La gestion des incidents n'est jamais la responsabilité d'un seul service.

Un incident de sécurité dépasse rarement la portée des seules équipes de sécurité. Dès lors qu'il implique une personne, une somme d'argent, un équipement ou un organisme de réglementation, il devient aussi le problème d'autrui. L'identité de cette personne-ressource et le délai d'information requis varient selon l'activité et la région géographique de votre organisation.

C'est le principe de notre nouvel outil de planification, le Guide de gestion des incidents interfonctionnels , qui accompagne les responsables de la sécurité dans la gestion d'un incident impliquant six services (RH, informatique, juridique, risques, infrastructures et santé et sécurité au travail) et identifie les responsabilités de chacun lorsqu'un incident touche plusieurs services. Les feuilles de travail sont conçues pour s’adapter à votre organisation, mais la nature du problème varie selon votre secteur d’activité. Voici quelques exemples.

Finance : lorsqu'un incident est aussi un événement de conformité

Dans le secteur financier, un incident de sécurité physique peut générer une documentation conséquente bien avant la rédaction du rapport initial. Une anomalie de contrôle d'accès dans une agence, la perte d'un appareil appartenant à une personne ayant accès à un compte, ou une enquête pour vol dans la salle de pause ayant des répercussions sur le dossier d'un employé : tous ces éléments entraînent des obligations de documentation qui ne relèvent pas des équipes de sécurité, mais qui sont néanmoins déclenchées.

Card data and payment environments raise the stakes further. If a physical incident touches an area where cardholder data is processed or stored, check whether PCI DSS requirements apply before your team assumes the incident stays purely physical. The same goes for any incident involving access credentials tied to financial systems: IT and compliance need to know within the hour, not the weekly summary.

Production : lorsque l'incident interrompt la production

Dans une usine, la gestion des incidents entre en concurrence avec l'horaire de production, et chaque heure de retard dans la résolution d'un incident peut entraîner un coût qui se répercute sur la production, et non sur un simple rapport de police. Qu'il s'agisse d'un sous-traitant dont l'accès aurait dû s'arrêter à la fin de son intervention, d'un incident de sécurité sur la chaîne de production, d'un vol de matières premières ou de produits finis, chaque situation a un responsable différent selon qu'elle affecte les effectifs, la productivité ou la chaîne d'approvisionnement.

Manufacturers that move goods across borders also carry trade compliance obligations. Where an incident touches supply chain security or import and export controls, confirm whether C-TPAT obligations apply rather than assuming they do not. This is one of the clearer cases where legal and compliance need a seat at the table from the start of the response, not after the fact.

Commerce de détail : lorsque l'incident entraîne également une exposition de la marque

La gestion des incidents dans le commerce de détail doit tenir compte de deux publics que la plupart des autres secteurs ne gèrent pas à la même échelle : le grand public et les médias. Une enquête sur les pertes, un incident de violence au travail en magasin ou une blessure d'un client nécessitent chacun une procédure interne spécifique. Or, le commerce de détail ajoute une dimension supplémentaire : la communication et les relations publiques doivent être informées suffisamment vite pour anticiper l'événement plutôt que d'y réagir.

Les enseignes multisites sont également confrontées à un problème de co-emploi qui se manifeste différemment selon les sites : agents de sécurité sous contrat dans un magasin, employés dans un autre, personnel saisonnier partout. L'exercice RACI proposé dans le manuel est précisément conçu pour ce type de situation, où un même incident peut avoir un responsable différent selon le site où il s'est produit.

Gestion immobilière : lorsqu'un incident touche simultanément plusieurs parties prenantes.

Un simple incident dans un immeuble géré (alarme incendie, intrusion, blessure dans les parties communes) peut engager simultanément la responsabilité du propriétaire, du locataire, d'un fournisseur et de la société de gestion. Les équipes responsables des installations et de la gestion des risques ont besoin de données suffisamment précises pour distinguer un problème d'entretien mineur d'un incident susceptible de donner lieu à une réclamation.

L'accès des fournisseurs et des sous-traitants est un thème récurrent dans la gestion des incidents en matière immobilière . Badge d'un agent d'entretien, affectation d'un agent de sécurité, accès au bâtiment pour une équipe de nettoyage : chaque accès a sa propre procédure de révocation et nécessite la désignation d'un responsable avant l'incident, et non pendant.

Healthcare: when the incident involves patients and clinical staff

In hospitals and clinics, a security incident rarely stays a security matter for long. An aggressive patient or visitor, a patient safety alert, a theft of controlled substances or a workplace violence incident involving clinical staff can pull in nursing leadership, compliance, HR and risk at the same time, often within minutes.

