Une histoire ordinaire
Le jeudi 23 octobre à 9h00, Étienne Saint-Éloi est reçu dans les bureaux de Müller Präzisionstechnik GmbH à Augsbourg, Bavière, pour la revue annuelle du contrat-cadre qui lie Saint-Éloi à Müller depuis dix-sept ans. Müller est l’un des trois clients stratégiques de Saint-Éloi, équipementier de précision pour l’industrie aéronautique allemande, sept cents salariés, chiffre d’affaires consolidé de cent quatre-vingts millions d’euros, présence sur le programme Cardinal du second constructeur aéronautique européen, ainsi que sur le calendrier de qualification de la plateforme et sur plusieurs plateformes de défense européenne. Le contrat-cadre représente 22% du chiffre d’affaires annuel de Saint-Éloi.
La revue est conduite par Sabine Wagner, directrice des achats de Müller depuis trois ans, recrutée chez un équipementier suédois pour piloter la consolidation des relations fournisseurs après l’inflexion stratégique de Müller en 2022. Étienne Saint-Éloi la connaît depuis l’an dernier, l’a déjà rencontrée trois fois, apprécie sa rigueur méthodique et sa courtoisie professionnelle. La revue de l’an dernier s’était bien passée. La revue d’aujourd’hui est annoncée comme un exercice de routine.
À 10h45, Sabine Wagner aborde un point qui ne figurait pas dans l’ordre du jour communiqué la veille. Elle dit à Étienne Saint-Éloi que Müller a engagé en septembre, sous l’impulsion du comité d’audit, une revue systématique du Lieferantenrisikoprofil de ses dix premiers fournisseurs internationaux, c’est-à-dire du profil de risque-pays consolidé pour chaque relation critique. Cette revue intègre, parmi ses dimensions, les statistiques de criminalité économique du pays d’implantation du fournisseur, parce que le comité d’audit considère depuis 2024 que l’exposition à la criminalité économique du territoire hôte fait partie intégrante du risque-fournisseur.
Pour l’Allemagne, la donnée est produite chaque année par le Bundeskriminalamt dans le Bundeslagebild Wirtschaftskriminalität, dont l’édition 2024 a été publiée le 31 juillet 2025 et a documenté 61 358 cas pour un préjudice total de deux milliards sept cent soixante millions d’euros, avec un taux d’élucidation de 98,9%. Sabine Wagner sort de son dossier le tableau de synthèse établi par son équipe pour les dix fournisseurs de la revue.
Pour chacun, une colonne donne le rapport national de référence, une autre la dernière année disponible, une troisième le préjudice total documenté à l’échelle du pays, une quatrième le taux d’élucidation. Pour la Suède, le Brå de l’institut de criminologie. Pour l’Italie, le rapport annuel de la Direzione Investigativa Antimafia. Pour le Royaume-Uni, le Annual Fraud Report de UK Finance. Pour la Pologne, le rapport du Komenda Główna Policji. Pour les autres pays, des sources nationales équivalentes. À la ligne France, deux cases sont vides. Le rapport national de référence n’est pas renseigné. Le préjudice total documenté à l’échelle du pays n’est pas renseigné. La case du taux d’élucidation est barrée d’un trait diagonal.
Sabine Wagner demande à Étienne Saint-Éloi quelle source nationale française elle pourrait mobiliser pour renseigner les trois cases. Elle précise que ses équipes ont consulté les publications du Service statistique ministériel de la sécurité intérieure, qui agrège les données de la police et de la gendarmerie, mais que les statistiques disponibles ne distinguent pas spécifiquement la criminalité économique au sens où le Bundeslagebild la définit, qu’elles ne fournissent pas le préjudice total documenté, et qu’elles ne sont pas accompagnées d’une publication annuelle dédiée à laquelle un comité d’audit étranger pourrait se référer dans une décision de gouvernance.
Étienne Saint-Éloi prend le temps de réfléchir avant de répondre. Il évoque le rapport annuel de l’Office national antifraude créé en avril 2024, dont la portée est limitée aux fraudes aux finances publiques. Il évoque les rapports sectoriels de l’AMRAE et de l’Allianz Risk Barometer, dont la portée est descriptive et n’établit pas de chiffres consolidés de sinistralité française. Il évoque les rapports de l’ACFE sur la fraude internationale, dont la France n’est pas un contributeur statistique distinctif. Il finit par dire à Sabine Wagner qu’à sa connaissance, aucune publication française ne fournit l’équivalent du Bundeslagebild Wirtschaftskriminalität sur l’année écoulée, et qu’il ne peut donc pas renseigner les trois cases.
Sabine Wagner note la réponse. Elle demande comment, dans ces conditions, son acheteur de site peut documenter le risque-pays France auprès du comité d’audit de Müller à la prochaine revue de gouvernance. Étienne Saint-Éloi répond qu’il ne sait pas. Sabine Wagner referme le dossier poliment, le range dans son classeur, propose une pause-café, et la revue se poursuit sur les autres points.
À 12h30, Étienne Saint-Éloi déjeune avec Sabine Wagner et le directeur technique de Müller dans la salle à manger des cadres. La conversation porte sur le Cardinal C-220, dernier programme cargo du constructeur, et sur le calendrier de qualification de la plateforme.
À 14h00, la revue reprend. Le contrat-cadre est renouvelé pour un an, avec une réserve méthodologique inscrite au procès-verbal sur la documentation du risque-pays France, qui sera réexaminée à la revue 2026.
À 17h30, Étienne Saint-Éloi reprend son train à la gare d’Augsbourg. Sur la tablette du wagon, le procès-verbal de la revue, signé. Le renouvellement est obtenu. La phrase sur la réserve méthodologique tient en trois lignes au paragraphe quatorze. Elle ne mentionne aucune sanction, aucune menace, aucune date d’échéance ferme. Elle tient en trois lignes. Elle suffit.
Trois mois plus tard, en janvier, Étienne Saint-Éloi apprend par un confrère que Müller a inscrit le contrat-cadre Saint-Éloi sur la liste interne des relations « à diversifier » dans le cadre de la revue de gouvernance 2026. La décision est prise au comité d’audit du 14 janvier. Le motif documentaire ne figure pas formellement parmi les arguments inscrits au procès-verbal. Il a été évoqué par la directrice des achats lors de la séance.
Six rapports, trente ans, un même constat
Au mois de juin 2003, Bernard Carayon, député du Tarn, remet à Jean-Pierre Raffarin, Premier ministre, un rapport intitulé « Intelligence économique, compétitivité et cohésion sociale ». L’exercice est ambitieux, le travail remarquable, la commande publique à la hauteur du sujet. Trois cent soixante personnalités entendues en quatre mois et demi, une équipe interministérielle disciplinée, trente-huit propositions structurantes. La formule liminaire condense l’ambition : l’intelligence économique devrait être une vraie et grande politique publique de l’État à l’instar de ce que sont les politiques de santé, d’environnement ou de fiscalité. Le diagnostic est lucide, la méthode éprouvée, les préconisations peu onéreuses.
Le document rejoint la longue bibliothèque des rapports français dont on peut dire, sans ironie excessive, que le pays est parfait pour les produire et meilleur encore pour les enterrer.
Le rapport Carayon n’est pas un rapport isolé. Il s’inscrit dans une lignée ouverte par le rapport Martre de 1994, « Intelligence économique et stratégie des entreprises », lui-même prolongé par un second rapport Carayon de juin 2004 sur « la stratégie de sécurité économique nationale », puis par le rapport Tenzer de 2008 sur l’expertise internationale, le rapport Revel de janvier 2013 sur l’influence normative internationale stratégique ou encore le rapport secret sur la sécurité économique remis par Geoffroy Roux de Bézieux à Emmanuel Macron en 2024.
En l’espace de vingt ans, l’État français a produit six travaux de référence qui dressent à chaque fois le même constat et formulent à chaque fois des préconisations voisines, sans que la culture de sûreté des entreprises françaises, prises dans leur masse et non dans leurs fleurons, s’en trouve transformée à hauteur de l’effort analytique déployé. Ce paradoxe n’est pas imputable à une quelconque paresse administrative. Les institutions qui ont succédé aux recommandations de ces rapports existent, fonctionnent et sont parfois reconnues à l’étranger pour la qualité de leur travail.
L’Agence nationale de la sécurité des systèmes d’information (ANSSI), créée par décret du 7 juillet 2009, le Service de l’information stratégique et de la sécurité économiques (SISSE), institué par décret du 29 janvier 2016, pour ne citer que les deux plus identifiables, sont des réussites institutionnelles dont peu de pays comparables disposent à ce niveau d’exigence. Le retard français n’est donc pas un retard d’outil. Il est d’une autre nature, plus profonde, plus difficile à formuler, et c’est l’objet du chapitre que de le caractériser avec précision.
