Fonction sûreté- protection en entreprise

Bonjour,

De manière générale, en entreprise, la fonction sûreté - protection est assez mal appréhendée alors qu'elle est vitale pour celle-ci.

Alors qu'elle devrait être perçue comme une assurance, elle est considérée comme un centre de coût.

En général, on se rend compte de son importance lorsqu'il est trop tard!

Le petit memo qui suit est le fruit d'une longue expérience puisque j'ai exercé les fonctions de directeur de protection dans une grande entreprise pendant 11 années. Des années réellement passionnantes mais parfois frustrantes dans la mesure où les opérationnels assimilent trop souvent cette fonction à une entité contraignante et coûteuse alors qu'elle est bien là pour les accompagner et protéger - au sens large - leur activité. 

Dans quelques semaines, je vais rejoindre la grande cohorte du conseil.

Compte-tenu de l’expérience qui a été la mienne, et de l’envie de continuer à servir, je me propose d’être conseil en matière de sûreté/protection des entreprises.

A ce titre, je peux être :

• Force de proposition :
  •  En matière d’organisation des structures existantes et de leurs évolutions mais également dans la mise sur pied de celles-ci lorsqu’elles n’existent pas encore ;
  • Au titre de la gestion de crise ;
  • Pour les OIV (Organismes d’Importance Vitale), dans la rédaction des Plans de Sécurité Opérateur (PSO) et autres plans de protection (pour l’étranger par exemple) et leur déclinaison au sein des entités concernées ;
  • Pour la mise en œuvre de prestations de gardiennage armée (j'ai réalisé cette prestation sur l'un de nos sites) ;
  • ...
• Auditeur des dispositifs existants (y compris en matière de cybersécurité) ;
• Acteur dans la formation de celles et ceux qui veulent travailler dans ce domaine (actuellement, j’assure quelques heures de formation à Assas dans le cadre d’un master orienté sur le sujet) ;

Mais je pense aussi pouvoir être un acteur utile et pertinent dans la formation au management. Une fonction que j’ai largement exercée tout au long de ma vie professionnelle.

Le moment venu, je vous indiquerai dans quel cadre je serai amené à opérer mais, d’ores et déjà, suis preneur de sollicitations éventuelles.

Je rappelle mon objectif : être utile et servir tant que je suis encore en capacité et envie de le faire.

Je pense avoir une certaine expertise sur ces différents sujets.

Protection (sûreté) de l’activité entreprise :

Une fonction encore mal reconnue mais essentielle

Note préliminaire :

Généralement, on parle de sûreté ou de sécurité. Mais, dans certaines entreprises, pour éviter toute ambigüité avec d’autres fonctions (sécurité au travail ou sûreté nucléaire en particulier), c’est le terme de protection qui sera utilisé.

Références :

- Livre blanc CDSE 2022 de la fonction sécurité -sûreté en entreprise

- offres de formation sécurité -sûreté des partenaires du CDSE (panorama structurant)

*

**

Toute entreprise doit pouvoir protéger son activité et ses actifs si elle veut tenir ses objectifs opérationnels.

Trop souvent encore, cet adage est oublié et pris en compte tardivement.

Ceci vaut pour toutes les entreprises quels que soient leur taille, secteur d’activité et leur chiffre d’affaires.

Car la menace est omniprésente et multidirectionnelle.

La montée en puissance des attaques informatiques et informationnelles est venue largement amplifier ce besoin fondamental au cours des dernières années.

Que couvre la fonction « sûreté » /protection ?

Les savoir, savoir-faire et technologies de l’entreprise ⁽¹⁾ et, à travers lui, les personnes qui y travaillent (collaborateurs du Groupe et sous-traitants), les installations dans lesquelles est mis en œuvre ce savoir-faire, les informations échangées dans le cadre de ce savoir-faire.

1. La captation ou le détournement de nos savoirs, savoir-faire et technologies peuvent impacter durablement la compétitivité de notre entreprise, son image, et la pérennité de nos emplois (SGDSN)

Quel niveau de « sûreté » /protection ?

Il est bien évidemment lié à la sensibilité du savoir-faire en question.

Aussi, est-il faible s’il a une sensibilité réduite et très élevé dès lors qu’il engage les intérêts de notre pays (on est alors pour ces entreprises très souvent dans une logique d’OIV – Organisme d’Importance Vitale -).

Quelques principes de base :

• La fonction sûreté/protection doit avoir une capacité d’anticipation à la menace ou, à défaut, des liens « ad hoc » avec les services de l’Etat compétents pour disposer en permanence d’une cartographie « menace » la plus actualisée possible ;

• La fonction sûreté/protection doit être, chaque fois que possible, sollicitée suffisamment en amont des projets. Trop souvent encore, elle l’est tardivement par les responsables de projets et, de ce fait, les coûts induits par la mise en place des dispositifs de protection ne sont pas pris en compte dans la structure de coûts initiale. Sans surprise, les coûts dérapent et la prestation assurée est moins performante. Pour cette raison, il appartient au responsable de la fonction sûreté/protection d’être très attentif à tout nouveau projet et d’être impliqué dans les instances de décision (exemple : comité projet, comité d’offre). Une attention toute particulière doit être en particulier apportée en amont des opérations M&A au travers d’études approfondies sur les sociétés cibles d’acquisition afin d’en identifier les éventuelles vulnérabilités en matière de protection, qu’il reviendra alors à l’acheteur de compenser/corriger ;

• Un dialogue permanent doit être instauré entre la fonction sûreté/protection, les patrons de Business Unit et les chefs d’installations d’autant plus que, in fine, ce sont ces personnes qui sont responsables de leurs activités afin de mieux anticiper les besoins.

• Des sensibilisations régulières « sûreté / protection » doivent être organisées au sein de l’entreprise à tous les niveaux (COMEX, CODIR, installations, collaborateurs) avec le concours possible d’organismes extérieurs pour imprégner l’ensemble des personnes de l’entreprise au besoin.

Une fois que l’on a dit cela, il s’agit de voir comment doit être organisée cette sûreté/protection dans les entreprises.

Elle peut être une fonction à part entière gérée par une direction du même nom comme c’est souvent le cas dans les grandes entreprises.

Mais elle peut être aussi une fonction partagée comme c’est souvent le cas dans les PME et TPE en prenant la précaution, pour la protection de l’information, qu’elle ne soit pas aux mains de la DSI qui ne peut être juge et partie. Ceci doit être analysé finement avec le directeur de l’entreprise ou la personne qu’il aura désignée pour porter cette fonction tout en ayant par ailleurs d’autres responsabilités.

En outre, pour ces entités souvent installées en région, elles pourront également compter sur le soutien des antennes locales des services (DGSI en particulier).

Dans le cas d’une fonction à part entière, la direction sûreté/protection doit être armée par des personnes formées et qualifiées.

A ce stade, il existe de premiers catalogues de formation mais ils mériteraient d’être enrichis et d’être, pour certains, plus opérationnels.

S’agissant du parcours professionnel de ces personnes, il convient de demeurer extrêmement vigilants et d’éviter un effet « silo ». Aussi, est-il essentiel que celles-ci, à certains moments de leur carrière professionnelle, puissent exercer dans les fonctions opérationnelles qu’ils appuient afin de mieux en comprendre le fonctionnement et les difficultés.

Dans le cas d’une fonction partagée, il conviendrait de mettre en place des sessions de sensibilisation sur les sujets « sûreté/protection » que les personnes désignées devraient utilement suivre.