise élaboration et une mauvaise application du PCA en temps de crise peut engendrer davantage de dommages que la crise en elle-même. C'est la raison pour laquelle, il est primordial de nommer un responsable du PCA. Ce dernier doit être doté d'une délégation de pouvoir conforme aux règles juridiques pour assurer sa mission. Pour cela, le responsable devra être doté de moyens suffisant pour réaliser le PCA, et qu'il dispose de la compétence et l'autorité pour l'instaurer dans l'organisation. Cela signifie également que le délégataire aura la responsabilité pénale du PCA. Ainsi, la mise en place d'une délégation de pouvoir dans le cadre de l'élaboration d'un PCA va permettre au délégataire de représenter l'organisation dans les limites de ses attributions. L'avocat à la Cour Maître Couturier déclare en ce sens que la délégation de pouvoirs consiste en « un transfert d'une autorité, ce qui implique non seulement le transfert d'un pouvoir de décision et celui de la responsabilité attachée à ce pouvoir ». Pour être effective d'un point de vue légale, la délégation de pouvoir doit comprendre :

- Un lien de subordination entre les parties (Cass Ch. Soc. 27 mars 2019 n°18-11.679),

- Des domaines de compétences précis et spécifiques (Cass., Ch. Crim., 20 octobre 1999, numéro 98-83562 ; et Cass., Ch. Crim, 21 octobre 1975, numéro 75-90427)

- Une délégation de la compétence, de l'autorité et des moyens nécessaire (Cass., Ch. Crim, 30 octobre 1996, Bull. Crim. Numéro 389).

Toutefois la délégation de pouvoir en matière de continuité d'activité n'est pas anodine. Malgré l'instauration d'une politique de prévention des risques, les conséquences d'une crise peuvent être telles que cela peut entrainer des dommages et une interruption de l'activité. Dans un monde ultra-concurrentiel, ces conséquences peuvent constituer un fort préjudice pour l'entreprise mais également l'ensemble de ces partenaires. Dans un tel cas, les responsabilités provenant d'un tel dysfonctionnement incombent aux dirigeants. C'est ainsi que la délégation de pouvoir dans la réalisation d'un PCA prend son sens. En effet, la délégation de pouvoir et la délégation de responsabilités qui en découle lors d'un dysfonctionnement vont alors reposer sur la personne en charge du PCA au sein de l'organisation. C'est un moyen pour les dirigeants de

54

se dédouaner de leurs responsabilités lors d'une mauvaise application du PCA. En effet, plusieurs décisions rendues en 1993 en matière de délégation de pouvoir précise que « hors le cas où la loi en dispose autrement, le chef d'entreprise [...] peut s'exonérer de sa responsabilité pénale s'il rapport la preuve qu'il a délégué ses pouvoirs à une personne pourvue de la compétence, de l'autorité et des moyens nécessaires ». Ainsi, en cas d'une mauvaise gestion de prévention des risques ou d'une mauvaise élaboration du PCA, la responsabilité incombera au responsable et non aux dirigeants. A ce titre, le PCA peut être perçu par ces derniers comme un outil permettant de se dédouaner en cas de dysfonctionnement lors de la survenance d'une crise.

Par ailleurs, le PCA permet d'assurer la continuité des activités par l'intermédiaire des personnes clés de l'entreprise. A ce titre, l'élaboration du PCA doit être fortement corrélée avec la gestion des ressources humaines. Le BIA (Business Impact Analysis) a pour vocation d'identifier les ressources humaines essentielles permettant d'assurer la continuité d'activité. Cela peut être anticipé et planifié pour des crises de courtes durées lorsqu'il s'agit d'une indisponibilité temporaire de locaux en raison d'un incendie ou d'actes de malveillance. Mais rares sont les entreprises à avoir anticipé la crise de la COVID-19 et ses conséquences multifactorielles sur une longue durée. En effet, outre le fait que cette crise sanitaire ait touché de nombreux pays dans le monde, elle a conduit à des mesures inédites de confinement généralisées. Cela a fait apparaitre de nouveaux risques principalement humains qu'à ce jour, le PCA n'est pas en mesure de prendre en compte.

SECTION 2

55

Démarche empirique et résolutions managériales

I. Analyse de terrain : le défi de l'application du PCA dans le cadre

56

de la crise sanitaire de la COVID-19

A. La crise sanitaire de la COVID-19

La crise sanitaire du COVID-19 a pu être un sujet d'étude afin d'apprécier l'applicabilité d'un PCA en temps de crise sanitaire. Il convient néanmoins de définir le contexte d'étude de cette pandémie.

Le 31 décembre 2019, la Commission sanitaire de Wuhan, une ville chinoise d'environ 10 millions d'habitants, signale un groupe de personne atteintes de pneumonie. Quelques jours plus tard, le 11 janvier 2020, la Chine communique publiquement la séquence génétique du virus COVID-19. Le virus correspond à un syndrome respiratoire aigu sévère (Sras). Rapidement, le phénomène prend de l'ampleur, des cas sont détectés dans les pays frontaliers à la Chine. Pour prévenir l'épidémie, le ministère de la santé en France alerte les ARS avec comme objectif d'« assurer la réponse opérationnelle aux urgences sanitaires grâce à une équipe de médecins, de pharmaciens, d'ingénieurs spécialisés en santé publique et de gestionnaires de crise ». Le 20 janvier 2020, le pneumologue Zhong Nanshan, responsable de la découverte du virus, révèle que ce dernier est transmissible entre les humains. Dès le lendemain, l'ensemble des habitants de la région du Hubei en Chine, soit plus de 50 millions d'habitants, sont placés en confinement afin d'enrayer la propagation de l'épidémie. C'est le 30 janvier 2020, soit plus d'un mois après la détection du premier patient touché par le virus que l'Organisation Mondiale de la Santé qualifie l'épidémie d'urgence sanitaire publique. Cela signifie que la situation sanitaire met en péril la santé de la population et à ce titre, des mesures exceptionnelles peuvent être prises. Des évènements de foules telles que le rassemblement religieux qui s'est tenu à Mulhouse le 15 février 2020 ou encore le match de football opposant l'Atalanta et Valence sont perçus comme des « bombes biologiques », véritables vecteurs favorisant la propagation du virus. La revue Science déclare par le biais de spécialistes, que le virus est inarrêtable et la pandémie inévitable. Début mars on compte plus de 100 000 contaminés selon l'OMS. Pour se prémunir, les pays ferment leurs frontières, le 9 mars la population italienne se voit confinée et la France la rejoint quelques jours plus tard, le 17 mars. Dans son discours le président français Emmanuel Macron aura répété six fois « nous sommes en guerres ». Dans le même temps l'Europe devient le nouveau foyer principal de la pandémie. Puis ce sera au tour des Etats-Unis

57

d'être touché par le virus. En réponse à cela, le président américain Donal Trump remet en cause l'OMS déclarant qu'elle s'est « complètement plantée ». Pour appuyer sa déclaration, les Etats-Unis ont déclenché début juillet 2020 la procédure de retrait de l'OMS qui sera effective le 6 juillet 2021. Fin juillet, on compte plus de 600 000 décès pour un total de 15 millions de personnes infectés par le virus¹.

Bien que la pandémie de la COVID-19 ait une ampleur mondiale et que de nombreux scientifiques se penchent sur le sujet, de grandes zones d'ombres persistent encore. Sur son origine tout d'abord, les recherches suggèrent que le virus proviendrait de chauves-souris mais on ne sait pas encore par quel moyen il a atteint l'homme. On ne sait pas non plus comment se transmet le virus entre les humains, combien de temps il perdure sur différentes surfaces, mais également sa sévérité. Plusieurs études ont cherché à comprendre pourquoi le virus pouvait être particulièrement virulent chez un individu mais anodin pour un autre. Il est néanmoins apparu qu'il est possible de mettre en relation l'âge avancé d'un patient et le risque de mortalité. Une étude britannique parue dans la revue médicale « The Lancet » a démontré que la COVID-19 est particulièrement redoutable pour les personnes de plus de 60 ans avec un taux de mortalité de 6,4% dont un taux de mortalité de 13,4% pour les personnes de plus de 80 ans. Pour les moins de 60 ans, le taux de mortalité ne serait que de 0.32%. Enfin, ce qui rend la maitrise de la pandémie délicate c'est qu'aucune prescription médicale efficace n'est connue encore à ce jour. L'office fédéral de la santé publique en Suisse écrit sur son site qu' « à ce jour, il n'existe aucun traitement spécifique contre les infections dues aux coronavirus. Les possibilités thérapeutiques se limitent à traiter les symptômes ».

