La faille du silence

Éditorial

Dans un monde où les menaces hybrides et les crises cybernétiques ne sont plus des fictions mais des réalités comptables, le silence est devenu notre vulnérabilité la plus coûteuse. Diriger une organisation, c’est aujourd’hui accepter de regarder en face ses propres fragilités avant que d’autres ne s’en chargent pour nous.

La « faille du silence », que nous explorons dans ce numéro, met en lumière ce paradoxe frappant : alors que nous disposons d’outils méthodologiques robustes, comme la récente AFNOR SPEC 2404, le premier obstacle à la sûreté reste culturel. C’est le voyage d’Abilene appliqué à l’entreprise, où la peur de « déranger » la hiérarchie l’emporte sur l’instinct de protection du navire.

En tant que juristes et dirigeants, nous ne pouvons plus nous réfugier derrière une conformité de façade. La sûreté n’est pas une question de caméras, mais de subsidiarité. Elle exige de substituer au « oui chef ! » un principe de responsabilité individuelle où la fonction prime sur le grade. Protéger l’outil de travail, c’est autoriser, voire célébrer, la contradiction constructive au service de la résilience.

L’ambition de Paradoxale est de briser cette omerta organisationnelle. Ce numéro vous propose de transformer l’humain en maillon fort par le simple pouvoir de la confiance et du bon sens retrouvé. Car en matière de sécurité économique, la lucidité inconfortable d’aujourd’hui est la seule garantie de la pérennité de demain.

Le Paradoxe d’Abilène

ou la gestion défaillante du consensus
Définition : désigne la situation dans laquelle un groupe prend collectivement une décision qui contredit les préférences individuelles réelles de chacun de ses membres, parce que chacun suppose à tort que les autres souhaitent cette décision.

Contexte : En juillet 1974, le professeur Jerry B. Harvey publiait dans la revue Organizational Dynamics un article qui allait durablement marquer la théorie des organisations. Son point de départ était d’une banalité désarmante : une famille du Texas qui décide collectivement de parcourir cinquante miles par une chaleur accablante pour dîner à Abilene, alors qu’aucun de ses membres n’en avait envie.

Introduction : un secret bien gardé

Si vous voulez cacher un secret d’État, ne le mettez pas dans un coffre-fort : publiez-le sous forme de spécification technique. En juin 2025, après des mois de débats passionnés avec quarante des meilleurs experts du pays, nous avons accouché de l’AFNOR SPEC 2404. J’ai eu l’honneur - ou peut-être la solitude - d’en être l’un des co-auteurs.

Dans notre enthousiasme, nous pensions naïvement que ce texte allait devenir le livre de chevet de chaque dirigeant de PME, une sorte de boussole face aux menaces hybrides, au regard de l’évolution menaçante du contexte mondial où les crises se succèdent depuis maintenant plusieurs années. La réalité ? Beaucoup plus prosaïque, c’est probablement l’ouvrage le plus confidentiel de l’année : personne ne le connaît, personne ne l’a lu.

C’est le paradoxe ultime : nous avons rédigé ce guide pour briser le silence et nous l’avons fait dans un silence assourdissant. Pourtant, ce document constitue le premier bouclier méthodologique structuré (et gratuit !) pour permettre aux dirigeants de reprendre le contrôle sur leur sûreté et, par voie de conséquence, sur leur sécurité économique, sujet qui - ô combien - me tient à coeur.

Le silence coûte cher

Je me souviens encore de ce dirigeant, le visage défait, m’expliquant comment son entreprise avait vu s’envoler plusieurs centaines de milliers d’euros de trésorerie en quelques instants, mettant en danger la pérennité même de celle-ci. Un ordre suspect, une procédure ignorée, une absence de confiance. « Personne n’a osé m’appeler pour vérifier », me dit-il.

Je lui ai répondu, avec la franchise que commandait la gravité de la situation, que la faute n’était pas seulement celle de l’escroc mais qu’elle était - peut-être - la sienne... Pas en conscience ni par négligence technique, mais seulement parce qu’il avait construit une organisation où la hiérarchie étouffait le bon sens, une organisation où un simple coup de fil aurait pu changer la donne... Mais il avait construit une organisation où un agent préférait laisser passer une anomalie majeure plutôt que de se faire remarquer et de « déranger le grand patron ».

C’est ici que nous rencontrons le Paradoxe d’Abilène. En entreprise, ce paradoxe est ce voyage collectif vers une catastrophe que personne ne souhaitait mais que tout le monde a validé en comité de direction par un silence poli et confortable. En matière de sûreté, ce silence n’est pas une simple pudeur managériale : c’est une faille de sécurité physique et économique béante.

