Ce que le rapport de la Cour des comptes sur l’alerte aux populations devrait faire entendre aux entreprises

Quand la Cour des comptes publie un rapport sur les systèmes d’alerte et de communication aux populations en situation de crise, l’essentiel de la couverture médiatique se concentre sur l’État, ses préfets, ses sirènes vieillissantes et son application FR-Alert. C’est légitime : ces dispositifs relèvent d’une mission régalienne, et les défaillances passées; de l’attentat de Nice à l’incendie de Lubrizol ont laissé des traces. Mais à lire attentivement les analyses des magistrats financiers, on est frappé par une évidence que la sphère publique reconnaît enfin et que beaucoup d’entreprises continuent de sous-estimer : alerter, informer et faire réagir une population en situation de crise est un métier à part entière, qui ne s’improvise pas le jour J et qui repose sur une architecture pensée bien en amont.

Or les entreprises font face, à leur échelle, exactement aux mêmes défis que la puissance publique. Une cyberattaque qui paralyse un système de production, un rappel produit massif, un accident industriel, une affaire de harcèlement qui sort sur les réseaux sociaux, un dirigeant mis en examen, une rupture d’approvisionnement, un dérapage d’un sous-traitant à l’autre bout du monde : autant d’événements qui obligent à alerter vite, juste, et à plusieurs publics salariés, clients, fournisseurs, riverains, autorités, investisseurs, médias. Le rapport de la rue Cambon dessine, sans le dire, une grammaire de la communication de crise dont chaque dirigeant d’entreprise devrait s’inspirer.

Le multicanal n’est pas une option, c’est une assurance vie

Le premier enseignement du rapport tient en un mot : redondance. Jusqu’au déploiement de FR-Alert en juin 2022, l’État reposait sur trois piliers, les sirènes, les médias et les automates d’appel, non par accumulation, mais par stratégie. Cette approche permettait, écrivent les magistrats, « de pallier l’éventuelle défaillance technique d’un outil et de toucher différents segments de la population en fonction de leurs habitudes ». La Cour insiste pour que ce multicanal soit maintenu, même après l’arrivée de FR-Alert, jugée pourtant « efficace et éprouvée ».

Combien d’entreprises peuvent en dire autant ? La réalité du terrain est souvent désolante analyse l’expert en communication de crise Florian Silnicki, Président Fondateur de LaFrenchCom. Dans nombre d’organisations, le plan de communication de crise repose en pratique sur une seule chaîne – l’e-mail interne, ou un canal Slack, ou un communiqué publié sur le site corporate – avec l’illusion que cela suffit. Le jour où le serveur de messagerie tombe en même temps que le système d’information, ou que l’attaque cyber paralyse l’intranet, la cellule de crise se découvre nue. La leçon vaut pour la communication interne comme externe : il faut un dispositif principal, un dispositif de secours technique, et un dispositif alternatif activable même si toute l’infrastructure de l’entreprise est compromise.

Concrètement, cela signifie disposer en parallèle d’une plateforme de mass-notification dédiée (avec ses propres serveurs, hors infrastructure de l’entreprise), d’une cascade téléphonique manuelle pour les premiers cercles, d’un compte sur les principales plateformes sociales pré-configuré et testé, d’une procédure de communication par SMS via un prestataire externe, et d’une page de crise hébergée sur un domaine distinct. Cela suppose aussi de penser les publics par segments : un salarié en télétravail ne s’alerte pas comme un opérateur en 3×8, un client B2B ne reçoit pas la même information qu’un consommateur, un investisseur institutionnel attend autre chose qu’un journaliste. La logique du « one size fits all » est, en communication de crise, une faute professionnelle.

La Cour rappelle aussi un point souvent oublié : la coexistence des canaux pose elle-même des questions techniques – comment garantir que les sirènes continuent de fonctionner si le réseau qui les alimente est lui-même en panne ? La même interrogation se pose en entreprise. La page de crise hébergée chez le même fournisseur cloud que les services métier, le numéro vert qui passe par le standard interne saturé, la cellule de crise qui se réunit dans un site qui peut lui-même être touché : autant de fragilités cachées qu’un audit sérieux doit débusquer.

