Simmel formule ici, en une phrase, le paradoxe développé ici. Celui qui sait tout (qui vérifie tout, contrôle tout, surveille tout) n’a plus besoin de faire confiance, parce qu’il a remplacé la confiance par la certitude. Mais cette certitude n’existe pas dans les organisations humaines. Elle ne peut pas exister, parce qu’aucun dispositif de contrôle n’est exhaustif, aucune surveillance n’est permanente, aucune procédure ne couvre l’intégralité des situations que la vie ordinaire d’une entreprise fait surgir. La confiance n’est donc pas un supplément d’âme que l’organisation accorderait à ses membres faute de mieux. Elle est la réponse structurelle à une irréductibilité que le contrôle ne peut pas absorber.
Ce que la doctrine que ce chapitre propose ajoute à Simmel, c’est que cette confiance n’a pas à demeurer un pari. Elle peut être construite, documentée, rendue réciproque et objectivement vérifiable sans cesser d’être de la confiance. Le pacte de confiance que les sections suivantes vont poser n’élimine pas l’incertitude que Simmel désigne : il l’organise. Il donne à l’organisation les instruments pour agir dans cette incertitude sans en être paralysée, et pour qualifier, lorsqu’un événement survient, ce qui relève de l’aléa, de la faute ou de la trahison. C’est cette capacité de qualification, adossée à un engagement réciproque objectivement documentable, qui constitue le cœur de la doctrine.
Les limites de la sûreté apparente
Les huit chapitres qui précèdent ont dessiné la géographie française de la sûreté. Ils ont exposé le silence organisationnel qui laisse les crises se former sans les dire, le vocabulaire qui empêche une profession de se désigner, le soupçon qui interdit à l’entreprise de se protéger contre ses propres salariés ou candidats, l’ignorance institutionnelle qui abandonne l’entreprise victime à son seul sort, l’éthique du gardien qui exige qu’on contrôle ceux qui contrôlent, le rhinocéros gris qui traverse la pièce sous les regards impuissants, la dépendance qui transforme chaque interconnexion en vulnérabilité, et le retard français dont le benchmark international prend acte.
Ce neuvième paradoxe referme le mouvement de refondation qui commence à se dessiner. Il le referme en posant une proposition qui est le cœur doctrinal de cet ouvrage. Cette proposition tient en une formule, que le lecteur acceptera ou contestera au terme du développement, mais qui demande au moins d’être énoncée clairement. La meilleure sûreté est invisible parce qu’elle est intégrée. Elle ne se surajoute pas à l’organisation, elle l’habite. Elle ne se voit pas en temps normal parce qu’elle a déjà produit son effet et elle se donne à voir seulement dans ces instants fulgurants où l’alerte se transforme en action coordonnée.
Le paradoxe, que cette proposition enveloppe, tient au fait que toute la littérature managériale contemporaine pousse dans le sens contraire. Elle invite à afficher, à certifier, à matérialiser, à montrer. Le plan de sûreté visible, le comité de sûreté visible, le responsable sûreté visible, le badge visible, la caméra visible. Cette visibilité a son utilité dissuasive et communicationnelle, personne ne le conteste. Mais elle a aussi un défaut qui annule souvent le bénéfice affiché. Ce qui se voit devient un objet d’arbitrage budgétaire, une ligne dans le compte de résultat, une cible d’économie dès que l’exercice comptable se tend. Ce qui se voit se désactive d’un trait de plume. À l’inverse, ce qui est inscrit dans les relations humaines, dans les pratiques quotidiennes et dans la conception des lieux, des flux et des systèmes, ne peut pas être coupé, parce qu’il n’est pas sécable.
L’affirmation doit être précisée avant d’être défendue, parce qu’elle prête à un contresens que la suite de l’ouvrage doit prévenir explicitement. Le mot « invisibilité », employé sans précaution, semblerait disqualifier la culture de sûreté que les sections suivantes vont ériger en pilier doctrinal. Il faut donc au préalable poser une typologie tripartite distinguant trois régimes de visibilité dont la confusion entretient la fausse contradiction. Cette typologie n’est pas étrangère à la pratique professionnelle internationale, qui a depuis longtemps formalisé l’idée d’une protection organisée par couches superposées, sous les appellations de defense in depth dans la tradition militaire et anglo-saxonne, ou de layered security dans la pratique cyber et industrielle.
Ces concepts, qui irriguent les programmes sûreté des grands groupes internationaux depuis plus de deux décennies, partagent avec la présente typologie l’intuition fondamentale selon laquelle aucun régime de visibilité ne suffit à lui seul et que la sûreté efficace combine plusieurs couches dont les logiques sont distinctes. L’apport propre de cet ouvrage à cette intuition partagée se situe ailleurs. Il consiste dans la reformulation française de cette grammaire, dans la rigueur des distinctions opérées entre les trois régimes, dans l’articulation explicite avec la culture juridique de la responsabilité documentée que développe le chapitre et dans la mobilisation des références de psychologie sociale, Darley et Latané, Peltzman, Wilde, dont les manuels professionnels mobilisent rarement la portée doctrinale.
La revendication de cet ouvrage n’est donc pas celle d’une création doctrinale ex nihilo, elle est celle d’une reformulation française qui rend disponible, pour la pratique des PME et ETI françaises, ce que la pratique professionnelle internationale énonçait dans une grammaire qui ne lui parlait pas.
Le premier régime est celui de la visibilité dissuasive externe. Il regroupe les dispositifs que l’organisation montre délibérément aux tiers, partenaires, visiteurs, candidats à l’intrusion, pour signaler la présence d’une attention. Ce sont les agents de sécurité postés à l’entrée, les caméras visibles, les badges, les contrôles d’accès matérialisés, l’affichage du règlement intérieur. Cette visibilité conserve une utilité réelle dans certaines configurations particulières, qu’il convient d’évoquer pour ne pas tomber dans le travers symétrique de la disqualification doctrinaire. Lors d’un conflit social ouvert, lors d’une menace caractérisée et imminente, lors d’une manifestation hostile aux abords d’un site, lors de l’accueil d’un public connu pour sa propension au passage à l’acte, la sûreté ostensible joue un rôle dissuasif dont les autres régimes ne peuvent prendre le relais à court terme. Elle est, dans ces moments, l’instrument adéquat.
Lorsque l’ouvrage affirme que la sûreté qui se voit échoue, il ne disqualifie donc pas ce premier régime dans l’absolu, il en circonscrit l’usage et il en signale les limites structurelles. Ces limites sont au nombre de trois et elles méritent d’être explicitées.
La première est l’effet de plafond opérationnel. La sûreté ostensible, parce qu’elle est ostensible, est par construction identifiable, cartographiable et potentiellement contournable par un acteur méthodique qui prendrait le temps d’observer avant d’agir. Le rondier dont les horaires sont réguliers, la caméra dont les angles morts sont apparents, la barrière dont la temporisation est connue, dessinent à eux seuls la carte des chemins possibles pour qui veut les éviter. La sûreté ostensible protège contre l’opportuniste et contre l’amateur, elle ne protège pas contre le professionnel ni contre l’initié.
La deuxième limite est l’effet d’éviction. La présence d’une sûreté ostensible démobilise les autres acteurs de l’organisation, qui se sentent dispensés de la vigilance ordinaire dont ils sont les meilleurs porteurs. Ce phénomène, dont les sciences sociales documentent les ressorts depuis plus d’un demi-siècle, procède de deux mécanismes distincts qu’il convient d’expliciter. Le premier mécanisme est la diffusion de responsabilité, mise en évidence dès 1968 par John M. Darley et Bibb Latané dans une étude expérimentale publiée au Journal of Personality and Social Psychology et devenue classique en psychologie sociale. Lorsqu’un témoin se croit seul face à une situation requérant une intervention, il agit dans plus de quatre cas sur cinq. Lorsqu’il croit d’autres témoins présents, le taux d’intervention chute à moins d’un cas sur trois. La responsabilité d’agir ne disparaît pas, elle se dilue dans le collectif au point que personne ne se sent plus tenu d’en assumer la charge. Transposé à la sûreté en entreprise, le mécanisme est immédiat. Le salarié qui voit l’agent à l’entrée délègue inconsciemment à cet agent la responsabilité de filtrer ce qui entre. Le visiteur qui aperçoit la caméra se croit dispensé de signaler l’inconnu qui rôde dans le couloir. Le collègue qui connaît l’existence d’un dispositif d’alerte attend que quelqu’un d’autre l’active. La sûreté visible, qui devait additionner les vigilances, finit par les soustraire les unes aux autres.
Le second mécanisme est la compensation du risque, formulée par Sam Peltzman en 1975 dans le Journal of Political Economy à partir de l’étude des effets de la réglementation automobile et systématisée par Gerald Wilde en 1982 dans Risk Analysis sous le nom de « théorie de l’homéostasie du risque ». Le ressort est différent du précédent et il s’y combine. Lorsque les acteurs perçoivent qu’un dispositif de sécurité abaisse le risque, ils ajustent leur comportement en acceptant un niveau de prise de risque plus élevé ailleurs, jusqu’à retrouver leur niveau d’aisance antérieur. La version la plus radicale de la théorie, postulant une compensation intégrale, est contestée par les travaux de Brian O’Neill et Allan Williams parus en 1998 dans Injury Prevention. La version stabilisée, plus prudente, retient que la compensation existe mais qu’elle ne neutralise généralement pas tout le bénéfice du dispositif. Cette nuance suffit pour notre objet. Elle établit que la sûreté ostensible n’apporte jamais le rendement complet qu’elle paraît promettre, parce qu’une partie de ce rendement est mécaniquement réinvestie par les acteurs en relâchement de leur vigilance ordinaire.
Ces deux mécanismes, diffusion de responsabilité et compensation du risque, ne se confondent pas. Le premier opère par déresponsabilisation collective, le second par ajustement comportemental individuel. Ils se cumulent dans la pratique des organisations et leur addition explique pourquoi la sûreté ostensible, même bien dimensionnée, produit dans la durée moins de protection qu’elle ne promet à l’instant de son installation.
La troisième limite est la sécabilité budgétaire. Ce qui se voit devient un objet d’arbitrage, une ligne dans le compte de résultat, une cible d’économie dès que l’exercice comptable se tend. Ce qui se voit se désactive d’un trait de plume, parce que rien dans la matérialité de l’organisation ne dépend irrémédiablement de sa présence. À l’inverse, ce qui est inscrit dans les relations humaines, dans les pratiques quotidiennes et dans la conception des lieux, des flux et des systèmes, n’est pas sécable, parce qu’il n’a pas d’existence séparée que l’on pourrait soustraire au reste. Il est une composante de son ADN.
Lorsque l’ouvrage affirme que la sûreté qui se voit échoue, c’est l’addition de ces trois limites, et non leur seule sécabilité, qu’il vise. La formule désigne moins une critique principielle de la sûreté ostensible qu’un constat de son insuffisance dès lors qu’elle prétendrait se suffire à elle-même. Une organisation qui se reposerait exclusivement sur les agents de sécurité, les caméras et les badges aurait construit un édifice impressionnant pour qui passerait devant, et démuni pour qui passerait au travers.
Le deuxième régime est celui de la visibilité opérationnelle interne. Il regroupe les rituels, les pratiques quotidiennes, les protocoles de communication structurée, les exercices, les retours d’expérience, les debriefings, dont la fonction n’est pas la dissuasion mais la transmission d’une culture. Cette visibilité est nécessairement collective, parce qu’une pratique se ritualise par la répétition partagée et elle est nécessairement adressée aux acteurs internes, parce qu’elle constitue le tissu de leur compétence collective. Lorsque l’ouvrage défend une culture de sûreté pratiquée plutôt que décrétée, c’est de ce second régime qu’il parle. Le sterile cockpit de l’aviation civile, le challenge and response des listes de vérification, le debriefing sans sanction du GIGN ne sont pas invisibles, ils sont au contraire ritualisés et partagés, mais leur visibilité est interne et opérationnelle, non externe et dissuasive.
Le troisième régime est celui de l’invisibilité intégrée. Il désigne les dispositifs qui ne sont plus perçus comme des dispositifs distincts par les acteurs eux-mêmes, parce qu’ils sont devenus des composants ordinaires des lieux, des flux, des systèmes et des relations. La conception architecturale qui canalise les flux, la clause contractuelle qui exclut une dépendance critique, la séparation des tâches qui rend la fraude statistiquement improbable, ne sont pas des objets que les salariés voient encore comme de la sûreté. Ils les vivent comme la manière normale dont l’organisation fonctionne. Cette invisibilité n’est pas dissimulation, elle est incorporation. Elle est ce que l’ouvrage appelle la sûreté intégrée.
Ces trois régimes ne s’opposent pas, ils se complètent et se hiérarchisent. La visibilité dissuasive externe est légitime mais sécable, elle fait partie de la première ligne et ne suffit jamais. La visibilité opérationnelle interne est indispensable, elle est la condition de transmission de toute culture et son économie est le contraire de la dissimulation. L’invisibilité intégrée est la finalité, parce qu’elle seule produit une protection qui ne dépend plus de la vigilance individuelle. Lorsque l’ouvrage affirme que la sûreté qui se voit échoue, il oppose la première et la troisième de ces visibilités, et il préserve la seconde comme l’instrument même de la traversée.
La sûreté bien conçue ne disparaît donc pas du regard, elle change de régime. Elle s’incorpore. Elle devient une seconde nature du dirigeant, des salariés, des partenaires, au point que personne ne la pratique comme une discipline distincte. Elle apparaît brièvement lorsqu’il faut trancher, elle disparaît à nouveau dès que la situation revient à la normale. Cette omniprésence résiduelle suppose trois ressources non substituables entre elles et dont l’absence ne se compense pas par un excès des autres. Ces trois ressources sont (i) la confiance, (ii) la culture et (iii) la conception.
