Les méthodes traditionnelles de gestion de crise évoluent pour se recentrer davantage sur la prise en compte des demandes des parties prenantes. Un changement de paradigme qui implique pour les entreprises de passer d’une communication basée sur la compassion à une attitude empathique proactive.

À l’heure de l’hypermédiatisation, les entreprises peuvent rapidement être confrontées à des crises d’une ampleur massive lorsque survient un événement regrettable ou un dysfonctionnement. On se souvient par exemple de l’affaire Findus et de ses lasagnes à la viande de cheval en 2013, du “DieselGate” de Volkswagen avec ses moteurs truqués en 2015 ou encore de la récente crise du lait infantile Lactalis contaminé à la salmonelle.
Si la réponse n’est pas rapide et correctement orchestrée, la crise peut avoir des conséquences néfastes pour l’entreprise, en matière de notoriété bien sûr mais aussi de part de marché.
Si en France, environ 1/3 des entreprises se préparent à la survenue de ce type d’événement, elles ne font pas toujours évoluer leurs procédures. Or, on assiste aujourd’hui à un véritable changement de paradigme dans les méthodes de gestion de crise….

Un scénario de plus en plus fréquent : la crise à double détente

La crise se définit comme un événement générant des impacts sur l’entreprise qui ne peuvent pas être entièrement gérés par les procédures habituelles. Ces impacts sont classés en cinq grandes catégories : les personnes, l’activité, l’image, la responsabilité et l’environnement. Si la sévérité de l’un de ces impacts dépasse les capacités usuelles, l’entreprise bascule dans le temps de la gestion de crise. C’est à dire qu’elle met en place une posture dérogatoire qui lui permet de gérer les conséquences de l’événement.

Aujourd’hui, les méthodes traditionnelles permettent de circonscrire un grand nombre de situations de crise. En revanche, elles montrent leurs limites dans la gestion des caractéristiques inhérentes à l’évolution de notre société : la prise en compte des demandes des parties prenantes.

En effet, les entreprises ont souvent l’habitude de s’adresser aux parties prenantes à travers les médias. La communication de crise reste un domaine très codifié qui s’appuie en majorité sur la compassion. Autrement dit, l’entreprise communique sur son association aux sentiments des parties prenantes mais rarement sur les actions qu’elle met en place pour répondre à leurs demandes.

L’entreprise communique sur son association aux sentiments des parties prenantes mais rarement sur les actions qu’elle met en place pour répondre à leurs demandes.

À l’ère des réseaux sociaux, cette posture peut avoir des effets dramatiques. Il suffit de seulement quelques heures au bad buzz pour se propager sur la toile, à l’échelle nationale voire mondiale… Par ailleurs – toujours grâce aux réseaux sociaux – les victimes de la crise peuvent se retrouver et communiquer extrêmement facilement. Sans réponse adaptée de la part de l’entreprise, elles n’hésitent pas à s’organiser juridiquement pour obtenir explication et réparation. Cette réaction des parties prenantes est ce qu’on appelle une crise à double détente, une “crise dans la crise” en somme. C’est un scénario de plus en plus classique.

De la compassion à l’empathie

En réalité, la compassion ne suffit plus. Les organisations de gestion de crise doivent désormais faire preuve d’empathie. Il s’agit de communiquer et de se coordonner avec l’ensemble des parties prenantes identifiées, dans le but de bâtir des plans d’actions adaptés et en adéquation avec la réalité de leurs problèmes.

Au-delà de la gestion incontournable des impacts, le travail d’une cellule de crise consiste donc désormais à prendre en compte le plus rapidement possible les attentes des parties prenantes impactées. Cela ne signifie pas pour autant qu’il faille leur apporter une réponse immédiate. Mais l’entité chargée de la gestion de crise doit leur montrer d’une part, que l’entreprise a compris leurs problématiques et leurs préoccupations. Et d’autre part qu’elle travaille d’arrache-pied à leur apporter une réponse satisfaisante dans les meilleurs délais.