La thèse qui se dégage de l’examen est la suivante. Le retard français en matière de sûreté d’entreprise tient moins à un déficit d’institutions étatiques qu’à un défaut de passerelles entre l’État et le tissu économique ordinaire. Là où l’Allemagne et les pays anglo-saxons ont construit, chacun selon sa philosophie propre, des mécanismes de délégation qui font de chaque entreprise un relais actif de la sécurité nationale, la France a édifié un dispositif d’aval remarquable et laissé en jachère la doctrine d’amont qui devrait l’irriguer.
Le dispositif d’aval recouvre un ensemble d’outils que la République a structurés depuis 2016 autour du Service de l’information stratégique et de la sécurité économiques (SISSE), du contrôle des investissements étrangers, des sanctions économiques articulées au droit européen, de la protection du patrimoine économique national, et plus largement de la doctrine de l’État stratège qui s’est progressivement consolidée depuis le rapport Martre. Cet appareil intervient lorsque la menace est déjà caractérisée, lorsque l’opération hostile est engagée, lorsque l’investissement étranger se présente, lorsque la sanction doit être prononcée. Il agit en aval, par contrôle, par blocage, par rétorsion. Il est efficace dans son registre propre et il n’a pas vocation à être contesté dans les pages qui suivent.
La doctrine d’amont, qui devrait préparer le tissu économique à ne pas tomber sous la dépendance qui appelle ensuite le contrôle de l’aval, n’a jamais été pensée à l’échelle du tissu ordinaire des TPE/PME et des ETI françaises. Le retard n’est donc pas un retard d’État dans son registre régalien, où l’État français accomplit ce qu’on attend de lui. Il est un retard de délégation, au sens précis où la puissance publique n’a pas su, ou pas voulu, transférer aux acteurs privés la part de responsabilité que ceux-ci auraient été en mesure d’assumer si on les y avait associés en amont, c’est-à-dire avant que la menace ne se cristallise en opération hostile caractérisée.
La doctrine que cet ouvrage formule s’inscrit en complément des dispositifs d’aval existants et non en concurrence avec eux. Elle pose les conditions d’une sûreté de prévention que la République française a longtemps confiée à l’initiative privée sans la doter de l’armature conceptuelle qui aurait permis à cette initiative de produire ses pleins effets. Ce constat, qui peut sembler sévère, n’est ni une critique des institutions existantes ni un appel à leur imitation par d’autres modèles. Il est une invitation à construire une doctrine française propre, adossée à la tradition juridique et administrative du pays, articulée aux concepts déjà posés dans l’ouvrage et capable de faire du retard identifié un rattrapage effectif.
Trois modèles, trois philosophies
La sûreté d’entreprise n’est pas un concept universel qui se déclinerait uniformément d’un pays à l’autre. Elle est le produit d’une histoire institutionnelle, d’une tradition juridique, d’une répartition héritée des responsabilités entre l’État et la société civile. Trois modèles de référence méritent d’être caractérisés, non pour les hiérarchiser, mais pour comprendre la spécificité de chacun et les limites de leur transposition.
Le modèle anglo-saxon, dont les États-Unis offrent la version la plus aboutie, a construit la fonction de Chief Security Officer autour d’une figure qui combine le pilotage de la sûreté physique, la cybersécurité, la sécurité économique et la conformité réglementaire. La généalogie de cette fonction est post-2001. La double commotion des attentats de septembre et de la faillite d’Enron la même année a forgé, dans la conscience juridique américaine, l’idée qu’une défaillance de sûreté expose désormais la direction à une responsabilité personnelle qu’aucune police d’assurance ne peut absorber. Le CSO est la réponse organisationnelle à cette double pression, par le haut, celle du régulateur, et par le bas, celle du litige. Le modèle produit des avantages réels, professionnalisation de la fonction, intégration avec la gouvernance, visibilité à l’échelle de l’entreprise. Il a aussi ses limites, dont la culture française est en droit de se méfier.
La première est la judiciarisation, qui fait du procès la forme normale de résolution des litiges de sûreté, avec les coûts de transaction et l’imprévisibilité qui s’y attachent. La seconde est le primat de la compliance sur la prévention, qui conduit à privilégier la documentation défensive, la démonstration de conformité, l’accumulation de procédures écrites, au détriment de la sûreté effective dans les opérations. La troisième est l’inflation indemnitaire, qui transforme la sûreté en un poste d’assurance plutôt qu’en une culture de métier. Ces limites ne rendent pas le modèle inopérant, loin de là. Elles en marquent les effets de bord, qu’une tradition civiliste comme la française est en mesure d’éviter en ne les important pas par inadvertance.
Le modèle allemand procède d’une logique différente. Le Wirtschaftsschutz, littéralement « protection économique », s’appuie sur une architecture où le « Bundesamt für Sicherheit in der Informationstechnik », l’office fédéral de sécurité des technologies de l’information créé en 1991 et renforcé par la loi IT-Sicherheitsgesetz 2.0 de 2021, travaille en étroite articulation avec les fédérations industrielles sectorielles. Les chambres de commerce, dotées de compétences plus larges qu’en France, assurent un relais entre la puissance publique et les entreprises de taille moyenne. La culture du Mittelstand, ce tissu d’entreprises familiales industrielles de 300 à 3 000 salariés, admet historiquement que la protection du patrimoine technologique et du savoir-faire commercial est une responsabilité partagée entre l’État fédéral et l’entrepreneur. L’originalité allemande tient à l’intégration entre l’État fédéral, le Land, la chambre de commerce, la fédération professionnelle et l’assureur, qui constituent ensemble un continuum d’appui dont les ETI françaises peinent à trouver l’équivalent sur le territoire national. Le Wirtschaftsschutzbeauftragter, chargé de la protection économique, est une fonction identifiable dans l’entreprise allemande moyenne. Elle n’a pas d’équivalent systématique en France.
Le modèle français est le plus ancien dans son inspiration régalienne, le plus récent dans sa reconfiguration institutionnelle et le moins clair dans son articulation avec le tissu productif. Héritier d’une tradition jacobine où la sécurité est une fonction de souveraineté, il a longtemps considéré la sûreté d’entreprise comme relevant, soit des grands opérateurs d’importance vitale qui font l’objet d’un encadrement renforcé, soit du droit pénal classique pour le commun des entreprises, sans espace intermédiaire consacré. Les institutions qui ont été créées pour combler cet espace, D2IE puis SISSE pour le volet intelligence économique, ANSSI pour le volet cybersécurité, ont été pensées d’abord dans un registre de protection nationale, ensuite seulement dans un registre d’accompagnement sectoriel des organisations.
Ce n’est pas un défaut, c’est un choix, qui correspond à une conception précise de la répartition entre l’État et l’entreprise. Mais ce choix a des effets, dont l’un est le sujet du présent chapitre.
La comparaison invite à une conclusion mesurée. Aucun des trois modèles n’est transposable tel quel. Le modèle anglo-saxon souffre d’une judiciarisation que la culture civiliste française récuse à juste titre. Le modèle allemand repose sur une infrastructure d’intermédiation, chambres consulaires, fédérations, Länder, dont l’équivalent fonctionnel français existe, mais n’a jamais été mobilisé dans ce registre. Le modèle français dispose d’institutions étatiques de qualité mais n’a pas construit le relais permettant à ces institutions de nourrir, au quotidien, les pratiques des entreprises non stratégiques. La voie du rattrapage n’est donc ni l’imitation ni la conservation, elle est la construction d’une doctrine propre, qui assume ses points forts et comble ses angles morts. C’est l’esprit dans lequel l’ensemble de l’ouvrage est conduit, et que ce chapitre entend synthétiser.
Le retard de délégation
La généalogie des institutions françaises de sûreté économique et de cybersécurité mérite d’être retracée, car elle permet de saisir à quel point la faiblesse n’est pas dans l’offre publique, mais dans la passerelle entre cette offre et la demande du terrain économique.
