PME - Résilience et préparation du nombril - Parce que... c'est l'épisode 0x325! — PolySécure Podcast

PME - Résilience et préparation du nombril - Parce que... c'est l'épisode 0x325!

PolySécure Podcast · 30/07/2026 04:00 · 20 min
Informatique

Contenu de l'épisode

Parce que… c’est l’épisode 0x325! Shameless plug Description

Deuxième acte d’une trilogie

Après un premier épisode consacré à la préparation, cette discussion aborde le cœur même de la crise : le moment où l’entreprise se retrouve, selon l’expression employée, « dans l’eau bouillante ». Les intervenants rappellent que tout ce qui se joue à ce stade repose sur le travail effectué en amont. Une organisation préparée applique simplement son plan, ce qui réduit considérablement la charge émotionnelle. À l’inverse, une entreprise non préparée vit un véritable effet de sidération, comparable à des lapins pris dans les phares d’une voiture.

Pour illustrer les conséquences d’un manque de préparation, Alexandre raconte l’histoire d’un dirigeant breton qui, après une cyberattaque, est resté 24 heures sans savoir quoi faire en découvrant ses serveurs hors service. Soixante-douze heures plus tard, son entreprise cessait ses activités, un coup encore aggravé par un redressement fiscal survenu peu après.

Une liste de parties prenantes à gérer dans l’urgence

Nicholas propose de dresser rapidement la liste des personnes et entités à gérer simultanément lors d’une crise : soi-même en tant que dirigeant, les communications internes, les employés, éventuellement les médias, les fournisseurs, les commandes et livraisons, ainsi que les clients. Cette énumération, improvisée en quelques secondes, donne une idée de l’ampleur des décisions à prendre dans les premières minutes et heures suivant l’incident.

La carte réflexe et les cercles concentriques

Alexandre revient sur l’outil présenté lors de l’épisode précédent : la carte réflexe. La toute première instruction qui y figure, avant même le nom de son propriétaire, est simple : « prends une grande respiration ». L’idée est d’accepter que le mal est déjà fait et qu’il faut désormais agir avec lucidité plutôt que dans la panique.

La gestion de crise est ensuite pensée comme une série de cercles concentriques. Le dirigeant doit d’abord se stabiliser lui-même, avant de s’occuper de son cercle N-1 (les directeurs et responsables directs), qui pourra ensuite relayer l’information et les consignes vers le reste des équipes. Une fois ce cadrage effectué, l’entreprise peut dresser un état des lieux : qu’est-ce qui fonctionne encore, qu’est-ce qui ne fonctionne plus, et que peut-on faire avec les ressources restantes ?

Employés : rassurer, trier, parfois libérer

La gestion des employés est identifiée comme une priorité immédiate. Il s’agit d’abord de communiquer pour les rassurer, car ils peuvent se retrouver face à des écrans noirs, voire des messages explicites annonçant une cyberattaque. Ensuite se pose une question stratégique : faut-il garder tout le monde sur place ou renvoyer une partie du personnel ? Les intervenants soulignent qu’il est souvent préférable d’offrir une journée de congé à la majorité des employés et de ne conserver que ceux dont le rôle est essentiel à la gestion de l’après-crise. Garder tout le monde alors que la direction elle-même ne sait pas quoi faire ne fait qu’ajouter du stress collectif.

Communiquer vers l’extérieur et maintenir l’activité

Une fois les communications internes traitées, l’entreprise doit s’adresser à ses cercles extérieurs : clients, fournisseurs, partenaires bancaires et assureurs, qui perçoivent déjà qu’un problème existe. Il faut ensuite maintenir une activité minimale en s’appuyant sur ce qui fonctionne encore, pendant que l’on reconstruit ce qui a été perdu. Dominique insiste sur l’importance, pour une PME, de disposer de bonnes métriques permettant de savoir objectivement si l’entreprise est en bonne ou mauvaise posture, un point souvent négligé.

Qui est responsable de la carte réflexe ?

Contrairement à une intuition répandue, la carte réflexe n’appartient pas à une seule personne (le PDG, les RH ou l’informatique) mais à chaque direction du comité de crise. Chacun y définit ses propres actions prioritaires pour la première heure. Par exemple, du côté finance, l’une des premières a

Plus d'informations