Que ce soit en raison de la rapide propagation de la pandémie et la méconnaissance sur le virus en lui-même, les mesures exceptionnelles prises pour préserver l'état de santé des populations a engendré un véritable ralentissement économique. Les mesures de confinement prises dans de nombreux pays dans le monde provoque des conséquences économiques de grandes ampleurs. La Banque Centrale Européenne estime que le Produit Intérieur Brut de l'Union Européen devrait chuter de 7,4% dans l'année 2020. Les pays les plus touchés tels que l'Espagne et l'Italie pourrait connaître une récession de plus de 9%. Ce constat s'apparente d'un fort taux de chômage. Aux Etats-Unis, le nombre de demandeurs d'emploi a fait un bond de 3 millions de personnes en quelques semaines.

¹ Etude Statista.com ; 23 juillet 2020

58

A partir de ces différents éléments, il semble pertinent de se demander si l'application d'un PCA dans une entreprise permet de minimiser les conséquences d'une crise sanitaire telle que celle de la COVID-19. En effet, son élaboration pourrait-il de maintenir les activités critiques de l'organisation en préservant l'état de santé des salariés, assurer sa pérennité et faire face à la crise. Pour étudier cela, nous avons réalisé des entretiens semi directifs dont nous allons faire état.

B. Méthode utilisée : les entretiens semi directifs

1. Choix de la méthode

Nous avons constaté précédemment que la crise de la COVID-19, bien qu'elle ait touchée l'ensemble de la population en raison des mesures drastiques prises par le gouvernement, a pu être perçue et vécue différemment selon les individus. Il est en de même pour les entreprises en France. A ce titre, on suppose que la mise en application du PCA en réponse à la crise sanitaire que nous traversons peut varier selon les organisations. Pour ces raisons et afin de cerner véritablement les enjeux de l'élaboration d'un PCA nous avons choisi d'interviewer des personnes travaillant dans différents secteurs d'activité.

Il existe de nombreux types de collecte d'information tels que l'observation directe, l'analyse de documents, les questionnaires ou encore les entretiens. Dans le cadre de nos travaux nous avons opté pour la réalisation d'entretien pour plusieurs raisons. Tout d'abord nous souhaitions avoir des réponses détaillées quant à l'élaboration du PCA au sein des entreprises des répondants. A ce titre, les entretiens semblent être la forme de collecte d'informations la plus pertinente. En effet, il permet la formulation de questions qui n'étaient initialement pas prévues dans le guide d'entretien. Par ailleurs, outre les informations communiquées explicitement, l'entretien facilite la compréhension et la dimension des réponses grâce à l'attitude des répondants, leur comportement lors de la formulation des questions. Autrement dit, l'entretien semi-directif permet la collecte d'informations orale de manière qualitative et, contrairement à un entretien non directif, est suffisamment structuré pour pouvoir le cadrer. La réalisation d'un guide a ainsi pu servir de fil rouge lors des entretiens. Il a permis de définir selon un certain ordre les thèmes abordés mais a également été amené à évoluer lors de la réalisation des entretiens.

59

Nous avons ainsi pris contact avec trois entreprises de secteurs économiques différents dont l'activité était impactée à différents niveaux par la crise. La première, Sodexo, société française de sous-traitance de service assure des prestations diverses principalement des services de restauration et de maintenance technique. Au sein de cette entreprise, nous avons eu l'opportunité de réaliser un entretien avec le facility manager du site des Pennes Mirabeau. Sa mission consiste à prendre en charge l'ensemble des services liés à la gestion des prestations du client Coca Cola et notamment celles concernant la restauration et la sécurité. Il nous semblait intéressant d'analyser comment une multinationale telle que Sodexo, l'un des plus gros fournisseurs mondiaux de services de restauration collective au capital de 15 milliards d'euros et coté à la Bourse de Paris depuis 1983 a appréhendé la crise sanitaire de la COVID-19 et comment l'entreprise a déployé son PCA au niveau local.

Le deuxième entretien s'est effectué auprès de l'Etablissement Français du Sang (EFS). Cet établissement public administratif sous statut d'établissement public à caractère industriel et commercial (EPIC) assure une mission de service public en matière de transfusion sanguine. En effet, l'EFS assure l'autosuffisance de la France en produits sanguins et, à ce titre, est chargé de collecter, préparer, qualifier et distribuer ces produits sanguins labiles en vue de leur transfusion. Du fait de son statut, l'EFS se doit de respecter le principe de continuité de service public. Cela signifie que l'EFS doit répondre aux besoins d'intérêt général et cela sans interruption. En ce sens, il nous semblait pertinent d'interroger la personne en charge du plan de continuité d'activité au sein de cet établissement afin d'apprécier son élaboration et son déploiement en réponse à la crise sanitaire actuelle. Cette interview est d'autant plus intéressante puisqu'elle concerne le secteur médical, véritable acteur au cours de la gestion de la pandémie en France.

Enfin, dans le souhait d'avoir une vision la plus exhaustive possible de la réponse des entreprises pour lutter contre la crise sanitaire, il nous a semblé judicieux de contacter une enseigne du secteur alimentaire. En effet, nous savons que ce secteur était considéré parmi les entreprises dites « en première ligne » dès le début de la pandémie et de manière exponentielle durant le confinement. C'est la raison pour laquelle nous avons pris contact avec le magasin Netto situé à Fuveau. Cette enseigne appartient au groupe Intermarché dont nous savons que la part de marché a augmenté de 1,7% en mars et avril 2020, progression nette jamais vu selon les

60

experts, représentant désormais 16,7% du secteur¹. C'est pour cela que nous avons joint le responsable du magasin de Netto à Fuveau, dans l'objectif de comprendre comment l'enseigne a pu assurer le surcroit de leur activité en cette période de pandémie. Alors que prédominait un ralentissement économique dès le mois de mars 2020 avec des échanges commerciaux internationaux fortement impactés, la distribution des magasins d'alimentation en a de fait été perturbée tandis que la demande des consommateurs a quant à elle augmenté durant la même période.

2. Déroulement des entretiens semi directifs

Dans un premier temps, il nous semblait primordial que les entretiens se déroulent dans un climat favorable, le plus calme et serein possible. C'est la raison pour laquelle nous avions planifié le rendez-vous quelques jours en avance afin que les répondants ne soient pas déstabilisés et puissent se préparer à leur manière à l'entrevue. Il ne s'agissait pas non plus de prendre les interviewés de court et que cela ne s'apparente à un moment stressant s'ajoutant à leur planning, mais bel et bien un instant d'échange sur le sujet. Les entretiens ont eu lieu dans des espaces isolés afin de limiter le passage et la coupure de l'interview par la présence de tierces personnes.

Avant le déroulement de chaque entretien, lors de la prise de rendez-vous, nous avons expliqué le cadre de notre démarche. En effet, nous avons fait part aux répondants de la raison qui nous a amené à les interroger, et plus précisément notre sujet d'étude ainsi que la problématique que nous avons soulevée. A cette étape nous avons également insisté sur le caractère anonyme des entretiens, cela dans le souhait de rassurer les répondants et de favoriser un climat de confiance. En prémisse des entretiens, en sus de rappeler l'anonymat de leur réponse, nous avons évoqué les thèmes abordés afin d'être transparent et pour que les répondants sachent sur quelle thématique peuvent porter les questions. Concernant le recueil de données, les interviews ont été enregistrées dans le souhait d'assurer une meilleure retranscription. De plus, cela a permis d'alimenter la discussion et non de rester figé sur le guide d'entretien ou sur la prise de notes uniquement.

¹ Etude de l'Institut Kantar, 30/07/2020

61

Bien que nous nous soyons limités à trois entretiens, cela ne constitue pas un véritable problème quant à l'analyse et la qualité des données recueillies. En effet, selon Karl E. Weick, à partir de sa théorie du sensemaking, il est possible d'établir des théories en partant de l'analyse d'un seul cas¹. Ainsi, l'intervention de trois répondants nous a permis de relever des données de qualités de manière suffisante pour obtenir une analyse exploitable et non biaisée.