Elles se déploient dans l’organisation grâce à trois concepts opérationnels que la grammaire de cet ouvrage a déjà posés : (i) la théorie des maillons, (ii) la sûreté concentrique et proportionnée et (iii) le cloisonnement avec cohérence. Ces trois ressources et ces trois concepts, articulés deux à deux, forment la matrice de sûreté que ce chapitre a pour objet d’exposer.
Une dernière précaution avant d’entrer dans le détail. L’ambivalence humaine, qui traverse cet ouvrage notamment au premier chapitre, trouve ici sa résolution. Elle ne se résout pas en affirmant que l’humain est toujours maillon fort ou toujours maillon faible. Elle se résout en montrant que la qualité du maillon dépend de ce que l’organisation fait pour lui. Un salarié auquel on ne donne ni la formation, ni la confiance, ni la protection, ni la conception des lieux et des outils, sera un maillon faible et le restera, quelles que soient ses qualités personnelles. Un salarié à qui l’organisation accorde ces quatre éléments deviendra un maillon fort, y compris si ses qualités personnelles sont moyennes. La confiance, la culture et la conception sont les trois leviers par lesquels l’organisation transforme la potentialité de faiblesse en force active.
La confiance comme valeur contractuelle
La confiance n’a pas bonne presse dans la littérature de sûreté, qui lui oppose volontiers la vigilance, la vérification et le contrôle. Cette opposition est un contresens. La vigilance n’est pas l’inverse de la confiance, elle en est le prolongement, parce qu’on est toujours plus vigilant envers ce à quoi on tient.
La vérification n’est pas l’inverse de la confiance, elle en est l’instrument, parce qu’on ne peut faire durablement confiance qu’à ce que l’on vérifie régulièrement. Le contrôle n’est pas l’inverse de la confiance, il en est le cadre, parce qu’un contrôle prévisible et proportionné sécurise les deux parties, le contrôleur comme le contrôlé. La confiance dont il s’agit ici n’est donc pas un sentiment, c’est une qualité de la relation qui se construit sur l’objectivité des engagements tenus.
Le socle sociologique établi par Niklas Luhmann, dans « Vertrauen. Ein Mechanismus der Reduktion sozialer Komplexität », publié à Stuttgart chez Enke en 1968, a montré que la confiance n’est pas un état psychologique mais un mécanisme de réduction de la complexité sociale. Sans elle, aucune coopération n’est possible au-delà du cercle étroit des individus connus personnellement et toute organisation de grande taille serait paralysée par le coût cognitif de la vérification exhaustive. Francis Fukuyama, dans « Trust. The Social Virtues and the Creation of Prosperity », publié chez Free Press à New York en 1995, a transposé la notion à l’échelle macroéconomique en distinguant les sociétés à haute confiance, qui supportent des organisations de grande taille et des chaînes de coopération longues et les sociétés à basse confiance, qui restent cantonnées à des structures plus petites ou familiales et à des chaînes plus courtes. Diego Gambetta, dans l’ouvrage collectif « Trust. Making and Breaking Cooperative Relations », publié chez Basil Blackwell à Oxford en 1988, a rassemblé les contributions qui ont fondé la discipline contemporaine de l’étude de la confiance, avec son propre chapitre « Can We Trust Trust ? » qui reste la référence pour la construction analytique du concept. Ces trois références composent l’appareil classique sur lequel le chapitre s’appuie.
L’apport de cet ouvrage n’est pas de répéter ces travaux, qui sont connus, il est de les articuler avec le droit du travail français, dans une proposition qui élève la confiance au rang de valeur contractuelle du contrat de travail, sans jamais en faire un sentiment sanctionnable. Cette proposition se développe en quatre temps.
Le premier temps est juridique. L’article L.1222-1 du Code du travail pose que le contrat de travail s’exécute de bonne foi. Cette obligation de bonne foi prolonge l’article 1104 du Code civil qui consacre le principe au niveau général des obligations civiles. La chambre sociale de la Cour de cassation a donné à cette obligation de bonne foi une intensité particulière dans le contrat de travail, en l’appliquant aussi bien à l’exécution loyale des missions par le salarié qu’à l’exercice non abusif du pouvoir de direction par l’employeur. Cette obligation n’est pas la confiance au sens sociologique, mais elle en est la traduction juridique vérifiable. Un salarié qui trahit la confiance de son employeur par un acte objectivement caractérisé manque à son obligation contractuelle de bonne foi, ce qui peut justifier une sanction proportionnée, jusqu’à la rupture du contrat dans les cas les plus graves.
Le deuxième temps est jurisprudentiel. La chambre sociale a construit par étapes une jurisprudence qui rejette la confiance comme motif autonome de licenciement tout en admettant les faits matériels qui l’étayent comme causes réelles et sérieuses. L’arrêt Fertray, rendu le 29 novembre 1990 sous le pourvoi n° 87-40.184 et publié au bulletin, a posé l’attendu de principe selon lequel un licenciement pour une cause inhérente à la personne du salarié doit être fondé sur des éléments objectifs, et que la perte de confiance alléguée par l’employeur ne constitue pas en soi un motif de licenciement. L’arrêt du 29 mai 2001 sous le pourvoi n° 98-46.341 a durci cette position en affirmant que la perte de confiance ne peut jamais constituer en tant que telle une cause de licenciement, même lorsqu’elle repose sur des éléments objectifs. Autrement dit, si l’employeur dispose d’éléments objectifs, il doit les invoquer directement et non tenter de les convertir en perte de confiance. La confiance, comme sentiment, est bannie du contentieux. Les faits qui la constituent ou la trahissent, eux, restent au centre. Cette jurisprudence est celle qui fonde la proposition doctrinale du présent ouvrage, parce qu’elle impose la formulation suivante. Ce qui se trahit dans un contrat de travail n’est pas la confiance comme état psychologique de l’employeur, c’est le pacte de confiance comme engagement réciproque objectivement documentable.
Le troisième temps est la définition de ce pacte. Le pacte de confiance, au sens où cet ouvrage l’entend, est un engagement réciproque qui s’ajoute aux obligations expressément stipulées dans le contrat de travail, sans s’y substituer, et qui trouve sa source dans l’obligation de bonne foi. Il se caractérise, du côté du salarié, par l’exécution loyale des missions confiées, le respect des procédures dont, en l’espèce, la sûreté est la matière, la remontée des informations significatives dont il a connaissance dans l’exercice de ses fonctions et la préservation des intérêts matériels et immatériels de l’entreprise y compris dans les zones que ses missions n’induisent pas explicitement. Il se caractérise, du côté de l’employeur, par la fourniture des moyens d’exécution, la formation aux compétences requises, la protection contre les risques internes et externes, l’exercice non abusif du pouvoir de direction et la reconnaissance proportionnée des contributions. Les manquements de l’une des deux parties à ses engagements peuvent être invoqués par l’autre, à condition qu’ils soient étayés par des faits matériellement établis. La symétrie du pacte est essentielle, parce qu’elle évite l’asymétrie disciplinaire qui a longtemps dominé la relation de travail française, dans laquelle la loyauté était exigée du seul salarié sans contrepartie claire du côté de l’employeur.
Le quatrième temps est la distinction doctrinale entre faute et trahison de confiance, qui éclaire le traitement disciplinaire. La faute professionnelle, même grave, n’emporte pas nécessairement trahison de confiance si elle est assumée, documentée, signalée spontanément et corrigée. Un salarié peut commettre une erreur de jugement coûteuse pour l’entreprise, la rapporter immédiatement à sa hiérarchie et au service sûreté, coopérer pleinement à l’enquête interne et conserver ainsi intact le pacte de confiance qui le lie à l’entreprise. La sanction disciplinaire qui suit, s’il y en a une, peut être légère, proportionnée à l’erreur elle-même et non augmentée par une trahison qui n’a pas eu lieu. À l’inverse, une succession de comportements qui ne constitueraient pas individuellement des fautes lourdes peut ensemble révéler une disposition systématique à la dissimulation, à l’instrumentalisation ou à l’opportunisme contre les intérêts de l’entreprise. Cette disposition constitue alors une trahison du pacte de confiance, qui rend impossible le maintien du salarié dans l’entreprise et peut fonder un licenciement pour faute grave, voire pour faute lourde si l’intention de nuire est établie, au sens de la jurisprudence de la chambre sociale sur les articles L.1232-1 et suivants du Code du travail. Cette construction a une conséquence qui dépasse le droit du travail stricto sensu et qui est essentielle pour le public premier de cet ouvrage, les dirigeants de PME et d’ETI. La confiance n’est pas une affaire de sentiment qui dispense du droit. Elle est l’expression contractuelle d’un pacte qui permet à la fois au dirigeant de conserver l’autorité disciplinaire dont il a besoin et au salarié d’exercer les initiatives dont la sûreté distribuée a besoin.
Une entreprise qui investit dans la construction objective du pacte de confiance obtient simultanément deux bénéfices que les dispositifs concurrents ne peuvent pas produire ensemble : (i) elle obtient la coopération active de ses salariés dans la veille quotidienne des signaux faibles, parce qu’ils savent qu’un signalement spontané est protégé ; et (ii) elle conserve la capacité de sanctionner proportionnément lorsque les faits le justifient, parce que le pacte définit clairement ce qui est attendu des deux côtés.
Un dernier développement prolonge la confiance au-delà des seuls salariés, vers les cercles de prestataires et partenaires qui entourent l’entreprise. Le pacte de confiance, s’il n’est pas réservé au seul contrat de travail, trouve son équivalent dans la relation contractuelle avec les sous-traitants, les prestataires, les fournisseurs d’intrants et les destinataires de sortants. Le donneur d’ordres qui exige par contrat un niveau de sûreté élevé, sans accompagner cette exigence d’un dispositif d’apprentissage, d’aide et d’audit, se dote d’une couverture juridique qui le protégera peut-être en cas de sinistre, mais qui ne diminue pas la probabilité du sinistre lui-même. Le donneur d’ordres qui enseigne la sûreté à son sous-traitant, qui l’accompagne dans la mise en place de ses propres procédures, qui partage avec lui des retours d’expérience sur les incidents et les signaux faibles, construit en revanche un écosystème résilient dans lequel la sûreté n’est plus une obligation contractuelle isolée mais une pratique partagée. Cette posture pédagogique, qui peut paraître coûteuse à court terme, produit à moyen terme un retour sur investissement mesurable. Elle réduit le nombre d’incidents à la frontière du périmètre direct, elle améliore la qualité de la remontée des signaux faibles en provenance de la chaîne, elle renforce la position de négociation de la PME ou de l’ETI française face à ses donneurs d’ordres internationaux, et elle installe une réputation qui vaut elle-même comme avantage concurrentiel.
Une difficulté contemporaine doit cependant être évoquée avant de clore le développement sur le pacte, parce qu’elle conditionne sa viabilité dans la décennie qui s’ouvre. Le pacte tel qu’il vient d’être posé suppose un dirigeant qui accepte de s’engager par écrit, de souscrire à des obligations réciproquement vérifiables et de se laisser tenir à la lettre des engagements consentis. Cette posture, naturelle dans la tradition civiliste française, rencontre la mutation sociologique des élites dirigeantes que les recherches de Jean Pralong à l’EM Normandie ont commencé à documenter, dont les premiers résultats ont été exposés dans The Conversation le 17 mars 2025 et que le chapitre 5 a déjà mobilisée à propos de l’éthique du gardien.
La figure du leader inspirant qu’elle décrit, qui substitue la marque personnelle à l’engagement organisationnel et la séduction à l’autorité formalisée, est culturellement réticente à la documentation contractuelle des engagements, qu’elle perçoit comme une lourdeur étrangère à la fluidité du commandement contemporain. Cette réticence ne produit pas une contestation explicite du pacte de confiance, elle produit sa dilution silencieuse. Le chapitre 10 sur la pérennité doctrinale prolongera cette analyse en l’inscrivant dans la transmission intergénérationnelle, et la conclusion en tirera les implications pour l’horizon 2040. Il suffit ici d’avoir signalé la tension, parce qu’elle conditionne, plus qu’aucune autre, la viabilité de la doctrine du pacte dans la décennie qui s’ouvre.
Enfin, cette doctrine du pacte de confiance doit être confrontée sans complaisance à l’état empirique de la relation salariale en France. Le rapport State of the Global Workplace 2026 de l’institut Gallup, publié en avril 2026, mesure à 8% la part des salariés français répondant à la définition la plus exigeante de l’engagement au travail, contre une moyenne européenne de 12% d’engagés, 73% de non engagés et 15% d’activement désengagés, ces derniers étant ceux qui manifestent ouvertement leur hostilité envers l’organisation. La France figurant en queue de classement européen, sa répartition est mécaniquement plus défavorable encore. Cette donnée appelle un retournement doctrinal que la sûreté impose. Le pacte de confiance ne s’adresse pas seulement aux 8% déjà engagés, qui sont par construction fidélisés. Il s’adresse d’abord à la majorité des collaborateurs psychologiquement non engagés, dont la disposition par défaut peut basculer dans un sens ou dans l’autre selon la qualité de la relation que l’organisation construit avec eux. Il vise surtout à neutraliser le risque spécifique que représentent les activement désengagés, dont la typologie Gallup elle-même indique qu’ils peuvent agir contre les intérêts de leur organisation. Pour la doctrine de sûreté, cette dernière catégorie n’est pas une statistique parmi d’autres, elle est le profil de risque interne dont les chapitres précédents ont identifié la dangerosité. Le pacte de confiance trouve dans cette population sa pertinence la plus nette. Il n’est pas une récompense adressée aux salariés qui adhèrent déjà, il est l’instrument par lequel une organisation se prémunit contre la part de ses collaborateurs dont le désengagement actif peut, le moment venu, prendre la forme opérationnelle que la sûreté redoute.
