Gestion de crise en entreprise au Maroc : pourquoi la plupart des plans ne fonctionnent pas

Vous avez un plan de gestion de crise. Il est dans un classeur, quelque part. Il a été validé par la direction il y a dix-huit mois. Personne ne l'a ouvert depuis. C'est le problème.

J'ai participé à plusieurs dizaines d'exercices de gestion de crise au cours de ma carrière — dans des unités militaires d'abord, puis dans des organisations civiles au Maroc et ailleurs. Ce que j'observe invariablement, c'est que les entreprises qui ont investi dans un plan de continuité d'activité et celles qui n'en ont pas se comportent presque de la même façon lors d'un vrai incident. La raison : le plan n'a jamais été testé, les acteurs n'ont jamais répété les procédures, et la cellule de crise n'existe que sur le papier.

Ce qui se passe vraiment quand une crise éclate

Les premières minutes d'une crise sécuritaire dans une entreprise ressemblent rarement à ce qu'on lit dans les manuels. Les premières décisions sont prises par les personnes présentes sur place — souvent pas les bonnes. Les chaînes de communication s'encombrent ou se coupent. Les informations sont contradictoires. Et le dirigeant, qui devrait prendre les décisions critiques, passe la première heure à essayer de comprendre ce qui se passe réellement.

Dans les unités des Forces Spéciales, on dit que les plans ne survivent pas au premier contact avec l'ennemi. Ce principe vaut aussi pour les crises civiles. La différence entre une organisation qui s'en sort et une qui s'enfonce, c'est rarement la qualité du plan écrit. C'est la qualité de l'entraînement préalable.

Une cyberattaque, un incendie avec victimes, une crise médiatique, un enlèvement d'employé à l'étranger — dans tous ces cas, les premières 4 heures sont déterminantes. Et ces 4 heures se jouent sur des réflexes, pas sur la lecture d'un document.

Les 3 erreurs que font presque toutes les entreprises

Première erreur : confondre le plan avec la préparation. Rédiger un PCA (Plan de Continuité d'Activité) est nécessaire. Mais il ne remplace pas l'entraînement. Un PCA non testé est un document administratif, pas un outil opérationnel. La norme ISO 22301 sur la continuité d'activité est explicite sur ce point : le plan doit être soumis à des exercices réguliers et à des révisions post-incident.

Deuxième erreur : désigner une cellule de crise sans la faire fonctionner. La cellule de crise sur le papier comporte souvent le DG, le DRH, le responsable sécurité, le directeur juridique et le directeur de la communication. En pratique, ces personnes ne se sont jamais réunies en mode crise, n'ont pas de protocole de communication commun, et n'ont pas défini qui prend quelles décisions en l'absence d'un autre membre. La première vraie crise révèle ces lacunes dans les pires conditions.

Troisième erreur : sous-estimer les crises de communication. Dans neuf cas sur dix, le dommage le plus durable d'un incident de sécurité n'est pas l'incident lui-même mais sa gestion publique. Une communication mal gérée dans les 24 premières heures peut transformer un incident maîtrisé en catastrophe réputationnelle. Or, les plans de crise marocains intègrent rarement une stratégie de communication de crise digne de ce nom.

Ce qu'un vrai plan de continuité doit contenir

Un PCA opérationnel — tel que nous l'élaborons chez A3E2S en conformité avec l'ISO 22301 et les standards OHSAS — couvre cinq dimensions que les plans standard laissent souvent de côté.

La première est la cartographie des processus critiques. Quelles fonctions de l'organisation sont absolument vitales à la survie de l'activité dans les 72 premières heures ? Ce n'est pas la même chose pour une usine, un port, un cabinet médical ou une institution financière. Cette cartographie détermine les priorités de réponse.

La deuxième est la matrice décisionnelle. Qui décide quoi, dans quel délai, avec quelles informations minimales ? Cette matrice doit être testabl en 30 secondes sans réflexion. Si vos équipes doivent chercher dans un document pour savoir qui appeler en cas d'incident, c'est déjà trop tard.

La troisième est le protocole de communication interne et externe. Comment informez-vous vos collaborateurs, vos clients, vos autorités de tutelle et vos médias — dans cet ordre, avec quel délai, avec quel niveau de détail ?

La quatrième est le dispositif de continuité des opérations : sites de repli, systèmes de backup, fournisseurs alternatifs pré-identifiés et contractualisés.

La cinquième — et la plus souvent absente — est le protocole de retour à la normale. La crise se termine. Comment sortez-vous du mode crise, comment gérez-vous le retour d'expérience et comment évitez-vous la récurrence ?

L'exercice de simulation — l'outil que personne ne veut faire

Le retour d'expérience le plus constant que j'entends des dirigeants après un exercice de simulation : "On ne pensait pas que c'était aussi difficile." C'est exactement le but. Un exercice bien conçu révèle les failles dans un environnement contrôlé, avant qu'elles se manifestent dans une vraie crise.

Un exercice de simulation chez A3E2S dure généralement une demi-journée. Il soumet la cellule de crise à un scénario réaliste — adapté à votre secteur et à vos vulnérabilités identifiées — et mesure la qualité des décisions, les temps de réponse, les lacunes de communication. Le débriefing qui suit est souvent la partie la plus précieuse de notre intervention.

Les entreprises qui font un exercice de simulation une fois par an sont significativement mieux préparées que celles qui ont un plan mais ne le testent jamais. Ce n'est pas une opinion — c'est une observation empirique confirmée par vingt-quatre ans de pratique terrain.

Le rôle du consultant externe en situation de crise

Un consultant en gestion de crise n'est pas là pour gérer la crise à votre place. Il est là pour vous permettre de la gérer vous-mêmes, plus vite et plus efficacement. Sa valeur ajoutée est double : d'abord, il apporte une lecture externe non paralysée par l'urgence émotionnelle que ressentent les acteurs internes. Ensuite, il a une expérience des situations similaires que votre équipe n'a — heureusement — pas.

Pour les urgences de sûreté, A3E2S est disponible 24h/24, 7j/7. Parce qu'une crise n'attend pas le lundi matin.

Questions fréquentes