En 2003, dans la foulée du rapport Carayon, un haut responsable à l’intelligence économique est institué auprès du secrétariat général de la défense nationale (SGDN). Alain Juillet, ancien directeur du renseignement à la Direction générale de la sécurité extérieure (DGSE), occupe la fonction jusqu’en 2009. En septembre 2009, le décret n° 2009-1122 du 17 septembre 2009 institue un Délégué interministériel à l’intelligence économique, rattaché au secrétariat général du ministère chargé de l’économie. Le décret n° 2013-759 du 22 août 2013 réforme le dispositif, rattache directement le délégué au Premier ministre. Le décret n° 2016-66 du 29 janvier 2016 institue alors un commissaire à l’information stratégique et à la sécurité économiques, fusion de la D2IE et du service de coordination à l’intelligence économique, et crée un service à compétence nationale, le SISSE, rattaché à la direction générale des entreprises du ministère de l’économie. Depuis juin 2018, le directeur général des entreprises exerce également la fonction de commissaire. Le service s’appuie sur un réseau de vingt et un délégués à l’information stratégique et à la sécurité économiques en région, placés au sein des directions régionales de l’économie, de l’emploi, du travail et des solidarités.
Sur un autre versant, le décret n° 2009-834 du 7 juillet 2009 crée l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui succède à la direction centrale de la sécurité des systèmes d’information issue du décret du 31 juillet 2001. L’ANSSI est un service à compétence nationale rattaché au secrétariat général de la défense et de la sécurité nationale (SGDN), soit au Premier ministre par délégation. Ses effectifs avoisinent les 600 agents, son budget hors masse salariale se situe autour de vingt-trois millions d’euros annuels. La loi de programmation militaire du 18 décembre 2013 lui a confié la mission d’autorité de défense des systèmes d’information, incluant la supervision des opérateurs d’importance vitale au titre de l’article L.1332-1 du Code de la défense. L’ANSSI pilote aussi la préparation opérationnelle à la transposition de la directive NIS 2, dont le chapitre 8 a rappelé qu’elle n’était pas encore stabilisée en droit français au printemps 2026. Elle a publié le 17 mars 2026 un Référentiel Cyber France à titre de document de travail, en attendant l’adoption du texte législatif.
Ce panorama institutionnel, dont le détail pourrait être étendu à d’autres structures, délégation interministérielle à la sécurité privée instituée en 2010, comité de liaison en matière de sécurité économique, Cerbère et autres cellules interministérielles, souligne un fait qu’il faut regarder en face. L’offre publique française de sûreté économique et de cybersécurité est dense, professionnelle, parfois reconnue à l’étranger comme une référence. La matérialité de cette offre publique mérite d’être documentée empiriquement, parce qu’elle conditionne la lecture des trois observations doctrinales qui suivent.
Le bilan d’activité du SISSE pour l’année 2024, publié dans le rapport annuel de la Direction générale des entreprises (DGE) le 23 janvier 2025, fait état d’environ 1 000 alertes traitées au cours de l’année, niveau qui marque une stabilisation après une croissance ayant triplé le volume entre 2020 et 2023. Plus de la moitié de ces alertes portent sur des tentatives de prise de participation ou de rachat d’entreprises stratégiques, ce qui atteste la persistance de la pression capitalistique étrangère sur le tissu industriel français. Environ un tiers documentent des tentatives de captation de savoir-faire, qu’elles procèdent de manœuvres contractuelles, de débauchages ciblés, de partenariats déséquilibrés ou de cyberattaques. Sur le registre extraterritorial, la loi du 26 juillet 1968 dite loi de blocage, modernisée par le décret du 18 février 2022 et complétée par l’arrêté du même jour pris pour son application, a été activée 94 fois depuis janvier 2022 pour s’opposer à des demandes de communication de documents formulées par des autorités étrangères dans des conditions contestables au regard de la souveraineté juridique nationale. Cette matérialité statistique appelle deux remarques pour la doctrine que l’ouvrage déploie.
Premièrement, elle confirme que la menace n’est ni théorique ni résiduelle, elle est documentée par l’État lui-même au rythme moyen d’une alerte traitée par jour ouvré. Deuxièmement, elle révèle un point aveugle dont la doctrine doit prendre la mesure. Les chiffres ainsi consolidés concernent les entreprises déjà identifiées par le service, par la Direction générale de la sécurité intérieure (DGSI) ou par leur intégration dans un périmètre réglementé. Les entreprises qui n’entrent dans aucun de ces dispositifs, soit la quasi-totalité du tissu des PME et des ETI françaises, sont à la fois cibles potentielles et angle mort statistique de l’État qu’elles servent. Ce constat prépare directement les trois observations qui suivent et qui caractérisent la nature précise du retard de délégation.
Le problème n’est pas celui de son existence, il est celui de sa portée effective au niveau des entreprises ordinaires. Trois observations convergent.
Première observation, la structuration de ces institutions répond d’abord à une logique de protection nationale. Les OIV (Opérateurs d’Importance Vitale) sont au cœur de l’attention. Les grands laboratoires de recherche, les infrastructures critiques, les entreprises stratégiques au sens du décret sur les investissements étrangers en France, constituent le périmètre prioritaire. Ces acteurs sont ceux dont la défaillance aurait des effets systémiques directs. Leur protection est la mission légitime de l’État mais elle laisse de côté, par construction, la PME de deux cents salariés qui fabrique un composant sans lequel une chaîne de valeur européenne s’interromprait, le cabinet d’expertise comptable qui détient les données fiscales de trois cents clients, l’ETI de maintenance industrielle dont la défaillance stopperait la production d’un site Seveso. Ces acteurs ne sont pas des OIV. Ils sont pourtant, au regard de la chaîne de valeur contemporaine, des maillons dont la criticité dépasse leur visibilité institutionnelle. Le dispositif français ne les voit pas, ou mal, ou trop tard.
Deuxième observation, les relais entre l’État et le tissu économique sont faibles. Les organisations patronales, les chambres de commerce, les fédérations professionnelles n’ont pas historiquement investi la sûreté comme un champ de service à leurs membres, sauf dans quelques secteurs spécifiquement exposés ou initiatives isolées comme la commission Souveraineté & Sécurité du MEDEF. La diffusion des référentiels produits par les institutions publiques se heurte à l’absence d’un réseau d’accompagnement capillaire. Un entrepreneur de moins de 50 salariés, qui subit une attaque par rançongiciel, a davantage de chances de trouver un consultant commercial que d’être orienté par sa chambre consulaire vers une démarche structurée d’analyse de risques et de remédiation. Cette observation n’est pas un reproche aux chambres ni aux fédérations. Elle constate une répartition historique où la sûreté n’a jamais été constituée en service de proximité pour le tissu PME et ETI.
Troisième observation, la culture institutionnelle française a construit un dispositif d’aval consolidé plus qu’un système immunitaire distribué. La distinction mérite d’être tenue. Le dispositif d’aval intervient lorsque la menace est déjà caractérisée, lorsque l’opération hostile est engagée, lorsque l’investissement étranger se présente. Ses outils sont solides, ses agents disciplinés, ses procédures éprouvées. Ils protègent les acteurs déjà identifiés comme stratégiques par leur intégration aux périmètres réglementés. Ce qui est en deçà de ces périmètres reste sans armature conceptuelle, et c’est à ce niveau que se joue, en pratique, l’essentiel de la vulnérabilité française.
Le système immunitaire distribué, par opposition, est ce qui fait qu’un organisme résiste à l’infection non par la force d’un dispositif d’intervention curative, mais par la multiplication de cellules capables de détecter et de neutraliser la menace à tout point du corps avant qu’elle ne se développe. Le système immunitaire opère en amont, par anticipation, par préparation, par capacité diffuse à distinguer ce qui appartient à l’organisme de ce qui menace son intégrité.
Une doctrine française mature de sûreté d’entreprise appelle un déplacement conceptuel du dispositif d’aval seul vers l’articulation entre dispositif d’aval consolidé et doctrine d’amont distribuée. L’État, dans cette perspective, ne renonce pas à ses prérogatives régaliennes ni à l’efficacité de son outil d’aval, il les prolonge par l’armement doctrinal, juridique et pédagogique du tissu économique qui l’entoure et que l’aval, par construction, ne sait pas toucher tant que l’événement ne s’est pas produit. Tel est le retard de délégation dont il faut désormais mesurer les ressorts internes à l’entreprise elle-même.
Les ressorts internes du retard
Si la puissance publique porte sa part dans la configuration du retard, l’entreprise française, de son côté, a développé des caractéristiques endogènes qui l’ont longtemps rendue peu perméable à la culture de sûreté. Quatre vecteurs méritent d’être identifiés, dont aucun ne relève d’une quelconque insuffisance morale du dirigeant, mais d’un agencement culturel et institutionnel dont il faut prendre la mesure.
Le premier vecteur est ce qu’il convient de désigner comme le « syndrome de l’ingénieur ». La culture technique française, héritière des grandes écoles du corps des Mines, des Ponts, de Polytechnique, a construit une confiance robuste dans la solidité de la conception technique. Le raisonnement implicite est que si la machine est bien conçue, si le code est bien écrit, si l’infrastructure est bien dimensionnée, alors l’entreprise est sûre.
