Le risque de sûreté dans le langage de la direction

L’exploitation parle en heures, postes et rondes. La direction parle d’exposition : ce qui peut mal tourner, avec quelle gravité, et si l’évaluation repose sur des preuves ou sur une impression. L’ISO 31000:2018 pose des principes pour identifier, analyser, évaluer, traiter, surveiller et communiquer le risque dans toute l’organisation — et le communiquer à la direction fait partie de la méthode.

• Probabilité : sur une échelle définie par des mots (rare à quasi certain), fondée sur l’historique du site.
• Catégories d’impact : sécurité des personnes, continuité d’activité, actifs, informations, exposition juridique et réglementaire, réputation.
• Tendance : le risque augmente-t-il, baisse-t-il ou reste-t-il stable depuis le dernier rapport ?
• Preuves : rapports de vacation, main courante, résultats d’audits — pas des assurances verbales.

Si le rapport à la direction ne compte que l’activité (« 1 200 rondes effectuées »), il ne dit rien du risque. Demandez ce qui a changé dans l’exposition.

1. Scénario : menace, vulnérabilité et ce qui est touché, en une phrase.
2. Probabilité et impact : la note avant mesures.
3. Mesures : ce qui existe aujourd’hui — humain, organisationnel, technique.
4. Risque résiduel : la note après mesures, et s’il est dans les limites acceptées.
5. Propriétaire : une personne, pas un service.
6. Actions : ce qui est fait, pour quand, avec quelle preuve.
7. Tendance et dernière revue.

Le registre n’a pas besoin d’être long. Dix à vingt scénarios par site suffisent à montrer où se situe l’exposition réelle.

L’erreur la plus fréquente est de croire que « la sûreté, c’est la société de sécurité ». Le prestataire porte l’exécution ; l’entreprise porte le risque. Chaque propriétaire de risque est donc une personne de l’organisation — par exemple le responsable des services généraux pour l’enceinte, ou le responsable logistique pour l’entrepôt.

• Le propriétaire du risque fixe les limites d’acceptation et valide les mesures.
• Le prestataire de sécurité met en œuvre, consigne, rend compte et propose des évolutions.
• La direction ou le conseil voit l’ensemble, décide du niveau de risque accepté par l’entreprise et vérifie que les propriétaires font leur travail.

• Immédiatement : tout incident touchant la sécurité des personnes, arrêtant l’activité ou créant une exposition juridique — selon une règle d’escalade écrite à l’avance.
• Chaque mois : une revue avec le prestataire sur les indicateurs de performance — voir les KPI d’une société de sécurité.
• Chaque trimestre : le registre des risques à la direction : ce qui a changé, quelles actions sont closes, quel risque est sorti des limites.
• Chaque année : une revue complète de l’évaluation des risques et des limites d’acceptation.

Inscrivez le rythme et la règle d’escalade dans le contrat de surveillance, pour qu’ils ne dépendent de la bonne volonté de personne.

1. Quels sont les trois plus grands risques sur nos sites, et sur quelles preuves repose cette évaluation ?
2. Quel risque a augmenté depuis le dernier rapport, et pourquoi ?
3. Quels constats ou actions correctives sont ouverts au-delà de leur échéance ?
4. Quel a été l’incident le plus grave de la période, et qu’avez-vous changé ensuite ?
5. Comment saurions-nous qu’une mesure a cessé de fonctionner — une ronde non faite, une caméra hors service ?
6. Qu’est-ce qui n’est pas couvert aujourd’hui, et qui l’a accepté ?

La dernière question est la plus importante. Un prestataire capable de dire clairement ce qu’il ne couvre pas donne à la direction une image réelle ; celui qui affirme que « tout est couvert » ne la donne pas.

1. Faits : ce qui s’est passé, quand, où, qui a agi — à partir d’un rapport d’incident écrit.
2. Impact sur l’activité : quel processus s’est arrêté ou a ralenti, et pendant combien d’heures.
3. Lien avec le registre : à quel scénario correspond-il ? Était-il déjà recensé, ou est-il nouveau ?
4. Nouvelle cotation : la probabilité ou l’impact du scénario change-t-il ?
5. Décision : une nouvelle mesure, une modification des limites, ou l’acceptation explicite du risque par son propriétaire.

Le conseil en sûreté d’OVIT livre des constats indépendants, étayés et priorisés dans un registre des risques, prêts pour le conseil d’administration et l’assureur. Au quotidien, la plateforme Guardly réunit rondes, incidents et rapports dans une seule image qui alimente le registre.