Le travail d’une cellule de crise consiste donc désormais à prendre en compte le plus rapidement possible les attentes des parties prenantes impactées.

Les organisations doivent prendre en compte dès maintenant ce changement de paradigme. Dans le contexte de la mondialisation et avec l’avènement des réseaux sociaux, c’est l’un des moyens les plus efficaces pour une entreprise de minimiser les impacts d’une crise sur sa réputation.

L’École Supérieure de la Sûreté des Entreprises (ESSE) a mis en place un Certificat “management de la crise”. C’est la première formation certifiante en France qui vise à préparer les organisations à faire face à des crises majeures et qui renforce les compétences des personnes responsables de l’organisation de la gestion de crise.

La loi Sapin II sur l’anti-corruption oblige désormais les entreprises à vérifier l’intégrité de leurs tierces parties : clients, fournisseurs, sous-traitants, partenaires commerciaux. Une telle contrainte va les amener à systématiser leurs démarches de renseignement économique. Pierre Memheld, expert dans le domaine de la due diligence, nous éclaire sur les enjeux de cette compliance 2.0.

La France a mis en œuvre dans le cadre de la loi Sapin II, l’un des dispositifs anti-corruption les plus ambitieux au monde. Cette loi crée l’obligation, pour toutes les entreprises faisant plus de 100 millions d’euros de chiffre d’affaires et ayant au moins 500 salariés, de mettre en place des procédures anti-corruption impliquant le développement d’un système d’information interne et externe. Parmi les huit piliers du dispositif figure notamment l’obligation pour l’entreprise de vérifier l’intégrité des tierces parties – clients, fournisseurs, sous-traitants, partenaires commerciaux – avec lesquelles elle traite. L’entreprise doit être en mesure de démontrer qu’elle a accompli, en amont de la relation commerciale, toutes les démarches d’évaluation du risque de corruption lié à ces tierces parties.

Cette obligation est lourde de conséquences du point de vue de la gestion et de la structuration de la data « conformité » au sein des entreprises. Elle va en effet contraindre les acteurs économiques à mettre en œuvre de véritables bases de données anticorruption en interne et à déployer des systèmes de veille et d’investigation de leur information commerciale. Comment les entreprises peuvent-elles gérer cette nouvelle donne ?

Les enjeux informationnels de la compliance

L’intelligence économique – comme outil de management de l’information et de coordination des actions – peut servir dans ce cadre, en l’appliquant à l’activité spécifique d’évaluation des risques définis par la loi. Elle a en effet un rôle stratégique du fait de sa connaissance approfondie des compétences internes et des risques éventuels ou encore du jeu des acteurs de l’environnement concurrentiel. Le principal défi qui se pose au management de l’information de et par l’entreprise est celui de la distribution des tâches entre ce qui peut (et doit) être effectué en interne et les missions annexes externalisables. En effet, si la veille juridique ou certaines investigations peuvent être externalisées, il n’en va pas de même pour l’interface avec les fonctions opérationnelles ou financières, ou encore la préservation de la confidentialité des objectifs stratégiques ou technologiques de l’entreprise. D’autres fonctions, nécessairement liées à la conformité, sont externalisées comme la certification des comptes ou la formation continue des personnels. L’analyse et la cartographie des risques de corruption, qui constituent la pierre angulaire de Sapin II, représentent le préalable à la délimitation du périmètre informationnel du système de veille et à la répartition de ses acteurs, internes et externes.

Le principal défi qui se pose au management de l’information de et par l’entreprise est celui de la distribution des tâches entre ce qui peut (et doit) être effectué en interne et les missions annexes externalisables.