Chacun des entretiens a duré entre 15 et 30 minutes selon les répondants. Pour permettre le traitement des données qualitatives et leurs analyses de manière précise, nous avons choisi de les coder. Pour cela, nous avons retenu la phrase comme unité de codage pour ensuite entamer la phase d'élaboration de la grille de codage.

C. Analyse des résultats

Dans le cadre de l'analyse, nous serons amenés à retranscrire les propos des différentes personnes interviewées à savoir, le facility manager de la société Sodexo (Répondant 1), le responsable qualité au sein de l'Etablissement Français du Sang (Répondant 2) et la responsable du magasin Netto (Répondant 3).

1. Le PCA en réponse à la crise COVID-19

Nous pouvons constater en premier lieu que chacune des structures contactées a effectivement mis en place un Plan de Continuité d'Activité pour pallier les conséquences de la crise sanitaire de la COVID-19. Il semble de fait que le PCA soit un outil de management pertinent et adapté aux situations de crise, et en l'occurrence aux particularités d'une crise sanitaire. En effet, en matière de crise sanitaire, le PCA peut apporter des solutions aux organisations qui doivent faire face non seulement à leurs indisponibilités mais aussi aux impacts plus globaux, économiques, sociaux et sanitaires. Nous pouvons ainsi remarquer, que pour deux répondants, le PCA a été conçu en réponse immédiate à la situation sanitaire actuelle de coronavirus. La responsable du magasin Netto explique que son élaboration s'est faite « dès le début de la crise sanitaire ». Le répondant 1 déclare quant à lui avoir « mis en place un PCA au moins d'avril ». Ce dernier

¹ Karl WEICK, dans Sensemaking in Organizations, Californie, « Sage Publication », 1995

62

ajoute que la mise en oeuvre de l'outil s'est faite en « KO ». L'importance et la gravité de ce terme met en exergue la soudaineté et la nécessité de répondre à l'urgence de l'évènement dans le but de maintenir les activités critiques de l'entreprise tout en préservant le personnel. L'interviewé 3 insiste à ce propos en spécifiant que l'entreprise a « essayé de vite combler les manques, [...] d'être le plus réactif possible ». Nous remarquons que ces deux entreprises, dans la nécessité de prendre des décisions rapidement, ont utilisé le PCA qui s'est avéré être l'outil le plus approprié face à l'urgence de la situation. En complément de cette réponse à l'urgence, le PCA apparait comme un dispositif d'anticipation de besoins. A ce titre, le répondant 1 explique que le PCA a permis d' « anticiper éventuellement une demande ».

Suite à cela, nous avons questionné les interviewés sur l'efficacité même de l'instrument en réponse à la crise de la COVID-19. Une fois encore, les répondants 1 et 3 ont été affirmatifs à ce sujet, le facility manager de Sodexo répondant « tout à fait, oui ! » et la responsable du magasin Netto « Oui ! Ah oui ! ». Cette dernière précise que « on est l'un des magasins qui s'en est le mieux sorti déjà par rapport au groupe à nous car on est quatre magasins sur le même PDG, puis par rapport à nos concurrents autour ». Bien qu'ayant élaboré le PCA en urgence dès l'apparition de la crise et bien que ce dispositif n'ait pas fait l'objet d'une élaboration au préalable, nous constatons que l'entreprise est parvenue à tirer profit des atouts de cet outil et de fait à maintenir son activité. Toutefois, les réponses de l'interviewé 2 ont soulevé une problématique en matière de maintien de l'activité par le biais d'un PCA. Il s'avère en effet que l'EFS dispose de cet outil depuis plusieurs années. En cela, le responsable qualité déclare « on en a depuis des années, c'est pas quelque chose de nouveau car ça fait partie de nos exigences règlementaires ». On pourrait supposer que l'outil soit alors connu, maitrisé et facilement applicable par les gestionnaires et leurs collaborateurs. Or cela n'a visiblement pas été le cas. En effet, lorsque nous avons été amenés à lui demander si l'application de l'outil a contribué au bon maintien de l'activité tel qu'ils l'auraient imaginé, le répondant 2 admet que « par le PCA en lui-même je te dirai que non ». Il rajoute à cela « Non c'est pas notre PCA qui nous a permis de fonctionner la preuve pendant une semaine on nous a dit que tout le monde rentre chez eux ». Force est de constater que dans ce cas l'activité a été véritablement interrompue alors même qu'il s'agit d'un EPIC, ce statut exigeant la continuité du service public. Nous relevons ainsi qu'une entreprise qui dispose déjà d'un PCA bien en amont d'une crise ne peut se prémunir de l'arrêt de son activité. Cela est d'autant vrai dans le cadre d'une crise sanitaire du fait de son aspect multidimensionnel tant sur les activités mêmes de l'entreprise que sur les relations avec les différents acteurs. L'interviewé 2 insiste à ce sujet déclarant que « on a un

63

PCA qui s'appelle Pandémie et qu'on va devoir remettre à jour hein, ça va être le nouveau projet de l'année ». Nous sommes donc amenés à nous demander si les méthodes d'élaboration du PCA par l'EFS et les procédures de mise en oeuvre qui en découlent ne sont pas trop rigides et ne révèlent pas une potentielle absence d'agilité de la part de l'établissement. Il peut apparaitre un risque de manque de souplesse dans les processus et donc une difficulté d'adapter l'outil au caractère inédit intrinsèque à une crise.

Afin de bénéficier du réel potentiel de l'outil, la norme ISO 22 301 préconise de réaliser des tests et des exercices. En effet, cela permet de familiariser les collaborateurs avec les procédures à suivre en période de crise pour qu'ils aient la capacité de les adapter sans difficulté. C'est aussi l'opportunité de relever les points forts et les points faibles du dispositif liés aux aléas de la continuité d'activité et de réviser les process le cas échéant. Cela ne semble pas être un point évident et prioritaire à ce jour pour les entreprises. Pour les entreprises des répondants 1 et 3 qui ne disposaient pas d'un PCA jusqu'alors, la mise à jour de l'outil n'est à ce stade qu'envisagée. La responsable du magasin Netto précise à ce sujet « Oui ! Parce que même si c'est pas le COVID, ça peut servir ». Alors que l'EFS dispose de PCA depuis quelques années ceux-ci, selon le répondant 2, « sont mis à jour autant que besoin. Là, le COVID ça nous le faire mettre à jour ». On constate que l'EFS ne semble mettre à jour l'outil uniquement en réponse à un évènement générant des problèmes organisationnels. Il ne s'agit donc a priori pas d'une réelle mise à jour telle que le préconise la norme ISO 22 301. Cela peut être une des raisons pour laquelle le PCA Pandémie de l'EFS n'a pas su répondre pleinement aux enjeux de la crise sanitaire de la COVID-19. A ce titre, le responsable qualité ajoute « la crise nous montre que notre PCA n'est pas adapté à telle ou telle crise et bien on enrichira le PCA par de nouvelles façons de faire ».

2. La conduite de projet du PCA

Dans le but de cerner les enjeux liés à l'élaboration même du PCA au sein de chacune des organisations interrogées, nous avons posé différentes questions relevant de la conduite effective du PCA.

Dans un premier temps, nous avons souhaité connaitre les acteurs ayant participé à l'élaboration de l'outil. En effet, parmi les facteurs de réussite du PCA il est fait état de l'importance d'impliquer l'ensemble de l'organisation au niveau horizontal. Le PCA est un dispositif

64

transversal qui repose sur la nécessité d'un travail collaboratif des parties prenantes. Globalement, les entreprises interviewées semblent avoir conscience de cette nécessité. Le répondant 1, en charge d'une petite équipe de seulement 3 personnes a, pour sa part, travaillé en autonomie. Il disposait d'une marge de manoeuvre et une flexibilité facilitant la mise en oeuvre du PCA. En effet, il déclare à ce propos « J'ai un petit restaurant avec trois personnes. Donc c'est assez facile de dégrader la prestation. Et j'ai dégradé que légèrement par rapport à ce qu'on fait d'habitude ». Lorsque nous avons interrogé le responsable qualité de l'EFS sur le sujet, ce dernier a répondu que « tous les métiers » ont participé à son élaboration. Il ajoute que « chacun a produit sa stratégie de continuité d'activité ». De son côté, le répondant 3 a également précisé que de nombreux acteurs ont participé à l'élaboration du PCA. A ce titre, elle déclare « on s'est tous unis pour que le magasin continue à fonctionner correctement ». Que l'élaboration de l'outil se soit faite en amont ou en réponse immédiate à la crise, il s'avère que les principaux acteurs ont été mobilisés de façon effective autour de ce projet.

