Un incident de sécurité dépasse rarement la portée des seules équipes de sécurité. Dès lors qu'il implique une personne, une somme d'argent, un équipement ou un organisme de réglementation, il devient aussi le problème d'autrui. L'identité de cette personne-ressource et le délai d'information requis varient selon l'activité et la région géographique de votre organisation.

C'est le principe de notre nouvel outil de planification, le Guide de gestion des incidents interfonctionnels , qui accompagne les responsables de la sécurité dans la gestion d'un incident impliquant six services (RH, informatique, juridique, risques, infrastructures et santé et sécurité au travail) et identifie les responsabilités de chacun lorsqu'un incident touche plusieurs services. Les feuilles de travail sont conçues pour s’adapter à votre organisation, mais la nature du problème varie selon votre secteur d’activité. Voici quelques exemples.

Finance : lorsqu'un incident est aussi un événement de conformité

Dans le secteur financier, un incident de sécurité physique peut générer une documentation conséquente bien avant la rédaction du rapport initial. Une anomalie de contrôle d'accès dans une agence, la perte d'un appareil appartenant à une personne ayant accès à un compte, ou une enquête pour vol dans la salle de pause ayant des répercussions sur le dossier d'un employé : tous ces éléments entraînent des obligations de documentation qui ne relèvent pas des équipes de sécurité, mais qui sont néanmoins déclenchées.

Les données de cartes et les environnements de paiement complexifient davantage la situation. Si un incident physique survient dans une zone de traitement ou de stockage de données de titulaires de cartes, l'applicabilité de la norme PCI DSS doit être vérifiée avec précision avant que votre équipe ne considère l'incident comme purement physique. Il en va de même pour tout incident impliquant des identifiants d'accès liés aux systèmes financiers : les équipes informatiques et de conformité doivent être informées dans l'heure, et non dans le sommaire hebdomadaire.

Production : lorsque l'incident interrompt la production

Dans une usine, la gestion des incidents entre en concurrence avec l'horaire de production, et chaque heure de retard dans la résolution d'un incident peut entraîner un coût qui se répercute sur la production, et non sur un simple rapport de police. Qu'il s'agisse d'un sous-traitant dont l'accès aurait dû s'arrêter à la fin de son intervention, d'un incident de sécurité sur la chaîne de production, d'un vol de matières premières ou de produits finis, chaque situation a un responsable différent selon qu'elle affecte les effectifs, la productivité ou la chaîne d'approvisionnement.

Les fabricants qui transportent des marchandises à l'étranger sont également assujettis à des obligations de conformité commerciale. Lorsqu'un incident touche la sécurité de la chaîne d'approvisionnement ou les contrôles à l'importation et à l'exportation, l'applicabilité du C-TPAT doit être vérifiée avec précision et non présumée. Il s'agit d'un cas flagrant où les services juridiques et de conformité doivent être impliqués dès le début de la procédure, et non a posteriori.

Commerce de détail : lorsque l'incident entraîne également une exposition de la marque

La gestion des incidents dans le commerce de détail doit tenir compte de deux publics que la plupart des autres secteurs ne gèrent pas à la même échelle : le grand public et les médias. Une enquête sur les pertes, un incident de violence au travail en magasin ou une blessure d'un client nécessitent chacun une procédure interne spécifique. Or, le commerce de détail ajoute une dimension supplémentaire : la communication et les relations publiques doivent être informées suffisamment vite pour anticiper l'événement plutôt que d'y réagir.

Les enseignes multisites sont également confrontées à un problème de co-emploi qui se manifeste différemment selon les sites : agents de sécurité sous contrat dans un magasin, employés dans un autre, personnel saisonnier partout. L'exercice RACI proposé dans le manuel est précisément conçu pour ce type de situation, où un même incident peut avoir un responsable différent selon le site où il s'est produit.

Gestion immobilière : lorsqu'un incident touche simultanément plusieurs parties prenantes.

Un simple incident dans un immeuble géré (alarme incendie, intrusion, blessure dans les parties communes) peut engager simultanément la responsabilité du propriétaire, du locataire, d'un fournisseur et de la société de gestion. Les équipes responsables des installations et de la gestion des risques ont besoin de données suffisamment précises pour distinguer un problème d'entretien mineur d'un incident susceptible de donner lieu à une réclamation.

L'accès des fournisseurs et des sous-traitants est un thème récurrent dans la gestion des incidents en matière immobilière . Badge d'un agent d'entretien, affectation d'un agent de sécurité, accès au bâtiment pour une équipe de nettoyage : chaque accès a sa propre procédure de révocation et nécessite la désignation d'un responsable avant l'incident, et non pendant.

Secteur public : quand l'incident devient un document public

Les organismes gouvernementaux et du secteur public sont confrontés à chacun des défis mentionnés ci-dessus, auxquels s'ajoutent des obligations de transparence et de tenue de registres auxquelles la plupart des organisations privées ne sont pas soumises de la même manière. Un rapport d'incident peut faire l'objet d'une demande d'accès aux documents administratifs, ce qui modifie le contenu et la manière dont les informations sont documentées. L'intervention des services juridiques et de conformité est obligatoire, et le transfert des informations doit souvent intervenir plus tôt que dans d'autres secteurs, car les délais de déclaration et de divulgation publique peuvent être simultanés.

La coordination entre organismes complexifie la situation. Un incident de sécurité sur un bien public peut nécessiter d'être signalé simultanément au service des installations, au bureau de gestion des risques et à un organisme extérieur. Dans ce contexte, l'accent mis par le guide sur la désignation d'un rôle précis (et non pas seulement d'un service) est particulièrement utile, car les organisations du secteur public comportent souvent plusieurs niveaux hiérarchiques entre le moment où « le service de sécurité a constaté l'incident » et celui où « la personne compétente est au courant ».

Le motif qui apparaît partout

Dans tous les secteurs, un même problème persiste : les incidents impliquant des fournisseurs et des fournisseurs suivent une procédure différente de celle applicable aux incidents similaires impliquant un employé, et la plupart des organisations n’ont pas formalisé cette procédure. La désactivation des badges, le statut des vérifications d’antécédents et les clauses contractuelles modifient tous la responsabilité de la gestion de la situation, même lorsque l’incident semble identique sur papier. Cela reste vrai, que vous gériez une succursale bancaire, un centre de distribution, un magasin, un immeuble ou un établissement public.

L'autre constante est la suivante : il est plus facile de repérer l'écart sur le papier qu'au cœur d'un incident réel. C'est précisément la raison d'être de ce manuel.

Téléchargez le guide de gestion des incidents interfonctionnels et travaillez-y avec les gestionnaires de votre service. Si votre organisation utilise déjà TrackTik, les grilles RACI que vous remplissez peuvent servir de règles de routage pour votre plateforme ; ainsi, le plan ne reste pas un simple document, mais devient le mode de gestion concret des incidents.