Patient privacy adds another constraint, because incident documentation can include protected health information that changes who can see the report and how it is shared. Accreditation standards for workplace violence prevention also make the response record matter as much as the response itself. Our Cross-Functional Incident Workbook for Hospitals adapts the same RACI approach for nursing, compliance and the other departments a hospital incident reaches, and the Hospital Workplace Violence Prevention evidence brief covers the prevention side.

Secteur public : quand l'incident devient un document public

Les organismes gouvernementaux et du secteur public sont confrontés à chacun des défis mentionnés ci-dessus, auxquels s'ajoutent des obligations de transparence et de tenue de registres auxquelles la plupart des organisations privées ne sont pas soumises de la même manière. Un rapport d'incident peut faire l'objet d'une demande d'accès aux documents administratifs, ce qui modifie le contenu et la manière dont les informations sont documentées. L'intervention des services juridiques et de conformité est obligatoire, et le transfert des informations doit souvent intervenir plus tôt que dans d'autres secteurs, car les délais de déclaration et de divulgation publique peuvent être simultanés.

La coordination entre organismes complexifie la situation. Un incident de sécurité sur un bien public peut nécessiter d'être signalé simultanément au service des installations, au bureau de gestion des risques et à un organisme extérieur. Dans ce contexte, l'accent mis par le guide sur la désignation d'un rôle précis (et non pas seulement d'un service) est particulièrement utile, car les organisations du secteur public comportent souvent plusieurs niveaux hiérarchiques entre le moment où « le service de sécurité a constaté l'incident » et celui où « la personne compétente est au courant ».

Le motif qui apparaît partout

Dans tous les secteurs, un même problème persiste : les incidents impliquant des fournisseurs et des fournisseurs suivent une procédure différente de celle applicable aux incidents similaires impliquant un employé, et la plupart des organisations n’ont pas formalisé cette procédure. La désactivation des badges, le statut des vérifications d’antécédents et les clauses contractuelles modifient tous la responsabilité de la gestion de la situation, même lorsque l’incident semble identique sur papier. Cela reste vrai, que vous gériez une succursale bancaire, un centre de distribution, un magasin, un immeuble ou un établissement public.

L'autre constante est la suivante : il est plus facile de repérer l'écart sur le papier qu'au cœur d'un incident réel. C'est précisément la raison d'être de ce manuel.

A Starter RACI for Common Cross-Functional Incidents

A RACI grid names who is Responsible, Accountable, Consulted and Informed for each step of a response. Every organization fills it in differently, which is the point of the workbook, but here is how responsibility often splits for five incident types that cross department lines, for enterprise security teams and security providers alike.

Incident type	Responsible	Accountable	Consulted	Informed
violence au travail	Sécurité	Security director	HR, Legal	Facilities, Health & Safety
Lost or stolen device with system access	ÇA	CISO or IT director	Security, Legal	HR, Compliance
Contractor access not revoked	Facilities	Facilities manager	Security, Procurement	IT, Legal
Employee injury on site	Health & Safety	EHS manager	HR, Legal, Risk	Security, Facilities
Theft of materials or inventory	Sécurité	Security director	Risk, Legal	Finance, Operations

Treat these as conversation starters rather than rules. Your org chart, your contracts and your regulators decide the final answer.

Turning the Plan Into Routing Rules

A RACI grid only helps if the right people actually hear about the incident in time. Trackforce built TrackTik so the plan becomes the way incidents move.

• A form for each incident type. TrackTik security incident reporting supports customizable incident forms and severity levels, so a workplace violence report captures what HR and Legal need from the start.
• Automatic notifications. Email or text alerts reach the right stakeholders, and issues can be escalated to third parties and clients whenever required.
• Routing and escalation rules. The TrackTik Command Center lets you customize routing rules, escalation procedures and notification triggers.
• Evidence every department can use. Time-stamped photo, video, audio and GPS evidence means each department works from the same facts.
• Connected to the rest of the stack. A documented REST API and webhooks push incident data into the HR, IT and GRC systems other departments already use.

Téléchargez le guide de gestion des incidents interfonctionnels et travaillez-y avec les gestionnaires de votre service. Si votre organisation utilise déjà TrackTik , les grilles RACI que vous remplissez peuvent servir de règles de routage pour votre plateforme ; ainsi, le plan ne reste pas un simple document, mais devient le mode de gestion concret des incidents.