Par la suite, il nous a semblé intéressant de s'attarder sur le volet communication, à savoir comment le PCA est les plans d'actions qui en découlent ont-ils été présentés au personnel. Ce point revêt une réelle importance car, en période de crise, il est primordial que le personnel ait une lisibilité sur les actions menées, puisse comprendre l'ensemble des process et les méthodes utilisées. A contrario, une mauvaise communication de l'outil peut apparaitre comme un frein à sa mise en oeuvre et engendrer des effets négatifs qui entravent la bonne continuité de l'activité. L'EFS de par ses nombreux collaborateurs et ses nombreuses activités dispose d'outils collaboratifs via lesquels il diffuse les informations. L'un de ses principaux canaux de communication est GEDEON (Gestion Electronique des Documents En Organisation Nationale). Les différentes procédures relevant des PCA ont été enregistrées sur cet outil. Le répondant 2 assure en ce sens que « tout le monde peut y avoir accès ». Par ailleurs, les PCA sont directement transmis auprès de « 181 personnes qui sont concernés pour l'appliquer ». On constate de fait que l'EFS n'a pas négligé cette stratégie de communication, travail facilité par le fait que l'établissement est doté de logiciels adaptés. De son côté, le répondant 3, responsable d'une équipe de 8 personnes, a privilégié les échanges directs et informels principalement sur les conduites à tenir. Elle rappelle ainsi que « on en parlait régulièrement surtout au niveau des pauses, [...] surtout de tout ce qui est hygiène/désinfection, le port du masque, bien veiller à communiquer avec les clients ». Néanmoins, afin de ne pas générer davantage de stress qu'implique l'activité lors de cette période de pandémie, la responsable du magasin rajoute « on en a parlé mais après on a essayé de penser à autre chose... Pas de focaliser non plus

65

dessus ». En raison de la spécificité de l'activité de distribution alimentaire, du statut des employés et de l'intensité accrue de leurs tâches lors de la période de confinement, la responsable, par ce choix, a souhaité préserver ses collaborateurs.

Au cours de nos recherches, nous avons relevé certaines limites quant à l'usage du PCA dans les entreprises. Parmi elles, nous nous sommes interrogés sur le rôle et la responsabilité du dirigeant depuis l'élaboration jusqu'à son application. En effet, nous avons appris que pour assurer son bon fonctionnement, un responsable se doit d'être identifié. Cela s'opère par une délégation de pouvoir du dirigeant vers un de ses collaborateurs et de façon concomitante d'une délégation de responsabilité. C'est la raison pour laquelle nous avons souhaité questionner les répondants précisément sur la responsabilité prise par les dirigeants lors de cette crise sanitaire. Le répondant 1 de Sodexo ayant été interviewé en amont de ce questionnement, n'a pas pu apporter des éléments de réponse sur le sujet. De leur côté, les répondants 2 et 3 ont insisté sur l'implication et la prise de responsabilité de leur dirigeant au cours de la pandémie. Le responsable qualité de l'EFS déclare en ce sens que « la Direction a pris sa responsabilité plein pot. Ils étaient sans arrêt en train d'évaluer la situation, de voir comment on pouvait modifier les pratiques, comment on pouvait réajuster au quotidien presque... ». Pour le magasin Netto, la responsable rapporte que concernant le PDG de l'enseigne, celui-ci a « tout suivi ! De près comme de loin [...], toujours présent ne serait-ce que par mail, par téléphone, pour savoir si on avait besoin de quelque chose en particulier, si on allait bien... ». Nous savons que le leadership et l'implication de la Direction dans l'élaboration et la mise en place d'un PCA constitue un facteur de réussite. Nous constatons que cet aspect primordial a été assumé par les dirigeants des deux entreprises concernées. Au regard de la réussite du maintien de leur activité, cela démontre de façon concrète et effective que l'implication des dirigeants est essentielle et indispensable.

3. Retour d'expérience de mise en oeuvre d'un PCA face à la crise de la

COVID-19

L'entretien semi-directif a pour avantage, au-delà de répondre aux questions issues du guide d'entretien, de faire émerger des ressentis professionnels et personnels, voire des éléments d'informations complémentaires permettant d'étoffer notre analyse. C'est ainsi que plusieurs points ont pu être évoqués et développés.

66

Tout d'abord, il apparait que la crise sanitaire de la COVID-19 et des mesures exceptionnelles qui ont été prises au niveau national, notamment par le confinement, a démontré que le télétravail peut très souvent constituer un mode de travail pertinent en matière de continuité d'activité. Au sein de l'EFS, cette pratique n'existait pas. L'établissement a dû mettre en place dans l'urgence ce nouveau mode de fonctionnement. A ce titre, le responsable qualité s'avance à promouvoir cela en disant que « même le télétravail, ça il faudra qu'on le mette ». Cela semble d'autant plus important que la mise en place du télétravail au sein des processus support va permettre la continuité des activités des processus de réalisation et, in fine, de maintenir les activités de l'organisation.

Le répondant 2 poursuit en insistant sur les limites relatives au PCA et plus précisément sur l'établissement des différents scénarii envisagés par l'entreprise. En effet, selon lui il n'est pas possible de concevoir de façon exhaustive des plans d'actions pour toutes les situations de crise pouvant survenir. En cela, le PCA semble répondre à des situations déjà connues. Toutefois, par définition une crise revêt un caractère inédit et inconnu. Il déclare en ce sens « il y a des limites... et les limites ce sont les connaissances qu'on a quoi. Les connaissances et l'expérience qu'on a d'une situation de crise ». Pour insister sur cette idée, il rajoute « tant que tu es pas confronté à la situation tu peux pas imaginer. On peut l'imaginer mais on s'appelle pas tous Steven Spielberg ». Ainsi, selon le responsable qualité de l'EFS, le PCA apparait comme l'outil idéal pour prémunir une organisation d'une crise connue et anticipée. En revanche, il ne semble adapté à des situations totalement inédites. Pour étayer son propos, il s'exprime ainsi, « Parce qu'on peut pardonner de ne pas être prêt face à une situation qu'on ne connaissait pas, mais on peut pas pardonner le fait de se retrouver... de pas être prêt devant une situation qu'on connaissait ».

En dernier lieu, le répondant 1, facility manager de Sodexo, apporte sa vision du PCA pour une application dans le futur au regard des expériences vécues lors de la pandémie de la COVID-19. A son avis, a propos du PCA « si on veut que ça s'applique il faudrait que ça devienne une obligation ». Selon lui, il est un instrument qui apportera des solutions dans les crises futures, qui même parcellaires, pourront bénéficier à l'entreprise et au maintien de son activité et par ricochet à ses partenaires. Le répondant 1 et le répondant 2 s'accordent par ailleurs pour dire que le PCA revêt des « enjeux stratégique [...], financier », cela pour deux raisons. D'un point de vue positif, le PCA pourrait constituer un avantage concurrentiel pour les organisations. En effet, cela permettrait de faciliter les échanges et les partenariats, détenir un PCA serait un gage de sécurité pour les partenaires commerciaux et financiers. D'un point de vue négatif,

67

l'entreprise peut être amenée à faire appel à un cabinet spécialisé pour l'élaboration d'un PCA, prestation représente un coût pour l'entreprise et qui peut constituer un frein à sa mise en place.

II. Préconisations managériales en vue d'une évolution du PCA en

matière de crise sanitaire

A. Dimension humaine

Il apparait que la mise en application des procédures issues d'un PCA en réponse à une crise ne peut se faire sans une intervention et une implication effective de l'ensemble des collaborateurs d'une organisation. C'est la raison pour laquelle nous proposerons dans cette partie des préconisations managériales en matière d'élaboration et d'application du PCA par le biais de la gestion des ressources humaines en réponse à une crise sanitaire.

