Évaluation des risques de sûreté : comment elle se fait

On fixe d’abord le périmètre : bâtiments, enceintes, vacations et activités couverts. On recense ensuite les actifs, c’est-à-dire tout ce dont la perte, la dégradation ou l’interruption nuirait à l’organisation.

• Personnes : salariés, visiteurs, clients, sous-traitants.
• Installations et équipements : bâtiments, portails, machines, véhicules.
• Marchandises et stocks : ce qui est stocké ou transporté.
• Informations : documents, images de vidéoprotection, journaux d’accès.
• Activité : les processus dont l’arrêt arrête l’entreprise.

La référence internationale en management du risque est l’ISO 31000:2018, qui fournit des principes et des lignes directrices pour identifier, analyser, évaluer, traiter, surveiller et communiquer le risque. La méthode ci-dessous suit la même logique.

La distinction est pratique : on maîtrise rarement les menaces, mais on maîtrise les vulnérabilités. L’évaluation les relève donc séparément, puis les relie en scénarios : « la menace X exploite la vulnérabilité Y et touche l’actif Z ».

• Sources pour les menaces : l’historique d’incidents du site, les rapports de vacation, les échanges avec le personnel et le voisinage, la nature de l’activité.
• Sources pour les vulnérabilités : une visite sur place de jour comme de nuit, le contrôle des accès, de la couverture caméra, de l’éclairage, des clés et des consignes.
• Mise à l’épreuve : on teste un scénario en conditions réelles — par exemple, le délai de réaction de l’équipe face à une porte restée ouverte.

Visitez aussi le site de nuit. Beaucoup de vulnérabilités — éclairage, trous dans les rondes, accès des prestataires — n’apparaissent que lorsque le site est vide.

Une matrice qualitative n’a besoin d’aucun montant. Elle a besoin de définitions arrêtées à l’avance, pour que deux personnes donnent la même note au même scénario.

1. Probabilité : 1 rare (jamais arrivé, aucun signe) · 2 peu probable · 3 possible (arrivé sur un site comparable) · 4 probable (arrivé ici) · 5 quasi certain (se répète).
2. Impact : 1 négligeable · 2 mineur (gêne locale) · 3 important (une activité arrêtée quelques heures) · 4 grave (blessure, arrêt de plusieurs jours, exposition juridique) · 5 critique (danger pour la vie ou pour la continuité de l’entreprise).
3. Catégories d’impact : sécurité des personnes, continuité d’activité, actifs, informations, exposition juridique et réglementaire, réputation. C’est la pire qui compte.

Exemple : quai de chargement d’un entrepôt sans contrôle la nuit, deux incidents l’an dernier. Probabilité 4, impact 4 (expéditions perturbées, marchandises perdues), note 16 : risque élevé, en tête du plan d’action.

• Humain : poste fixe ou ronde, encadrement, formation au scénario précis. Le nombre d’agents est une question d’heures de couverture — voir combien d’agents de sécurité me faut-il.
• Organisationnel : consignes de poste écrites, gestion des clés, contrôle des visiteurs et prestataires, règles d’escalade.
• Technique : caméras, contrôle d’accès, alarmes, éclairage, points de contrôle de ronde. Les caméras obéissent aux règles de protection des données — voir vidéoprotection et RGPD.

Chaque mesure est rattachée au scénario qu’elle réduit et précise ce qu’elle change : la probabilité (une porte contrôlée), l’impact (une détection plus rapide) ou les deux. Une mesure qui ne change aucune note n’a pas sa place dans l’évaluation. Pour savoir quand un système suffit et quand il faut une personne, voir agent ou système de sécurité.

Aucune mesure ne ramène le risque à zéro. Chaque scénario porte donc deux notes : avant et après mesures. La seconde est le risque résiduel, et une personne habilitée doit signer qu’elle l’accepte — sinon, rien n’a vraiment été décidé.

• Revue planifiée : au moins une fois par an.
• Revue déclenchée : après un incident grave, un changement d’usage ou d’agencement du site, une nouvelle organisation des vacations ou une nouvelle activité.
• Alimentation continue : les rapports de vacation et d’incident montrent si les notes de probabilité étaient justes.

1. Une synthèse d’une page pour la direction : les risques critiques et élevés.
2. Périmètre, dates de visite et méthode de cotation (les définitions de la matrice).
3. Actifs, menaces et vulnérabilités, avec photos et repères sur plan.
4. Le registre des risques : chaque scénario avec sa note avant, ses mesures, sa note après.
5. Le plan d’action : quoi, qui, pour quand, et quelle preuve de réalisation.
6. Le risque résiduel, qui l’accepte, et la date de la prochaine revue.

Le conseil en sûreté d’OVIT se déroule en quatre phases : cadrage du périmètre ; inspection sur place de l’enceinte, des accès, de la couverture des capteurs et du respect des consignes par le personnel ; un livrable avec registre des risques priorisé et spécifications techniques indépendantes des fournisseurs ; puis suivi de la mise en œuvre.