La nouvelle exigence des organismes de sécurité : des outils efficaces au-delà de la cabine de garde

La nouvelle exigence des organismes de sécurité : des outils efficaces au-delà de la cabine de garde

Lors d'un récent événement professionnel, David Fortino, responsable de la sécurité d'entreprise chez New York Blood Center Enterprises, a posé aux fournisseurs présents une question qui devrait amener chaque éditeur de logiciels de sécurité à repenser sa feuille de route produit :

« Comment allez-vous me faciliter la vie en tant que responsable de la sécurité d’entreprise ? C’est ce que j’attends d’un fournisseur. Je recherche un outil qui aidera l’ensemble de l’entreprise, et pas seulement le service de sécurité physique. »

Cette phrase figure dans le rapport « Security Megatrends 2026 » de SIA, mais elle aurait tout aussi bien pu être tirée de notre récent webinaire intitulé «From Badge to Boardroom », animé par Todd Kreisher, un vétéran des Services secrets américains comptant 27 ans d’expérience et ancien responsable de la sécurité d’un constructeur automobile mondial. Todd a passé une heure avec Jeff DiDomenico à expliquer précisément ce que Fortino décrit : ce qui se passe lorsqu’un incident de sécurité cesse d’être un simple problème de sécurité dès qu’il est signalé.

L'incident qui n'était pas un incident de sécurité

Au début du webinaire, Todd a raconté une anecdote datant de l’époque où il occupait le poste de directeur de la sécurité (CSO) dans le secteur de la fabrication. Son équipe effectuait des inspections de remorques dans le cadre d’une exigence de conformité au programme CTPAT, en comparant les lettres de transport aux chargements réels. Grâce à un système efficace de signalement des incidents, il a remarqué quelque chose : les camions faisaient demi-tour bien plus souvent qu’ils n’auraient dû.

Il a déclaré : « J'ai également commencé à me rendre compte qu'il ne s'agissait pas vraiment d'un incident de sécurité. Je veux dire, ce n'était pas une question de sécurité, mais une question commerciale, une question de logistique. »

Une fois ces données en sa possession, Todd ne s'est pas contenté de les classer dans un rapport de sécurité que personne d'autre n'aurait lu. Il les a présentées au service logistique et à l'équipe de direction, et ensemble, ils ont amélioré le processus, permettant ainsi à l'entreprise de réaliser de réelles économies.

Voilà tout le débat en quelques mots. L'incident a été consigné par le service de sécurité. La correction relevait de la logistique. La valeur a été directement comptabilisée dans le compte de résultat. Si les données étaient restées enfermées dans un système réservé à la sécurité, rien de tout cela ne se serait produit.

Un incident, cinq services

L'exemple le plus parlant que Todd ait donné à ce sujet provenait d'un fait aussi banal qu'une plainte pour vol. Comme il l'a dit lui-même :

« Un vol. Bon, s'agissait-il du vol du déjeuner de quelqu'un dans la salle de pause ? Ou bien du vol de 50 pots catalytiques qui allait avoir des répercussions sur la production ? »

Techniquement, les deux constituent un « vol ». Or, seul l’un d’entre eux doit être signalé au service de planification de la production, à la gestion des risques et, éventuellement, aux forces de l’ordre dans l’heure qui suit. Sans un système conçu pour saisir ce niveau de détail et le transmettre aux personnes concernées, un responsable de la sécurité informatique (CSO) se retrouve contraint de choisir entre des catégories génériques qui ne renseignent personne et un flot d’informations superflues qui noie les incidents importants.