1. Le capital humain

Chaque individu dispose de connaissances, compétences, expériences et savoir-être qui lui sont propres. Gary Becker, prix Nobel d'économie en 1992 définit ce capital humain comme « l'ensemble des capacités productives qu'un individu acquiert par accumulation de connaissances générales ou spécifiques, de savoir-faire, etc. »¹. A ce titre, il représente une véritable richesse pour les organisations. En ce sens, l'auteur démontre qu'une bonne gestion du capital humain permet d'assurer une meilleure productivité et de rendre l'entreprise efficiente. Toutefois, une crise sanitaire qui touche autant les organisations que les individus au niveau professionnel mais aussi personnel, peut fragiliser le capital humain en cette période critique. La situation inédite et incertaine d'une crise sanitaire conduit l'entreprise à poursuivre son activité en mode dégradé. De fait, le capital humain peut ne pas être pleinement sollicité au

¹ G.S.BECKER, (1964), « Human Capital, a theoretical and empirical analysis », Columbia University Press for the National Bureau of Economic Research.

68

cours de cette crise. Or, le maintien de l'activité de l'entreprise dépend de cet investissement humain.

Les enquêtes qualitatives que nous avons réalisées ont démontré que la réussite de l'application du PCA a été en partie assuré par la capacité des collaborateurs à adapter leurs compétences en période anormale d'activité. La connaissance du métier, de l'organisation ou les tâches à accomplir facilite l'agilité et la flexibilité du personnel en vue de poursuivre de manière efficiente l'activité.

La mise en place d'une gestion du capital humain est un véritable atout pour assurer la compétitivité de l'entreprise mais a fortiori pour lutter de façon efficiente aux impacts d'une crise sanitaire. Ainsi, les collaborateurs seront plus à même d'appliquer les plans d'actions découlant du PCA. Il apparait donc essentiel pour les organisations de préserver le capital humain. Plusieurs leviers permettent d'y accéder. Le premier est d'identifier et de valoriser les compétences et expériences déjà acquises par les employés pour les mettre à profit en période de crise. Il est également important de préserver les collaborateurs. Cela passe par la rémunération mais aussi par une gestion du temps de travail tenable en période de crise. Cette démarche revêt un double enjeu. Cela engendrera un sentiment d'appartenance et une plus grande implication des employés, bénéfiques pour eux-mêmes. Et les résultats attendus en matière de continuité d'activité s'en trouveront de fait améliorés.

2. L'intelligence collective comme facilitateur de l'élaboration et

l'application d'un PCA

Comme nous avons pu le constater précédemment, il est essentiel pour une organisation de préserver son capital humain, ceci afin de faire face à une crise sanitaire et d'assurer la continuité de l'activité. Ainsi, l'implication et la volonté de chacun des collaborateurs en vue de surmonter cet évènement et les impacts qu'il engendre est primordial. A ce titre, l'intelligence collective apparait comme un levier efficace pour élaborer mais aussi appliquer de manière pertinente le PCA en réponse à une crise. Le philosophe et chercheur en science de l'information et de la communication Pierre Levy définit l'intelligence collective comme « une intelligence partout distribuée, sans cesse valorisée, coordonnée en temps réel, qui aboutit à

69

une mobilisation effective des compétences »¹. Cette notion apparait comme un prolongement du capital humain puisqu'elle permet la mise en commun des compétences, connaissances, créativités ou encore capacité de réflexion des collaborateurs pour contribuer à l'atteinte des objectifs d'une organisation. En matière de PCA, l'intelligence collective permet d'imaginer divers scénarii de crise, d'en évaluer les impacts sur l'activité et de proposer des procédures pertinentes pour assurer la continuité de l'activité. En effet, la motivation individuelle et collective provenant du bien-être au travail, du sens donné aux missions ainsi que le respect des règles de vie en communauté sont autant de facteurs favorisant l'intelligence collective.

Il existe de nombreux outils et méthodes permettant de développer l'intelligence collective dans les organisations et notamment en matière d'élaboration d'un PCA. Tout d'abord il est nécessaire de créer une dynamique de groupe positive. Pour parvenir à cela, le manager doit veiller à instaurer un climat de confiance, à favoriser la coopération au sein de son équipe mais aussi encourager la prise de parole et l'esprit créatif. Des sessions de TeamBuilding par la création d'exercices ou de jeux représentant une situation de crise est l'occasion pour les individus à travailler collectivement et de manière ludique. Cela permet également aux collaborateurs de s'exercer à l'application du PCA telle que le préconise la norme ISO 22 301 mais aussi à leur donner l'opportunité de repérer des dysfonctionnements et les erreurs de procédures en vue de les améliorer.

Nous avons vu préalablement que le PCA revêt un caractère transversal puisqu'il relève l'ensemble des activités critiques d'une organisation en vue d'en assurer leur continuité en période de crise. Cela suppose des échanges avec de nombreux acteurs internes et externes à l'organisation. Le Forum Ouvert apparait donc comme une technique créative efficace pour échanger sur un sujet. Dans les années 80, le romancier et journaliste Harrison Owen a mis en évidence que les meilleurs idées émergeaient lors des pauses café². La création d'un Forum Ouvert avec les parties intéressées au sujet de l'élaboration d'un PCA permet de faire émerger des visions et des idées pertinentes pour assurer au mieux une continuité d'activité. Pour rendre ce temps d'échange efficace, il est nécessaire de convier les personnes concernées par la thématique afin de maitriser le fil de la discussion et de faire ressortir de celle-ci un véritable plan stratégique en matière de PCA.

¹ P. LEVY, (1994), « L'Intelligence collective : Pour une anthropologie du cyberspace », Poche.

² H. OWEN, (1993), « Open Space Tecnology : A user's guide », Broché

70

Par ailleurs, divers outils, notamment digitaux, existent de nos jours pour permettre aux collaborateurs de partager leurs idées et d'éventuelles solutions quant au maintien de leur activité en période de crise sanitaire. L'objectif de cette démarche est donc d'élaborer un PCA permettant de répondre de manière efficiente à une crise sanitaire, et d'assurer la reprise des activités dans les meilleurs délais.

3. La conduite au changement

La survenance d'une crise, et notamment d'une crise sanitaire en raison du caractère multidimensionnel de ses impacts, constitue un véritable bousculement dans la vie d'une entreprise et pour celle de ses collaborateurs. Nous avons constaté qu'étymologiquement, la notion de « crise » traduit une rupture d'équilibre. Dès lors, l'organisation va devoir s'adapter et modifier ses habitudes pour évoluer dans ce nouvel environnement incertain. C'est ce que promeut le PCA. Toutefois, le facteur clé de réussite de mise en oeuvre d'un PCA réside dans l'implication et la volonté des collaborateurs. En effet, le facteur humain peut constituer la principale cause d'échec du projet. Pour cela, mettre en place une démarche de conduite du changement en amont d'une crise semble pertinent. La conduite du changement peut être définit comme « l'accompagnement d'un processus de transformation de l'entreprise, dans un contexte qui évolue, que ce choix soit subi ou stratégique ». Cette démarche revêt des enjeux économiques en évitant une perte de temps et de productivité, des enjeux sociologiques liés à un besoin social, ainsi que des enjeux psychologiques en vue de faire diminuer les risques psychosociaux pouvant apparaitre en raison du changement. La crise sanitaire de la COVID-19 a engendré un véritable bousculement dans la gestion organisationnelle des entreprises et dans la vie personnelle des collaborateurs. Les mesures de confinement prises par le Gouvernement ainsi que la mise en oeuvre du télétravail apparaissent comme des changements prégnants pour le personnel. Une mise en oeuvre de conduite du changement permet donc de sensibiliser le personnel autour du projet de mise en application du PCA et de l'accompagner dans l'évolution organisationnelle qu'implique une crise.

De nombreux outils existent pour assurer la démarche de conduite du changement. Le psychologue américain Harold J. Leavitt a proposé une analyse des facteurs majeurs concourant à la réussite de la gestion du changement dans une approche qu'il a développé en 1965 sous le nom de « Diamant de Leavitt ».

71

Schéma : Diamant de Leavitt

Cette étude s'articule autour de quatre piliers qui sont :

· Les individus : les employés de l'organisation constituent un premier facteur essentiel dans la réussite du changement. Ils sont fortement impliqués dans la démarche en raison de leur connaissance de la structure mais surtout de leurs aptitudes, leurs compétences et leurs connaissances personnelles.

· Les tâches : il s'agit à la fois des missions de chacun des collaborateurs et des résultats attendus.