Cette confiance n’est pas illégitime, elle a produit une ingénierie française de premier rang dans de nombreux secteurs. Elle a aussi une limite, celle d’avoir insuffisamment intégré le facteur humain et le facteur géopolitique comme composantes techniques de la sûreté. L’agent mécontent qui trahit, le fournisseur stratégique capté par un concurrent étranger, la dépendance à un composant soumis à des sanctions extraterritoriales, ne sont pas des défaillances de machine. Ils sont des défaillances d’organisation, que le primat de l’ingénieur sur le gestionnaire de risques a longtemps reléguées en dehors du périmètre de la sûreté technique.
Le chapitre 5 a déjà souligné la portée de cette observation pour l’exemplarité du dirigeant. Il faut ici l’étendre à la culture managériale dans son ensemble. La formation initiale des dirigeants français, dans les grandes écoles comme dans les instituts de gestion, fait une place très inégale à la sûreté d’entreprise. Elle y est parfois présente au titre d’une option « hygiène et sécurité au travail ». Elle y est rarement traitée comme une discipline managériale à part entière, intégrant sécurité physique, cybersécurité, intelligence économique, conformité, continuité d’activité et gestion de crise dans un cadre doctrinal commun. Ce défaut de formation initiale se traduit mécaniquement, vingt ou trente ans plus tard, par un défaut de sensibilité dans les comités exécutifs.
Le deuxième vecteur est le défaut de valorisation économique de la vertu. Pour satisfaire au raisonnement fiscal et assurantiel que le juriste d’attend d’une analyse sérieuse, il faut poser la question dans ses termes les plus crus. Pourquoi une PME investirait-elle sérieusement dans un plan de sûreté documenté, dans une analyse de risques structurée, dans un dispositif de continuité d’activité éprouvé par des exercices, si cet investissement n’est reconnu ni par son banquier, ni par son assureur, ni par l’État sous forme d’un crédit d’impôt ou d’une prime à l’investissement, ni par ses clients sous forme d’un avantage compétitif à l’appel d’offres ?
La réponse honnête est qu’elle a peu de raisons rationnelles de le faire au-delà de la prise de conscience individuelle du dirigeant. Or en Allemagne, dans une moindre mesure au Royaume-Uni, les investissements de sûreté sont souvent un levier de négociation directe sur les primes d’assurance ou sur les taux bancaires. Le banquier, l’assureur et l’entreprise échangent des informations que le cloisonnement français, nourri par la protection excessive du secret des affaires et par une tradition de méfiance entre les acteurs, ne facilite pas. Ce cloisonnement produit un effet paradoxal. Plus une entreprise française se montre diligente en matière de sûreté, moins elle trouve, dans son environnement financier et assurantiel, les incitations qui rendraient visible sa diligence. Le retard français est aussi un retard de valorisation économique de la vertu. La sûreté n’y est pas, ou trop rarement, un avantage concurrentiel monnayable. Elle reste un coût perçu comme tel, sans contrepartie immédiate au bilan. L’exemple allemand prouve qu’une autre configuration est possible. Le chapitre ne prescrit pas une solution unique, il pose que la question doit être traitée si le rattrapage doit avoir lieu.
Le troisième vecteur tient à une contradiction réglementaire qui mérite, pour le lecteur attentif, d’être éclairée avec précision. La loi n° 83-629 du 12 juillet 1983 réglementant les activités privées de sécurité, aujourd’hui codifiée au livre VI du Code de la sécurité intérieure par l’ordonnance n° 2012-351 du 12 mars 2012, est née d’une préoccupation politique légitime, empêcher que se développent en France des polices privées non contrôlées qui remettraient en cause le monopole régalien de la force. Le principe d’exclusivité posé par l’article L.612-2 du Code de la sécurité intérieure en est l’expression la plus visible. La création du Conseil national des activités privées de sécurité (CNAPS) par la LOPPSI 2 du 14 mars 2011, article 31, a prolongé cette logique par un contrôle professionnel étroit des entreprises de surveillance et de gardiennage. Ce qu’il importe de souligner ici est d’un autre ordre.
Cette architecture réglementaire, pensée pour protéger l’ordre public, a produit un effet indirect que ses auteurs n’avaient pas anticipé. En enfermant strictement l’activité de sécurité privée dans un carcan opérationnel et en focalisant la réglementation sur les fonctions exécutives que sont la surveillance humaine, le gardiennage, le transport de fonds et la protection des personnes, le législateur a laissé sans statut identifié l’ingénierie de sûreté stratégique dont l’entreprise a besoin. Le conseil en sûreté, la direction de la sûreté d’entreprise, l’intelligence économique appliquée aux organisations privées, n’ont pas bénéficié d’un cadre porteur équivalent. L’ordre public a été protégé. L’ordre économique a été laissé à découvert.
Cette contradiction entre les deux objectifs n’est pas inscrite dans le texte, elle résulte du choix d’un angle étroit de régulation qui a durablement découragé l’émergence d’une profession de stratège de la sûreté d’entreprise à la hauteur des besoins contemporains. Il appartient à la conclusion d’en tirer les prolongements doctrinaux. Le constat lui-même mérite d’être fait ici, car il nourrit le diagnostic du retard.
Le quatrième vecteur est le rapport ambivalent au renseignement privé et à l’enquête interne. La circulation de l’information stratégique entre entreprises et puissance publique, qui fonctionne dans le monde anglo-saxon par des canaux semi-institutionnalisés, trouve en France des obstacles culturels et juridiques.
Le secret des affaires, consacré aux articles L.151-1 à L.151-9 du Code de commerce par la loi du 30 juillet 2018 de transposition de la directive 2016/943, offre désormais un cadre juridique. L’enquête interne a trouvé, avec le guide conjoint AFA-PNF de mars 2023, un référentiel méthodologique. Mais la méfiance culturelle persiste, alimentée par une longue suspicion envers tout ce qui pourrait ressembler à une police parallèle. Cette suspicion est légitime dans son principe. Elle produit, dans son effet pratique, un déficit de professionnalisation des fonctions de renseignement économique privé, qui se traduit, pour l’ETI, par l’absence d’un écosystème de conseil mûr sur lequel s’appuyer dans les situations complexes.
Là encore, le constat ne prescrit pas une solution. Il identifie une dimension endogène du retard dont le rattrapage est conditionné à un aggiornamento culturel que les institutions françaises, à leur rythme, ont commencé à conduire.
Vers une doctrine française
Le tableau qui précède pourrait laisser le lecteur sur une impression de gravité. Il faut y ajouter, pour être juste, ce qui constitue les signes d’une évolution en cours. La décennie 2015-2025 a vu émerger un ensemble de dispositifs qui, pris isolément, pourraient sembler dispersés, mais qui, lus en série, dessinent les contours de ce qu’il est possible de désigner comme une troisième voie française.
Cette troisième voie se distingue à la fois du modèle anglo-saxon, dont elle récuse la judiciarisation et le primat de la compliance, et du modèle allemand, dont elle ne peut reproduire l’infrastructure d’intermédiation. Elle s’inscrit dans une tradition civiliste française qu’elle entend prolonger plutôt que trahir.
Le premier élément de cette troisième voie est l’affermissement progressif du cadre juridique de la sûreté économique. La loi Sapin 2 du 9 décembre 2016 a créé l’Agence française anticorruption et imposé aux grandes entreprises un dispositif anti-corruption structuré. La loi sur le devoir de vigilance du 27 mars 2017 a étendu la responsabilité des sociétés mères sur leurs filiales et sous-traitants. La loi du 30 juillet 2018 sur le secret des affaires a transposé en droit français la directive européenne correspondante. La loi Waserman du 21 mars 2022 a renforcé la protection des lanceurs d’alerte. La loi PACTE du 22 mai 2019 a introduit la qualité de société à mission, offrant aux entreprises un cadre pour inscrire dans leurs statuts une raison d’être et des objectifs sociaux et environnementaux, dont la sûreté écosystémique peut constituer une dimension.
L’ensemble de ces textes, articulés entre eux, produit un cadre juridique français de la sûreté qui n’a rien à envier, en cohérence et en substance, aux cadres anglo-saxons et allemands. Le gisement existe, il demande à être habité par les pratiques.
Le deuxième élément est la montée en puissance de la normalisation française comme terrain d’action doctrinale. Le rapport de Claude Revel du 31 janvier 2013 avait déjà formulé la thèse : la bataille économique, c’est aussi la bataille normative. Ne pas anticiper la norme, à défaut de pouvoir en être l’auteur, conduit à subir les évolutions réglementaires et à perdre l’avantage concurrentiel que confère la capacité à peser sur les standards.
