Le processus de planification d’urgence commence par une évaluation des risques qui permet d’évaluer l’impact potentiel de chaque risque. En général, l’analyse des risques est effectuée par les dirigeants et les employés. Les membres de l’équipe commencent par une session de brainstorming où ils discutent des risques potentiels, des lignes de conduite et de la préparation globale de l’entreprise. Au cours de cette étape, il est important de définir clairement la portée du projet et d’inviter toutes les parties prenantes concernées à apporter leur contribution. Les entreprises n’ont pas besoin de créer un plan de gestion des risques pour chaque menace à laquelle elles sont confrontées, mais seulement pour celles qui sont considérées comme très probables et qui risquent d’interrompre leurs activités.

Une analyse efficace de l’impact sur l’entreprise est essentielle pour comprendre les différentes fonctions de l’entreprise et savoir comment elles réagiront face à des événements inattendus. Par exemple, si une pénurie de microprocesseurs peut être dévastatrice pour une partie d’une entreprise qui fabrique des consoles de jeu, elle n’aura probablement que peu ou pas d’impact sur le département des ressources humaines de cette même entreprise.

Pour savoir s’il est urgent de créer un plan d’action pour cette menace en particulier, l’entreprise doit savoir quelle part de son chiffre d’affaires est générée par la partie de l’activité menacée par la pénurie de microprocesseurs. Si les consoles de jeu représentent un pourcentage élevé de son chiffre d’affaires, elle devra veiller à mettre en place un plan solide rapidement. Une analyse d’impact sur l’entreprise bien développée aide les parties prenantes à évaluer les risques et à identifier les parties de leur entreprise qui sont essentielles aux opérations quotidiennes.

Après avoir identifié les risques auxquels leur entreprise est confrontée, déterminé la probabilité et la gravité de chaque risque et effectué une analyse d’impact sur l’entreprise, les dirigeants peuvent suivre un processus simple en trois étapes pour élaborer leur plan de sauvegarde.

Identifier les déclencheurs qui mettront leur plan en action : par exemple, si un ouragan approche, à quel moment faut-il déclencher le plan d’urgence ? Quand il se trouve à 80 ou 160 km ? Ils devront prendre des décisions claires pour que les équipes chargées de l’exécution sachent quand commencer leur travail.

Concevoir une réponse appropriée : la menace pour laquelle l’entreprise s’est préparée est arrivée. Les équipes devront savoir exactement ce que l’on attend d’elles pour que l’entreprise puisse récupérer rapidement. Elles auront besoin d’instructions claires et accessibles, de protocoles faciles à suivre et d’un moyen de communiquer entre elles.

Déléguer les responsabilités de manière claire et équitable : comme toute autre initiative, la réussite de la planification d’urgence repose sur une gestion de projet efficace. Dans le cas d’une menace existentielle telle qu’une catastrophe naturelle, toutes les personnes impliquées dans l’aide au rétablissement de l’entreprise doivent connaître leur rôle et avoir reçu une formation appropriée pour l’exécuter. Par exemple, en cas d’incendie, il ne serait pas juste d’attendre d’employés non formés à la lutte contre les incendies qu’ils éteignent le feu. Cependant, avec une formation adéquate, ils peuvent compter les personnes ou aller d’étage en étage pour vérifier que tout le monde a été évacué.

Une façon d’améliorer le flux de travail entre les équipes lors de la conception d’un plan consiste à créer un tableau RACI. RACI signifie responsable, responsable, consulté et informé (responsible, accountable, consulted, informed). Il s’agit d’un processus largement utilisé pour aider les équipes et les individus à déléguer des responsabilités et à réagir aux crises en temps réel.

Bien qu’il puisse être difficile de justifier l’importance d’investir dans quelque chose qui risque de ne jamais se produire, ces dernières années nous ont appris à quel point il est important d’avoir une bonne planification d’urgence. Pensez à tous les problèmes liés à la chaîne d’approvisionnement, aux pénuries critiques d’équipements de protection individuelle et aux ravages financiers provoqués par la pandémie. Qu’est-ce qui aurait été différent si les organisations avaient mis en place des plans d’urgence efficaces pour les types de menaces auxquelles elles ont été confrontées ?

Les coûts et l’incertitude constituent des obstacles majeurs lorsqu’il s’agit de convaincre les dirigeants de l’importance d’investir dans la planification d’urgence. Étant donné que tous les coûts des plans d’urgence sont estimés (il n’existe aucun moyen de savoir exactement comment les événements perturberont une activité), il est normal que les décideurs soient hésitants.

Différents secteurs ont différentes manières d’aborder ce problème. Dans le secteur de la construction, il est courant de mettre de côté 10 % du budget global d’un projet pour les imprévus. D’autres secteurs utilisent différentes méthodes. Une méthode populaire consiste à estimer les risques en fonction du pourcentage de probabilité qu’ils se produisent. Selon cette méthode, s’il existe un risque de 25 % qu’un événement se produise et entraîne des coûts de récupération de 200 000 USD, l’entreprise doit mettre de côté 25 % de cette somme, soit 50 000 USD, pour respecter son plan d’urgence.