On sait collectivement que l’organisation est vulnérable, on sent la catastrophe approcher et pourtant - par un aveuglement librement consenti - on décide de ne rien faire. Plus de 70% des PME françaises n’ont toujours pas de plan de sûreté. Ce n’est pas une question de budget, c’est une question de cadre, de méthode et de courage face au miroir.

Les piliers de la sûreté : subsidiarité et confiance

La conclusion de nos travaux est sans appel : la sûreté n’est pas une affaire de technologie, c’est d’abord une culture de la subsidiarité. Elle ne commence pas par des caméras ou des pare-feu mais par une règle d’or inspirée de la marine : la fonction prime sur le grade.

Lorsqu’un matelot voit un iceberg, il crie « Iceberg ! » et il agit pour préserver le navire. Il ne consulte pas l’organigramme pour savoir si le capitaine appréciera d’être réveillé. Appliqué à l’entreprise, ce principe de subsidiarité signifie que la responsabilité opérationnelle doit primer sur la hiérarchie, que la responsabilité individuelle doit co-exister avec la responsabilité collective.

Si le service comptable détecte une anomalie, il bloque. Si un employé doute de la provenance d’un courriel, il vérifie. Si un processus semble compromis, on l’interrompt. Sans délai et sans crainte.

Si cette règle n’est pas ancrée dans l’ADN de l’entreprise, aucun investissement technologique ne pourra combler ce vide. Le premier risque reste l’humain. Traiter ces risques ne coûte presque rien. Cela demande une charte, une clause contractuelle, un protocole d’accueil. C’est de l’organisation pure. C’est de la confiance construite méthodiquement.

L’humain : le maillon fort

L’humain est votre solution la plus agile et la plus abordable, à la condition de lui donner le pouvoir d’agir.

La confiance se bâtit sur trois piliers managériaux : le pouvoir d’agir dans son domaine, la suppression de la peur des conséquences et la célébration des réflexes de sûreté. Si vous adoptez cette politique, vous observerez que vos ambassadeurs ou fidèles collaborateurs ne sont pas nécessairement ceux que l’on croyait...

Une organisation résiliente n’est pas celle où rien n’arrive, mais celle où, quand l’imprévu survient, la personne compétente a la légitimité et le pouvoir d’agir sans solliciter de permission.

« Connais-toi toi-même »

Socrate avait raison et malheureusement nos entreprises lui donnent tort chaque jour. L’analyse de risques, c’est un exercice d’introspection organisationnelle. Il s’agit de se demander honnêtement : Qu’est-ce qui, dans mon fonctionnement, ma chaîne de valeur, mes dépendances, pourrait être exploité contre moi ?

C’est inconfortable, parce que la réponse révèle des fragilités, des faiblesses, voire des aberrations, qu’on préférait ne pas voir ou ne pas connaître tant que "tout roulait" et contre lesquelles on s’insurgera une fois la crise survenue :

une dépendance à un seul fournisseur critique ; une dépense de quelques dizaines euros qui n’aura pas été faite pour remplacer une serrure ou l’éclairage de sécurité ; des données stratégiques stockées sans précaution ; un savoir-faire qui n’existe que dans la tête d’un seul homme qui va prendre sa retraite ; des processus comptables dont personne ne vérifie vraiment la cohérence.

C’est une tentation très humaine de ne pas vouloir savoir quand cela nous arrange. Car savoir, c’est devoir agir. Et agir, c’est admettre qu’on était vulnérable.

C’est précisément le nœud du paradoxe : on préfère parfois l’ignorance confortable à la lucidité inconfortable. C’est exactement ce sur quoi les acteurs malveillants parient... et gagnent suffisamment souvent.

La sûreté comme impératif de gouvernance et de lucidité

L’analyse de risques n’est pas seulement un exercice philosophique, c’est une nécessité de gouvernance à la fois juridique et économique. Le dirigeant doit se demander ce qui, dans sa chaîne de valeur, pourrait se retourner ou être retourné contre lui.

Admettre ses fragilités est inconfortable mais l’ignorance n’est plus une option de gestion. Demain, face à un sinistre, le juge ou l’assureur examinera si vous avez rempli votre obligation de moyens.

Pour répondre à cette question, la spécification AFNOR 2404 propose un cadre d’analyse en trois paramètres, d’une clarté redoutable :

• la menace : qui peut vous vouloir du mal, et pourquoi ? (un concurrent, un ancien employé, un groupe cybercriminel, un État étranger) ;

• l’actif : ce que vous avez réellement à protéger (votre propriété intellectuelle, vos données clients, votre réputation, votre outil de production) ;

• la vulnérabilité : ce qui rend cet actif accessible (une porte mal verrouillée, un mot de passe partagé, un processus sans double validation).