La sûreté concentrique que la section 7 développera pleinement commence ici, dans la manière dont le pacte de confiance se propage du cercle des salariés vers les cercles concentriques des partenaires.
La subsidiarité opérationnelle
La confiance, comme valeur contractuelle, ne suffit pas à créer une organisation sûre. Il faut encore que les décisions soient prises au niveau où elles doivent l’être, ni plus haut ni plus bas. Ce principe de gouvernance, qui distribue l’autorité selon la compétence et la proximité du terrain, porte en philosophie politique le nom de subsidiarité. Il est, pour la sûreté d’entreprise, la condition de l’efficacité dans les situations incertaines où l’information pertinente est rarement au sommet et où la vitesse de réaction est souvent déterminante.
L’assise philosophique du principe est bien connue et a été remise en honneur dans la littérature francophone contemporaine par Chantal Delsol, notamment dans « L’État subsidiaire », publié aux PUF en 1992, qui a reçu le Prix de l’Académie des Sciences morales et politiques. La subsidiarité, telle qu’elle s’y énonce, ne consiste ni à tout décentraliser ni à tout centraliser. Elle consiste à poser le principe que la décision doit être prise au niveau le plus proche de celui qui l’exécute, sauf lorsqu’un niveau supérieur peut mieux la prendre parce qu’il dispose d’une vue d’ensemble ou d’une compétence particulière.
Le principe est donc double et son élégance tient à ce double mouvement. Il protège le niveau local contre la tentation centralisatrice, tout en protégeant l’intérêt général contre la tentation localiste. Appliqué à l’entreprise, il invite à distribuer le pouvoir de décision en sûreté selon la proximité du signal faible, tout en préservant les décisions structurantes aux niveaux qui ont la responsabilité de l’ensemble. La doctrine militaire française a consacré depuis plusieurs décennies une application opérationnelle du principe, qui s’articule autour de trois piliers.
Le premier pilier est l’effet majeur, c’est-à-dire l’intention clairement exprimée du chef sur ce qui doit être obtenu, indépendamment des modalités. Le deuxième pilier est la subsidiarité proprement dite, c’est-à-dire la latitude d’exécution accordée aux échelons intermédiaires et terminaux dans les limites de l’effet majeur. Le troisième pilier est la prise d’initiative, c’est-à-dire le devoir d’agir en situation imprévue sans attendre d’instruction, dans le sens de l’effet majeur. Cette triade est le cœur de ce que la doctrine française appelle le commandement par intention et elle a reçu récemment une exposition remarquable dans l’ouvrage du général d’armée Pierre Schill, chef d’état-major de l’armée de Terre, « Le sens du commandement », publié aux éditions du Cerf en octobre 2025. L’ouvrage, bien que s’adressant d’abord aux soldats de l’armée de Terre, se réclame explicitement d’une portée universelle applicable à toute organisation humaine, ce qui justifie sa mobilisation dans le présent chapitre.
L’ancêtre historique du commandement par intention est allemand et remonte à la seconde moitié du dix-neuvième siècle. Le maréchal Helmuth von Moltke, chef de l’état-major général prussien, a codifié la pratique dans « ses Verordnungen für die höheren Truppenführer » de 1869, puis dans le règlement d’exercice de l’infanterie allemande de 1888, sous le terme d’Auftragstaktik, que l’on traduit imparfaitement par tactique de mission. L’idée maîtresse est que le chef donne la mission et l’effet recherché, et laisse au subordonné le choix des modalités, parce que c’est le subordonné qui a la meilleure connaissance du terrain local et de la situation présente. L’Auftragstaktik allemande, reprise et adaptée par la doctrine américaine sous le terme de mission command, puis réappropriée par l’armée française, est devenue le référentiel de commandement des forces armées occidentales dans les opérations contemporaines. Sa transposition à l’entreprise n’est pas artificielle, parce qu’elle répond à une exigence strictement analogue. L’entreprise contemporaine est confrontée, comme l’armée, à des environnements complexes, rapides et informationnellement saturés, dans lesquels la décision centralisée arrive toujours trop tard et avec des informations incomplètes.
La traduction de cette doctrine au management de la sûreté tient en trois exigences concrètes, que la PME ou l’ETI peut s’approprier sans moyens démesurés. La première exigence est que le dirigeant exprime clairement et par écrit l’effet majeur de sa politique de sûreté, en quelques phrases qui disent ce qu’il faut protéger en priorité, ce qui ne peut pas être compromis et ce que l’entreprise est prête à sacrifier pour préserver l’essentiel. Cet effet majeur ne relève pas du plan de sûreté technique, il ressortit à la doctrine d’entreprise et c’est au dirigeant personnellement de le formuler. La ddeuxième exigence est que les échelons intermédiaires, responsables de fonctions ou de sites, disposent d’une latitude d’exécution définie, c’est-à-dire d’un périmètre dans lequel ils peuvent prendre des décisions de sûreté sans remonter à la direction, avec l’obligation corrélative d’en rendre compte. La troisième exigence est que tous les salariés aient reçu explicitement, par la formation et par la culture installée, la consigne d’agir en situation imprévue dans le sens de l’effet majeur, sans attendre d’instruction et avec la garantie que l’initiative de bonne foi sera soutenue par la hiérarchie même si elle se révèle rétrospectivement imparfaite.
Cette exigence de soutien de l’initiative mérite une précision, parce qu’elle est le point exact où la doctrine se joue. Une organisation qui exige l’initiative de ses salariés mais qui en sanctionne la première initiative qui tourne mal, quelles qu’en soient les circonstances, enseigne à ses salariés qu’il vaut mieux ne rien faire et attendre l’instruction. L’expérience historique des armées et des services d’intervention le démontre. Le général Schill, dans l’ouvrage cité, parle à juste titre de « l’appréhension au risque qui rend l’audace suspecte ». L’appréhension au risque, transposée à la sûreté d’entreprise, se traduit par le renoncement à la vigilance distribuée au profit d’une centralisation verticale qui arrive toujours trop tard. Le prix à payer pour la subsidiarité, dans cette logique, est que le dirigeant accepte par avance que certaines initiatives se révéleront imparfaites et qu’il devra distinguer alors ce qui relève de l’erreur d’exécution dans le cadre de l’intention, qui n’appelle pas sanction, de ce qui relèvera de la méconnaissance volontaire de l’intention, qui en appelle une. Cette distinction est la tripartition que la section 5 de ce chapitre déploiera pleinement. Elle trouve ici, dans l’articulation entre subsidiarité et sanction, sa première application opérationnelle.
Une dernière observation clôt cette section. La subsidiarité appliquée à la sûreté est le traitement le plus efficace du premier paradoxe du livre, celui d’Abilene. Une organisation dans laquelle chaque niveau décide à son niveau et dans laquelle la parole remonte parce qu’elle est attendue à son niveau, est une organisation qui ne se laisse pas emporter vers le voyage que personne ne souhaite. Le silence du premier chapitre est le produit d’une organisation qui centralise la décision et qui dissuade, par cette centralisation même, la parole d’en bas. La subsidiarité, à l’inverse, fait de la parole une obligation contractuelle du pacte de confiance que la section précédente a posé. Elle transforme la veille des signaux faibles en devoir professionnel, et elle protège ce devoir par la latitude d’exécution qui le rend possible.
La culture de sûreté au quotidien
La culture de sûreté ne se décrète pas, elle se pratique. Cette formule, qui a l’apparence de l’évidence, est en réalité l’une des plus mal comprises de la littérature managériale. Elle est souvent lue comme une exhortation à l’adhésion psychologique, à la mobilisation affective, à la mentalité sécuritaire diffuse. Ces lectures sentimentales échouent invariablement dans les entreprises françaises, parce qu’elles proposent aux salariés une dimension d’engagement qui n’est ni la leur ni celle qu’ils ont contractée.
La culture de sûreté n’est pas une question de morale, c’est une question de pratiques ritualisées. Elle est le sédiment de milliers de micro-décisions conformes à une doctrine, répétées sur une durée assez longue pour que les bons comportements deviennent des réflexes organisationnels et que les mauvais comportements soient perçus comme des anomalies par les salariés eux-mêmes avant même que la hiérarchie ne s’en saisisse. Le socle théorique de cette approche pratique a été posé par Karl E. Weick et Kathleen M. Sutcliffe dans « Managing the Unexpected ». Les auteurs, sur la base d’une étude longitudinale des organisations qu’ils appellent High Reliability Organizations, parviennent à identifier cinq principes opératoires qui caractérisent celles qui parviennent durablement à prévenir les accidents majeurs.
Ces cinq principes sont (i) la préoccupation pour l’échec, qui consiste à traiter les micro-défaillances comme des signaux faibles avant qu’elles ne s’alignent en désastre ; (ii) la réticence à la simplification, qui consiste à refuser les récits explicatifs commodes au profit de la compréhension fine des causes multiples ; (iii) la sensibilité aux opérations, qui consiste à maintenir le contact entre le management et le terrain en temps réel ; (iv) l’engagement envers la résilience, qui consiste à préparer l’organisation à encaisser le choc imprévu plutôt qu’à tout miser sur la prévention parfaite ; et (v) la déférence envers l’expertise, qui consiste à accepter que la décision se prenne temporairement au niveau de la compétence plutôt qu’au niveau de la hiérarchie (primauté de la fonction sur le grade).
Ces cinq principes se pratiquent, ils ne se déclarent pas. Ils sont l’ossature de ce que le présent ouvrage appelle la culture de sûreté. Les univers où cette culture se donne à voir dans sa forme la plus mature sont les univers opérationnels exigeants, où la défaillance n’est pas une erreur comptable mais l’assurance d’une mort quasi-assurée.
Deux de ces univers méritent d’être évoqués, non pour inviter l’entreprise à les copier en tous points, ce qui serait absurde, mais pour en tirer les principes transposables.
Le premier univers est celui des unités d’intervention françaises, dont le Groupe d’intervention de la Gendarmerie nationale (GIGN). La culture de sûreté de cette unité repose sur trois piliers documentés par la littérature publique qui leur est consacrée : (i) le premier pilier est la sélection par l’élimination, c’est-à-dire un processus d’entrée extraordinairement exigeant qui élimine plus de 90% des candidats, non sur la base d’un idéal héroïque mais sur celle de la fiabilité comportementale sous stress ;(ii) le deuxième pilier est le tir de confiance, qui n’est possible qu’au terme d’un entraînement conjoint intensif qui ancre la confiance réciproque dans la chair même des gestes ; et (iii) le troisième pilier est le debriefing sans sanction de l’erreur technique, qui fait de l’analyse ouverte de chaque exercice et de chaque opération un rituel de progression collective. Ces trois piliers forment un écosystème cohérent dans lequel la culture de sûreté n’est pas un slogan mais une grammaire de l’action.
Le second univers est celui de l’aviation civile, qui a produit un corpus normatif et doctrinal dont la transposition à l’entreprise est particulièrement fertile. Le Crew Resource Management, né dans les années 1970 à la suite d’une série d’accidents où la communication défaillante entre membres d’équipage avait été identifiée comme cause principale, a installé dans la formation des pilotes une culture de la parole structurée qui rompt avec la hiérarchie purement verticale du cockpit. La règle dite du sterile cockpit, codifiée dans la réglementation américaine au 14 CFR 121.542, impose le silence sur les conversations non opérationnelles en phase critique de vol, en dessous de dix mille pieds, pour préserver la concentration des équipages. La procédure challenge and response, qui structure l’usage des listes de vérification, fait de chaque phase opérationnelle un dialogue ritualisé dans lequel un membre d’équipage énonce et l’autre confirme, rendant impossible l’oubli silencieux. Ces dispositifs ont une caractéristique commune qui les rend transposables. Ils ne reposent ni sur la vigilance individuelle ni sur l’engagement personnel, mais sur des protocoles qui transforment la vigilance en routine procédurale. Ils automatisent la culture, au meilleur sens du terme.
Au-dessus de ces dispositifs opérationnels, le droit européen a consacré une doctrine cohérente dans le règlement (UE) n° 376/2014 du Parlement européen et du Conseil du 3 avril 2014 concernant les comptes rendus, l’analyse et le suivi d’événements dans l’aviation civile, publié au JOUE L 122 du 24 avril 2014. Ce règlement consacre en droit positif la notion de culture juste, en articulant deux exigences apparemment contradictoires. D’une part, il protège les personnels qui signalent spontanément des événements de sécurité contre les sanctions disciplinaires et judiciaires pour les faits signalés. D’autre part, il exclut de cette protection les manquements délibérés graves et les dégradations. Cette architecture, dont l’article 16 du règlement pose les principes directeurs et que l’observatoire français de la culture juste de l’aviation civile, créé par décision du 28 février 2018, met en œuvre au niveau national, fournit la matrice juridique que la section 5 du présent chapitre mobilisera pleinement. Elle montre qu’une culture qui distingue l’aléa, la faute et la malveillance n’est pas une invention doctrinale, elle est un droit positif européen dans au moins un secteur réglementé.
