Nouvelle exigence du CSO : des outils qui fonctionnent au-delà du poste de garde

Lors d'un récent événement sectoriel, David Fortino, responsable de la sécurité d'entreprise chez New York Blood Center Enterprises, a posé aux fournisseurs présents une question qui devrait redéfinir la manière dont chaque fournisseur de logiciels de sécurité envisage sa feuille de route produit :

« Comment allez-vous me simplifier la vie en tant que RSSI ? C'est ce que j'attends d'un fournisseur. Je suis à la recherche d'un outil qui profite à l'ensemble de l'entreprise, et pas seulement à la sécurité physique. »

Cette phrase figure dans le rapport « Security Megatrends 2026 » de la SIA , mais elle aurait tout aussi bien pu être tirée de notre récent webinaire « Du badge à la direction », animé par Todd Kreisher, ancien agent des services secrets américain fort de 27 ans d’expérience et ancien directeur de la sécurité d’un constructeur automobile international. Todd a passé une heure avec Jeff DiDomenico à détailler précisément ce que décrit Fortino : ce qui se produit lorsqu’un incident de sécurité cesse d’être un simple problème de sécurité dès qu’il est signalé.

L'incident qui n'était pas un incident de sécurité

Au début du webinaire, Todd a raconté une anecdote de son époque en tant que responsable de la sécurité dans le secteur manufacturier. Son équipe effectuait des inspections de remorques dans le cadre d'une exigence de conformité CTPAT, en comparant les connaissements aux chargements réels. Grâce à un système de signalement des incidents efficace, il a constaté un problème : les camions faisaient demi-tour beaucoup plus souvent que prévu.

Ses propos : « J’ai aussi commencé à réaliser que ce n’était pas vraiment un problème de sécurité. Je veux dire, ce n'était pas une question de sécurité, c'était une question commerciale, une question de logistique. »

Avec ces données, Todd ne les a pas reléguées à un rapport de sécurité confidentiel. Il les a présentées au service logistique et à la direction, et ensemble, ils ont corrigé le processus, permettant ainsi à l'entreprise de réaliser d'importantes économies.

Voilà, en résumé, toute l'affaire. L'incident a été consigné par le service de sécurité. La résolution a été prise en charge par la logistique. Le gain a été directement intégré à l'état de résultat. Si les données étaient restées confinées dans un système réservé à la sécurité, rien de tout ça ne se serait produit. Le simple fait de détecter l'incident a nécessité des signalements à l'échelle de plusieurs sites et sur plusieurs mois, au lieu d'une multitude de formulaires d'incident individuels.

Un incident, cinq départements

L'exemple le plus direct que Todd a donné à ce sujet provenait d'un document aussi banal qu'un rapport de vol. Comme il l'a dit :

« Du vol. Finalement, s'agissait-il du vol du dîner de quelqu'un dans la salle de repos ? Ou du vol de 50 pots catalytiques qui allaient avoir un impact sur la production ? »

Les deux constituent techniquement des vols. Un seul d'entre eux doit être signalé à la planification de la production, à la gestion des risques et, éventuellement, aux forces de l'ordre dans l'heure. Sans un système capable de recueillir ce niveau de détail et de l'acheminer vers les personnes compétentes, un responsable de la sécurité informatique est contraint de choisir entre des catégories génériques qui ne fournissent aucune information pertinente et un flot d'informations superflues qui masque les incidents importants.

Transposez cette même idée à l'échelle d'une opération de sécurité d'entreprise et la liste des parties prenantes concernées par un seul rapport d'incident s'allonge rapidement :

• RH : lorsqu'un incident implique une enquête sur un employé ou un problème de violence au travail
• Juridique : en cas de risque de responsabilité ou d’obligation de conformité
• Informatique : lorsqu'il est nécessaire de révoquer des identifiants d'accès ou en cas de suspicion de menace interne.
• Risques et assurances : quand déposer une réclamation ou signaler un problème avant qu'il ne cause des pertes plus importantes.
• Direction générale : lorsque l’incident a une incidence sur la continuité des activités ou le risque lié à la marque

Todd a insisté sur l'importance des relations, et pas seulement des données : « Des partenariats internes clés avec les RH, le service juridique, le service de conformité et le service informatique… c'est un partenariat essentiel pour notre équipe de sécurité. Il a également raconté l'histoire d'un ancien directeur financier qui lui avait demandé, mi-sérieux, mi-sérieux, si l'entreprise avait encore besoin d'une cellule de gestion de crise officielle, car les incidents survenus dans son établissement dégénéraient rarement en crise. C'est ce qui se produit lorsque la bonne information parvient au bon service avant qu'un petit problème ne prenne de l'ampleur. Concrètement, cela implique généralement une intégration aux systèmes que ces services utilisent déjà, plutôt que de demander à cinq équipes d'apprendre à utiliser un outil de sécurité. Vous trouverez une description plus détaillée de ce processus dans notre guide sur l'intégration de la sécurité physique dans l'infrastructure de l'entreprise .

L'industrie s'entend pour dire que ce n'est plus une option.