· L'organisation : ce pilier concerne le type de structure organisationnelle (fonctionnel, divisionnel, matricielle ou en réseau), et l'aspect communication qui découle du système hiérarchique.

· Technologie : cela comprend l'ensemble des systèmes de technologie de l'information et de communication (TIC) et les systèmes informatiques de gestion quotidienne de l'entreprise.

S'appuyer sur le « Diamant de Leavitt » pour faciliter la conduite de changement que suppose un PCA en réponse à une crise sanitaire semble pertinent. On constate que les quatre facteurs clés du changement inclus dans l'outil sont précisément ceux que préconise la norme ISO

72

22 301. Par ailleurs, nous avons pu relever au cours de notre étude que la crise sanitaire et les mesures prises par les Etats peuvent être source de RPS. De même, une mauvaise gestion de conduite du changement peut également engendrer l'apparition de RPS. Dès lors, prendre en compte cette dimension humaine en amont de l'élaboration du PCA est un élément majeur pour sa réussite.

Parmi les autres méthodes de conduite de changement, le modèle de Burke et Litwin est également un outil qui peut être utilisé dans l'application d'un PCA. W. Warner Burke et George H. Litwin, consultants en gestion du changement, ont élaboré ce théorème dans les années 60 en prenant en compte douze composants identifiées au sein d'une organisation en vue de les analyser et comprendre comment ils sont liés les uns aux autres en période de changement. Ce modèle permet de prendre en compte tous les domaines de l'organisation afin d'en omettre aucun et d'éviter un échec du projet, d'autant que ces derniers sont tous interconnectés.

Schéma : Modèle de Burke et Litwin

73

Les douze éléments tels que présentés sur le schéma ci-dessus se répartissent autour de trois grands groupes qui sont :

- Facteurs transformationnels : ce sont les éléments qui concernent l'entreprise dans sa globalité ;

- Facteurs transactionnels : il s'agit des items qui correspondent aux activités quotidiennes de l'organisation ;

- Facteurs de performance : ces derniers se rapportent à la performance individuelle et collective liée à la rentabilité et la production.

Ce modèle permet de mieux analyser les différents scénarii possibles en matière de changement. De par les nombreux items qu'il comporte et de la prise en compte de l'environnement externe dans la conduite du changement, le modèle de Burke et Litwin permet d'aider à élaborer le PCA dans le cadre spécifique d'une crise sanitaire. En cela, il assure une conduite efficiente du changement et une meilleure performance en matière de continuité d'activité.

B. Dimension technologique et informatique

1. Cloud Computing et télétravail

Nous avons pu constater à travers la littérature abondante en matière de PCA que la continuité d'activité ne peut être pleinement assurée sans un système d'information (SI) efficace. Le système d'information correspond à l'ensemble des ressources permettant la collecte, le stockage, la gestion, l'analyse et la diffusion de l'information au sein d'une organisation. A ce titre il regroupe les équipements liés aux télécommunications et aux stockages ainsi que le traitement et l'archivage des données. En cela, le SI apparait comme un élément central du fonctionnement d'une entreprise. Néanmoins, nous avons également mis en évidence que la survenance d'une crise engendre des situations d'indisponibilités de ressources humaines, d'accès aux sites, de défaillances des prestataires et fournisseurs mais aussi du SI et des réseaux télécoms. En effet, sur ce dernier point il peut s'agir d'une destruction des serveurs, d'une interruption du système d'information et des applications utilisées par les directions ou encore d'une interruption pour le service de téléphonie. Selon une enquête réalisée auprès de 1000

74

responsable en 2017, 82% des entreprises avouent être victimes d'interruption dans leur système informatique. Pour ces raisons, il semble essentiel de se prémunir et d'anticiper ces indisponibilités afin d'assurer dans les meilleurs dispositions la continuité de l'activité.

Dans son élaboration, le PCA oeuvre à recenser les risques inhérents à l'organisation en matière du SI afin de les minimiser. En effet, concernant les systèmes d'information et de communication, le guide pour réaliser le PCA du Secrétariat général de la défense et de la sécurité nationale préconise une architecture « permettant de répondre aux exigences en termes de délais de secours et de perte de données maximale admissible ». Il relève que les moyens de télécommunication sont un point de vulnérabilité majeur en période de crise. De même, le risque d'indisponibilité à l'accès aux données peut être élevé. Pour pallier ces risques, le PCA apporte une solution pour assurer la continuité effective de l'activité.

Néanmoins la crise sanitaire, en raison de son caractère multidimensionnel, engendre des indisponibilités plus larges encore. En effet, en prenant pour exemple la crise sanitaire de la COVID-19 et les mesures drastiques prises par les gouvernements, de nouvelles problématiques ont émergé en matière de continuité d'activité. Tout comme l'ont révélé nos enquêtes qualitatives, et plus spécifiquement encore dans le cadre de l'EFS, les organisations n'ont pas anticipé les mesures de confinements imposées par les Etats. Ainsi, les plans stratégiques pour maintenir l'activité s'en sont vus bousculés. Le télétravail est rapidement apparu comme une solution pertinente. Toutefois, pour assurer ce nouveau mode de travail, le SI doit évoluer en ce sens.

En matière d'évolution du SI, l'instauration d'un Cloud Computing semble incontournable pour permettre aux organisations de sauvegarder leurs données tout en assurant leur exploitation en période de crise. Le Cloud est un modèle dans lequel l'organisation consomme des ressources informatiques de tous types tels que la puissance de calcul, des serveurs, des applications ou de l'espace de stockage et cela par internet. Il permet donc l'exploitation de l'ensemble de ces ressources sans avoir d'infrastructures techniques qui seront chez le fournisseur. Cela constitue un premier avantage puisque le cloud élimine la nécessité d'investir dans du matériel et des logiciels ainsi que dans la gestion et la sécurisation des données stockées. En outre, le cloud est un service mesurable. Cela signifie que le client et le fournisseur peuvent mesurer l'usage qui est fait des ressources informatiques et permet donc au client d'évaluer financièrement le coût de son utilisation du cloud. Par ailleurs, puisque les données sont stockées sur un réseau étendu (internet), le cloud permet une grande accessibilité et agilité. Nous savons qu'en matière de continuité d'activité, ces deux qualités sont essentielles car elles traduisent la capacité d'une

75

organisation à réagir en période de crise. Le fournisseur s'assure que le matériel soit régulièrement mis à niveau pour offrir de réelles performances dans le traitement des données faites par les clients. Il est également possible d'héberger son cloud en privé afin que l'ensemble des ressources soit utilisées de façon exclusive par l'entreprise, dans un souci de protection des données. A ce titre, le stockage des données dans un cloud revêt un double enjeu puisqu'il permet à la fois de protéger les données et pallier l'indisponibilité des SI lors d'une survenance de crise mais aussi d'offrir une réponse rapide et efficace pour maintenir les activités de l'organisation. L'hébergement des données en Cloud peut se faire via de nombreux fournisseurs tels que Hostinger, Kamatera ou encore CloudWays en France.

Puisqu'il permet d'avoir accès aux données de l'organisation par un simple accès à Internet, le Cloud est la réponse parfaite à la mise en place du télétravail. Toutefois, pour protéger les transmissions de données entre les serveurs et les collaborateurs en télétravail, une connexion sécurisée doit être établit afin de sécuriser ces données. Le Virtual Private Network (VPN) ou réseau virtuel privé en français, est un dispositif pertinent en la matière car il assure la confidentialité, le cryptage des données ainsi que l'anonymat en ligne.

Afin d'assurer la bonne application de ces éléments en période de crise sanitaire, il est primordial de prendre en considération ces outils dès l'élaboration d'un PCA. Cela signifie également que les collaborateurs doivent être sensibilisés à leur existence et leur utilisation. Le télétravail est une organisation de travail particulière qui exige une réflexion bien en amont de son application. Sa seule mise en place en urgence pour assurer la continuité de l'activité en période de crise sanitaire n'est pas pertinent, d'autant que l'équipement représente un coût pour l'organisation qui n'a pas été anticipé et l'adaptation de l'individu à télétravailler nécessite une formation. Sans ces étapes essentielles, l'improvisation du télétravail peut être source de RPS.