Ces univers institutionnels posent la doctrine dans sa forme la plus pure. Mais le public premier de ce livre n’est ni militaire ni expert aéronautique, il est composé de dirigeants de PME et d’ETI. La transposition appelle donc une attention particulière aux exemples industriels et de services qui leur ressemblent. Il serait injuste et partial de mettre en vedette un seul acteur, car la culture de sûreté n’est la propriété exclusive d’aucun secteur. Elle se retrouve, avec des configurations différentes, dans le secteur nucléaire, où les opérateurs comme EDF et Orano déploient des dispositifs de retour d’expérience et d’assurance-qualité qui ont fait leurs preuves, dans l’aéronautique industrielle, où Safran, Dassault Aviation et Airbus pratiquent la double validation et l’audit croisé, dans le secteur de la défense, où Thales, Naval Group et les acteurs de la base industrielle et technologique de défense articulent contrats, habilitations et audits, dans la chimie, où Arkema et les sites Seveso seuil haut ont développé une culture du signalement précoce, dans la pharmaceutique, où Sanofi et les laboratoires de recherche appliquent les exigences des bonnes pratiques de fabrication et de distribution. Ces acteurs sont cités sur un pied d’égalité, sans hiérarchie implicite, parce qu’ils illustrent chacun à leur manière que la culture de sûreté est une affaire de pratiques documentées, indépendamment du secteur.
Ce panorama des grands acteurs ne doit pas occulter le tissu des PME et des ETI qui portent aujourd’hui une partie essentielle de la sûreté économique française, souvent sans moyens comparables à ceux des grands groupes. Ce tissu est particulièrement visible dans la BITD élargie aux sous-traitants, dans les entreprises adhérentes aux dispositifs de l’AFNOR SPEC 2404 de juin 2025 et du Pacte Sûreté porté par la Direction des entreprises et partenariats de sécurité et des armes du ministère de l’Intérieur, dans les cas anonymisés documentés par les Flash ingérence de la Direction générale de la sécurité intérieure, et dans les ETI industrielles certifiées ISO 22342.
Ces entreprises, souvent familiales ou patrimoniales, démontrent que la culture de sûreté ne requiert pas un département dédié ni un budget aligné sur ceux des grands groupes. Elle requiert un dirigeant qui a fait de la sûreté un attribut de sa fonction, un ou deux référents sûreté désignés à temps partiel, une doctrine écrite en quelques pages, et la discipline de la pratique quotidienne.
La culture de sûreté, pour être effective, ne s’arrête pas aux portes de l’entreprise. Elle doit se propager aux cercles partenaires selon une logique concentrique qui est la conséquence directe du pacte de confiance posé en section 2. Un donneur d’ordres qui a installé chez lui les cinq principes HRO (organisations à haute fiabilité) mais qui impose à ses sous-traitants des clauses contractuelles de sûreté sans accompagnement pédagogique crée une discontinuité culturelle qui devient la surface d’attaque la plus commode pour un prédateur externe. La culture doit être apprise, pas imposée. Le donneur d’ordres qui consacre une demi-journée par trimestre à une session commune avec ses principaux sous-traitants, qui partage des cas anonymisés de signaux faibles, qui accompagne l’évolution des pratiques plutôt que de la sanctionner, installe dans son écosystème une culture partagée qui vaut bien davantage que la plus exigeante des clauses contractuelles. C’est cet écosystème qui, au moment de la crise, réagit comme un organisme unique plutôt que comme une juxtaposition d’acteurs aux intérêts divergents.
Une dernière observation tient à la nature même de la culture de sûreté. Elle n’est pas une culture du contrôle, elle est une culture du signalement. Sa qualité se mesure moins au nombre de contrôles effectués qu’au nombre de signalements spontanés reçus et à la vitesse avec laquelle ces signalements parviennent à l’instance capable d’agir. Dans une entreprise à culture défaillante, le service sûreté apprend les incidents par la presse ou par la découverte tardive des conséquences. Dans une entreprise à culture installée, il les apprend des salariés eux-mêmes, dans les minutes qui suivent leur survenance. Cet indicateur unique, la vitesse du signalement interne, est sans doute le meilleur témoin de la qualité culturelle d’une organisation de sûreté. Il pose directement la question que la section 5 va maintenant déployer, celle du traitement que l’organisation réserve aux événements qu’elle apprend.
Malveillance n’est pas négligence
La distinction entre l’aléa humain, la faute et la malveillance est la contribution conceptuelle de ce chapitre et la clé doctrinale la plus opérationnelle pour le dirigeant. Elle est en même temps la distinction que les dirigeants confondent le plus souvent, et c’est cette confusion qui produit les deux pathologies symétriques les plus coûteuses de la sûreté d’entreprise française : (i) traiter systématiquement l’aléa humain comme une faute détruit la culture du signalement et prépare les crises silencieuses ; et (ii) traiter systématiquement la faute comme un aléa humain laisse prospérer le prédateur et finance l’affaiblissement de l’organisation.
Seule une doctrine tripartite permet de trancher au bon endroit, avec la rigueur du droit et la constance de la pratique. Cette doctrine, dans la formulation que cet ouvrage retient, tient en trois verbes infinitifs articulés. La sûreté française doit former l’aléa humain, traiter la faute, combattre la malveillance, et c’est cette tripartition qui en constitue le fil rouge opérationnel. Le développement de cette doctrine se déploie en cinq temps articulés, qui suivent une progression du droit vers la pratique.
L’intentionnalité dans le droit français
Le droit pénal français a construit, depuis le Code pénal de 1992 et la loi n°2000-647 du 10 juillet 2000 dite Fauchon, une architecture de l’élément moral de l’infraction qui est, par elle-même, une grille de lecture opérationnelle pour le dirigeant. L’article 121-3 du Code pénal, qui en pose les principes, a un caractère presque doctrinal pour une organisation, à condition d’accepter d’en transposer la logique au-delà du strict champ pénal.
L’alinéa 1er pose le principe cardinal : « il n’y a point de crime ou de délit sans intention de le commettre ». La malveillance, au sens où cet ouvrage l’entend, est l’équivalent organisationnel du dol pénal, c’est-à-dire la volonté consciente de commettre un acte contraire aux intérêts de l’entreprise. Elle est la catégorie dont l’organisation de sûreté doit faire son objet premier, au sens strict où cet ouvrage en a fait son fil rouge.
L’alinéa 2 réserve l’hypothèse dérogatoire de la mise en danger délibérée de la personne d’autrui, qui peut constituer un délit lorsque la loi le prévoit. La mise en danger délibérée, dans le vocabulaire pénal, est une forme d’intermédiaire entre l’intention et la négligence, parce qu’elle suppose la conscience du risque sans l’intention du résultat. Elle a son équivalent organisationnel dans les comportements qui violent sciemment une règle de sûreté connue sans intention de nuire, par exemple pour gagner du temps ou pour satisfaire une exigence de productivité mal calibrée.
L’alinéa 3 précise que le délit existe également, lorsque la loi le prévoit, en cas de faute d’imprudence, de négligence ou de manquement à une obligation de prudence ou de sécurité prévue par la loi ou le règlement, s’il est établi que l’auteur des faits n’a pas accompli les diligences normales compte tenu, le cas échéant, de la nature de ses missions ou de ses fonctions, de ses compétences ainsi que du pouvoir et des moyens dont il disposait.
Cette rédaction, qui a remplacé les formulations antérieures plus rigides, introduit une appréciation in concreto de la faute non intentionnelle. Elle invite le juge, et par extension l’organisation, à évaluer la diligence normale à la lumière des moyens effectivement disponibles. Pour le dirigeant, cette rédaction a une implication directe : il ne peut pas traiter comme une faute la défaillance d’un salarié qu’il n’a pas formé, équipé ou autorisé à tenir la diligence attendue. La faute non intentionnelle suppose, pour être qualifiée, que le salarié disposait des moyens de l’éviter.
L’alinéa 4 introduit le régime propre aux personnes physiques qui n’ont pas causé directement le dommage mais qui ont créé ou contribué à créer la situation qui a permis sa réalisation, ou qui n’ont pas pris les mesures permettant de l’éviter. Ce régime, introduit précisément par la loi Fauchon, exige dans ces cas de causalité indirecte soit une violation manifestement délibérée d’une obligation particulière de prudence ou de sécurité prévue par la loi ou le règlement, soit une faute caractérisée qui exposait autrui à un risque d’une particulière gravité qu’elles ne pouvaient ignorer.
La faute caractérisée, dans la jurisprudence de la chambre criminelle, est une faute d’une intensité particulière qui dépasse la simple imprudence sans atteindre l’intentionnalité et qui désigne une défaillance qualifiée par sa gravité et par la conscience du risque qu’elle emporte. Son intérêt pour la sûreté d’entreprise est considérable, parce qu’elle définit précisément la zone intermédiaire entre l’aléa banal et la malveillance avérée, c’est-à-dire la faute grave au sens organisationnel.
Cette architecture à quatre alinéas permet, transposée à l’organisation, de poser une tripartition qui n’est pas arbitraire mais adossée au droit positif français.
L’aléa humain correspond à la faute simple au sens de l’alinéa 3, inhérente au facteur humain dans toute organisation et dont la diligence normale est à apprécier in concreto. La faute correspond, selon son intensité, à la violation délibérée de l’alinéa 4 ou à la faute caractérisée du même alinéa.
La malveillance correspond à l’intention de l’alinéa 1er, qui est également la faute lourde au sens de la jurisprudence sociale, caractérisée par l’intention de nuire à l’employeur. Cette tripartition, qui a l’air doctrinale, est en réalité directement extraite du Code pénal et de sa jurisprudence, et c’est cette extraction qui fait sa solidité.
Une application concrète illustre la fécondité de la grille. Un technicien de maintenance qui oublie de revalider une procédure d’accès informatique en fin de journée, provoquant une ouverture temporaire non surveillée, commet un aléa humain que l’organisation doit traiter par la formation et, à la rigueur, par un entretien correctif, mais en aucun cas par une sanction disciplinaire lourde Un technicien qui décide sciemment de contourner la procédure parce qu’elle le ralentit, avec la conscience claire de ce qu’il fait mais sans intention de nuire, commet une faute au sens de l’alinéa 4, qui appelle une sanction disciplinaire proportionnée, pouvant aller du blâme au licenciement pour faute grave selon les circonstances, l’ancienneté et l’antécédent. Un technicien qui décide de laisser la procédure ouverte pour faciliter l’intrusion ultérieure d’un tiers auquel il a vendu l’information commet une malveillance au sens de l’alinéa 1er, qui appelle la qualification pénale et la rupture du contrat pour faute lourde. Le dirigeant qui traite les trois cas de la même manière se met en faute, dans les deux sens du terme.
La transposition organisationnelle
La doctrine juridique française de l’élément moral trouve son prolongement organisationnel dans les travaux de deux auteurs qui forment aujourd’hui la référence incontournable du sujet.
Le premier est James Reason, dont « Human Error », publié à Cambridge University Press en 1990, a posé la typologie des erreurs humaines qui sert encore d’étalon à la littérature scientifique et professionnelle. Le second est Sidney Dekker, dont « Just Culture. Balancing Safety and Accountability », publié pour la première fois chez Ashgate en 2007, a rend opérationnel le concept de « culture juste » dans une grille décisionnelle directement utilisable par les dirigeants.
La typologie de Reason distingue, dans les comportements humains générateurs d’incidents, cinq (5) catégories qu’il est utile de connaître pour qualifier correctement un événement : (i) les « slips » sont des ratés d’exécution dans des gestes automatisés, par exemple appuyer sur le mauvais bouton par inattention ; (ii) les « lapses » sont des défaillances mémorielles, par exemple oublier une étape d’une procédure connue ; (iii) les « mistakes » sont des erreurs de règle ou de connaissance, par exemple appliquer une procédure appropriée à une autre situation ; (iv) les violations routinières sont des contournements habituels d’une règle, souvent tolérés par l’organisation, qui sont devenus des normes officieuses ; et (v) les violations exceptionnelles sont des transgressions conscientes d’une règle en situation particulière, avec ou sans intention malveillante.
Cette typologie n’est pas une taxonomie de curiosité, elle permet au dirigeant de qualifier précisément un événement avant d’en décider la suite disciplinaire et d’éviter la confusion qui consiste à traiter un slip comme une violation ou une violation comme un slip.
Le modèle du fromage suisse, que Reason développe à partir de sa typologie, propose lui une représentation plus globale. Dans une organisation, chaque défense contre un risque comporte des trous, c’est-à-dire des failles dans la procédure, dans la formation, dans la conception ou dans la vigilance. Aucune défense n’est parfaite, parce qu’aucune organisation n’est parfaite. L’accident ou la réussite de la malveillance survient lorsque plusieurs trous s’alignent momentanément, créant un chemin ouvert de la menace vers l’actif à protéger. La conséquence doctrinale de ce modèle est que l’organisation de la sûreté ne doit pas se donner pour objectif l’élimination des trous, qui est hors d’atteinte, mais la multiplication des couches de défense et la réduction de la taille des trous dans chaque couche. Cette posture, qui paraît triviale, a une implication pratique massive. Elle oblige à regarder la négligence non comme une faute à sanctionner mais comme un trou à corriger dans la conception, et à traiter la sanction comme un dernier recours lorsque la négligence est systématique et résistante à la correction.
La grille de Dekker prolonge cette approche en proposant trois questions que le manager doit se poser face à un événement, avant de décider de sa réponse disciplinaire : (i) l’acte était-il attendu par l’organisation, au sens où la procédure en vigueur l’autorisait ou l’exigeait ? ; (ii) la personne concernée a-t-elle reconnu le risque au moment où elle a agi, ou au contraire l’a-t-elle ignoré de bonne foi ? ; et (iii) Y avait-il bénéfice personnel pour la personne dans l’acte commis ? La combinaison des réponses à ces trois questions permet de classer l’événement avec une précision utile. Si l’acte était attendu, que la personne n’a pas reconnu le risque et qu’il n’y avait pas de bénéfice personnel, l’événement relève de l’aléa honnête, qui doit être traité par la formation et par l’amélioration de la procédure. Si l’acte n’était pas attendu, que la personne a reconnu le risque et qu’il y avait bénéfice personnel, l’événement relève de la malveillance ou de la faute lourde, qui doit être traité par la sanction. Les configurations intermédiaires relèvent de la faute et appellent un traitement gradué selon la combinaison des critères.
