Thomas Wittische, Director, IT Risk & Resilience and Crisis Management Lead – PwC Luxembourg

« Depuis un an, la plupart des organisations sont dans la gestion de l’urgence. Nous sommes encore au cœur de la crise et les acteurs n’ont pas encore eu vraiment l’occasion de prendre de la hauteur par rapport aux événements vécus, explique Thomas Wittische, Director, IT Risk & Resilience and Crisis Management Lead au sein de PwC Luxembourg. A terme, cependant, il sera important de se poser les bonnes questions, pour tirer les leçons de la crise et, le cas échéant, adapter les plans de continuité, envisager de nouveaux scénarios de crise, en phase avec la nouvelle réalité. »

Disposant d’un background IT, Thomas Wittische a développé une expertise poussée dans la gestion des risques informatiques mais aussi en matière de gestion de crise et d’enjeux de résilience du business. Au sein de PwC et participant actif dans l’”Incident Management Team Covid” qui rassemble le COO, les RH, l’IT, le DPO ou encore la communication, il a pu éprouver les procédures conduisant à apporter les réponses les plus adaptées à une crise de grande ampleur qui s’étend, de surcroît, sur une longue période. « Grâce au Covid, nous avons drastiquement accéléré la pratique du travail à distance en seulement quelques semaines, poursuit il. Qui aurait cru que cela aurait été si rapide. Combien de temps aurait-il fallu en temps normal pour arriver à ce niveau de maturité.”

La clé, c’est la préparation

Gérer une crise n’a rien d’évident. Ces événements, qui se caractérisent par leur soudaineté, malgré les précautions prises pour les éviter, bousculent l’ordre établi au point de mettre à mal la continuité de l’activité. « Lorsqu’une crise survient, cependant, il faut pouvoir réagir efficacement. Cela requiert avant tout de la préparation, la mise en place de procédures pragmatiques impliquant les bonnes personnes, le déploiement de systèmes dédiés, le déploiement d’une communication adaptée, l’activation des bons canaux de communication, poursuit l’expert. Dans cette démarche de préparation, il faut pouvoir établir des scénarios en tenant compte des risques encourus et, surtout, se mettre en situation. »

C’est en étant confrontées à une situation de crise que les personnes se révèlent réellement. Certains vont se figer ou fuir, quand d’autres, au contraire, vont adopter une attitude combative. « Simuler des crises, sous forme d’exercice “live”, permet de prendre conscience de ses faiblesses. Ce n’est pas parce que l’on est un bon dirigeant en temps normal que l’on dispose des qualités pour gérer une crise, commente Thomas Wittische. S’exercer à faire face à une crise permet en outre de s’assurer que les plans mis en œuvre sont réalistes, que les procédures fonctionnent, que les bonnes personnes sont à même de faire face. »

Analyser les risques, établir des scénarios

Des plans et des procédures de gestion de crise peuvent être établis au départ d’une analyse des risques encourus, des dépendances constatées. Les événements vécus ces derniers mois, les adaptations qui ont été mises en œuvre pour affronter la crise, les nouvelles habitudes prises, par exemple, impliquent de revoir les plans de continuité. « Nous sommes désormais beaucoup plus dépendants de la technologie. Dès lors, il convient de se demander ce qui peut se passer si, en raison d’un incident majeur, les outils numériques se révélaient indisponibles, ou si leur utilisation conduisait à une fuite de données », poursuit l’expert en résilience. “Les mêmes questions se posent de manière plus générale sur la disponibilité des infrastructures critiques”.

Les entreprises, en effet, s’exposent à de nouveaux risques, dont il faut pouvoir tenir compte pour établir des scénarios de crise et les réponses à y apporter. « En la matière, il faut se poser les bonnes questions, en ayant conscience que la perception du risque de chacun évolue avec le temps, commente Thomas Wittische. Par exemple, la perception de la menace terroriste peut fortement évoluer dans le temps, selon que l’on a été exposé à une attaque récemment ou non. Le risque cyber va être davantage pris en compte actuellement, comme on peut être plus conscient des enjeux environnementaux. »

Ne rien négliger

Pour l’expert, il faut donc développer des approches systématiques, sans rien négliger, et s’exercer afin d’éprouver les plans établis et s’assurer qu’ils soient réalistes. « Par exemple, le risque nucléaire, lié à la centrale de Cattenom, à proximité du Luxembourg, a récemment été à nouveau évoqué dans un reportage télévisuel. Des plans sont prévus en cas d’incident lié à la centrale. Toutefois, on peut remettre en cause leur pertinence », commente l’expert, mettant en doute par exemple le fait que des parents accepteront de laisser effectivement leurs enfants confinés dans un établissement scolaire en cas d’incident nucléaire plutôt que d’accourir pour les récupérer. « Tester les scénarios doit permettre de trouver les meilleures réponses et d’envisager les meilleures possibilités pour faire face à un incident. »

Entraide et coordination

A travers ces préparations, qui devraient être envisagées à large échelle, il y a lieu de renforcer sans cesse les réponses à adopter, d’envisager les mécanismes d’entraide à mettre en place. Souvent, en effet, les plans de continuité sont envisagés au niveau de l’entreprise. « Or, face à une crise majeure, il y a lieu d’explorer des réponses coordonnées à plus large échelle, et ce jusqu’à une dimension européenne. La crise que nous avons vécue a révélé qu’en la matière, des efforts notamment de coordination entre les différents pays devraient être envisagés », poursuit Thomas Wittische. D’autres crises surviendront. La question que chacun devrait se poser est de savoir comment, ensemble, nous pouvons mieux nous y préparer.