La culture du risque se construit avant la crise, pas pendant

Le second enseignement, peut-être le plus puissant, tient à la façon dont la Cour aborde les chiffres de la perception du risque par la population. Ils donnent le vertige. Selon une enquête de 2022 citée par les magistrats, seuls 24 % des habitants exposés à un risque d’inondation le jugent important, 66 % considérant qu’il n’y a pas de risque. Pour le risque industriel, ce taux d’aveuglement grimpe à 70 %. Même autour des installations nucléaires, où la conscience du danger reste majoritaire, elle s’effondre dès que l’installation sort du champ visuel.

Transposez maintenant cette grille à votre entreprise. Combien de vos collaborateurs ont conscience du risque cyber qui pèse sur leurs pratiques quotidiennes ? Combien de vos managers savent vraiment quoi faire dans les 30 premières minutes d’une crise de réputation ? Combien d’opérationnels sur le terrain ont en tête le numéro à appeler en cas d’accident grave, et la consigne de ne surtout pas s’exprimer publiquement sans coordination ? Si l’on faisait l’enquête honnêtement, les chiffres seraient probablement aussi alarmants que ceux relevés par la Cour pour les riverains de sites Seveso.

Cette absence de culture du risque n’est pas une fatalité, c’est un choix budgétaire et managérial. Trop d’entreprises consacrent leurs efforts à la conception de plans de crise sophistiqués – classeurs de plusieurs centaines de pages, organigrammes décisionnels, fiches réflexes – qui finissent dans des armoires et que personne n’a lus. Le jour de la crise, ces documents sont introuvables ou périmés. La Cour des comptes recommande pour le secteur public « la pratique régulière d’exercices de gestion de crise associant tous les acteurs concernés, notamment les maires et les équipes communales, ainsi que la population ». Le mot clé est « régulière ». Un exercice annuel, théâtralisé, mobilisant uniquement le comité exécutif, ne crée pas de culture du risque. Il rassure les administrateurs et les commissaires aux comptes, c’est tout.

Une vraie culture du risque suppose des exercices fréquents, à différents niveaux, avec des scénarios qui dérangent. Elle suppose aussi de débriefer honnêtement, sans chercher à protéger les ego. Elle suppose enfin d’associer ceux qu’on oublie systématiquement : les standards téléphoniques, les community managers, les agents d’accueil, les sous-traitants, les correspondants locaux. Ce sont eux qui prennent les premières questions et donnent l’image initiale de l’entreprise, bien avant que la cellule de crise se réunisse.

Le porte-parole est un artisan, pas un improvisateur

Parmi les mesures suggérées par la Cour, l’une mérite une attention particulière des dirigeants : « la proposition systématique de média training individuel aux préfets nouvellement nommés ». Voilà une recommandation que les entreprises devraient faire leur sans délai pour leurs propres dirigeants.

L’observation est cruelle mais juste. Dans la majorité des organisations, les patrons parlent à la presse comme on parle à un ami : avec leurs convictions, leurs émotions, leurs raccourcis. Cela peut passer en période normale. En crise, c’est dévastateur. Le rythme médiatique impose des phrases courtes, calibrées, hiérarchisées. Les questions pièges, les relances, les tentatives de déstabilisation font partie du jeu. Un dirigeant non préparé livre des éléments de défense qui se retournent contre lui dans les vingt-quatre heures. Il s’embarque dans des promesses qu’il ne pourra pas tenir. Il laisse échapper, par fatigue ou par maladresse, la phrase qui fera le titre du lendemain et alimentera les contentieux pendant des années.

Le média training n’est pas un luxe. Ce n’est pas non plus une formation que l’on suit une fois pour toutes. C’est un entretien permanent, comme un sportif entretient sa condition physique. Tout dirigeant amené à prendre la parole en crise – le PDG, le directeur général, le directeur industriel, le DRH, le directeur de la communication, mais aussi les directeurs de site susceptibles de s’exprimer sur leur territoire – devrait suivre une formation initiale exigeante, puis des sessions de remise à niveau au moins annuelles, et idéalement un coaching dédié dans les premières semaines suivant sa prise de fonction. Ce n’est pas une dépense, c’est un investissement dont le retour se mesure le jour où la crise survient.

S’ajoute à cela une dimension trop négligée : la préparation des seconds couteaux. Quand le PDG est en avion, en arrêt maladie, ou tout simplement disqualifié pour parler par la nature de la crise (par exemple s’il est lui-même mis en cause), qui prend le relais ? Cette ligne de succession en communication doit être pensée, et chaque suppléant doit être à son tour formé. Trop d’entreprises se découvrent, le jour J, sans porte-parole crédible parce qu’elles n’ont préparé qu’une seule voix.

