La nouvelle exigence des organismes de sécurité : des outils efficaces au-delà de la cabine de garde

Lors d'un récent événement professionnel, David Fortino, responsable de la sécurité d'entreprise chez New York Blood Center Enterprises, a posé aux fournisseurs présents une question qui devrait amener chaque éditeur de logiciels de sécurité à repenser sa feuille de route produit :

« Comment allez-vous me faciliter la vie en tant que responsable de la sécurité d’entreprise ? C’est ce que j’attends d’un fournisseur. Je recherche un outil qui aidera l’ensemble de l’entreprise, et pas seulement le service de sécurité physique. »

Cette phrase figure dans le rapport « Security Megatrends 2026 » de SIA, mais elle aurait tout aussi bien pu être tirée de notre récent webinaire intitulé «From Badge to Boardroom », animé par Todd Kreisher, un vétéran des Services secrets américains comptant 27 ans d’expérience et ancien responsable de la sécurité d’un constructeur automobile mondial. Todd a passé une heure avec Jeff DiDomenico à expliquer précisément ce que Fortino décrit : ce qui se passe lorsqu’un incident de sécurité cesse d’être un simple problème de sécurité dès qu’il est signalé.

L'incident qui n'était pas un incident de sécurité

Au début du webinaire, Todd a raconté une anecdote datant de l’époque où il occupait le poste de directeur de la sécurité (CSO) dans le secteur de la fabrication. Son équipe effectuait des inspections de remorques dans le cadre d’une exigence de conformité au programme CTPAT, en comparant les lettres de transport aux chargements réels. Grâce à un système efficace de signalement des incidents, il a remarqué quelque chose : les camions faisaient demi-tour bien plus souvent qu’ils n’auraient dû.

Il a déclaré : « J'ai également commencé à me rendre compte qu'il ne s'agissait pas vraiment d'un incident de sécurité. Je veux dire, ce n'était pas une question de sécurité, mais une question commerciale, une question de logistique. »

Une fois ces données en sa possession, Todd ne s'est pas contenté de les classer dans un rapport de sécurité que personne d'autre n'aurait lu. Il les a présentées au service logistique et à l'équipe de direction, et ensemble, ils ont amélioré le processus, permettant ainsi à l'entreprise de réaliser de réelles économies.

Voilà tout le problème en quelques mots. L'incident a été consigné par le service de sécurité. La solution relevait de la logistique. Le gain a été directement comptabilisé dans le compte de résultat. Si les données étaient restées enfermées dans un système réservé à la sécurité, rien de tout cela ne se serait produit. Pour le repérer, il a fallu recouper les données entre différents sites et sur plusieurs mois, plutôt que de se contenter d'une pile de formulaires d'incident individuels.

Un incident, cinq services

L'exemple le plus parlant que Todd ait donné à ce sujet provenait d'un fait aussi banal qu'une plainte pour vol. Comme il l'a dit lui-même :

« Un vol. Bon, s'agissait-il du vol du déjeuner de quelqu'un dans la salle de pause ? Ou bien du vol de 50 pots catalytiques qui allait avoir des répercussions sur la production ? »

Techniquement, les deux constituent un « vol ». Seul l’un d’entre eux doit être signalé au service de planification de la production, à la gestion des risques et, éventuellement, aux forces de l’ordre dans l’heure qui suit. Sans un système conçu pour saisir ce niveau de détail et le transmettre aux personnes concernées, un responsable de la sécurité informatique (CSO) se retrouve contraint de choisir entre des catégories génériques qui ne renseignent personne et un flot d’informations parasites qui noie les incidents importants.

Si l'on transpose cette même idée à l'échelle d'un service de sécurité d'entreprise, la liste des parties prenantes concernées par un seul rapport d'incident s'allonge très rapidement :

• Ressources humaines : lorsqu'un incident donne lieu à une enquête concernant un salarié ou soulève des préoccupations liées à la violence au travail
• Aspects juridiques : en cas de risque de responsabilité civile ou d'obligation de conformité
• Informatique : lorsque des identifiants d'accès doivent être révoqués ou qu'une menace interne est suspectée
• Risques et assurances : quand il faut déclarer un sinistre ou signaler une tendance avant qu'elle ne se transforme en un préjudice plus important
• Direction générale : lorsque l'incident a des répercussions sur la continuité des activités ou le risque lié à l'image de marque

Todd a abordé le même sujet concernant les relations, et pas seulement les données : « Les partenariats internes clés avec les RH, le service juridique, le service de conformité, le service informatique… ce sont des partenariats absolument essentiels pour cette équipe de sécurité d’entreprise. » Il a également évoqué un ancien directeur financier qui lui avait un jour demandé, mi-sérieux, mi-facétieux, si l’entreprise avait encore besoin d’une équipe officielle de gestion de crise, car les incidents survenant dans ses locaux dégénéraient si rarement en situation de crise. C’est ce qui se produit lorsque les bonnes informations parviennent au bon service avant qu’un petit problème ne devienne un gros problème. Pour y parvenir dans la pratique, il faut généralement intégrer les systèmes utilisés par ces services, plutôt que de demander à cinq équipes d’apprendre à utiliser un outil de sécurité. Vous trouverez une présentation plus complète de ce sujet dans notre guide sur l’intégration de la sécurité physique dans l’infrastructure de l’entreprise.

Le secteur s'accorde à dire que ce n'est plus une option

Le rapport « Security Megatrends 2026 » de la SIA désigne clairement cette évolution comme la « mégatendance n° 3 » : « Les solutions de sécurité s'affranchissent de leurs frontières ». Il décrit une transition à l'échelle du secteur, passant de systèmes de sécurité physique cloisonnés à des plateformes qui relient les données de sécurité aux systèmes informatiques, aux installations et aux systèmes opérationnels.