Cette grille permet à l’organisation de ne pas confondre les registres et fournit au dirigeant un outil de décision qui se défend devant le juge prud’homal comme devant le conseil d’administration. Elle est, dans sa forme la plus simple, le mode d’emploi opérationnel de l’article 121-3 du Code pénal transposé à la vie courante de l’entreprise.
La dissymétrie des coûts
Il existe une croyance largement partagée chez les dirigeants non spécialistes selon laquelle la malveillance coûte plus cher à l’entreprise que la négligence. Cette croyance est fausse dans la plupart des cas et elle est responsable d’un biais d’allocation des ressources de sûreté qui aggrave la vulnérabilité des organisations. La malveillance a un visage, elle nourrit la mémoire organisationnelle, elle fait parfois la une de la presse interne ou externe et laisse une trace qui peut être transmise aux successeurs. La négligence, à l’inverse, n’a pas de visage identifiable, elle se dissout dans la masse des incidents mineurs, elle n’est presque jamais médiatisée et ne se transmet pas aux successeurs qui la réinventent dans chaque cohorte de salariés nouveaux.
Cette asymétrie de visibilité crée une asymétrie d’attention qui se traduit par une asymétrie de ressources. L’entreprise dépense beaucoup pour se protéger de la malveillance rare et spectaculaire et peu pour se protéger de la négligence fréquente et discrète. Cette allocation est rationnelle du point de vue de la communication interne mais absurde du point de vue du coût statistique.
L’étude biennale « Occupational Fraud. A Report to the Nations » de l’Association of Certified Fraud Examiners, dont la treizième édition, « Occupational Fraud 2024 », a été publiée en mars 2024 et analyse 1 921 cas investigués entre janvier 2022 et septembre 2023 dans 138 pays, fournit les ordres de grandeur qui permettent de calibrer l’attention. Les pertes totales documentées par l’étude dépassent 3,1 milliards de dollars. La perte médiane par cas s’établit à 145 000 dollars. L’ACFE estime que les entreprises perdent en moyenne 5% de leur chiffre d’affaires annuel en fraude, ce qui représente, extrapolé à l’économie mondiale, un ordre de grandeur de plusieurs milliers de milliards de dollars par an. Les fraudes commises par les propriétaires et dirigeants d’entreprise sont sept fois plus coûteuses en valeur médiane que celles commises par les employés de terrain, ce qui rappelle au dirigeant que sa propre classe professionnelle est statistiquement la plus dangereuse pour l’entreprise et que la distance hiérarchique augmente le coût potentiel de la malveillance plutôt qu’elle ne le diminue.
Mais les deux statistiques les plus importantes pour la démonstration qui nous occupe sont les suivantes. D’une part, plus de la moitié des fraudes étudiées sont dues à l’absence de contrôles internes ou au contournement de contrôles existants, ce qui les rattache directement à la négligence systémique plutôt qu’à la malveillance pure. D’autre part, 43% des fraudes sont détectées par un signalement, taux plus de trois fois supérieur à celui de toute autre méthode de détection, ce qui consacre le signalement comme le mécanisme le plus efficace de lutte contre la fraude, très loin devant l’audit externe ou le contrôle interne classique.
Cette dissymétrie des coûts et des détections se retrouve dans les données assurantielles, notamment dans le Risk Barometer annuel d’Allianz, publié chaque année au mois de janvier, dont la dernière édition disponible est celle de 2026 au moment de la rédaction de cet article, et dans les rapports périodiques de l’Association pour le Management des Risques et des Assurances de l’Entreprise (AMRAE).
Les principaux risques assurables cités année après année par ces rapports ne sont pas les attaques malveillantes ciblées mais les ruptures d’approvisionnement, les pertes d’exploitation liées à des incidents non intentionnels, les erreurs humaines de procédure dans les flux financiers et les manquements aux obligations réglementaires. La négligence systémique, au sens large, domine la sinistralité effectivement observée par les assureurs, et les primes d’assurance reflètent cette réalité bien davantage qu’elles ne reflètent la malveillance.
La conséquence pour la doctrine est directe. Une organisation qui consacre 80% de ses ressources de sûreté à la malveillance et 20% à la négligence systémique s’expose à 80% du coût statistique de ses incidents, parce que la distribution réelle est l’inverse. Une organisation qui équilibre son attention et ses ressources entre la malveillance et la négligence réduit son coût global d’incidents dans des proportions qui justifient largement l’investissement culturel et procédural qu’appelle le traitement de la négligence. Cette rationalité économique rejoint la rationalité doctrinale. La tripartition former, traiter, combattre n’est pas seulement juste juridiquement, elle est également rentable économiquement.
La porte ouverte sans complaisance
La conséquence opérationnelle de la tripartition se joue dans un indicateur quasiment unique, qui mesure la qualité d’une organisation de sûreté plus sûrement que toute certification. Cet indicateur est la vitesse à laquelle un salarié qui vient de commettre une « bêtise » appelle le service sûreté. S’il l’appelle dans les minutes qui suivent, l’organisation est vivante et la sûreté fonctionne. S’il l’appelle dans les jours qui suivent, l’organisation est en difficulté mais la sûreté tient encore. S’il ne l’appelle pas et que l’incident est découvert par un tiers, par la presse ou par la fuite de ses conséquences, l’organisation est en crise silencieuse et la sûreté a déjà échoué, même si personne ne le sait encore.
Le dispositif qui produit un temps de signalement court n’est pas une affaire de morale, c’est une affaire de structure. Il repose sur quatre principes articulés, qui ensemble constituent ce que le présent ouvrage appelle « la porte ouverte sans complaisance ». La formule est choisie avec soin, parce qu’elle évacue le piège sémantique de l’accueil, qui glisserait insensiblement vers la complaisance. La porte est ouverte pour l’information, elle ne l’est pas pour la qualification juridique, qui reste rigoureuse.
Le premier principe est que tout signalement rapide d’un incident bénéficie d’une présomption de bonne foi. Cette présomption n’est pas sentimentale, elle est juridique. Elle signifie que le salarié qui signale spontanément une « erreur » qu’il a commise ne peut pas, sur le seul fondement de l’erreur signalée, faire l’objet d’une sanction disciplinaire lourde. Il peut faire l’objet d’un entretien correctif, d’une formation complémentaire, d’une observation écrite, voire d’un avertissement dans les cas où l’erreur est répétée. Il ne peut pas, par principe, être licencié sur le seul fondement d’une erreur qu’il a lui-même portée à la connaissance de l’organisation. Cette règle trouve un appui conceptuel dans le régime de protection des lanceurs d’alerte de la loi n° 2022-401 du 21 mars 2022 dite Waserman, qui transpose la directive (UE) 2019/1937 du 23 octobre 2019, et dans le régime spécifique de la culture juste du règlement (UE) n° 376/2014 du 3 avril 2014 pour l’aviation civile. Elle n’exige pas de modification législative pour être mise en œuvre en entreprise, elle peut être instituée par charte interne et par révision du règlement intérieur.
Le deuxième principe est que la présomption de bonne foi est levée dès que le service sûreté, après instruction, qualifie le fait en faute caractérisée ou en malveillance. La porte ouverte n’est pas une amnistie. Elle est un sas qui permet l’entrée rapide de l’information dans l’organisation, suivie d’une qualification rigoureuse qui détermine la suite. Si la qualification conclut à l’aléa, l’événement est traité par la formation et par l’amélioration procédurale, sans sanction. Si la qualification conclut à la faute, l’événement est traité par la sanction disciplinaire proportionnée, éventuellement accompagnée d’une amélioration procédurale si la faute a révélé une vulnérabilité organisationnelle. Si la qualification conclut à la malveillance, l’événement est traité par la procédure pénale et par la rupture du contrat pour faute lourde.
Le troisième principe est que la dissimulation est la faute cardinale. Le salarié qui cache une erreur, même mineure, pour éviter la sanction qu’il craint, crée trois dommages successifs à l’organisation : (i) il prive l’entreprise de la fenêtre de remédiation rapide, pendant laquelle l’incident coûte le moins cher à contenir ; (ii) il expose l’entreprise au risque que la dissimulation soit découverte par un tiers hostile et instrumentalisée ; (iii) il détruit le pacte de confiance réciproque qui rend la sûreté distribuée possible. Ces trois dommages justifient que la sanction de la dissimulation puisse, dans certaines circonstances, être plus sévère que la sanction de l’erreur elle-même qu’elle a cherchée à dissimuler. Cette règle, qui paraît paradoxale au premier abord, est en réalité la pratique de longue date des milieux opérationnels exigeants.
Dans les unités d’intervention comme dans l’aviation civile, la faute disciplinaire cardinale n’est pas l’erreur technique, qui est accueillie et analysée, c’est la dissimulation de l’erreur, qui est punie comme une atteinte à la communauté opérationnelle. Sa transposition à l’entreprise est immédiate et n’exige pas de dispositif particulier au-delà d’une charte interne qui l’énonce clairement et d’un règlement intérieur qui en fait une obligation contractuelle.
Le quatrième principe est que l’imprudence majeure reste une faute, quel que soit le mode par lequel l’information arrive au service sûreté. La porte ouverte ne signifie jamais que la violation délibérée d’une règle connue, la prise de risque contraire à l’ordre hiérarchique ou le contournement répété d’une procédure pour bénéfice personnel sont traités par une simple formation. Ces comportements, qui relèvent de la faute caractérisée au sens de l’alinéa 4 de l’article 121-3 du Code pénal et de la faute grave au sens de la jurisprudence sociale, appellent la réponse disciplinaire proportionnée qui leur correspond, le cas échéant jusqu’au licenciement pour faute grave. Le signalement spontané, dans ces cas, n’éteint pas la faute, il peut seulement en atténuer la sanction à la marge, en marquant une forme de repentir qui facilite la réintégration professionnelle ultérieure.
La synthèse de ces quatre principes tient en une formule qui est le cœur opérationnel du chapitre. La sûreté laisse entrer l’information, puis traite le fait à la hauteur de sa qualification juridique. Ce n’est pas l’accueil qui est le principe, c’est la libre circulation de l’information associée à la qualification rigoureuse. La culture juste, dans cette acception, n’est pas une bienveillance organisée, elle est une justice graduée.
Le debriefing sans sanction
Les milieux opérationnels exigeants ont formalisé depuis longtemps une pratique incarnant parfaitement la tripartition doctrinale, dont la transposition à l’entreprise seait à la fois légitime et féconde. Cette pratique est le debriefing sans sanction, que l’aéronautique civile pratique quotidiennement et que les unités d’intervention ont élevé au rang de rituel professionnel.
Le debriefing sans sanction consiste à analyser chaque exercice et chaque opération réelle dans un cadre collectif et formalisé, au cours duquel chaque participant expose sans restriction ses propres erreurs techniques, ses hésitations et ses choix. Le principe directeur est que l’erreur technique exposée dans le cadre du debriefing ne peut pas faire l’objet d’une sanction disciplinaire, parce qu’elle est reconnue comme la matière première de l’apprentissage collectif. Cette règle absolue est ce qui permet au debriefing de fonctionner, parce qu’elle neutralise la stratégie défensive qui consisterait à minimiser ou à masquer ses propres erreurs pour éviter la sanction. Cette règle n’est pas une amnistie, elle est un contrat opérationnel qui protège la transparence comme condition de l’apprentissage.
Deux précautions essentielles encadrent cette règle. La première est que la protection ne couvre que l’erreur technique de bonne foi. Elle ne couvre ni la malveillance ni la faute caractérisée ni la violation délibérée d’une règle connue. Si le debriefing révèle qu’un opérateur a sciemment contourné une procédure de sécurité pour gagner du temps, la sanction disciplinaire reste possible, parce que le comportement révélé ne relève pas de l’erreur technique mais de la faute. La seconde précaution est que la dissimulation au cours du debriefing est elle-même sanctionnable, au titre de la faute cardinale que la sous-section 5.4 a posée. L’opérateur qui masque ses erreurs dans le debriefing viole le contrat opérationnel qui le lie à ses pairs et cette violation justifie une sanction disciplinaire sévère. La protection de la transparence suppose, en somme, la sanction de l’opacité.
La transposition de cette doctrine à l’entreprise n’exige pas de copier la ritualisation militaire ou aéronautique, qui ne serait ni adaptée ni nécessaire. Elle exige simplement que l’organisation institue, pour les incidents de sûreté, une procédure de retour d’expérience qui distingue clairement les trois catégories de la tripartition et qui protège explicitement la transparence comme condition de l’apprentissage collectif. Cette procédure pourrait prendre la forme d’une revue trimestrielle des incidents, animée par le responsable sûreté, à laquelle participent les salariés impliqués dans les incidents de la période et dont le procès-verbal documente les enseignements pour diffusion dans l’organisation. Elle suppose, pour fonctionner, que la direction ait adopté une charte écrite qui pose les quatre principes de la porte ouverte sans complaisance et que le règlement intérieur ait été révisé pour en faire des obligations contractuelles.
Le règlement (UE) n° 376/2014 du 3 avril 2014, pour revenir brièvement à son apport, consacre dans son article 16 un dispositif analogue pour l’aviation civile, en articulant la protection des notifiants contre les sanctions disciplinaires et judiciaires avec l’exclusion des manquements délibérés graves et des dégradations. Cet appui européen, s’il concerne un secteur réglementé particulier, démontre qu’une doctrine qui distingue l’aléa, la faute et la malveillance peut trouver une traduction juridique positive sans contredire la rigueur disciplinaire que l’organisation doit conserver. Il valide, en somme, la possibilité opérationnelle de la tripartition.