Si l'on transpose cette même idée à l'échelle d'un service de sécurité d'entreprise, la liste des parties prenantes concernées par un seul rapport d'incident s'allonge très rapidement :

• Ressources humaines : lorsqu'un incident donne lieu à une enquête concernant un salarié ou soulève des préoccupations liées à la violence au travail
• Aspects juridiques : en cas de risque de responsabilité civile ou d'obligation de conformité
• Informatique : lorsque des identifiants d'accès doivent être révoqués ou qu'une menace interne est suspectée
• Risques et assurances : quand il faut déclarer un sinistre ou signaler une tendance avant qu'elle ne se transforme en un préjudice plus important
• Direction générale : lorsque l'incident a des répercussions sur la continuité des activités ou le risque lié à l'image de marque

Todd a fait la même remarque concernant les relations, et pas seulement les données : « Les partenariats internes clés avec les RH, le service juridique, le service de conformité, le service informatique… ce sont des partenariats absolument essentiels pour cette équipe de sécurité d’entreprise. » Il a également évoqué un ancien directeur financier qui lui avait un jour demandé, à moitié sérieusement, si l’entreprise avait encore besoin d’une équipe officielle de gestion de crise, car les incidents survenant dans son site dégénéraient si rarement en situation de crise. C’est ce qui se produit lorsque les bonnes informations parviennent au bon service avant qu’un petit problème ne devienne un gros.

Le secteur s'accorde à dire que ce n'est plus une option

Le rapport « Security Megatrends 2026 » de la SIA désigne clairement cette évolution comme la « mégatendance n° 3 » : « Les solutions de sécurité s'affranchissent de leurs frontières ». Il décrit une transition à l'échelle du secteur, passant de systèmes de sécurité physique cloisonnés à des plateformes qui relient les données de sécurité aux systèmes informatiques, aux installations et aux systèmes opérationnels.

Tara Dunning, vice-présidente chargée des technologies convergentes chez Wesco, l'explique ainsi dans le rapport : « Les frontières de notre secteur s'estompent rapidement. La convergence entre toutes les piles technologiques nous permet d'offrir une vision et un contrôle unifiés sur l'ensemble de l'écosystème d'entreprise, ce qui se traduit par des entreprises plus sûres, plus efficaces, plus durables et plus résilientes. »

En lisant conjointement la citation de Fortino, celle de Dunning et l’anecdote de Todd sur le demi-tour du camion, une tendance se dessine. Les acheteurs ne se demandent plus si une plateforme de sécurité est capable d’enregistrer un incident. Ils se demandent si elle est capable de transmettre cet incident aux personnes de l’entreprise qui doivent y donner suite, dans un format qu’elles peuvent réellement exploiter.

Ce que cela implique pour la manière dont vous évaluez les rapports d'incident

Si vous êtes responsable de la sécurité (CSO) ou directeur de la sécurité et que vous participez à votre prochaine évaluation de plateforme, voici quelques questions issues de l'expérience personnelle de Todd qu'il vaut la peine de poser directement :

• Les catégories d'incidents peuvent-elles être suffisamment personnalisées pour distinguer un vol dans la salle de pause d'un vol ayant un impact sur la production, ou tout sera-t-il regroupé dans une seule catégorie générique ?
• Si vous changez de prestataire de services, votre historique d'incidents et vos paramètres de signalement sont-ils transférés avec lui, ou sont-ils tout simplement perdus ?
• Les services des ressources humaines, juridique, informatique et de gestion des risques peuvent-ils obtenir les informations spécifiques dont ils ont besoin concernant un incident sans avoir à parcourir un rapport de sécurité complet qui n'a pas été conçu pour eux ?
• Votre plateforme prend-elle en charge ce type d'accès en temps réel aux tableaux de bord qui permet à votre équipe de repérer une tendance, à l'instar de l'équipe de Todd qui a détecté un problème logistique dissimulé dans un journal de sécurité ?

Écoutez l'intégralité de la conversation

Le webinaire de Todd avec Jeff DiDomenico aborde bien plus de sujets que nous ne pouvons en présenter dans un seul article, notamment la manière dont il a pris le contrôle direct de ses données d’incidents lors d’un nouvel appel d’offres auprès d’un prestataire de services, comment il a transformé une entreprise dépourvue de culture de la sécurité en une organisation où les responsables de la sécurité sont considérés comme des collaborateurs de confiance, et comment, selon lui, les responsables de la sécurité (CSO) devraient évaluer les technologies basées sur l’IA sans se laisser emporter par l’engouement médiatique.

Regardez l'intégralité du webinaire à la demande intitulé « De l'insigne à la salle du conseil » pour découvrir le parcours complet de Todd, raconté par lui-même. [Regarder le webinaire à la demande]