Cette thèse, formulée en 2013, a trouvé en 2025 une première concrétisation française autonome avec la publication de l’AFNOR SPEC 2404 en juin 2025. Ce référentiel organisationnel du plan de sûreté, fruit d’un groupe de travail pluraliste associant forces de l’ordre, industriels, universitaires et spécialistes du renseignement économique, représente une rupture par rapport aux pratiques antérieures. Il s’adresse explicitement aux organisations de toute taille, il offre un cadre méthodologique accessible, il n’impose pas les lourdeurs parfois dissuasives des certifications internationales. Il ne se substitue pas à la norme ISO 22301 sur la continuité d’activité ni à la norme ISO 22342 de 2023 sur le plan de sûreté, il en constitue un complément français lisible, proportionné, assumé comme tel. Cette spécification AFNOR marque un jalon.
Elle n’est pas la solution à tous les problèmes. Elle signale qu’une réponse française est possible, et qu’elle peut s’articuler aux standards internationaux sans s’y dissoudre.
Le troisième élément est la réarticulation progressive entre intelligence économique et sécurité économique. Le vocabulaire a évolué. L’expression « intelligence économique », héritée du rapport Martre et du rapport Carayon, portait la marque d’une époque où l’accent se posait sur la collecte, l’analyse et l’usage de l’information stratégique. L’expression « sécurité économique », davantage utilisée depuis la création du SISSE, traduit un déplacement d’accent vers la protection des chaînes de valeur, la souveraineté des approvisionnements, la résilience des flux. Ce déplacement n’est pas une substitution. Il est un enrichissement. L’intelligence économique reste nécessaire pour anticiper. La sécurité économique lui ajoute la dimension de protection effective.
Les deux composent ensemble ce que la doctrine contemporaine désigne de plus en plus souvent comme la souveraineté économique, concept qui intègre la sûreté des opérations, la maîtrise des dépendances, et l’influence normative. Ce vocabulaire actualisé est cohérent avec la doctrine posée dans les chapitres précédents de l’ouvrage, en particulier le chapitre 6 qui fait de la sécurité économique une dimension de la sûreté, et le chapitre 7 qui traite la dépendance systémique comme un objet de sûreté à part entière.
Le quatrième élément est l’accélération réglementaire européenne. Le chapitre 7 a traité en détail la directive NIS 2, le règlement DORA et le Cyber Resilience Act. Le retard de la France à transposer NIS 2 y a été souligné. Ce retard, qu’il soit comblé à l’été 2026 comme l’indiquent les calendriers parlementaires, ou qu’il le soit plus tard, aura eu un coût objectivement mesurable. Les entreprises françaises, en particulier les PME et ETI qui relèveront des entités importantes au sens de la directive, ont perdu deux années de préparation structurée faute d’un cadre national stabilisé. Les quinze à dix-huit mille entités concernées ne peuvent engager pleinement leurs plans de mise en conformité tant que les décrets d’application ne sont pas publiés.
Cette attente, qu’un observateur pourrait juger prudente, est en réalité un transfert de risque de l’État vers l’entreprise. Pendant que la loi tarde, la menace ne ralentit pas. Le paradoxe consiste à attendre la loi pour se protéger d’une menace qui, elle, n’attend pas. L’épisode illustre, dans le registre contemporain, la même dynamique que le rapport Carayon illustrait en 2003. La France produit des diagnostics excellents, des textes préparés avec rigueur, et peine à franchir la dernière étape, celle de l’inscription dans l’ordre juridique positif et dans les pratiques effectives.
Une valse française à trois temps
Le tableau qui précède pose les éléments d’une troisième voie française et confirme que la matière institutionnelle existe. Elle attend la formulation qui lui donnera la cohérence d’une doctrine, c’est-à-dire la grammaire d’action que les dirigeants peuvent saisir et que les fédérations professionnelles peuvent diffuser. Cette grammaire fait à ce jour défaut et son absence est l’un des ressorts les plus profonds du retard que ce chapitre a diagnostiqué.
Le présent ouvrage entend la formuler, non comme un slogan supplémentaire dans le maquis des référentiels existants, mais comme la traduction française d’une posture organisationnelle qui distingue l’entreprise dotée d’une sûreté vivante de l’entreprise qui se contente de la conformité. Cette grammaire tient en trois verbes articulés, à savoir « anticiper, amortir, reconfigurer ».
Trois verbes, parce que la sûreté française est une discipline de l’action conduite dans la durée, non une catégorie de l’analyse. Trois verbes, parce que la doctrine que cet ouvrage propose entend laisser aux dirigeants la latitude d’arbitrer entre les opérations plutôt que de leur imposer des dispositifs. Trois verbes, enfin, parce que la sûreté de l’environnement extérieur de l’organisation appelle une grammaire propre, distincte de celle qui qualifie les événements humains internes et que le chapitre 9 développera sous la formule « former, traiter, combattre ».
Ces deux figures à trois temps sont complémentaires. La première porte sur les expositions structurelles que l’organisation rencontre dans son environnement géoéconomique, technologique et institutionnel. La seconde porte sur les comportements humains qu’elle observe en son sein. Leur articulation produit la doctrine française à deux versants que la conclusion formulera comme telle.
Le sens des trois verbes dans la dynamique du mouvement
Anticiper, dans la grammaire que cet ouvrage propose, n’est pas observer passivement les configurations possibles de l’environnement. C’est se positionner activement par rapport aux signaux faibles qui annoncent les recompositions, en mobilisant des ressources avant que la nécessité de la mobilisation ne soit pleinement caractérisée. C’est l’acte de pré-engagement organisationnel qui permet de gagner les semaines, les mois, parfois les années qui font la différence entre une organisation préparée et une organisation surprise. Anticiper est doctrinalement plus actif que prévoir, parce qu’il engage déjà des ressources et des décisions, alors même que le scénario qui justifierait pleinement ces décisions n’est pas encore réalisé. Cette dimension prospective active distingue la doctrine française des doctrines anglo-saxonnes qui se contentent de la détection. La détection suppose un événement qui se produit. L’anticipation suppose un mouvement qui s’amorce.
Amortir n’est ni la prévention du choc ni la réparation après le choc. C’est maintenir activement la cohérence opérationnelle de l’organisation pendant que le choc s’exerce, par mobilisation continue des dispositifs préparés en amont. La métaphore mécanique éclaire le concept. L’amortisseur automobile n’est ni le pare-chocs qui prend la déformation à sa charge, ni le frein qui interrompt le mouvement. Il est l’organe qui maintient la stabilité du véhicule pendant que la route est mauvaise, en absorbant les irrégularités sans transmettre les chocs à l’ensemble de la structure. Pour l’entreprise, amortir signifie donc rester en mouvement opérationnel pendant la perturbation, sans rupture des fonctions critiques et sans perte de la cohérence d’ensemble. Les stocks de précaution, les capacités de substitution, la trésorerie de précaution, les compétences de continuité, ne sont pas des dispositifs de réparation après le choc. Ce sont les dispositifs qui rendent la continuité possible pendant le choc. L’amortissement est ce qui empêche le crash direct et ce qui ouvre la possibilité de la reconfiguration. Sans lui, l’organisation se brise sous l’impact avant d’avoir eu le temps de penser à se transformer.
Reconfigurer, enfin, n’est pas reconstruire à l’identique, ce qui supposerait un retour à un état antérieur que l’environnement ne restitue plus. Ce n’est pas davantage refonder totalement, ce qui supposerait un luxe de temps et de ressources que l’urgence du cycle interdit. Reconfigurer est l’ajustement structurel ciblé par lequel l’organisation, une fois le choc absorbé, saisit le moment pour repenser activement ses chaînes, ses positions et son architecture, en intégrant les enseignements du choc qui vient de s’achever et en anticipant la phase suivante du cycle. Cette opération n’a pas de fin propre. Elle ouvre le temps d’anticipation suivant, ce qui inscrit la valse dans la durée plutôt que de la clore.
Une cyclicité, non une séquence
Les trois verbes ne décrivent pas une succession linéaire avec une début et une fin. Ils décrivent un cycle dans lequel la reconfiguration est elle-même le commencement d’une nouvelle anticipation et dans lequel l’organisation passe en permanence d’un temps à l’autre selon la phase de l’environnement qu’elle traverse.