La désinformation est désormais un terrain de bataille permanent

La Cour des comptes recommande au Secrétariat général du ministère de l’Intérieur de « poursuivre la professionnalisation de la communication de crise en préfecture, notamment en matière de lutte contre la désinformation ». Cette préoccupation, longtemps cantonnée au domaine régalien et à la guerre informationnelle, gagne désormais l’ensemble du champ économique.

Toute crise d’entreprise génère aujourd’hui ses propres rumeurs, ses faux comptes, ses détournements d’images, ses captures d’écran trafiquées, ses « scoops » montés de toutes pièces par des concurrents ou par des activistes. L’intelligence artificielle générative a démocratisé la production de fausses preuves : un communiqué falsifié au logo de l’entreprise peut être produit en trente secondes et propagé en quelques heures. Les services qui fact-checkent ces contenus existent, mais leur cadence est sans commune mesure avec celle de la diffusion virale.

Face à cela, l’entreprise doit développer trois capacités. La première est la veille. Une cellule de monitoring opérationnelle, capable de détecter en temps réel les signaux faibles sur les plateformes ouvertes comme sur les espaces semi-fermés (forums spécialisés, chaînes Telegram, Discord), n’est plus un confort de grand groupe : c’est un standard minimal pour toute organisation exposée. La deuxième est la capacité de riposte rapide, ce qui suppose des éléments de langage pré-validés sur les sujets sensibles connus, des procédures d’autorisation accélérées, et des relais externes mobilisables (associations, experts, clients ambassadeurs) qui peuvent porter une parole plus crédible que celle de l’entreprise elle-même. La troisième est la pédagogie en interne : tout salarié peut, par maladresse, relayer une fausse information ou en générer une. Sensibiliser les collaborateurs aux mécanismes de la désinformation est devenu une mission de la communication interne.

Il faut aussi renoncer au confortable réflexe consistant à ignorer les rumeurs en espérant qu’elles s’éteignent d’elles-mêmes. C’était parfois vrai dans l’écosystème médiatique d’il y a vingt ans. Ce n’est plus le cas. Une rumeur ignorée s’enkyste, devient « la version officielle alternative », et finit par ressurgir au pire moment. La règle nouvelle est de répondre vite et factuellement, en se gardant toutefois de la surenchère qui, à son tour, peut donner consistance à une fausse information mineure.

Le retour d’expérience : le maillon manqué de la chaîne

L’une des cinq recommandations finales de la Cour des comptes porte sur le retour d’expérience. Les magistrats demandent qu’on « produise systématiquement un retour d’expérience, après chaque situation de crise ou exercice de gestion de crise locale », qu’on s’assure « de son partage avec les acteurs locaux » et qu’on réalise « des synthèses régulières de ces retours pour diffuser les bonnes pratiques et souligner les points d’alerte ».

Là encore, le diagnostic est transposable presque mot pour mot dans le monde de l’entreprise. Combien d’organisations sortent d’une crise – petite ou grande – avec le sentiment du soulagement et l’envie viscérale de tourner la page, sans prendre le temps d’un débriefing rigoureux ? Combien d’enseignements précieux sont ainsi perdus, et combien de mêmes erreurs se répètent crise après crise, parfois à dix ans d’intervalle, parce que les acteurs ont changé et que la mémoire institutionnelle ne s’est pas constituée ?

Un bon REX de crise doit obéir à quelques principes. Il doit être systématique, déclenché automatiquement par tout incident dépassant un seuil de gravité défini à l’avance. Il doit être conduit par un tiers, idéalement extérieur à la cellule de crise, pour éviter l’autocomplaisance. Il doit interroger tous les niveaux, des décideurs aux opérationnels, et solliciter aussi les parties prenantes externes – clients, fournisseurs, journalistes – qui ont une vue souvent décapante sur la qualité de la réponse. Il doit produire un livrable concis, partagé largement, et dont la mise en œuvre des recommandations est tracée dans le temps. Et il doit enfin alimenter une base de cas, capitalisée et accessible aux équipes, qui constitue la véritable mémoire opérationnelle de l’entreprise.

Cette pratique, banale dans certaines industries à hauts risques – aviation, nucléaire, médical – reste l’exception dans le tissu économique général. Les rapports de REX, quand ils existent, restent souvent confidentiels, communiqués au seul comité exécutif, vidés de leur substance pour ménager des susceptibilités, et oubliés dans des dossiers numériques que personne ne consulte plus. C’est un gâchis. Aucune entreprise ne s’enrichit autant qu’à travers ses propres crises, à condition de bien vouloir regarder en face ce qui s’y est passé.