S’il est facile d’identifier un concurrent, un groupe criminel est lui, moins visible. D’autant que les groupes criminels plus organisés investissent souvent dans des affaires légales, voire dans le lobbying politique à haut niveau. L’entreprise doit donc être capable d’anticiper et d’appréhender les évolutions de l’environnement. Cette anticipation, de nature stratégique, passe l’acquisition de méthodes d’analyse et le déploiement d’un système de veille interne à l’entreprise.

Le risk management étant par nature transverse et pluridisciplinaire, c’est en combinant ces différentes approches que l’entreprise peut construire une grille d’évaluation qui lui est propre et qui prend en compte les problématiques propres à son secteur et à ses pays d’activité (notamment les lois et régimes applicables dans le domaine anticorruption), les analyses et l’historique des risques disponibles. Enfin un management de l’information n’est efficace que si le système de veille repose sur un cross-checking systématique et actualisé des sources d’information.

Les rapports d’investigations (due diligence)

Trouver de l’information n’est plus aujourd’hui un défi mais un problème compte tenu de la masse d’informations à traiter. Si les « masses de données » (big data), la cartographie relationnelle ou encore les outils de veille nous aident à exploiter l’information collectée, ils ne nous aident pas à l’analyser. Dans le cas particulier des due diligence – concept anglo-saxon qui désigne l’ensemble des procédures de vérification – il s’agit d’agréger dans un document synthétique correspondant aux exigences informatives de la loi et aux standards ISO internationaux, l’ensemble des informations pouvant constituer un risque pour l’entreprise concernée. L’ensemble des tierces parties contractuelles sont concernées : fournisseurs, prestataires, intermédiaires, partenaires, investisseurs mais aussi clients !

Une due diligence peut être faite dans le cadre d’un investissement, comme une fusion/acquisition, ou d’un partenariat, pour évaluer la santé financière et les capacités industrielles d’une entreprise. Mais il s’agit ici d’évaluer les risques de tous les co-contractants : peut-on remettre en question la réputation d’un client ? Oui si l’on considère certains cas récents. D’autant que la majeure partie des sollicitations de corruption ont pour origines les autorités et clients publics, en particulier dans le cadre des appels d’offres. Les éléments à identifier sont donc : le risque pays, l’existence de dossiers juridiques et de la réputation de la tierce partie.

Les éléments à identifier sont donc : le risque pays, l’existence de dossiers juridiques et de la réputation de la tierce partie.

A partir d’une requête, la procédure à suivre est relativement « simple » : recherches sur les sources ouvertes (l’internet « de surface » et le « deep web » comme les bases de données payantes), les sources officielles et spécialisées (registres du commerce, décisions de justice, listes de sanctions). Il faut évidemment vérifier toutes les informations, les rapports pouvant être utilisés en justice : homonymies, incohérences, plausibilité (seules les informations vérifiées étant intégrées).

Selon les cas, l’entreprise peut vouloir utiliser une méthode d’analyse du risque – chacune ayant sa propre grille ou utilisant une méthode générique (Heat Map, COSO, ISO 37001) – ou au contraire exploiter l’information brute (un article négatif sur la réputation ou une décision de justice ancienne peuvent suffire à impacter la relation contractuelle).

Cette évaluation doit être objective. Comme pour le processus d’alerte interne décrit par la loi, le risque est que le dirigeant commanditaire de l’évaluation soit lui-même impliqué dans un processus visant à corrompre. Ce scénario n’est pas fréquent mais pose la question du « juge et partie ». L’information permettant de prendre une décision, investir dans tel pays avec tel partenaire, doit être la plus impartiale possible aux yeux de la loi. En cas d’enquête judiciaire, le procureur, et en dernier lieu le juge, prendra en compte la qualité du processus dans sa décision.

On le voit, les enjeux informationnels et organisationnels ont donc désormais un impact majeur sur la manière dont les entreprises mènent leurs opérations et se développent.