2. La cybersécurité

Au cours d'une crise sanitaire, l'ensemble des acteurs économiques, bousculés par les évènements, se concentrent en priorité sur le maintien de leur activité, les process de productivité et la préservation de l'état de santé de leurs collaborateurs. Cela fait apparaitre une faille critique qui est celle de la cybersécurité. La cybersécurité est un dispositif dédié à la

76

protection des données et l'intégrité des ressources informatiques connectées ou installées sur un réseau d'entreprise. Elle est destinée à défendre ces ressources contre tous les cybercriminels.

En période de crise sanitaire, le déploiement massif des solutions numériques tels que le télétravail, les téléconférences, la télémédecine, etc. pour pallier les mesures de confinement prises par les Gouvernements a démultiplié les cyberattaques. Didier Schreiber, directeur marketing chez Zsclaer, société mondiale de sécurité de l'information basée sur le cloud, a déclaré qu'au cours de la crise du coronavirus « une augmentation de plus de 30 000% des attaques informatiques de type hameçonnage, logiciels malveillants ou des sites malicieux qui ciblent les télétravailleurs ». Pour illustrer ses propos, il ajoute qu'en janvier ils ont constaté « 1200 attaques informatiques liées au Covid-19... et on en était à 380 000 cyberattaques début avril ! ».

Outre l'utilisation d'un VPN pour protéger les données d'une organisation, il est essentiel de protéger les collaborateurs aux actes cybercriminels. Les postes informatiques des télétravailleurs ont constitué des cibles bien plus fragiles et attaquables que les serveurs surprotégés des entreprises. Le point d'accès de ces pirates reposait sur le caractère anxiogène de la crise sanitaire et par le biais de phising et sites malveillants sur le thème de la COVID-19 ont très rapidement pénétré les systèmes.

Pour optimiser la protection et la sauvegarde des données de l'entreprise, il est important de sensibiliser les collaborateurs sur les bonnes pratiques à adopter en matière de sécurité, et notamment dans le cadre du télétravail. Il est également important de privilégier l'utilisation des outils numériques déjà mis en place par l'entreprise et non pas s'orienter vers de nouveaux logiciels méconnus de l'organisation qui peuvent présenter des failles. Enfin, la dotation d'antivirus et pare-feu sur l'ensemble des ordinateurs alloués aux télétravailleurs constituent un investissement indispensable pour l'entreprise.

C. Vers un PCA résilient

La résilience d'une organisation est l'objectif final de l'élaboration d'un PCA. Pour les organisations, la résilience contribue à la performance en absorbant les chocs d'une crise. Elle constitue une capacité nécessaire à la survie de l'entreprise dans un environnement instable.

77

Toutefois, en période de crise sanitaire d'une ampleur telle que celle que revêt la pandémie COVID-19, le processus de résilience ne peut facilement se concrétiser. En effet, le climat anxiogène toujours pesant de la crise et les difficultés à retrouver un fonctionnement serein et habituel des activités entrave la résilience.

Pour que le PCA atteigne cette finalité de résilience, des dispositions élaborées bien en amont et faisant l'objet d'actualisation régulière sont nécessaires. Selon Gary Hamel et Liisa Valikangas, « la résilience en tant que capacité à éviter la crise est le résultat d'un apprentissage continu »¹.

L'environnement d'une organisation est en constante évolution, et cela même en période de crise sanitaire. En effet, les décisions réglementaires prises par les autorités sont susceptibles d'exiger des changements dans l'organisation des entreprises. Un dispositif de veille permanente semble donc pertinent. Il permet d'anticiper l'apparition de nouveaux risques sanitaires par le décryptage d'informations sur le sujet. Une veille dans le domaine de l'innovation fournira à l'entreprise les connaissances sur les nouveaux outils de management en matière de continuité d'activité.

Nous avons également relevé au cours de notre étude que la réussite d'un PCA est fortement corrélé à l'implication des acteurs, et tout particulièrement de la Direction. A ce propos, Patrick Lagadec défend l'idée « que seul un engagement réel des dirigeants peut amener une organisation à apprendre d'une situation de crise »². A ce titre, l'ensemble des collaborateurs d'une entreprise ont tout intérêt à participer régulièrement à des formations permettant d'une part d'élaborer des plans d'actions efficace pour le maintien des activités, et d'autre part de leur fournir les connaissances et compétences nécessaires pour les adapter. La professeure en sociologie Mathilde Bourrier déclare à ce sujet que « la résilience passe par une grande vigilance quant à la bonne intégration et la compréhension du personnel »³. Cela appui l'idée que les collaborateurs doivent être sensibilisés et accompagnés pour contribuer à la résilience de l'organisation.

¹ Gary Hamel & Liisa Valikangas, (2003), « The quest for resilience », Harvard Business Review.

² Patrick Lagadec, (1995), « Cellule de crise-les conditions d'une conduite efficace ».

³ Mathilde Bourrier, (2001), « Organiser la fiabilité ».

78

Conclusion

La crise sanitaire de la COVID-19 a apporté une nouvelle dimension à la notion de gestion de crise à laquelle l'ensemble des entreprises ont dû se confronter. Son caractère inédit, multidimensionnel et incertain dans l'espace et le temps a bouleversé les activités des organisations qui n'aurait jamais imaginé être un jour confrontées à ce type d'évènement. Qu'elles aient déjà adopté un Plan de Continuité d'Activité (PCA) ou pas, le maintien de leurs activités critiques a été ébranlé. L'ampleur est telle que l'Union Européenne a décidé d'adopter un Plan de Relance de 750 milliards pour aider les pays membres à relever leur économie. Ce financement permet dans un premier temps de sauvegarder les productions nationales et par là même les emplois, mais également de prévenir l'inévitable crise économique qui suit la crise sanitaire.

Ces différents éléments nous ont conduit à nous questionner l'efficacité du PCA en réponse à une crise sanitaire.

Afin de répondre à cette question, nous avons analysé la littérature consacrée à ce sujet qui nous a éclairé sur les méthodes existantes d'élaboration et d'application d'un PCA. En complément de nos recherches nous avons réalisé une enquête qualitative auprès de trois entreprises de secteurs d'activité différents dans le souhait d'avoir une vision concrète de l'application d'un PCA au cours de la pandémie COVID-19. Il s'avère que pour chacune des organisations interrogées, le PCA a permis la survie de leur activité.

Notre étude a fait ressortir qu'une application stricto sensu d'un PCA ne garantit pas le maintien effectif de l'activité de l'organisation. Sa réussite est dépendante de la manière dont le PCA est élaboré et est réellement appliqué en période de crise. En effet, il apparait indispensable de prendre en compte un certain nombre de paramètres pour que le PCA atteigne les objectifs attendus. Sur le volet humain, cela passe avant tout par la volonté de la direction de fédérer le personnel dans ce projet et par l'implication de l'ensemble des collaborateurs. Par ailleurs, une continuité d'activité ne peut se faire sans un accompagnement technologique adapté et facilement déployable. Se rajoutent bien sûr des actions autres mais toute aussi importantes qui apportent des éléments complémentaires et essentiels à l'élaboration et l'application du PCA en réponse à une crise sanitaire telles qu'un dispositif de veille sur l'évolution de l'environnement externe de l'entreprise, une attention toute particulière à l'apparition des risques psychosociaux, ou encore une actualisation régulière et rigoureuse du PCA en intégrant les risques sanitaires toujours plus prégnants.