Cette cyclicité est structurante, parce qu’elle pose, en arrière-plan, une thèse sur l’environnement contemporain dont la portée dépasse la sûreté d’entreprise. L’environnement ne reviendra pas à un état stable. La doctrine française que cet ouvrage formule prend acte de cette recomposition permanente. Elle ne propose pas à l’organisation de se protéger contre un monde qui aurait dévié de la norme, elle lui propose de se piloter dans un monde dont la recomposition est la norme.
Cette posture est philosophiquement plus exigeante que celle des doctrines qui supposent un état stable à protéger ou à retrouver. Elle demande au dirigeant d’accepter que son organisation ne sera jamais durablement protégée, parce que la protection durable n’a plus de sens dans un environnement qui se recompose en permanence. Elle lui demande aussi d’accepter que son rôle n’est pas de stabiliser son organisation, mais de la faire avancer dans un environnement instable. La distinction est lourde de conséquences pour la définition même du métier dirigeant. Le dirigeant qui cherche la stabilité passive est dépassé. Le dirigeant qui pilote la dynamique est doctrinalement adapté à la décennie qui s’ouvre.
Une grammaire française parmi les grammaires concurrentes
La valse à trois temps que cet ouvrage propose s’inscrit dans un débat international où plusieurs grammaires concurrentes occupent déjà le terrain. Il convient de la situer par rapport à elles, parce que la doctrine française ne se constitue pas dans l’ignorance de ce qui s’écrit ailleurs, elle se constitue dans l’articulation lucide entre l’apport des autres et la spécificité française.
Le Cybersecurity Framework publié par le National Institute of Standards and Technology, dans sa version 2.0 d’avril 2024, organise la sûreté informatique américaine autour de six fonctions, à savoir (i) gouverner, (ii) identifier, (iii) protéger, (iv) détecter, (v) répondre et (vi) récupérer. Cette grammaire est précieuse pour le périmètre cyber qu’elle couvre. Elle reste cependant prisonnière du présupposé d’un état normal à protéger ou à retrouver, présupposé que les fonctions protect et recover portent dans leur formulation même.
La doctrine française que cet ouvrage propose ne récuse pas ces fonctions, elle les inscrit dans une temporalité plus large où la récupération n’est pas le retour à un état antérieur mais l’amorce d’une reconfiguration vers un état suivant.
Le référentiel Enterprise Risk Management publié par le Committee of Sponsoring Organizations of the Treadway Commission, dans sa version révisée de 2017 sous le titre Enterprise Risk Management. Integrating with Strategy and Performance, organise la gestion des risques d’entreprise autour de cinq composantes articulant (i) gouvernance, (ii) stratégie, (iii) performance, (iv) revue et (v) information. Cette grammaire est utile pour l’audit interne qu’elle structure et pour le dialogue qu’elle permet avec les conseils d’administration. Elle reste cependant centrée sur la continuité plutôt que sur la mutation. Elle est, par construction, mal armée pour penser les recompositions structurelles que la décennie qui s’ouvre impose aux organisations productives, parce que ses outils d’évaluation des risques supposent une continuité du référentiel de mesure que la fragmentation invalide.
La boucle décisionnelle dite OODA, formulée dans les années 1970 par le colonel John Boyd dans le cadre de la doctrine aérienne américaine et popularisée depuis dans les sphères stratégique et entrepreneuriale, articule elle (i) l’observation, (ii) l’orientation, (iii) la décision et (iv) l’action en un cycle court destiné à prendre l’avantage tactique sur l’adversaire. Cette grammaire militaire est puissante pour la conduite de l’engagement à l’instant. Elle suppose cependant un adversaire identifié et un théâtre d’opération circonscrit. Elle est mal adaptée à la sûreté d’entreprise, qui ne dispose pas, le plus souvent, d’un adversaire identifié, et qui doit composer avec des recompositions structurelles plutôt que des engagements tactiques.
La doctrine allemande de la sûreté industrielle, déployée notamment au sein du Bundesverband der Deutschen Industrie et dans les travaux du Bundesamt für Sicherheit in der Informationstechnik, articule (i) la prévention (Prävention), (ii) la défense (Verteidigung), (iii) la résistance (Widerstand) et (iv) le rétablissement (Wiederherstellung). Cette grammaire à dominante défensive, héritée de la pensée militaire continentale, fournit une architecture solide. Elle est cependant moins prospective que la grammaire française que cet ouvrage propose, parce que ses verbes principaux décrivent des postures plutôt que des mouvements, et parce qu’elle suppose, dans son arrière-plan, une stabilité du cadre que la sûreté allemande n’a historiquement pas eu à interroger jusqu’à la décennie 2020.
La spécificité française tient à trois traits que les grammaires voisines ne portent pas avec la même netteté. Premièrement, la dimension prospective active de l’anticipation, qui dépasse la détection sans la renier. Deuxièmement, la dimension transformatrice de la reconfiguration, qui dépasse la récupération en assumant que l’environnement ne se restituera pas. Troisièmement, et surtout, la cyclicité explicite des trois temps qui inscrit la doctrine dans l’hypothèse de la recomposition permanente plutôt que dans celle du retour à la stabilité. Ces trois traits constituent ce que la doctrine française apporte au débat international, non pour se distinguer par principe, mais pour proposer un cadre adapté à un environnement que les grammaires héritées n’ont pas été conçues pour penser.
Pourquoi cette grammaire a manqué jusqu’à présent
La question mérite d’être posée. Une formule à trois verbes, que le lecteur peut désormais lire et se réapproprier en quelques lignes, paraît à la lecture si simple qu’on s’étonne de ne la trouver dans aucun référentiel français antérieur. Cette absence n’est pas le fruit du hasard. Elle est le résultat d’un faisceau de causes dont quatre appartiennent au champ proprement français et dont deux relèvent de la circulation internationale des idées. L’épilogue traitera ces dernières. Les ressorts français méritent d’être exposés ici, parce qu’ils prolongent directement le diagnostic de retard que ce chapitre a déployé.
Le premier ressort est lexical, et il a été traité au chapitre 2. Tant que la sûreté et la sécurité demeurent indistinctes dans la langue ordinaire des dirigeants français, la pensée de l’environnement extérieur reste captive de la pensée régalienne de la sécurité d’État. La sûreté d’entreprise comme sujet autonome n’a pas pu émerger en France parce que l’entreprise n’était pas reconnue comme sujet de la sûreté. Elle était objet à protéger ou instrument à contrôler. Or sans sujet, pas de grammaire d’action propre. La valse à trois temps ne pouvait pas se formuler tant que l’entreprise restait en position d’objet, et c’est l’une des raisons pour lesquelles ce chapitre s’inscrit dans la continuité du chapitre 2. La clarification du vocabulaire est la condition de possibilité de la formulation doctrinale. La proposition de grammaire lexicale française que le chapitre 2 a posée, en distinguant la sûreté comme protection contre l’atteinte volontaire et la sécurité comme protection contre l’aléa technique ou environnemental, ouvre l’espace dans lequel les trois verbes peuvent enfin être prononcés.
Le deuxième ressort est institutionnel, et il a été préparé par les sections antérieures de ce même chapitre. La pensée de l’environnement extérieur, en France, est éclatée entre des administrations qui ne se parlent pas, ou qui se parlent mal. Le Secrétariat général de la défense et de la sécurité nationale (SGDN) traite l’arbitrage interministériel, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) traite le cyber, le Service de l’information stratégique et de la sécurité économiques (SISSE) traite l’intelligence économique, la Direction générale de la sécurité intérieure (DGSI) traite les menaces extérieures à composante intérieure, le Ministère de l’Europe et des Affaires étrangères traite la diplomatie, la Direction générale du Trésor traite les volets économiques. Cette répartition fonctionnelle, dont chaque pièce est légitime, interdit la consolidation d’une grammaire unifiée à destination des entreprises. Les organisations professionnelles, à qui il appartiendrait de produire la synthèse, n’ont pas davantage été en mesure de la formuler. La grammaire qui manquait n’est donc pas seulement absente parce que personne ne l’a écrite, elle est absente parce que la fragmentation des compétences en a rendu l’écriture organisationnellement difficile.
