Par Nicolas Gouzien, directeur au sein du groupe Square

Tribune. L’opinion et les décideurs économiques n’ont pas été pris au dépourvu, loin s’en faut, quand le 14 mars dernier la France est passée au stade 3 de l’épidémie de COVID 19, après plusieurs semaines de montée progressive de la menace sanitaire, émergente dans l’Union Européenne dès la fin janvier 2020.

Cela faisait maintenant plusieurs jours, voire semaines, que les responsables opérationnels des plus grosses entreprises françaises se préparaient à cette éventualité, veillant en particulier à actualiser leurs Plans de Continuité d’Activité, ou PCA.
Et pourtant, malgré cette préparation, malgré le caractère finalement assez progressif de cette crise, rien ne s’est passé comme prévu. Car rappelons-le, à quoi servent les Plans de Continuité d’Activité ? Il s’agit de permettre à l’entreprise de maintenir ses activités opérationnelles essentielles lors de la survenance d’une crise dégradant ses modalités de fonctionnement. Les plans préalables consistent à anticiper les impacts possibles et à préparer l’entreprise aux types de réponses à y apporter, tout en fournissant les garanties sécuritaires et sanitaires appropriées aux salariés mobilisés.

Par essence, un PCA est bâti sur la base de scénarios de crise, résultant de la survenance d’évènements rares mais pas improbables, statistiquement parlant. Dans l’industrie bancaire, l’élaboration de dizaines de scénarios possibles fait ainsi partie des obligations imposées par le régulateur, qui balaye l’ensemble des risques auxquels l’établissement doit pouvoir faire face : du risque matériel ou risque d’indisponibilité des locaux (incendie, inondation…) aux risques informatiques (intrusion, panne généralisée…) en passant par les risques de fraude ou les risques opérationnels liés aux erreurs de gestion, de saisie ou de transmission d’information.

Il est en de même dans l’industrie, où la gestion de crise est souvent inscrite dans l’ADN des équipes opérationnelles, et est au cœur du savoir-faire d’équipes managériales pilotant des systèmes optimisés pour un fonctionnement nominal, et où le moindre grain de sable peut faire dérailler la belle mécanique : rupture d’approvisionnement d’un composant ou d’une ressource critique, arrêts de travail résultant de frictions sociales et impactant les processus de production, problèmes de qualité engendrant des risques de réputation et nécessitant une réactivité immédiate etc…

Des PCA construits pour répondre à un évènement imprévu

Dans le cas du COVID 19, qu’ont examiné les décideurs lors de la revue de leur PCA ? L’attention s’est concentrée sur les scénarios basés sur des crises sanitaires connues, comme celles résultant des dernières épidémies du SRAS en 2003 ou MERS en 2012. A l’aune de ces retours d’expérience, ils ont pu tester la solidité de leur entreprise à faire face à des cas de contagions généralisées et avérées : capacité à mettre en place les mesures adéquates pour garantir la poursuite de l’activité essentielle, capacité à déployer un ensemble de mesures barrières permettant d’éviter la diffusion de l’épidémie au sein des locaux et entre les employés.

Les données utilisées correspondaient aux données historiques mises à jour avec les résultats des études épidémiologiques préliminaires : environ 1/5 de la population affectée à terme, et un taux d’absentéisme de la population salariée compris entre 30 et 40%.

Cette approche est humaine et s’explique par nos biais cognitifs, qui nous rassurent, qui nous amènent souvent à espérer que la reproductibilité est la règle, et que l’histoire des crises passées constitue notre meilleur guide. Cela est d’ailleurs vrai la plupart du temps. Mais en mettant sous contrôle ce qui est statistiquement probable, nous vivons ainsi dans l’illusion que nous maitrisons notre monde. Et que de toute façon, ce qui est improbable est imprédictible et ne peut donc pas être anticipé, donc à quoi bon s’en soucier…

La simultanéité des scenarios de crise, un cygne noir

La réalité est que notre système – de par sa complexité non linéaire – est comme une machine folle prompte à engendrer des anomalies, à déclencher des évènements statistiquement improbables à l’échelle du siècle. C’est ce qu’on appelle communément les « cygnes noirs »… les attentats du WTC en 2001, la crise de Lehman Brothers en 2008, le BREXIT en 2018 en sont les exemples les plus commentés.

La crise du COVID 19 est bien évidemment, et même avec si peu de recul, un « cygne noir ».
Car comment expliquer, statistiquement parlant, la simultanéité des scénarios de crise auxquels les entreprises ont dû et doivent maintenant faire face.

1. Déjà, celle qui était anticipée : la survenance d’une pandémie plus contagieuse que la grippe, au taux de létalité significatif, nécessitant la mise en place de mesures barrières à grande échelle dans les entreprises (quarantaines, arrêts des déplacements, gestes sanitaires, nettoyage des locaux, etc)
2. Ensuite, l’indisponibilité des ressources pour les malades. Faible à ce stade dans le monde de l’entreprise, mais commençant à être problématique dans le monde hospitalier, et pouvant impacter le fonctionnement de l’entreprise en cas d’indisponibilité de ressources ou de compétences critiques.