79

Table des matières

Introduction 5

Section 1 : Les enjeux d'une gestion de crise sanitaire en entreprise

I. La crise sanitaire 8

A. La notion de crise au sens large 8

1. Définition 8

2. Les phases et typologies d'une crise 10

3. Crise et incertitude 14

B. Notion de crise sanitaire 16

1. Définition d'une crise sanitaire 16

2. Du signal d'alerte à la notion de crise sanitaire 18

3. Les acteurs qui veillent à la crise sanitaire 21

C. Les impacts et conséquences d'une crise sanitaire 25

1. Crise sanitaire : crise prévisible ? 25

2. Crise sanitaire : nos modes de vie remis en question ? 26

3. Les conséquences multiples d'une crise sanitaire 26

II. Le Plan de Continuité d'Activité 29

A. Le PCA - Origine 29

1. Les premières normes 29

2. Aspect réglementaire 31

B. Norme ISO 22 301 33

1. Origine de la norme ISO 22 301 33

2. Méthodologie de la norme ISO 22 301 35

C. Le Plan de Continuité d'Activité en réponse à la crise sanitaire 41

1. Le PCA : un outil qui se veut préventif 41

2. Le PCA face à la complexité et la virulence des récentes crises sanitaires 42

III. Le PCA en période de crise sanitaire 44

A. Le PCA : un outil managériale expérimenté 44

1. Les facteurs de réussite du PCA 44

80

2. REX et PCA 47

B. Le PCA : le dévoiement de l'outil de ses réelles finalités 49

1. Les limites intrinsèques au PCA 49

2. Le dévoiement du PCA de ses finalités 53
Section 2 : Démarche empirique et résolutions managériales

I. Analyse de terrain : le défi de l'application du PCA dans le cadre de la crise sanitaire de la COVID-

19 56

A. La crise sanitaire de la COVID-19 56

B. Méthode utilisée : les entretiens semi directifs 58

1. Choix de la méthode 58

2. Déroulement des entretiens semi directifs 60

C. Analyse des résultats 61

1. Le PCA en réponse à la crise COVID-19 61

2. La conduite de projet du PCA 63

3. Retour d'expérience de mise en oeuvre d'un PCA face à la crise de la COVID-19 65

II. Préconisations managériales en vue d'une évolution du PCA en matière de crise sanitaire 67

A. Dimension humaine 67

1. Le capital humain 67

2. L'intelligence collective comme facilitateur de l'élaboration et l'application d'un PCA 68

3. La conduite au changement 70

B. Dimension technologique et informatique 73

1. Cloud Computing et télétravail 73

2. La cybersécurité 75

C. Vers un PCA résilient 76

Conclusion 78

81

BIBLIOGRAPHIE

ADENIUM SAS, (2020), « Mise en oeuvre d'un Plan de Continuité d'Activité (PCA) en cas de pandémie », Guide Adenium Business Continuity.

Gulsun ALTINTAS, Isabelle ROYER, (2009), « Renforcement de la résilience par un apprentissage post-crise : une étude longitudinale sur deux périodes de turbulence », M@n@gement Vol.12, p.266-293.

ARS, (2017), « La gestion opérationnelle des situations sanitaires exceptionnelles »,

ARS.SANTE, https://www.ars.sante.fr/la-gestion-operationnelle-des-situations-sanitaires-
exceptionnelles.

Laurence BRETON-KUENY, Sandrine SEGOVIA-KUENY, « Le Plan de continuité d'activité « pandémie grippale » dans les organisations », Annales des mines-Responsabilité et environnement N°51, p.78-82.

Gilles BRUCKER, (2000), « Information des usagers et crises sanitaires », Haut Comité de la Santé Publique.

CHAMBRE DE COMMERCE ET D'INDUSTRIE, (2009), « Plan de continuité d'activités en cas de pandémie grippale », Territoire de Belfort.

Laurent COMBALBERT, Eric DELBECQUE, (2008), « La gestion de crise », Que sais-je ?.

82

Alain COURSAGET, (2013), « Guide pour réaliser un plan de continuité d'activité », Secrétariat général de la défense et de la sécurité nationale.

Carole DAUTUN, Jérôme TIXIER, Jean CHAPELAIN, François FONTAINE, Gilles DUSSERRE, (2014), « Le traitement de l'incertitude en gestion de crise : mise en place d'une veille stratégique du territoire », Halshs, archives ouvertes.

Hélène DEBIEVE, Eric LAJARGE, Zhour NICOLLET, (2013), « L'émergence du risque sanitaire et la gestion des crises sanitaires », Santé Publique : en 12 notions, Paris Dunod, p.145-158.

Jean-François DELFRAISSY, (2017), « Ebola : 2014-2015, une crise sanitaire majeure Pourquoi ? Quelles leçons ? », Santé Publique Vol.29, p.447-450.

Sophie HUBERSON, Benoit VRAIE, « Les Plans de Continuité d'Activité », Association pour le Management des Risques et des Assurances de l'Entreprise, Collection maîtrise des risques n°6.

Kate E. JONES, Nikkita G. PATEL, Marc A.LEVY, Adam STOREYGARD, Deborah BALK, John L. GITTLEMAN, Peter DASZAK, (2008), «Global trends in emerging infectious diseases», Nature.

Jacques LARRIEU (2012), « La crise sanitaire, curiosité ou paradigme ? », Crise(s) et Droit, p.161-178.

Gérard LOPEZ, « Gestion des événements traumatiques en entreprise », (2017), Sécurité et stratégie, p.5-11.

83

Jean-Marie MANUS, (2020), « Covid-19 : naviguer dans l'inconnu », PubMed Central, https://www.ncbi.nlm.nih.gov/pmc/.

Marc MILET, (2005), « Cadres de perception et luttes d'imputation dans la gestion de crise : l'exemple de la « canicule » d'août 2003 », Revue Française de Science Politique Vol.55, p.573-605.

Christophe MOREL, (2020), « La crise sanitaire a pris la forme d'une « destruction créatrice » schumpetérienne », LaTribune, https://www.latribune.fr/opinions/tribunes/la-crise-sanitaire-a-pris-la-forme-d-une-destruction-creatrice-schumpeterienne-851070.html

Auguste NSONSISSA, (2011), « Pour une « crisologie » », Hermès 60, p.140-144.

Greselle OLFA ZAIBET, (2007), « Vers l'intelligence collective des équipes de travail : une étude de cas », Management & Avenir.

Patrick PERETTI-WATEL, (2020), « Sociologie du risque et crises sanitaires : un éclairage sur la pandémie du coronavirus », ses.ens-lyon.fr, http://ses.ens-lyon.fr/articles/sociologie-du-risque-et-crises-sanitaires-un-eclairage-sur-la-pandemie-du-coronavirus.

Claude ROCHET, Olivier KERAMIDAS, (2007), « La crise comme stratégie de changement dans les organisations publiques », La revue des sciences de gestion N°228, p.13-22.

Magalie REGHEZZA-ZITT, (2019), « Gestion de crise et incertitude(s) ou comment planifier le hors-cadre et l'inimaginable. Application aux crises résultant de crues majeures en Île-de-France ». Annales de géographie, p.5-30.

SENAT, (2020), « COVID-19 : Deuxième rapport d'étape sur la mise en oeuvre de l'état d'urgence sanitaire », Commission des lois.

Marie-Christine THERRIEN, « Gestion de crise », Le dictionnaire encyclopédique de l'administration publique.

84

Résumé :

Ces dernières décennies, les organisations ont dû faire face à une multiplication des risques économiques, environnementaux, technologiques, humains ou sanitaires. Cela a conduit les entreprises à instaurer une véritable gestion des risques pour anticiper d'éventuelles crises susceptibles de mettre en péril leur survie. Le Plan de Continuité d'Activité (PCA) apparait alors comme un outil pertinent et adapté pour les organisations afin d'anticiper et surmonter de potentielles crises. Cet instrument, non obligatoire à ce jour, semble toutefois essentiel dans la vie d'une entreprise.

La littérature abondante semble démontrer que le PCA est l'outil adéquat pour faire face à toute crise. Or, la crise sanitaire actuelle de pandémie COVID-19 remet quelque peu en cause l'efficacité de sa contribution à minimiser les impacts d'une crise d'une telle ampleur.

Pour cerner véritablement les enjeux et les limites d'un PCA dans le cadre d'une crise sanitaire, une enquête qualitative a été réalisée auprès de trois organisations. L'analyse des résultats a permis de mettre en évidence que la mobilisation des acteurs autour de l'élaboration du PCA est plus efficace encore que l'adoption effective de l'outil en période de crise.

Abstract :

In recent decades, organisations have had to deal with an increasing number of economic, environmental, technological, human or health risks. This has led companies to implement real risk management to anticipate possible crises that could jeopardize their survival. The Business Continuity Plan (BCP) then appears as a relevant and adapted tool for organisations to anticipate and overcome potential crises. This instrument, which is not mandatory to date, seems however essential in the life of a company.

The abundant literature seems to show that the PCA is the right tool to deal with any crisis. However, the current health crisis of the COVID-19 pandemic somewhat calls into question the effectiveness of its contribution to minimising the impacts of a crisis of such magnitude.

In order to truly identify the challenges and limits of a BCP in the context of a health crisis, a qualitative survey was carried out among three organisations. The analysis of the results showed that the mobilisation of stakeholders around the development of a BCP is even more effective than the actual adoption of the tool in times of crisis.