Une organisation qui a installé la doctrine « former, traiter, combattre », qui pratique la « porte ouverte sans complaisance », qui a institué le debriefing sans sanction et qui punit la dissimulation comme faute cardinale, est une organisation dans laquelle la sûreté peut devenir effectivement invisible en temps normal. Elle peut devenir invisible parce qu’elle est intégrée aux pratiques quotidiennes et qu’elle n’exige plus d’être rappelée. C’est cette invisibilité acquise qui libère les ressources nécessaires pour le troisième pilier de la trilogie, la conception.
La conception, cette arme silencieuse
La conception est la troisième ressource de la sûreté invisible et elle est sans doute la plus efficace lorsqu’elle est maîtrisée, parce qu’elle rend la faute difficile avant de rendre la sanction possible. Une sûreté par conception ou architecture n’attend pas que le salarié résiste à la tentation de la négligence ou de la faute, elle organise l’environnement matériel et procédural pour que la négligence et la faute soient plus difficiles à commettre que leur évitement. Elle reste invisible en temps normal parce qu’elle a déjà produit son effet en amont, par la simple configuration des lieux, des flux et des contrats.
C. Ray Jeffery, dans « Crime Prevention Through Environmental Design », publié chez Sage Publications à Beverly Hills en 1971, a posé le principe selon lequel la prévention du crime passe par la modification de l’environnement physique dans lequel le crime peut survenir et a forgé l’acronyme CPTED qui reste aujourd’hui l’étiquette de la discipline. Oscar Newman, dans « Defensible Space. Crime Prevention Through Urban Design », publié chez Macmillan à New York en 1972, a développé la notion d’espace défendable, qui articule visibilité réciproque, démarcation claire des espaces publics et privés, et appropriation territoriale par les usagers comme trois leviers de la réduction du crime. Ronald V. Clarke, dans son article « Situational Crime Prevention. Its Theoretical Basis and Practical Scope », publié dans le volume 4 de « Crime and Justice. An Annual Review of Research » aux University of Chicago Press en 1983, a formalisé la prévention situationnelle en identifiant une série de techniques concrètes qui augmentent l’effort nécessaire au criminel et diminuent ses bénéfices attendus.
Ces trois références, bien qu’anglo-saxonnes et initialement orientées vers la criminalité urbaine, fournissent ensemble le socle conceptuel de la sûreté par conception ou architecture. La transposition à l’entreprise suit la logique concentrique qui irrigue l’ensemble du chapitre.
Elle s’applique d’abord à la conception des bâtiments, avec le contrôle des flux d’entrée et de sortie, la ségrégation des espaces selon leur sensibilité, la visibilité naturelle des zones de passage, l’appropriation des espaces par les salariés qui y travaillent. Elle s’applique ensuite à la conception des processus, avec la ségrégation des tâches au sens du référentiel COSO, la double signature sur les opérations sensibles, l’expiration automatique des autorisations d’accès, la traçabilité par défaut des actions critiques. Elle s’applique enfin à la conception des systèmes d’information, avec le principe du moindre privilège, le cloisonnement des environnements, la rotation des secrets, la journalisation des accès. Ces trois niveaux se complètent et se renforcent mutuellement et c’est leur articulation qui produit la sûreté par conception dans sa forme achevée.
Un niveau souvent négligé mérite une attention particulière, parce qu’il est le lieu où la sûreté concentrique se propage aux cercles des partenaires : la conception des contrats. Le contrat commercial standard, tel qu’il est pratiqué dans la majorité des filières françaises, traite la sûreté comme une clause d’obligation générique, imposant au sous-traitant le respect d’un niveau de sûreté équivalent à celui du donneur d’ordres, sous peine de résiliation et d’indemnisation. Cette clause, qui a son utilité juridique, est opérationnellement pauvre, parce qu’elle se borne à organiser la sanction sans prévenir l’incident.
Le contrat conçu selon la logique de la sûreté invisible est structuré différemment. Il articule une exigence initiale clairement formulée, un audit d’aide réalisé à la signature ou dans les premiers mois pour identifier les écarts sans les sanctionner, une période d’accompagnement pendant laquelle le sous-traitant bénéficie d’un appui méthodologique et de retours d’expérience partagés, des mesures graduées en cas d’écart qui distinguent l’aléa, la faute et la malveillance et une sanction en dernier recours qui n’intervient qu’après épuisement du dialogue. Cette architecture contractuelle, qui paraît plus complexe, est en réalité plus simple à faire fonctionner, parce qu’elle repose sur un apprentissage mutuel plutôt que sur une défiance juridique.
La clause contractuelle éducative, pour lui donner un nom, est une arme silencieuse de sûreté par architecture. Elle produit son effet non par la menace de sanction mais par la construction progressive d’une capacité de sûreté chez le sous-traitant. Elle aligne les intérêts plutôt que de les opposer et transforme la chaîne de sous-traitance en un écosystème de sûreté partagée plutôt qu’en une juxtaposition d’acteurs aux intérêts divergents. Pour la PME ou l’ETI française, qui est souvent simultanément donneuse d’ordres vis-à-vis de sous-traitants plus petits et sous-traitante vis-à-vis de donneurs d’ordres plus grands, cette posture offre un double bénéfice. Elle permet d’installer avec ses propres sous-traitants la qualité de relation qui renforce l’écosystème amont et elle permet de proposer à ses donneurs d’ordres grand groupe une sophistication de relation qui différencie favorablement l’entreprise dans son secteur.
Un cinquième niveau d’application de la sûreté par conception mérite d’être évoqué, parce qu’il constitue l’angle mort le plus fréquent des démarches contemporaines. La conception protège les bâtiments, les processus, les systèmes d’information et les contrats. Elle ne protège effectivement la donnée elle-même que si l’organisation a préalablement identifié quelles données elle détient, où elles circulent, qui les utilise, à quelle fin et selon quelles règles. Cette discipline, que l’on désigne sous le terme de gouvernance des données, ne se confond ni avec la sécurité informatique au sens technique, ni avec la conformité au règlement général sur la protection des données.
Elle leur est antérieure, parce qu’elle pose les conditions sans lesquelles ni la sécurité ni la conformité ne peuvent trouver leur objet. Une organisation qui ignore la nature exacte de ses données patrimoniales, leur cycle de vie, leur niveau de sensibilité, leurs flux internes et externes, ne peut décider ni de leur protection technique ni de leur traitement juridique. Elle peut tout au plus appliquer des dispositifs génériques dont le calibrage par rapport à l’enjeu réel restera approximatif.
La gouvernance des données suppose, dans son principe, l’existence d’un cadre clair de responsabilités sur la donnée elle-même, distinct des responsabilités sur les outils qui la traitent. Elle suppose la qualification explicite des données critiques, la documentation de leur cycle de vie, la traçabilité des accès et des usages, et la mise en cohérence avec les obligations réglementaires applicables, du règlement général sur la protection des données aux obligations sectorielles spécifiques.
Pour le dirigeant de PME ou d’ETI, cette discipline n’exige pas un département dédié ni un budget aligné sur ceux des grands groupes. Elle exige qu’un niveau de la gouvernance, généralement au sein du comité exécutif, assume explicitement la responsabilité de la donnée comme actif stratégique, distinct des actifs techniques qui la portent. Cette distinction entre gouvernance de la donnée et gouvernance des outils est la condition de viabilité de toutes les autres dimensions de la sûreté par conception. Sans elle, l’organisation protège les contenants en ignorant la valeur des contenus, ce qui est l’inverse de la doctrine que le présent chapitre déploie.
La sûreté par conception trouve enfin, en France, un appui récent dans le référentiel AFNOR SPEC 2404, Plan de sûreté. Exigences opérationnelles, publié par l’AFNOR en juin 2025 à l’initiative de la Direction des entreprises et partenariats de sécurité et des armes du ministère de l’Intérieur. Ce référentiel, élaboré avec une quarantaine de contributeurs publics et privés, propose aux TPE, PME, ETI, collectivités et établissements recevant du public une grille opérationnelle de conception de la sûreté qui s’articule avec les normes internationales ISO 22342:2023 sur le plan de sûreté et ISO 22340:2022 sur l’architecture de sûreté. La SPEC 2404 se distingue par une caractéristique essentielle pour le public premier du présent ouvrage.
Elle repose sur une approche par processus plutôt que sur la construction complète d’un système de management, ce qui la rend accessible à des organisations qui n’ont ni direction QSE dédiée ni budget sûreté aligné sur ceux des grands groupes. Elle est en outre gratuite et librement téléchargeable, à la différence des normes ISO payantes, ce qui en fait l’outil de référence pour les entreprises qui découvrent la sûreté comme discipline. Le référentiel est articulé, dans le dispositif ministériel, avec le Pacte Sûreté, qui permet aux entreprises se déclarant conformes à la SPEC 2404 de s’inscrire auprès du ministère et, après vérification, d’utiliser la marque correspondante comme signe de confiance à l’égard de leurs salariés, clients, fournisseurs, assureurs et visiteurs.
La trilogie confiance/culture/conception
Confiance, culture et conception ne sont pas trois approches alternatives de la sûreté. Elles sont trois faces d’une même doctrine et elles se mettent en œuvre grâce aux trois concepts opérationnels que la grammaire du présent ouvrage a posés, la théorie des maillons, la sûreté concentrique et proportionnée, le cloisonnement avec cohérence. L’articulation des trois ressources et des trois concepts forme la matrice de sûreté que le chapitre a construite pas à pas et cette articulation mérite d’être explicitée une dernière fois avant la clôture.
La théorie des maillons est l’instrument d’analyse de la confiance. Elle dispose que la résistance d’un dispositif n’est pas la somme de ses composants, mais le plus faible d’entre eux. Appliquée à la confiance, elle oblige le dirigeant à repérer le maillon humain le plus fragile de sa propre organisation avant de le repérer ailleurs. Le proverbe selon lequel « une chaîne n’est pas plus solide que son maillon le plus faible » trouve une formulation philosophique chez William James dès 1897 dans « The Will to Believe », mais sa transposition contemporaine à la théorie des organisations doit l’essentiel à Eliyahu Goldratt, avec « The Goal » publié chez North River Press en 1984 et « Theory of Constraints » publié chez le même éditeur en 1990. À cette généalogie s’ajoutent les travaux de Derek Cornish et Ronald V. Clarke sur le raisonnement criminel, notamment dans « The Reasoning Criminal » publié chez Springer-Verlag en 1986, qui ont montré que le prédateur rationnel cherche systématiquement le maillon faible de sa cible. James Reason, dans Human Error de 1990 déjà cité, a prolongé cette logique en théorisant l’alignement des défaillances comme cause principale des accidents organisationnels. La théorie des maillons, combinée à la logique des ressources construites, impose au dirigeant d’investir dans le maillon le plus fragile de sa confiance organisationnelle, c’est-à-dire typiquement le salarié récent, le prestataire non formé, le fournisseur d’intrant non audité, plutôt que d’ajouter une couche de défense supplémentaire là où la chaîne est déjà solide.
La sûreté concentrique et proportionnée est l’expression architecturale de la culture. Elle pose que l’entreprise s’organise en cercles successifs du plus ouvert au plus sensible et que chaque cercle reçoit le niveau de sûreté adéquat. La sûreté n’est pas uniforme mais calibrée. Elle arrête le process en cas de doute mais ne grippe pas la machine en temps normal. Sa généalogie doctrinale remonte aux considérations de Carl von Clausewitz sur la défense en profondeur dans « Vom Kriege » publié à titre posthume en 1832, que la littérature militaire moderne a reprises et adaptées. Elle trouve une déclinaison opérationnelle dans les travaux CPTED de Jeffery, Newman et Clarke cités en section 6. Elle rencontre le droit français par le principe constitutionnel de proportionnalité, dont la jurisprudence constante du Conseil constitutionnel et du Conseil d’État a construit l’architecture et qui impose que toute restriction à une liberté soit adaptée, nécessaire et proportionnée à l’objectif poursuivi. Elle trouve enfin son expression normative récente dans l’AFNOR SPEC 2404 de juin 2025 déjà citée, qui fournit la grille opérationnelle de mise en œuvre. Appliquée à la culture, la sûreté concentrique impose de calibrer l’intensité de la pratique culturelle selon la sensibilité du cercle concerné. Le cercle des salariés en contact avec les actifs les plus sensibles requiert une pratique quotidienne intense, le cercle des intérimaires et stagiaires une sensibilisation brève mais systématique, le cercle des sous-traitants réguliers un accompagnement périodique, le cercle des prestataires ponctuels un briefing à l’arrivée et un debriefing au départ, le cercle des fournisseurs d’intrants critiques un audit d’entrée et des points de vigilance réguliers, le cercle des clients destinataires de sortants sensibles un dialogue permanent sur les conditions d’usage. Chaque cercle reçoit l’intensité qui lui correspond, ni plus ni moins.
Le cloisonnement avec cohérence est la traduction de gouvernance de la conception. Il organise qui voit quoi, qui sait qui voit quoi et qui peut alerter sur ce qu’il voit d’anormal. Personne ne voit tout, tout le monde peut parler. Ce principe, qui paraît simple, est en réalité le plus sophistiqué des trois concepts opérationnels, parce qu’il suppose simultanément la discipline du secret et la fluidité du signalement. Sa source normative française est l’Instruction générale interministérielle n°1300/SGDSN/PSE/PSD du 9 août 2021 sur la protection du secret de la défense nationale, qui a remplacé l’instruction précédente de 2011 et qui pose notamment le principe du besoin d’en connaître, c’est-à-dire le principe selon lequel l’accès à une information classifiée est réservé aux personnes dont les missions justifient strictement cet accès.