Le troisième ressort est temporel et touche directement à la disparition progressive d’une pensée d’État du temps long. La suppression du Commissariat général du Plan par le décret n° 2006-260 du 6 mars 2006, qui institue à sa place le Centre d’Analyse Stratégique, a marqué la fin d’une institution qui, de 1946 à 2006, avait porté la planification française à travers dix plans quinquennaux successifs. Le Centre d’Analyse Stratégique, structure de veille et d’expertise, n’a pas hérité de l’autorité doctrinale de son prédécesseur. Il a été à son tour abrogé par le décret n° 2013-333 du 22 avril 2013, qui institue France Stratégie, organisme dont le positionnement oscille depuis sa création entre la prospective et l’évaluation des politiques publiques sans jamais s’installer pleinement dans l’une ou l’autre. Le décret n° 2020-1101 du 1er septembre 2020 a créé un Haut-Commissariat au Plan sans administration propre, qui s’appuyait sur les moyens de France Stratégie sans en porter la doctrine. La fusion intervenue en 2025 entre les deux entités, sous la forme du Haut-Commissariat à la Stratégie et au Plan, achève cette séquence en regroupant des moyens sans pour autant restaurer la fonction. Cette histoire institutionnelle de vingt années, qui ressemble par sa chronologie à un feuilleton plus qu’à une politique, illustre l’érosion d’une compétence d’État qui aurait été nécessaire pour formuler la grammaire dont le présent chapitre soutient qu’elle manque. La prospective comme discipline d’État s’est diluée. Les corps intermédiaires qui auraient pu en porter le relais, les fédérations professionnelles, les chambres consulaires, les écoles de management, n’ont pas pris le relais. Or la valse à trois temps relève du temps long, dans la modalité particulière des cycles structurels. Une époque qui a laissé s’éroder sa pensée prospective ne pouvait pas formuler une doctrine dont la prospective constitue le premier verbe.
Le quatrième ressort est politique et culturel à la fois. Le cycle électoral quinquennal, hérité de la révision constitutionnelle de 2000 et du calendrier législatif qui l’a suivie, a contracté la temporalité publique française à une fenêtre incompatible avec la pensée prospective sérieuse. Les politiques publiques s’écrivent désormais à l’horizon du mandat, ce qui rend impensable, dans la sphère décisionnelle où elles se conçoivent, la grammaire d’une doctrine qui suppose dix à quinze ans pour produire ses effets. L’entreprise, qui dispose pourtant d’une temporalité plus libre que celle de l’État, a calqué ses propres horizons sur la temporalité publique, par mimétisme institutionnel ou par contagion managériale. La rotation moyenne des dirigeants dans les comités exécutifs des entreprises françaises ne dépasse guère cinq années, ce qui place l’horizon de pilotage des organisations productives à hauteur de l’horizon de pilotage de l’État. Le résultat est une asphyxie collective de la pensée des cycles longs, asphyxie dont la valse à trois temps est l’antidote possible.
Anticiper exige de mobiliser des ressources sur des signaux dont la matérialisation prendra plusieurs années. Reconfigurer exige d’engager des ransformations dont les effets ne seront mesurables qu’au cycle suivant. Ces deux verbes appellent une posture organisationnelle que la contraction de la temporalité publique a rendue contre-intuitive pour la génération de dirigeants formés depuis le tournant du siècle.
Une grammaire géoéconomique transposable au-delà
La valse à trois temps a été pensée, dans l’origine doctrinale qui est la sienne, pour répondre à la fragmentation géoéconomique que le Global Risks Report du Forum économique mondial, dans son édition 2026 publiée le 14 janvier 2026, place au premier rang des risques sévères à l’horizon de deux ans. Le périmètre principal de la formule est donc, à strictement parler, géoéconomique. Elle organise la posture de l’entreprise face aux recompositions des chaînes de valeur, aux arbitrages entre dépendance et souveraineté, aux exigences fiscales et douanières que la géopolitique contemporaine impose, et aux mutations capitalistiques qui transforment les fournisseurs critiques en partenaires à durée d’horizon variable.
Cette restriction de périmètre est doctrinalement assumée. Elle n’interdit cependant pas l’extension de la grammaire à d’autres mutations structurelles dont la décennie qui s’ouvre appellera la prise en charge. La transition technologique liée à l’intelligence artificielle agentique, la mutation sociologique des modèles d’autorité dans l’entreprise, la transition cryptographique vers les standards post-quantiques, la médiation technologique généralisée et l’effacement perceptif qu’elle prépare, sont autant de registres dans lesquels les trois verbes peuvent être mobilisés sans dénaturer la formule.
L’épilogue de l’ouvrage en proposera plusieurs déclinaisons. Le lecteur retiendra, à ce stade, que la valse à trois temps n’est pas une formule étanche réservée à un seul registre, mais un cadre dont la précision géoéconomique d’origine n’interdit pas la transposition raisonnée à d’autres expositions de longue durée.
Une formule au service du rattrapage
Cette grammaire, ainsi formulée, ne suffit pas à rattraper le retard que ce chapitre a diagnostiqué. Elle en est cependant la condition de possibilité. Sans elle, les conditions du rattrapage que la section suivante va exposer resteraient techniques. Elles deviendraient autant d’inflexions juxtaposées sans la grammaire qui en synthétiserait l’esprit. Avec elle, elles acquièrent la cohérence d’un projet doctrinal que les dirigeants peuvent saisir et que les fédérations professionnelles peuvent diffuser. La grammaire et les inflexions sont solidaires. La grammaire pose le sens, les inflexions opèrent l’application. Cet ouvrage n’a pas la prétention de clore la formulation doctrinale qu’il propose. Il a la prétention plus modeste de l’ouvrir, en assumant qu’une doctrine vivante n’est pas celle qu’un auteur impose, mais celle qu’une communauté de praticiens finit par se donner.
Des dispositifs robustes, frugaux et rustiques
La valse à trois temps appelle, pour être praticable, une grammaire des dispositifs qui la complète. La doctrine que cet ouvrage formule emprunte cette seconde grammaire à la tradition militaire française que la décennie 2020 a réinvestie face aux contraintes de la guerre longue. La leçon qu’il en retient tient en trois adjectifs articulés. Les dispositifs de sûreté d’entreprise gagnent à être robustes, frugaux et rustiques. Cette triade qualifie les outils, les processus, les architectures que l’organisation déploie pour rendre praticable la grammaire d’action posée par anticiper, amortir, reconfigurer.
Robuste désigne le dispositif qui résiste aux conditions adverses sans se briser. Un règlement intérieur robuste est celui qui tient devant le juge prud’homal et devant le conseil d’administration, qui se défend dans le contentieux et qui ne demande pas de renégociation à chaque incident. Une procédure de signalement robuste est celle qui fonctionne lorsque la pression interne est forte, lorsque les enjeux sont graves et lorsque le contexte est défavorable. Un pacte de confiance robuste, dont le chapitre 9 développera la doctrine, est celui qui survit aux changements de direction, aux restructurations et aux cessions. La robustesse n’est pas une qualité technique. Elle est une qualité doctrinale qui suppose que le dispositif ait été conçu en intégrant dès l’origine les conditions dans lesquelles il aura à fonctionner.
Frugal désigne le dispositif qui consomme peu de ressources. Cette frugalité est triple, financière, humaine et temporelle. Financière, parce que le dispositif ne suppose pas un investissement disproportionné par rapport à la taille de l’entreprise. Humaine, parce qu’il ne mobilise pas une équipe d’experts dédiés que la PME ou l’ETI ne peut, par construction, recruter. Temporelle, parce qu’il ne demande pas un déploiement sur plusieurs années avant de produire ses effets. La frugalité distingue la doctrine française des grammaires anglo-saxonnes de la compliance, qui supposent précisément des ressources que la masse des entreprises françaises ne peut mobiliser. Elle est, dans cet ouvrage, une qualité éminemment démocratique, parce qu’elle rend la doctrine accessible à toutes les tailles d’organisation.
Rustique désigne le dispositif qui est simple à employer, facile à maintenir, ne dépendant ni d’expertise rare ni d’infrastructure sophistiquée pour fonctionner. La porte ouverte sans complaisance, dont le chapitre 9 posera les quatre principes, est rustique parce qu’elle ne demande qu’une charte interne et un règlement intérieur révisé. Le debriefing sans sanction est rustique parce qu’il ne demande qu’une procédure formalisée et la discipline de son application. La cartographie des dépendances, dans sa version élémentaire, est rustique parce qu’elle peut être conduite par les équipes internes avec des outils ordinaires, sans recours à un cabinet spécialisé. La rusticité distingue la doctrine française des doctrines technologistes contemporaines, qui supposent que les solutions sophistiquées sont supérieures aux solutions simples. Cette supposition est doctrinalement fausse dans la durée. Les solutions technologiques, par construction, se périment vite. L’obsolescence est l’horizon naturel de tout dispositif technique, là où la culture, lorsqu’elle est installée, et les réflexes, lorsqu’ils sont entraînés, demeurent. Un dispositif rustique correctement maintenu peut tenir vingt ans. Une solution technologique de pointe est obsolète à cinq.