Les entreprises ont trop souvent tendance à considérer les mesures de sûreté comme des coûts obligatoires. Elles devraient au contraire les envisager comme un investissement nécessaire et indispensable pour protéger leurs salariés et assurer leur image de marque face à des menaces réelles.

En France, les entreprises peinent à mettre en œuvre une véritable culture de la sûreté, c’est à dire des plans, des procédures et des moyens concrets pour se prémunir contre des actions malveillantes qui pourraient être perpétrées à leur égard. Aujourd’hui, peu de dirigeants sont à même d’expliquer concrètement ce qu’ils ont mis en place pour protéger leur entreprise dans son ensemble.

Cette réalité est d’autant plus criante lorsque survient un événement malveillant : cyber-attaque, fraude au président ou encore attentat terroriste. Outre la mise en danger des salariés ou des clients, ces phénomènes laissent des traces durables, pour ne pas dire indélébiles auprès de l’opinion publique.

Comment en arrive-t-on là ? La plupart du temps, car les mesures de sûreté ne sont pas encore considérées à leur juste importance au sein des entreprises.

Sortir de la seule logique des coûts

La preuve la plus flagrante de ce manque de considération : la majorité des consultations et appels d’offres affichent le prix comme critère principal de sélection des prestations de sûreté / sécurité. Au même titre qu’une simple assurance multirisques, les entreprises ont tendance à y souscrire par obligation, en cherchant les moins “disantes” sans vraiment se soucier de ce qu’elles englobent réellement. En résumé, dans l’esprit des dirigeants, les prestations de sûreté / sécurité représentent un coût. Elles devraient au contraire être considérées comme un investissement utile et indispensable pour protéger leurs salariés et assurer leur image de marque face à des menaces réelles.

En effet, parmi les devoirs stratégiques d’une Direction se trouve l’obligation de protéger le personnel. La responsabilité des entreprises est aujourd’hui un enjeu majeur. Par ailleurs,  l’entreprise doit veiller à son image et à sa notoriété qui font partie de son capital immatériel. La réputation a en effet des impacts directs sur la confiance accordée par les clients et en conséquence sur le volume d’affaires. Qu’une institution ne soit pas capable d’apporter la preuve qu’elle a mis en œuvre tous les moyens nécessaires pour prévenir la réalisation d’un risque ou d’un incident, n’est pas acceptable par l’opinion. Même lorsque la solution est apportée rapidement au problème, le public retient le défaut d’anticipation.

Ainsi, outre la protection indispensable du personnel, mettre en oeuvre une véritable culture sûreté, c’est aussi préserver la stabilité commerciale et financière de l’entreprise.

Outre la protection indispensable du personnel, mettre en oeuvre une véritable culture sûreté, c’est aussi préserver la stabilité commerciale et financière de l’entreprise.

Entrer dans une logique d’investissement

Il est donc temps pour les dirigeants de changer d’état d’esprit et de remettre la sûreté au cœur de la stratégie des entreprises et des institutions. Cela revient à choisir ses partenaires sécurité et sûreté dans une logique de performance et non pas de coût. Tout l’enjeu est de trouver l’équilibre entre rentabilité et sécurité globale pour entrer dans une logique d’investissement.

Tout l’enjeu est de trouver l’équilibre entre rentabilité et sécurité globale pour entrer dans une logique d’investissement.

Considérés à leur juste place, ces partenaires pourront auditer finement tous les risques et les menaces qui pèsent sur l’entreprise : qu’ils soient internes (sociaux, techniques, organisationnels, financiers, etc.) ou externes (politiques, environnementaux, commerciaux, liés à la production, à la sous-traitance, aux partenariats, au marché, etc). Les mesures de sûreté qui ressortiront de cet audit impliqueront pour l’entreprise d’y affecter toutes les ressources techniques, financières, et humaines nécessaires. Par ailleurs, les mesures devront être intégrées à tous les niveaux des processus décisionnels : de la R&D au développement commercial, de la conception de la stratégie à son application sur le terrain.