Transposé à l’entreprise civile, le besoin d’en connaître devient un principe de gouvernance qui protège à la fois le secret et la confiance, parce qu’il évite que des salariés aient accès à des informations dont ils ne savent pas quoi faire et qu’ils seraient donc tentés de laisser filtrer par inadvertance. Ce principe trouve son complément dans la gouvernance de l’alerte, dont la loi n° 2016-1691 du 9 décembre 2016 dite Sapin 2, la loi n° 2022-401 du 21 mars 2022 dite Waserman et la directive (UE) 2019/1937 du 23 octobre 2019 composent l’appareil juridique contemporain. Cet appareil organise la remontée de l’information anormale à travers des canaux protégés et garantit au salarié qui signale de bonne foi une protection juridique contre les représailles. Le cloisonnement avec cohérence articule ces deux gouvernances, celle du secret et celle de l’alerte, en installant dans l’organisation une vigilance distribuée que la section 3 du présent chapitre a déjà théorisée.
Ces trois concepts opérationnels ne s’opposent pas aux trois ressources construites, ils les rendent praticables. La confiance sans théorie des maillons est aveugle. La culture sans sûreté concentrique est indiscriminée. La conception sans cloisonnement avec cohérence est statique.
Inversement, les concepts opérationnels sans les ressources qu’ils servent sont vides. La théorie des maillons sans confiance devient paranoïa. La sûreté concentrique sans culture devient bureaucratie. Le cloisonnement sans conception devient étanchéité mortelle. L’articulation rigoureuse des trois ressources et des trois concepts est ce qui distingue une doctrine vivante d’une juxtaposition de techniques.
La matrice ainsi obtenue répond aux trois questions que se pose le dirigeant lorsqu’il aborde la sûreté : (i) que protéger ? La confiance et la théorie des maillons disent : ce qui est le plus fragile dans votre propre organisation, à commencer par le maillon humain ; (ii) Comment protéger ? La culture et la sûreté concentrique disent : par la pratique quotidienne calibrée selon la sensibilité de chaque cercle, du centre vers les partenaires les plus éloignés ; (iii) Comment savoir ? La conception et le cloisonnement avec cohérence disent : en organisant la circulation contrôlée de l’information, qui préserve le secret sans étouffer l’alerte.
Ces trois réponses, articulées dans la matrice, forment la doctrine opérationnelle que cet ouvrage met entre les mains du dirigeant. L’extension de la matrice aux cercles des partenaires referme le développement et en consacre l’unité. La confiance se prolonge aux sous-traitants par le pacte contractuel pédagogique. La culture se propage par l’apprentissage partagé et les retours d’expérience communs. La conception traverse la frontière de l’entreprise par la clause éducative et par l’audit d’aide. La théorie des maillons s’applique à toute la chaîne de valeur et désigne souvent le sous-traitant de sous-traitant comme le maillon à renforcer en priorité.
La sûreté concentrique étend la logique des cercles vers l’extérieur, avec une intensité décroissante mais non nulle. Le cloisonnement avec cohérence intègre les flux d’information avec les tiers dans une architecture qui préserve le besoin d’en connaître tout en autorisant l’alerte. La matrice n’est pas une affaire interne. Elle est le plan d’architecture d’un écosystème de sûreté qui commence au bureau du dirigeant et qui irrigue, de cercle en cercle, jusqu’au dernier fournisseur du dernier prestataire.
Une doctrine à deux versants
Le présent chapitre a déployé la trilogie « confiance, culture, conception », articulée aux trois concepts opérationnels que sont la théorie des maillons, la sûreté concentrique et proportionnée, le cloisonnement avec cohérence, adossée à la tripartition doctrinale qui invite la sûreté française à former l’aléa humain, traiter la faute, combattre la malveillance.
Cet ensemble compose ce que l’on peut désormais désigner comme le versant interne de la doctrine française de sûreté d’entreprise, celui qui qualifie les événements humains qui se produisent à l’intérieur de l’organisation et qui organise leur traitement selon la grille de l’élément moral héritée de l’article 121-3 du Code pénal et des travaux de Reason et Dekker.
Ce versant interne ne saurait épuiser, à lui seul, la doctrine que cet ouvrage entend formuler. Le chapitre précédent a posé une seconde figure à trois temps invitant l’organisation à « anticiper, amortir, reconfigurer » face aux mutations structurelles de son environnement extérieur. Cette seconde figure constitue le versant externe de la même doctrine, celui qui organise la posture stratégique de l’entreprise face aux recompositions géoéconomiques, technologiques, sociologiques et institutionnelles que la décennie qui s’ouvre impose aux organisations productives. Les deux versants ne se concurrencent pas. Ils répondent à deux questions distinctes mais complémentaires que la sûreté française doit tenir d’un seul tenant.
Le versant interne répond à la question de la qualification. Comment l’organisation distingue-t-elle l’aléa, la faute et la malveillance dans les comportements humains qu’elle observe en son sein, et comment articule-t-elle la formation, le traitement disciplinaire et le combat contre l’intentionnalité hostile dans une réponse graduée ? Cette question est, par construction, juridique et organisationnelle. Elle suppose un événement qui se produit, un auteur qui peut être identifié, une qualification qui peut être posée selon les catégories du droit positif français. Sa grammaire est celle de l’événement humain qualifié.
Le versant externe répond à une question d’une autre nature. Comment l’organisation tient-elle sa cohérence opérationnelle face à des dynamiques que l’individu, l’unité ou même l’organisation entière ne contrôle pas ? Comment articule-t-elle la prospective active, la continuité sous contrainte et la recomposition structurelle dans une posture qui assume que l’environnement ne reviendra pas à un état stable ? Cette question n’est pas juridique au sens où la première l’est. Elle suppose, non un événement qualifiable et un auteur identifiable, mais un environnement en mouvement et des recompositions structurelles dont aucun acteur particulier n’est l’auteur. Sa grammaire est celle du mouvement structurel à traverser.
Cette double polarité interne/externe est la marque distinctive de la doctrine française que cet ouvrage propose. Là où les grammaires anglo-saxonnes traitent séparément ce qui relève du risque opérationnel interne et ce qui relève du risque géoéconomique externe, par la dispersion qui caractérise les référentiels techniques de la compliance, la doctrine française articule les deux versants dans une seule architecture à deux versants. Cette articulation est plus puissante, parce qu’elle reconnaît que les deux registres ne sont pas étanches l’un à l’autre.
La perméabilité des deux versants mérite d’être évoquée. Une malveillance interne peut procéder d’un signal faible géoéconomique, comme dans l’hypothèse, traitée au chapitre relatif à l’éthique du gardien et au chapitre consacré à l’entreprise victime, où un salarié est instrumentalisé par un acteur étranger dans le cadre d’une opération d’influence ou d’ingérence. Inversement, une mutation externe, par exemple la fragmentation d’une chaîne d’approvisionnement ou la financiarisation d’un fournisseur critique, peut révéler après coup des défaillances internes que la triade interne devra qualifier dans le registre de l’aléa, de la faute ou de la malveillance. Les deux figures à trois temps ne sont donc pas séparées par une cloison étanche, elles sont reliées par une membrane perméable que la doctrine assume. Cette perméabilité est ce qui rend nécessaire l’articulation explicite des deux versants, plutôt que leur juxtaposition silencieuse. Une grammaire commune unit les deux figures et leur confère l’unité doctrinale dont l’ouvrage entend les doter.
Quatre traits composent cette grammaire commune.
Le premier trait est la forme verbale infinitive, qui pose l’organisation comme sujet de son action plutôt que comme objet d’un dispositif. Former, traiter, combattre, anticiper, amortir, reconfigurer ne sont pas des états de l’organisation, ce sont des opérations qu’elle conduit. Cette grammaire de l’action distingue la doctrine française des doctrines à dominante substantive qui peuplent la littérature managériale contemporaine, où la résilience, la robustesse, la conformité ou la maturité désignent des qualités plutôt que des opérations.
Le deuxième trait est la cyclicité plutôt que la séquentialité. Ni l’une ni l’autre des deux figures ne décrit une succession linéaire avec début et fin. La triade interne installe une boucle dans laquelle l’organisation forme en permanence, traite à mesure que les événements surviennent, combat lorsque la qualification l’exige et reprend la formation enrichie de l’enseignement de chaque traitement et de chaque combat. La triade externe installe une boucle analogue dans laquelle la reconfiguration nourrit la nouvelle anticipation. Cette cyclicité commune pose, en arrière-plan, une thèse sur la sûreté française qui peut désormais être énoncée. La sûreté n’est pas un état que l’organisation atteindrait, c’est un mouvement qu’elle entretient.
Le troisième trait est la gradualité de l’intensité opérationnelle. Dans la triade interne, l’intensité de la réponse organisationnelle croît par la formation, pédagogique, par le traitement, disciplinaire, jusqu’au combat, confrontatif. Dans la triade externe, l’intensité du décrochage par rapport à la trajectoire antérieure croît de l’anticipation, qui mobilise sans transformer, à l’amortissement, qui mobilise sous contrainte, jusqu’à la reconfiguration, qui transforme effectivement la structure. Cette gradualité commune inscrit chacune des deux figures dans une économie de proportionnalité. L’organisation ne combat pas ce qui ne relève que de la formation. Elle ne reconfigure pas ce qui ne relève que de l’amortissement. La proportionnalité, dans les deux versants, est la marque d’une doctrine vivante.
Le quatrième trait est l’exigence de patience stratégique commune aux deux figures. Former un réflexe humain de signalement rapide, traiter une faute selon la qualification patiente de l’article 121-3 du Code pénal, combattre la malveillance dans la durée d’une politique constante reprise par les successeurs, ces trois opérations supposent une endurance qui se mesure en années et en décennies plutôt qu’en semaines et en mois. Anticiper sur la base de signaux faibles dont la matérialisation prendra cinq à dix ans, amortir des chocs structurels dont la durée typique est de dix-huit à trente-six mois, reconfigurer en saisissant la fenêtre qui s’ouvre en sortie de cycle, ces trois opérations appellent une posture de pilotage que le court-termisme contemporain rend rare.
Les deux figures sont donc solidaires, non seulement par leur grammaire verbale, leur cyclicité et leur gradualité, mais par leur exigence partagée d’une patience stratégique qui défie les rythmes courts de la gouvernance moderne. Une organisation qui ne sait pas tenir le temps long de la triade interne ne saura pas davantage tenir le temps long de la triade externe. Inversement, une organisation qui s’est entraînée à la patience interne dispose d’une ressource cognitive directement transférable à la patience externe.
Une dernière articulation doctrinale doit être posée pour clore l’exposé des deux versants. La responsabilité de l’organisation n’est pas la même dans les deux registres et il importe de ne pas confondre ce qui les distingue. Dans le versant interne, l’organisation est juridiquement responsable des comportements humains qui s’y produisent, au titre de la responsabilité de l’employeur posée par l’article L.4121-1 du Code du travail ou de la responsabilité pénale des personnes morales prévue par les articles 121-2 et suivants du Code pénal. Dans le versant externe, l’organisation n’est pas responsable des mutations géoéconomiques, technologiques ou institutionnelles qu’elle subit. Elle est seulement responsable de la qualité de sa posture face à elles.
Cette asymétrie de responsabilité est importante, parce qu’elle évite que la triade externe ne soit instrumentalisée pour transférer sur l’organisation une responsabilité qui est, en droit, celle des États, des marchés ou des dynamiques collectives. La doctrine française que l’ouvrage propose se garde, par cette distinction, de la dérive de la responsabilité étendue qui caractérise certains discours managériaux contemporains sur la résilience.
Les deux figures à trois temps, ainsi articulées, composent la doctrine française à deux versants que l’ouvrage propose au lecteur. Le versant interne tient en former, traiter, combattre. Le versant externe tient en anticiper, amortir, reconfigurer. Une membrane perméable les relie, une grammaire commune les unit, une asymétrie de responsabilité les distingue. Cette architecture à deux versants n’est ni une formule rhétorique ni un tableau de synthèse. Elle est l’organisation conceptuelle d’une doctrine qui prend l’entreprise comme sujet de la sûreté, en lui donnant la grammaire qui lui permet de penser et de conduire, dans la durée et dans la complexité, ce qu’elle rencontre à l’intérieur d’elle-même comme ce qu’elle rencontre à l’extérieur.
Caractère gratuit de la doctrine
L’architecture à deux versants que la section précédente a posée, articulée à la grammaire des dispositifs robustes, frugaux et rustiques que le chapitre 7 a formulée, conduit à une thèse économique et politique qu’il convient de déployer explicitement avant de clore le chapitre. La doctrine que cet ouvrage propose est, en un sens précis, gratuite. Cette affirmation appelle les précautions qui en circonscrivent la portée, parce qu’elle pourrait paraître, sans elles, soit naïve soit démagogique. Ni l’un ni l’autre ne sont, je l’espère, le sens que le lecteur lui prêtera.
La gratuité doctrinale signifie d’abord ce qu’elle ne dit pas. Elle ne dit pas que la sûreté ne coûte rien. Elle ne dit pas qu’une organisation peut se protéger sans engager aucune ressource. Elle ne dit pas que les dirigeants peuvent renoncer à toute dépense de sûreté au prétexte que la doctrine serait suffisante par elle-même. Elle dit autre chose, plus précis et plus exigeant. Elle dit que la doctrine elle-même, c’est-à-dire la grammaire d’action et la grammaire des dispositifs que l’ouvrage formule, n’impose au dirigeant aucune dépense particulière qui serait la condition de sa mise en œuvre. Cette gratuité s’observe à trois niveaux que le présent chapitre peut désormais énoncer.