L’analogie militaire qui inspire la triade mérite d’être explicitée brièvement. La doctrine de l’armée française, telle que la décennie 2020 et l’observation du conflit ukrainien l’ont conduite à la reformuler, distingue les matériels de haute intensité, qui assurent la supériorité tactique et la dissuasion sur des engagements ponctuels, et les matériels de masse, dits « à hauteur d’homme », qui tiennent dans la durée d’une guerre longue. Les matériels de haute intensité sont coûteux, rares et longs à produire. Les matériels à hauteur d’homme sont, à l’inverse, ce que le personnel combattant peut comprendre, employer et réparer seul, sans expertise rare ni infrastructure sophistiquée. Dans une guerre d’usure logistique, où la masse et la disponibilité prennent le pas sur la performance unitaire même exceptionnelle, ce sont les matériels rustiques qui emportent la décision.
La transposition à la sûreté d’entreprise est immédiate. La sûreté que cet ouvrage formule ne se joue pas sur la performance unitaire ponctuelle. Elle se joue sur la tenue dans la durée, sur des cycles structurels qui se mesurent en années et en décennies. Les dispositifs qui rendent cette tenue possible doivent donc partager les qualités qui rendent les dispositifs militaires utiles dans une guerre longue. Robustesse pour résister aux chocs, frugalité pour ne pas épuiser les ressources de l’organisation, rusticité pour pouvoir être maintenus sans expertise rare ni infrastructure sophistiquée. Le dirigeant qui voudrait bâtir une sûreté entièrement sophistiquée se condamnerait à une fragilité structurelle, parce que la sophistication ne tient pas dans la durée. Le dirigeant qui équilibre les dispositifs sophistiqués pour les enjeux qui les méritent et les dispositifs robustes, frugaux et rustiques pour la masse de ce qu’il a à protéger, construit une sûreté qui dure.
Cette grammaire des dispositifs prépare une thèse économique et politique que le chapitre 9 développera en clôture, à savoir que la doctrine française que cet ouvrage propose est, en un sens précis, gratuite. Elle n’impose ni dépense particulière ni équipement obligatoire. Elle suppose une posture organisationnelle dont la mise en œuvre dépend, pour l’essentiel, de l’attention, de la discipline et du temps que le dirigeant accepte d’y consacrer ainsi que de la confiance qui rend ces trois ressources opérantes.
Cette thèse, qui mérite d’être déployée en son lieu, trouve dans la triade « robustes, frugaux, rustiques » sa condition de possibilité. Une doctrine ne peut être gratuite que si ses dispositifs sont effectivement à la portée de toute organisation, c’est-à-dire si elle ne suppose pas, pour être mise en œuvre, des ressources que seules les plus grandes entreprises peuvent mobiliser.
Les conditions du rattrapage
Un chapitre sur le retard ne prend son sens qu’à la condition d’essayer d’identiier les voies du rattrapage. Celles-ci ne relèvent pas d’une utopie institutionnelle. Elles procèdent d’un enchaînement d’inflexions, graduelles et compatibles entre elles, dont chacune se rattache aux concepts déjà posés dans l’ouvrage.
La première inflexion est la constitution d’un relais stable entre les institutions publiques et le tissu économique ordinaire. Ce relais n’appelle pas la création d’une nouvelle structure. Il appelle la mobilisation active des acteurs existants, organisations patronales, chambres consulaires, fédérations professionnelles, ordres et syndicats professionnels, dans une fonction que les institutions d’État, par construction, ne peuvent remplir. L’AFNOR SPEC 2404 peut ici encore permettre un support opérationnel. Il appartient aux relais économiques de s’en saisir, de le diffuser, de le décliner par secteur. Le SISSE et l’ANSSI ne peuvent être, seuls, au contact des six millions d’entreprises françaises. Elles le peuvent, en revanche, si elles travaillent en partenariat avec les organisations qui sont déjà en contact avec elles.
La deuxième inflexion est la reconnaissance économique de la diligence de sûreté. Elle passe par une articulation entre les acteurs financiers, assureurs et banquiers et les entreprises qui conduisent une démarche structurée. Le référentiel AFNOR, les certifications ISO, la qualité du plan de sûreté, peuvent devenir des éléments reconnus dans la tarification du risque. Cette reconnaissance n’exige pas de nouveau texte. Elle appelle un dialogue entre les fédérations d’assureurs, les autorités de contrôle prudentielles et les organisations représentatives du tissu PME et ETI. Le cadre juridique existe, la pratique reste à construire. Elle exige, pour s’établir, que la sûreté soit reconnue comme un actif valorisable et non comme un coût subi.
La troisième inflexion est l’intégration de la sûreté d’entreprise dans la formation initiale des dirigeants et des cadres. La création de modules consacrés dans les grandes écoles d’ingénieurs, les grandes écoles de commerce, les instituts d’études politiques, les masters de droit et de gestion, ne relève pas d’une réforme structurelle lourde. Elle demande une volonté pédagogique et une offre de formation adossée à un corpus doctrinal consolidé. L’ouvrage, dans son ambition propre, entend contribuer à ce corpus. La sûreté d’entreprise n’est pas une discipline annexe, elle est une composante du pilotage stratégique que les dirigeants doivent maîtriser au même titre que la finance, le droit des affaires, les ressources humaines ou la stratégie commerciale.
La quatrième inflexion est la constitution d’un avantage concurrentiel français par la sûreté. Cette proposition peut paraître paradoxale, tant la sûreté a été longtemps perçue comme un coût. Elle correspond pourtant à une réalité économique contemporaine. Les chaînes de valeur internationales intègrent de plus en plus des exigences de résilience, de traçabilité, de maîtrise des dépendances. Une entreprise française capable de documenter son plan de sûreté, de présenter une cartographie de ses dépendances, de démontrer sa capacité à opérer en mode dégradé, de justifier d’un pacte de confiance documentable avec ses salariés, devient un partenaire dont la qualité se lit au-delà de ses seules performances commerciales. Elle est intégrable dans des écosystèmes qui refuseraient d’autres acteurs moins matures. L’avantage concurrentiel n’est pas à chercher dans la technicité des dispositifs, il est dans la démonstration de maturité organisationnelle. Le rapport Revel de 2013, avec une lucidité qui mérite d’être saluée, avait déjà formulé l’intuition en termes normatifs. La guerre économique est aussi une guerre des standards. L’entreprise française qui porte une doctrine de sûreté cohérente contribue à rendre audibles, à l’échelle européenne et internationale, les choix français de régulation. La sûreté devient alors instrument d’influence, autant que protection interne.
La cinquième inflexion, qui synthétise les précédentes, est l’articulation systématique entre les concepts posés dans l’ouvrage et la tradition juridique française. La tripartition aléa-faute-malveillance de l’article 121-3 du Code pénal offre une grille de lecture des événements que le droit français manie depuis plus d’un siècle. Le pacte de confiance documentable et bilatéral entre employeur et salarié prolonge la longue tradition civiliste du contrat synallagmatique. La sûreté concentrique étendue aux partenaires s’appuie sur la clause contractuelle comme instrument éducatif, mode de diffusion doctrinale autant que de protection juridique. La justice effective due à l’entreprise victime comme finalité, le guichet unique comme moyen, la sécurité économique comme dimension de la sûreté, la sûreté par conception articulée à l’éthique du gardien, l’exemplarité du dirigeant comme composante technique du dispositif, constituent l’ossature d’une doctrine française qui peut se revendiquer comme telle sans imiter ni renier les modèles étrangers. Ce corpus est cohérent avec la culture juridique et administrative du pays. Il est accessible aux PME et aux ETI. Il est articulable avec les standards internationaux. Il est défendable en contentieux comme en gouvernance. Il constitue, au terme du chapitre, la proposition positive qui doit être opposée au constat de retard.
Le paradoxe du retard français, comme tous les paradoxes de l’ouvrage, trouve sa résolution dans la capacité à le reconnaître sans complaisance, à en analyser les ressorts sans procès d’intention, et à formuler la voie de son dépassement. Le retard n’est pas une fatalité culturelle, il est une trajectoire historique qui peut être infléchie. La France dispose des institutions, du cadre juridique, du tissu économique, et de la tradition doctrinale nécessaires pour construire une doctrine de sûreté d’entreprise mature. Ce qui lui manque encore est l’articulation entre ces ressources et la conscience collective que cette articulation est, dans le monde contemporain, une condition de souveraineté autant qu’une exigence de gestion. L’ouvrage entier vise à contribuer à cette articulation. Le chapitre 9, consacré au paradoxe de la confiance, en développera une dimension centrale. Le chapitre 10, consacré au paradoxe de la pérennité, en examinera les conditions dans la durée. L’épilogue en tirera les propositions structurantes.