Le rapport 2026 de la SIA sur les mégatendances en matière de sécurité désigne explicitement ce changement comme la mégatendance 3, « Les solutions de sécurité perdent leurs frontières », décrivant un mouvement à l'échelle de l'industrie passant de systèmes de sécurité physique cloisonnés à des plateformes qui relient les données de sécurité aux systèmes informatiques, aux installations et aux systèmes opérationnels.

Tara Dunning, vice-présidente responsable des technologies convergentes chez Wesco, l'explique ainsi dans le rapport : « Les frontières de notre secteur s'estompent rapidement. La convergence de toutes les technologies nous permet d'offrir une vision et un contrôle unifiés de l'écosystème d'entreprise, ce qui mène à des entreprises plus sûres, plus efficaces, plus durables et plus résilientes. »

À la lumière des citations de Fortino et de Dunning, ainsi que de l'histoire de Todd sur la remise en état de son camion, une tendance se dégage. Les acheteurs ne se demandent plus si une plateforme de sécurité peut consigner un incident. Ils veulent savoir si elle peut transmettre cet incident aux personnes concernées au sein de l'entreprise, dans un format exploitable. Ce changement de cap dans les exigences imposées aux équipes de sécurité des entreprises repose principalement sur les outils.

Qu'est-ce que cela signifie pour l'évaluation des rapports d'incidents ?

Si vous êtes un RSSI ou un directeur de la sécurité participant à votre prochaine évaluation de plateforme, il est judicieux de poser directement à Todd quelques questions tirées de sa propre expérience :

• Les catégories d'incidents peuvent-elles être suffisamment personnalisées pour faire la distinction entre un vol dans une salle de pause et un vol ayant un impact sur la production, ou tout sera-t-il regroupé dans une seule catégorie générique ?
• Si votre fournisseur de services change, votre historique des incidents et votre configuration de signalement sont-ils transférés avec lui, ou sont-ils perdus à jamais ?
• Les services RH, juridiques, TI et de gestion des risques peuvent-ils obtenir les renseignements précis dont ils ont besoin concernant un incident, sans avoir à parcourir un rapport de sécurité complet qui n'a pas été conçu pour eux ?
• Votre plateforme prend-elle en charge le type d'accès en temps réel à un tableau de bord qui permet à votre équipe de repérer une tendance, comme l'équipe de Todd a repéré un problème logistique caché dans un journal de sécurité ?

Comment ces quatre questions trouvent-elles une réponse concrète ?

Voici les bonnes questions à poser à n'importe quel fournisseur, y compris à nous. Voici comment chaque élément se compare à TrackTik , afin que vous ayez un point de comparaison concret :

• Concernant la granularité des catégories : le signalement des incidents utilise des types configurables et des champs guidés, de sorte qu’un vol dans une salle de pause et un vol ayant un impact sur la production constituent des enregistrements différents plutôt qu’une même catégorie, et chacun comporte des preuves photographiques, vidéo et GPS horodatées.
• Concernant la propriété des données : il est impératif d'obtenir une confirmation écrite de toute personne concernée. TrackTik prend en charge la réplication des données vers votre propre entrepôt de données et offre des connecteurs vers Power BI et Tableau. Ainsi, l'historique des opérations est stocké dans un système que vous contrôlez et non seulement dans celui du fournisseur.
• Chaque département se voit attribuer une part spécifique. Des vues partageables et adaptées à chaque rôle permettent aux RH, au service juridique, à l'informatique et à la gestion des risques de recevoir la partie dont ils ont besoin, et ReportPro AI génère des synthèses pour la direction afin qu'un lecteur de niveau conseil d'administration ne reçoive pas un rapport complet.
• Dès qu'une tendance est repérée, l'analyse décisionnelle permet de déceler une anomalie dans la rotation des camions, grâce à un outil de création de tableaux de bord intuitif (glisser-déposer) qui évite de passer par un fournisseur pour une demande de rapport. De même, lorsque les alarmes, la vidéo et la répartition doivent être centralisées, le centre de commande les regroupe dans un espace de travail unique.

En toute honnêteté, aucune plateforme ne dispense des partenariats internes décrits par Todd. Les outils facilitent la transition ; c'est la relation avec les RH, le service juridique et l'informatique qui la concrétise. Si vous êtes en train de tisser ces relations, il est pertinent de lire en parallèle les articles sur les défis rencontrés par les responsables de la sécurité en entreprise et sur la manière dont les équipes s’organisent autour de l’écosystème de sécurité global .

Écoutez toute la conversation

Le webinaire de Todd avec Jeff DiDomenico aborde bien plus de sujets que nous ne pouvons en traiter dans un seul article, notamment la manière dont il a pris le contrôle direct de ses données d'incidents lors d'un nouvel appel d'offres auprès d'un fournisseur de services, comment il a transformé une entreprise sans culture de sécurité en une entreprise où les agents étaient traités comme des coéquipiers de confiance, et comment il pense que les RSSI devraient évaluer les technologies basées sur l'IA sans se laisser emporter par le battage médiatique.

Visionnez le webinaire complet sur demande, « Du badge à la salle de réunion » , pour entendre le témoignage complet de Todd. Si vous préférez observer comment les opérations de sécurité s'appliquent à votre propre infrastructure, vous pouvez réserver une démonstration de TrackTik .