À l’intersection des trois : le risque réel. Pas le risque théorique, le vôtre, spécifique à votre entreprise, votre secteur, votre histoire.

Ce travail d’identification n’est pas une fin en soi. C’est le point de départ d’un traitement rationnel et séquencé : on dissuade, on détecte, on alerte, on ralentit, on intervient. Cinq maillons d’une chaîne. Si l’un manque, la chaîne cède et c’est souvent le maillon invisible, celui qu’on n’avait pas pensé à vérifier, qui lâche en premier.

La sûreté : un investissement à rendement immédiat La sûreté n’est pas une charge, elle doit être perçue comme un investissement à rendement immédiat. Le coût d’un plan de sûreté est dérisoire face au coût de l’arrêt d’une usine. C’est une stratégie d’évitement de coûts de crise dont le ROI est instantané dès que la première tentative de fraude est déjouée.

La spec AFNOR 2404 permet de lever les freins financiers en proposant un plan de premier niveau : nomination d’un responsable sûreté avec mandat clair, règle publique de vérification en cas de doute, inventaire sincère des vulnérabilités et revue annuelle des retours d’expérience.

La politique des petits pas : le courage de ne pas attendre

Beaucoup de dirigeants attendent d’avoir un budget, un expert, ou une crise pour agir sur leur sûreté. Mais la crise, justement, ne prévient pas. Elle est soudaine, violente et imprévisible... par nature. Ce qui protège, ce n’est pas le plan parfait. C’est le plan qui existe, imparfait, incomplet, amendable mais existant.

L’AFNOR SPEC 2404 a été conçue précisément pour lever ce frein : permettre à n’importe quelle PME, sans consultant externe ni budget démesuré, d’élaborer un plan de sûreté de premier niveau.

La logique est délibérément celle des petits pas :

• un responsable sûreté nommé : même si ce ne sont pas ses seules fonctions, même s’il n’est pas un expert. l’essentiel est qu’il ait un mandat clair : « Ton rôle est de protéger l’entreprise, même si ça signifie contredire un cadre. » ;

• une règle non négociable posée publiquement : « en cas de doute, tu agis. Point. » ;

• une liste des risques identifiés, pas exhaustive, pas parfaite, mais sincère. Ce premier inventaire de vos vulnérabilités vaut plus que n’importe quel audit commandé à 50 000 euros et rangé dans un tiroir ;

• des coordonnées d’urgence à jour : principaux collaborateurs, autorités, prestataires critiques, assureurs, avocats ; une liste simple, accessible et à jour ;

• une revue annuelle : pas pour cocher une case, mais pour raconter ce qui s’est passé, ce qui a fonctionné, ce qui mérite d’être corrigé.

C’est tout pour commencer et c’est infiniment mieux que rien. Car la vraie question n’est pas « Avez-vous un système de vidéosurveillance à 50 000 euros ? »

Elle est : « Que se passe-t-il dans votre organisation le jour où quelque chose d’imprévu arrive ? » Si la réponse honnête est « on improvise », alors cette spécification vous concerne.

Diriger, c’est d’abord protéger

Au-delà de la question de la ré-assurance et de la responsabilité du dirigeant, la sûreté est aussi et avant tout un acte de leadership : c’est affirmer que la protection de l’outil de travail justifie de bousculer les habitudes hiérarchiques. Ce discours ne demande aucun investissement technologique, seulement le courage de poser une question dérangeante :

et si notre plus gros risque était notre culture du « oui chef ! » ?

Conclusion

La chance est une donnée aléatoire mais la sûreté est une décision politique du dirigeant. En donnant à vos équipes le pouvoir de vous contredire pour protéger l’organisation, vous ne perdez pas votre autorité : vous en assurez la pérennité. Et cela commence par une règle simple, assumée publiquement :

Ici, ton rôle est de protéger l’entreprise. Même si cela signifie me contredire.

Sources

Téléchargez l’AFNOR SPEC 2404 Plan de sûreté — Exigences opérationnelles (gratuit sur afnor.org) Cet article s’appuie sur les travaux du groupe de travail AFNOR ayant élaboré la spécification AFNOR SPEC 2404, publiée en juin 2025. Un référentiel gratuit, volontaire, conçu pour que la sûreté devienne enfin accessible à toutes les organisations — quelle que soit leur taille.