Faire de la résilience une priorité stratégique, pas une ligne budgétaire

Pour finir, la Cour des comptes recommande de « faire de l’amélioration de la résilience collective une grande cause nationale ». Il y a, dans cette formule pour la sphère publique, un appel implicite au monde économique. La résilience d’une nation se construit aussi avec ses entreprises, dont la capacité à absorber les chocs et à se relever conditionne celle du pays tout entier.

Mais cette résilience suppose que le sujet soit porté au plus haut niveau dans les organisations. Trop souvent, la communication de crise et plus largement la gestion de crise restent des fonctions support, rattachées à un directeur de la communication qui doit déjà tout gérer, ou à un risk manager mobilisé sur les sujets assurance et conformité. Cette posture ne tient plus. Dans un environnement où les crises se multiplient et s’enchaînent – cyber, climat, géopolitique, sanitaire, sociétal – la résilience est un sujet de gouvernance, qui mérite une discussion régulière au comité exécutif et au conseil d’administration, des indicateurs propres, un budget identifié et défendu, et un porteur dédié au plus haut niveau.

C’est un changement culturel qui se fait progressivement. On voit émerger des fonctions de Chief Resilience Officer, des comités de risque réellement opérationnels, des exercices de crise qui descendent jusqu’aux conseils d’administration. Mais il reste considérable à faire. Trop de dirigeants pensent encore que la gestion de crise est un domaine d’expertise technique délégable, comme la comptabilité ou le juridique. Elle ne l’est pas. Elle engage l’identité même de l’entreprise, sa relation à ses parties prenantes, sa capacité à inspirer confiance dans les moments où la confiance vacille.

L’humilité du collectif

Un dernier mot, presque incident dans le rapport mais essentiel. La Cour rappelle que « maires et préfets se partagent la responsabilité de l’alerte et de la gestion de crise ». Cette articulation n’est pas toujours fluide. Elle est pourtant indispensable. Aucun acteur, à lui seul, n’a tous les leviers ni toute la légitimité pour gérer une crise.

L’analogie en entreprise est immédiate. La gestion de crise ne peut pas être l’affaire d’une seule fonction – ni la communication, ni la sécurité, ni les opérations, ni le juridique – pas plus qu’elle ne peut être l’affaire du seul siège. Les patrons de site, les managers de proximité, les correspondants locaux jouent un rôle décisif dans les premières minutes et dans la durée. Ils sont les « maires » de l’entreprise. Leur préparation, leur autonomie, leur capacité à prendre des décisions sous pression sans attendre le feu vert du siège distant doivent être travaillées au même titre que celles des décideurs centraux. C’est aussi cela, la culture du risque : faire confiance à un dispositif distribué, et accepter que le siège ne soit pas toujours le meilleur endroit pour décider.

Un rapport à lire pour ce qu’il dit, et pour ce qu’il suggère

Le rapport de la Cour des comptes sur l’alerte aux populations en situation de crise n’a évidemment pas été écrit pour les entreprises. Mais il faudrait que les directions de la communication, les directions générales, les comités de risque le lisent, ou au moins en parcourent les recommandations. Les analyses sur la complémentarité des canaux, sur la culture du risque, sur la professionnalisation des porte-parole, sur la lutte contre la désinformation, sur la systématisation des retours d’expérience constituent une feuille de route remarquablement transposable.

Il y a, dans la communication de crise, une tentation permanente de croire qu’on saura faire le moment venu, qu’on est expérimenté, qu’on a déjà géré pire. Cette confiance, parfois justifiée, est plus souvent dangereuse. Les crises évoluent, les outils changent, les attentes des publics se transforment, l’écosystème médiatique se reconfigure en permanence. Ce qui a fonctionné il y a cinq ans peut se retourner aujourd’hui. La discipline collective qui consiste à se préparer, à s’entraîner, à débriefer, à apprendre, est ce qui distingue une organisation qui traverse les crises de celle qui s’y enlise.

La Cour des comptes le dit avec ses mots, mesurés et institutionnels. Les communicants de crise le savent depuis longtemps. Reste à convaincre ceux qui décident des budgets et des priorités que le moment d’investir dans cette préparation, c’est avant. Toujours avant. Pas le matin où le téléphone sonne et où il est déjà trop tard.