Viennent ensuite celles que personne n’avaient vu venir, et qui, combinées entre elles, ont un effet dévastateur et rendent quasiment caduques les plans de continuité d’activité :

1. La décision gouvernementale de fermeture des écoles et des centres de garderie, mettant en indisponibilité partielle ou totale des salariés ayant des enfants, touchant de ce fait souvent plus de 50% de l’effectif d’une entreprise
2. La décision de confinement total et sa conséquence sur l’incapacité pour les salariés de se rendre sur leur lieu de travail, pour les activités non essentielles
3. La décision de nombre d’entreprises de fermer leurs locaux ou de cesser leurs activités au nom du principe de précaution et de leur responsabilité quant à la santé de leurs collaborateurs, dans un contexte de contagiosité avérée et élevée, au moins temporairement en l’absence de protocoles sanitaires renforcés, validés avec les instances médicales et syndicales
4. Le sous-dimensionnement du réseau internet ou de la bande passante disponible au sein des entreprises, réduisant de facto la productivité et la disponibilité des salariés en télétravail.

Cumulés, l’ensemble de ces évènements constitue un scénario qui n’avait jamais été imaginé, rendant indisponibles de larges proportions de l’effectif salarié, et empêchant potentiellement le maintien des activités essentielles de l’entreprise telles que définies dans le PCA….
La conclusion a été sans appel pour nombre d’entreprises industrielles et commerciales, avec l’arrêt de la production (usines Airbus, Renault, Peugeot à l’arrêt…) ou l’interruption totale des services fournis (services à la personne, restauration, tourisme, etc)

Tout porte à croire qu’elle le sera bientôt pour les entreprises gourmandes en main d’œuvre comme dans le BTP et l’agro-alimentaire. La pérennité de l’activité dans les Services Informatiques, les Banques et les Assurances semble quant à elle plutôt assurée, même si elle dépendra largement de la capacité des salariés à s’adapter aux nouvelles modalités de travail.

Les PCA sont essentiels, mais cultivent l’illusion du contrôle

Avant même d’avoir refermé la page de cette crise, la conclusion semble déjà sévère.
La démarche préventive de préparation de Plans de Continuité d’Activité semble avoir failli à sa mission, qui était, rappelons-le, de nous mettre à l’abri des conséquences dévastatrices d’une crise majeure.
Sont-ils inopérants pour autant ? Doit-on s’en débarrasser et ne rien faire, en attendant la prochaine crise ?

Le principe du PCA reste la pierre angulaire d’une bonne gestion des risques d’entreprise. Essentiel, il permet à l’entreprise de réfléchir et d’anticiper sa capacité de résilience. En revanche, force est de reconnaître que le COVID 19 met en exergue les limites de l’exercice. D’un point de vue pratique déjà, avoir un « PCA » ne semble pas garantir à lui seul la bonne gestion de la prochaine crise, et imaginer pouvoir dérouler un PCA « clés en main » pour y faire face relève de la gageure, tant la crise qui surviendra est imprévisible par nature, car née au cœur de systèmes globaux dont nous avons du mal à saisir la complexité.

D’un point de vue philosophique, cela nous interroge sur nos croyances sur le monde de l’entreprise. Ne serait-il pas temps de nous questionner sur la vision véhiculée par la logique de l’analyse des risques et des PCA, qui consiste souvent à penser l’entreprise comme un lieu de maitrise, de contrôle, de prédiction, où la spontanéité et l’improvisation ont peu de place… ?

Ces interrogations ouvrent la voie à une réflexion plus générale sur la meilleure façon d’affronter l’avenir, et nous amène à proposer une voie nouvelle, où il s’agirait d’associer à la logique analytique traditionnelle d’anticipation des risques une démarche complémentaire vouée à insuffler une culture « résiliente » au sein de l’entreprise.

Favoriser une culture résiliente, un outil complémentaire pour le risk manager

Par culture « résiliente », il s’agirait de construire une culture d’entreprise favorisant ou renforçant la capacité de réaction, d’adaptation et de flexibilité de l’entreprise, une entreprise responsabilisant ses salariés et leur offrant une autonomie d’action pour faire face, entre autres, à l’imprévu.

Ce qu’on voit à l’œuvre depuis quelques semaines, dans des organisations éclatées de fait, où le travail s’effectue maintenant à distance et « hors sol », où le cadre de travail a été désorganisé, les relations managériales bouleversées, et où les contraintes personnelles s’immiscent dans l’univers professionnel, est que les entreprises qui fonctionnent le mieux sont celles qui ont bâti une culture d’entreprise « libérée » – pour reprendre les mots de Frédéric Laloux.

Gageons donc qu’à l’avenir, cette philosophie managériale – au côté de l’analyse des risques d’entreprise – sera intégrée comme un levier fondamental de pérennité de l’entreprise.