Au premier niveau, la doctrine n’impose pas de pourcentage de chiffre d’affaires alloué à la sûreté. Le raisonnement par ratio, qui domine certains discours managériaux contemporains et qui est volontiers manié par les fournisseurs de services de sûreté pour caractériser un seuil minimal de dépense, suppose une corrélation entre la dépense et la sûreté qui n’est pas doctrinalement démontrée. La sûreté, telle que cet ouvrage la formule, n’est pas une fonction du budget. Elle est une fonction de la qualité de l’organisation. Une PME qui consacre 0,5% de son chiffre d’affaires à des dispositifs robustes, frugaux et rustiques peut être mieux protégée qu’un groupe coté qui consacre 5% de son chiffre d’affaires à des dispositifs sophistiqués mal maintenus.
Au deuxième niveau, la doctrine n’impose pas l’acquisition des dernières technologies disponibles sur le marché. La sophistication technologique n’est ni nécessaire ni suffisante à la sûreté. Elle est, dans certains registres précis comme la défense contre les attaquants étatiques, légitimement requise. Elle ne l’est pas dans la masse des registres ordinaires que le dirigeant a à protéger. Les solutions technologiques se périment vite, parce que l’obsolescence est l’horizon naturel de tout dispositif technique. La culture, lorsqu’elle est installée, et les réflexes, lorsqu’ils sont entraînés, demeurent. Le dirigeant qui investit prioritairement dans la culture et dans les réflexes plutôt que dans la technologie investit dans ce qui dure plutôt que dans ce qui s’use.
Au troisième niveau, la doctrine n’impose pas le recours à des cabinets de conseil spécialisés. La doctrine est ce que le dirigeant doit s’approprier lui-même plutôt que de l’externaliser. Le recours ponctuel à des conseils extérieurs peut être utile pour des sujets techniques précis, par exemple la conception d’une architecture cyber ou la conduite d’une enquête interne sur une fraude avérée. Il ne peut pas tenir lieu de doctrine, parce que la doctrine, par construction, est ce qui doit être porté par le dirigeant lui-même et par les relais qu’il mobilise dans l’organisation.
Si la doctrine est gratuite en ce sens, sa mise en œuvre, en revanche, ne l’est pas. Elle a un coût, mais ce coût est principalement un coût d’attention, de discipline et de temps, plutôt qu’un coût budgétaire. Le dirigeant qui adopte la doctrine doit consacrer son attention aux questions de sûreté de manière régulière plutôt qu’épisodique, sa discipline à la constance des pratiques sur des cycles longs, et son temps à la formation de ses équipes et à la maintenance de la culture installée. Ces trois ressources sont à la fois rares et démocratiquement accessibles. Rares, parce que la culture managériale contemporaine les sollicite déjà fortement sur d’autres registres. Démocratiquement accessibles, parce qu’elles ne dépendent pas du chiffre d’affaires de l’entreprise. Une PME peut consacrer la même attention, la même discipline et le même temps à la sûreté qu’un groupe coté, à condition que son dirigeant en prenne la décision.
Une quatrième ressource, enveloppante, conditionne l’efficacité des trois autres. Cette ressource est la confiance, dont le présent chapitre a fait l’un des trois piliers de la trilogie confiance, culture, conception. Sans confiance, l’attention portée à la sûreté ne produit pas le signalement remontant qu’elle suppose, parce que les salariés n’ont pas la garantie que leur parole sera reçue sans représailles. Sans confiance, la discipline imposée aux pratiques se vit comme une contrainte extérieure plutôt que comme une exigence partagée, et elle s’érode dès que le contrôle se relâche. Sans confiance, le temps consacré à la formation produit des compétences techniques sans produire les réflexes que la sûreté suppose, parce que les réflexes ne s’installent que dans une organisation où chacun sait que la transparence sera protégée. La confiance n’est pas une ressource parmi les autres, elle est l’environnement dans lequel les autres ressources opèrent ou se dissipent.
La doctrine est donc gratuite à la condition expresse que la confiance soit construite et maintenue, et c’est parce que la confiance se construit lentement et se détruit rapidement que la doctrine, malgré sa gratuité de principe, demande au dirigeant une vigilance constante. Cette gratuité conduit à une formulation qui mérite d’être posée pour ce qu’elle est, parce qu’elle subvertit l’opposition classique entre coût et investissement que la culture financière contemporaine impose aux raisonnements de gestion. La sûreté d’entreprise, dans la doctrine que l’ouvrage propose, n’est ni un coût subi ni un investissement à amortir sur plusieurs exercices. Elle est un investissement à rentabilité immédiate.
Cette formulation n’est pas un slogan. Elle traduit un fait économique objectivement vérifiable. L’entreprise qui installe la culture juste, le pacte de confiance documentable, la porte ouverte sans complaisance, le debriefing sans sanction, la cartographie de ses dépendances, la sûreté concentrique étendue à ses partenaires, voit dès l’année qui suit son sinistre statistique baisser, ses primes d’assurance se stabiliser, sa rotation de personnel se réduire, ses contentieux se raréfier et son climat social se renforcer.
Aucune de ces améliorations n’est différée à un horizon lointain. Elles se produisent dans l’année qui suit la mise en œuvre, parce que les dispositifs robustes, frugaux et rustiques produisent des effets immédiatement mesurables sur les coûts d’incidents que l’organisation supportait jusque là sans les énoncer. La sûreté, dans cette acception, n’est pas un investissement de long terme qu’il faudrait justifier devant le comité d’audit. Elle est un investissement dont le retour s’observe dès le premier exercice, à condition que le dirigeant accepte de mesurer ce que la sûreté fait baisser plutôt que ce qu’elle coûte.
Cette thèse de la rentabilité immédiate est, en dernière analyse, ce qui distingue la doctrine française que l’ouvrage propose des doctrines qui présentent la sûreté comme un coût à maîtriser ou comme un investissement à amortir. Le coût à maîtriser produit, par construction, l’arbitrage défavorable à la sûreté que la première crise budgétaire venue confirmera. L’investissement à amortir produit, par construction, le report indéfini que la pression du court terme rendra légitime. La rentabilité immédiate produit, à l’inverse, l’arbitrage favorable à la sûreté que la rationalité économique reconnaîtra dans le rapport annuel suivant.
Cette inflexion conceptuelle, qui paraît mineure, est en réalité l’une des conditions de diffusion de la doctrine. Le dirigeant qui comprend que la sûreté est un investissement à rentabilité immédiate n’a plus besoin d’être convaincu sur la durée. Il observe le résultat dans son tableau de bord à douze mois.
L’ambivalence de l’humain
Le paradoxe que ce chapitre a traité est maintenant résolu. La sûreté qui se voit échoue parce qu’elle est sécable, budgétairement et institutionnellement. La sûreté invisible réussit parce qu’elle est intégrée dans les relations, dans les pratiques et dans la conception.
Cette intégration suppose la construction de trois ressources : la confiance objectivée en pacte contractuel réciproque, la culture installée par la pratique quotidienne rituelle, la conception déployée dans les lieux, les processus, les systèmes et les contrats. Ces trois ressources se mettent en œuvre grâce à trois concepts opérationnels articulés : la théorie des maillons, la sûreté concentrique et proportionnée, le cloisonnement avec cohérence. Au cœur du dispositif, une tripartition doctrinale tranche au bon endroit les événements qui se produisent dans l’organisation. La sûreté française y est appelée à former l’aléa humain, traiter la faute, combattre la malveillance.
L’ambivalence humaine, qui traverse cet ouvrage depuis le premier chapitre, trouve ici sa résolution. L’humain n’est pas maillon faible par nature, il ne l’est pas non plus par vertu. Il est ce que l’organisation lui permet d’être. Une organisation qui lui accorde la confiance objectivée, la formation, la protection et la conception qui rendent la bonne pratique possible, transforme la potentialité de faiblesse en force active.
Une organisation qui lui refuse ces quatre éléments condamne l’humain à la faiblesse, puis le lui reproche. Cette asymétrie morale est inacceptable et est en même temps la plus coûteuse économiquement des postures organisationnelles, parce qu’elle prive l’entreprise du seul dispositif efficace de veille sur les signaux faibles, qui est la parole volontaire des salariés eux-mêmes.
La matrice confiance/culture/conception, articulée aux trois concepts opérationnels, n’est pas la fin du parcours doctrinal de cet ouvrage. Elle est la doctrine que le chapitre suivant va confier à une décision. Car une doctrine, aussi juste soit-elle, ne se met en œuvre que si quelqu’un l’arme. Cette personne, dans l’entreprise, n’est ni le responsable sûreté, ni le directeur juridique, ni le directeur des ressources humaines, ni même le conseil d’administration. Cette personne est le dirigeant.
Une histoire ordinaire
Le mardi 12 mai à 10h28, Magali Charpentier remonte de sa pause de 10h00 par le couloir qui longe le bâtiment B. Elle travaille à la Mécanique Saint-Éloi depuis quatorze ans, opératrice confirmée sur centre d’usinage à commande numérique et elle connaît chaque détail de son environnement de travail comme on connaît une maison.
Deux ans après la crise dont la presse professionnelle avait parlé en page trois sous un titre que toute l’entreprise se rappelle, Saint-Éloi a été restructurée dans son organisation interne, dans son plan de sûreté, dans ses procédures, dans ses dispositifs. La nouvelle serrure du local technique a été remplacée le surlendemain de la fameuse audition du dirigeant au commissariat. La caméra qui équipe le couloir a été installée six mois plus tard.
Pendant qu’elle remonte, Magali aperçoit, à une dizaine de mètres devant elle, un homme en costume gris qu’elle ne connaît pas, accompagné d’un cadre du service achat dont elle reconnaît le visage. Le visiteur tient son téléphone à hauteur de poitrine, à bout de bras tendu, et il filme ou photographie, elle ne distingue pas exactement, l’enfilade des stocks d’aciers spéciaux entreposés contre le mur ouest, puis l’angle de la zone d’expédition, puis l’accès au local technique, puis le panneau d’information de la zone de production qui détaille les programmes en cours par numéro de référence interne.
Le cadre du service achat parle, désigne du bras les zones visitées, ne semble pas remarquer le geste du téléphone. Magali ralentit son pas. Elle observe pendant huit secondes sans s’approcher. Elle sort son propre téléphone, compose le numéro court 33, qui est le numéro interne du responsable sûreté affiché depuis dix-huit mois sur tous les postes de téléphonie fixe, sur tous les badges du personnel et sur les panneaux d’affichage des couloirs. Karim Bennani répond à la deuxième sonnerie. Magali décrit en quatorze secondes ce qu’elle voit, sans interprétation, sans hypothèse, sans qualification. Un visiteur en costume gris dans le couloir du bâtiment B, accompagné d’un cadre du service achat, qui semble filmer les zones de stockage et le panneau d’information de production.
Karim Bennani lui dit de rester à distance, de ne pas intervenir, de ne pas se faire remarquer. Il arrive.
À 10h31, Karim Bennani est sur place. Il a pris l’escalier de service plutôt que l’ascenseur. Il aborde le visiteur et le cadre du service achat avec courtoisie, se présente, demande au visiteur de bien vouloir lui montrer son ordre de visite et le motif de sa venue. Le visiteur, qui se présente comme un prospect commercial reçu pour évaluer une éventuelle prestation de logistique, sort un badge visiteur en règle, signé par le service achat à 9h45 ce matin-là.
Karim Bennani lui demande ensuite de bien vouloir lui présenter son téléphone, qu’il constate déverrouillé, et de lui montrer la galerie. La galerie contient onze photographies prises au cours des six dernières minutes. L’enfilade des stocks d’aciers spéciaux. L’angle de la zone d’expédition. L’accès au local technique. Le panneau d’information de la zone de production avec les références CSA et leurs cadences hebdomadaires. Trois clichés du planning mensuel affiché dans le couloir.
Karim Bennani demande au visiteur de bien vouloir effacer les onze clichés en sa présence, ce que le visiteur fait sans résistance en s’excusant pour ce qu’il qualifie d’un « réflexe de mémoire visuelle ». Karim Bennani le raccompagne lui-même à l’accueil, signe la sortie du badge visiteur, et lui remet en main propre la copie du règlement intérieur visiteurs qui prohibe explicitement la prise de vue dans les zones de production sans autorisation préalable signée du responsable sûreté.
Il lui souhaite une bonne fin de journée et lui indique que la visite ne pourra pas se poursuivre. Le cadre du service achat, resté en arrière, est invité à rejoindre Karim Bennani dans son bureau à 14h00.
À 18h00, le debriefing hebdomadaire de l’équipe sûreté se tient en salle 204, comme tous les mardis. Magali Charpentier est invitée pour la première fois. Karim Bennani expose l’incident sans nommer le cadre du service achat, salue la qualité du signalement spontané de l’opératrice, demande à Magali de décrire elle-même ce qu’elle a vu et ce qui l’a alertée. Magali explique simplement que le geste du téléphone tendu n’était pas le geste d’un visiteur ordinaire, qu’elle l’a vu trois fois cette année dans des contextes différents, que cela lui a paru ne pas aller.
À 18h22, l’équipe se sépare. Magali rentre chez elle. Sur le trajet du retour, elle pense brièvement à la même journée, deux ans plus tôt, où elle avait fermé elle-même la porte du local technique avec une clé à molette parce que la serrure n’avait pas été remplacée. Elle ne s’attarde pas. Elle pense au dîner qu’elle prépare pour sa fille qui rentre de l’université ce soir.