Un incident de sécurité reste rarement l'affaire exclusive des équipes de sécurité. Dès qu'il implique une personne, une somme d'argent, un équipement ou une autorité de régulation, il devient également le problème de quelqu'un d'autre. L'identité de cette personne et la rapidité avec laquelle elle doit en être informée varient en fonction de l'activité de votre organisation et de son lieu d'implantation.

C'est le principe sur lequel repose notre nouvel outil de planification, « The Cross-Functional Incident Workbook », qui guide les responsables de la sécurité à travers six services (RH, informatique, juridique, gestion des risques, services généraux et santé et sécurité) et définit clairement les responsabilités de chacun lorsqu'un incident touche plusieurs services. Les fiches de travail sont conçues pour s'adapter à votre organisation, mais la nature du problème varie en fonction de votre secteur d'activité. Voici à quoi cela ressemble dans quelques-uns d'entre eux.

Finance : quand un incident est également un cas de non-conformité

Dans le secteur des services financiers, un incident de sécurité physique peut entraîner une série de démarches administratives bien avant même que le rapport initial ne soit rédigé. Une anomalie liée à l’accès par badge dans une agence, la perte d’un appareil appartenant à une personne ayant accès à des comptes, ou encore une enquête sur un vol dans la salle de pause qui touche au dossier d’un employé : tous ces événements impliquent des obligations de documentation dont les équipes de sécurité ne sont pas responsables, mais qu’elles déclenchent néanmoins.

Les données de cartes bancaires et les environnements de paiement font encore monter les enjeux. Si un incident physique touche une zone où sont traitées ou stockées les données des titulaires de cartes, il convient de vérifier si la norme PCI DSS s'applique avant que votre équipe ne parte du principe que l'incident reste purement physique. Il en va de même pour tout incident impliquant des identifiants d'accès liés à des systèmes financiers : les services informatiques et de conformité doivent en être informés dans l'heure qui suit, et non pas dans le cadre du rapport hebdomadaire.

Industrie manufacturière : quand un incident entraîne l'arrêt de la production

Dans une usine, la gestion des incidents doit composer avec le calendrier de production, et chaque heure pendant laquelle un incident reste sans solution peut entraîner un coût qui se répercute sur la production plutôt que dans un procès-verbal de police. Un sous-traitant dont l’accès aurait dû prendre fin avec son bon de travail, un incident de sécurité sur le site de production, un vol de matériaux ou de produits finis : chacun de ces incidents relève d’un responsable différent selon qu’il concerne les effectifs, le rendement ou la chaîne d’approvisionnement.

Les fabricants qui acheminent des marchandises au-delà des frontières sont également soumis à des obligations en matière de conformité commerciale. Lorsqu’un incident touche à la sécurité de la chaîne d’approvisionnement ou aux contrôles à l’importation et à l’exportation, il convient de vérifier si le programme C-TPAT s’applique, plutôt que de le supposer. C’est l’un des cas les plus évidents où les services juridiques et de conformité doivent être associés dès le début de la gestion de l’incident, et non a posteriori.

Commerce de détail : quand un incident met également la marque en difficulté

La gestion des incidents dans le secteur de la grande distribution doit tenir compte de deux publics que la plupart des autres secteurs d’activité n’ont pas à gérer à la même échelle : le grand public et les médias. Une enquête sur des pertes de stock, un incident de violence au travail dans la surface de vente ou un accident impliquant un client impliquent chacun leur propre processus interne de relais d’information, mais le secteur de la grande distribution ajoute une dimension supplémentaire : les services de communication et de relations publiques doivent être informés suffisamment tôt pour prendre les devants plutôt que de se contenter de réagir à un événement.

Les enseignes disposant de plusieurs sites sont également confrontées à une variante de la question du « co-emploi » qui se présente différemment d'un site à l'autre : des agents de sécurité sous contrat dans un site, des salariés dans un autre, et du personnel saisonnier partout. L'exercice RACI proposé dans le cahier d'exercices est conçu précisément pour ce type de variation, où un même type d'incident peut avoir un responsable différent selon le site où il s'est produit.

Gestion immobilière : lorsqu'un incident touche plusieurs parties prenantes à la fois

Un simple incident survenant dans un bien immobilier géré — une alerte incendie, une intrusion, un accident dans un espace commun — peut impliquer à la fois le propriétaire, le locataire, un prestataire et engager la responsabilité de la société de gestion elle-même. Les équipes chargées des installations et de la gestion des risques dans ce secteur ont besoin de données sur les incidents suffisamment précises pour distinguer un simple problème d'entretien d'un événement susceptible de donner lieu à une réclamation.

L'accès des prestataires et des sous-traitants est un sujet récurrent dans la gestion des incidents liés à l'immobilier. Le badge d'un agent d'entretien, l'affectation d'un agent de sécurité à un poste, l'accès d'une équipe de nettoyage à un immeuble : chacun de ces cas suit une procédure de révocation différente, et chacun nécessite la désignation d'un responsable avant que l'incident ne se produise, et non pendant celui-ci.

Secteur public : quand un incident devient une information d'intérêt public

Les organismes gouvernementaux et du secteur public sont confrontés à chacune des difficultés mentionnées ci-dessus, auxquelles s’ajoute une obligation en matière d’archivage et de transparence à laquelle la plupart des organisations privées ne sont pas soumises de la même manière. Un rapport d’incident peut faire l’objet d’une demande d’accès aux documents publics, ce qui modifie la nature des informations à consigner et la manière de le faire. L’intervention des services juridiques et de conformité n’est pas facultative dans ce contexte, et le relais doit souvent avoir lieu plus tôt que dans d’autres secteurs, car les délais de signalement et de divulgation publique peuvent s’écouler en parallèle.

La coordination interinstitutionnelle ajoute une couche supplémentaire. Un incident de sécurité survenant dans un lieu public peut nécessiter d’être transmis simultanément au service des installations, au bureau de gestion des risques et à un organisme externe. L’importance accordée par le manuel à la désignation d’un rôle spécifique (et non pas simplement d’un service) s’avère particulièrement utile dans ce contexte, car les organisations du secteur public comptent souvent davantage d’échelons entre le moment où « le service de sécurité a détecté l’incident » et celui où « la bonne personne en est informée ».

Le schéma qui se retrouve partout

Dans tous les secteurs d’activité, le même écart revient sans cesse : les incidents impliquant des sous-traitants ou des fournisseurs suivent un parcours différent de celui d’un incident similaire impliquant un salarié, et la plupart des organisations n’ont pas formalisé ce parcours. La désactivation d’un badge, le statut de la vérification des antécédents et les clauses contractuelles déterminent tous qui est responsable de la réponse, même lorsque l’incident lui-même semble identique sur le papier. Cela vaut aussi bien pour une agence bancaire, un centre de distribution, un magasin de détail, un immeuble géré par un prestataire ou un établissement public.

L'autre constante est la suivante : il est plus facile de repérer cette lacune sur le papier qu'en plein cœur d'un incident réel. C'est précisément pour cette raison que ce cahier d'exercices existe.

Téléchargez le guide de gestion des incidents interfonctionnels et parcourez-le avec les responsables de vos différents services. Si votre organisation utilise déjà TrackTik, les tableaux RACI que vous remplirez pourront servir de règles de routage pour votre plateforme ; ainsi, le plan ne restera pas un simple document, mais deviendra le mode de gestion concret des incidents.