Les marchés et les secteurs évoluent constamment, de sorte que la réalité à laquelle un plan d’urgence est confronté lorsqu’il est déclenché peut être très différente de celle pour laquelle il a été créé. Par exemple, après les attentats terroristes du 11 septembre, de nombreux plans d’urgence mis en place par le gouvernement américain sont soudainement devenus inutiles, car ils avaient été préparés des décennies auparavant.

Pour éviter un tel décalage entre les plans et les menaces, les entreprises doivent constamment tester et réévaluer leurs plans. Par exemple, les directives d’IBM exigent que les plans soient testés au moins une fois par an et améliorés si nécessaire³. Si de nouveaux risques sont détectés et que leur gravité et leur probabilité sont jugées suffisamment élevées, les anciens plans peuvent être supprimés.

Les entreprises qui créent des plans solides se relèvent plus rapidement d’un événement perturbateur que celles qui ne le font pas. Lorsqu’un événement négatif survient, plus l’entreprise se rétablit et reprend ses activités rapidement, plus le risque pour l’entreprise, ses clients et ses employés est faible.

Un bon plan d’urgence minimise les dommages causés à une entreprise, tant sur le plan de la réputation que sur le plan financier. Par exemple, il ne fait aucun doute qu’une violation de données portera atteinte à la réputation d’une banque, ainsi qu’à ses résultats. Mais sa façon de réagir face à cette violation influencera fortement la fidélité de ses clients.

De nombreuses organisations utilisent un plan d’urgence solide pour montrer aux employés et aux clients qu’elles prennent la préparation au sérieux. En planifiant un large éventail d’événements potentiellement dommageables, les dirigeants peuvent montrer aux investisseurs, aux clients et aux employés qu’ils ont pris les mesures nécessaires pour minimiser les risques.

Gravité et probabilité du risque : ayant suivi l’actualité dans une région où ils s’approvisionnent en pièces d’avion spécifiques, les constructeurs estiment que la probabilité d’une perturbation dans cette région est élevée. Ils recherchent d’abord un autre fournisseur, mais apprennent rapidement qu’il leur faudra des mois, voire des années, pour en trouver un. Cette pièce étant nécessaire à la construction de tous leurs avions, la gravité de cette perturbation est également jugée « élevée ».

Déclencheur : les fournisseurs informent le fabricant qu’ils seront bientôt à court de pièces nécessaires en raison d’un événement géopolitique perturbateur dans leur pays d’origine.

Réaction : le fabricant se met à la recherche d’un nouveau fournisseur de la pièce nécessaire dans un pays plus stable.

Gravité et probabilité du risque : les gestionnaires d’une banque savent qu’il existe une vulnérabilité dans leur application et s’efforcent de la corriger. Si l’application est piratée et que les systèmes d’information sont compromis, l’entreprise risque de perdre des données client vitales. Ils estiment que la probabilité que cet événement se produise est « élevée » car, en tant qu’institution financière, ils constituent une cible de choix. Ils savent également, car ils ont observé leurs concurrents confrontés à des situations similaires, que le risque de perturbation de leur activité est important. Ils évaluent également la gravité de ce risque comme étant « élevée ».

Déclencheur : le service informatique informe les responsables de la banque que l’application de la banque a été piratée et que les données des clients ne sont plus sécurisées.

Réaction : l’application est immédiatement arrêtée et les clients sont informés que leurs données ont été compromises. Ils sont informés des mesures prises par la banque pour leur permettre d’accéder à leur argent et savent que leurs informations personnelles ne sont accessibles à personne sur le dark web. Une équipe d’experts en sécurité spécialement formés à ce scénario intervient pour restaurer les systèmes bancaires et sécuriser les informations client.

Gravité et probabilité du risque : les responsables de l’usine savent que les inondations importantes peuvent répandre de l’eau non traitée dans les rues et les voies navigables publiques de la ville. La gravité de ce risque et sa probabilité compte tenu de la tempête imminente sont jugées « élevées ».

Déclencheur : l’ouragan se rapproche de la ville, il se trouve désormais à moins de 160 km et les vents sont supérieurs au seuil jugé « sûr ». Le plan d’urgence de l’usine est mis en œuvre.

Réaction : tous les travailleurs nécessaires sont rappelés à l’usine 24 heures sur 24, 7 jours sur 7, et des mesures sont prises pour traiter le plus d’eau possible avant l’arrivée de l’ouragan. Selon le plan, toute l’eau restante sera pompée dans des réservoirs conçus pour résister à un ouragan. Lorsque le vent atteint une certaine vitesse, l’usine ferme et tous les travailleurs sont évacués.