Tara Dunning, vice-présidente chargée des technologies convergentes chez Wesco, l'explique ainsi dans le rapport : « Les frontières de notre secteur s'estompent rapidement. La convergence entre toutes les piles technologiques nous permet d'offrir une vision et un contrôle unifiés sur l'ensemble de l'écosystème d'entreprise, ce qui se traduit par des entreprises plus sûres, plus efficaces, plus durables et plus résilientes. »

Lisez la citation de Fortino, celle de Dunning et l’anecdote de Todd sur le demi-tour du camion : une tendance se dessine. Les acheteurs ne se demandent plus si une plateforme de sécurité est capable d’enregistrer un incident. Ils se demandent si elle peut transmettre cet incident aux personnes de l’entreprise qui doivent y donner suite, dans un format qu’elles peuvent réellement utiliser. Il s’agit là d’un changement dans ce que l’on attend des équipes de sécurité d’entreprise, et cela repose entièrement sur les outils.

Ce que cela implique pour la manière dont vous évaluez les rapports d'incident

Si vous êtes responsable de la sécurité (CSO) ou directeur de la sécurité et que vous participez à votre prochaine évaluation de plateforme, voici quelques questions issues de l'expérience personnelle de Todd qu'il vaut la peine de poser directement :

• Les catégories d'incidents peuvent-elles être suffisamment personnalisées pour distinguer un vol dans la salle de pause d'un vol ayant un impact sur la production, ou tout sera-t-il regroupé dans une seule catégorie générique ?
• Si vous changez de prestataire de services, votre historique d'incidents et vos paramètres de signalement sont-ils transférés avec lui, ou sont-ils tout simplement perdus ?
• Les services des ressources humaines, juridique, informatique et de gestion des risques peuvent-ils obtenir les informations spécifiques dont ils ont besoin concernant un incident sans avoir à parcourir un rapport de sécurité complet qui n'a pas été conçu pour eux ?
• Votre plateforme prend-elle en charge ce type d'accès en temps réel aux tableaux de bord qui permet à votre équipe de repérer une tendance, à l'instar de l'équipe de Todd qui a détecté un problème logistique dissimulé dans un journal de sécurité ?

Comment ces quatre questions trouvent-elles une réponse dans la pratique ?

Ce sont là les bonnes questions à poser à n'importe quel fournisseur, y compris à nous. Voici comment chacune d'entre elles correspond à TrackTik, afin que vous disposiez d'éléments concrets pour comparer :

• Concernant la granularité des catégories. Le système de signalement des incidents utilise des types configurables et des champs guidés ; ainsi, un vol dans la salle de pause et un vol ayant un impact sur la production constituent deux enregistrements distincts et non une seule et même catégorie, et chacun d'entre eux est accompagné de preuves (photos, vidéos et données GPS) horodatées.
• Concernant la propriété des données. C'est un point qu'il faut absolument obtenir par écrit de la part de tout prestataire. TrackTik prend en charge la réplication des données vers votre propre entrepôt de données ainsi que les connecteurs vers Power BI et Tableau ; ainsi, les données opérationnelles sont stockées dans un environnement que vous contrôlez, et non pas uniquement au sein du système d'un fournisseur.
• En attribuant à chaque service sa propre partie. Grâce à des vues partageables et adaptées aux rôles, les services RH, juridique, informatique et gestion des risques reçoivent les informations dont ils ont besoin, tandis que ReportPro AI génère des résumés stratégiques afin que les membres du conseil d'administration n'aient pas à consulter l'intégralité du rapport de terrain.
• Identifier les tendances. C'est grâce à l'intelligence d'affaires qu'une anomalie dans le temps de rotation d'un camion devient visible, grâce à un outil de création de tableaux de bord par glisser-déposer plutôt qu'à une demande de rapport mise en attente auprès d'un fournisseur. Lorsque les alarmes, la vidéo et la gestion des interventions doivent également être regroupées, le Centre de commande les rassemble au sein d'un seul et même espace de travail.

Pour être honnête, aucune plateforme ne rend superflus les partenariats internes décrits par Todd. Les outils facilitent la transition, mais ce sont les relations avec les RH, le service juridique et l’informatique qui permettent de la concrétiser. Si vous êtes en train de nouer ces relations, nous vous recommandons de lire également les articles consacrés aux défis auxquels sont confrontés les responsables de la sécurité d’entreprise et à la manière dont les équipes s’alignent sur l’écosystème de sécurité au sens large.

Écoutez l'intégralité de la conversation

Le webinaire de Todd avec Jeff DiDomenico aborde bien plus de sujets que nous ne pouvons en présenter dans un seul article, notamment la manière dont il a pris le contrôle direct de ses données d’incidents lors d’un nouvel appel d’offres auprès d’un prestataire de services, comment il a transformé une entreprise dépourvue de culture de la sécurité en une organisation où les responsables de la sécurité sont considérés comme des collaborateurs de confiance, et comment, selon lui, les responsables de la sécurité (CSO) devraient évaluer les technologies basées sur l’IA sans se laisser emporter par l’engouement médiatique.

Regardez l'intégralité du webinaire à la demande, « From Badge to Boardroom », pour découvrir le parcours complet de Todd raconté par lui-même. Si vous préférez voir comment les opérations de sécurité s'appliquent à votre propre environnement, vous pouvez réserver une démonstration de TrackTik.