15 questions pour comprendre la gestion de crise

Le PCS (Plan Communal de Sauvegarde) est un dispositif communal d'organisation des secours et de la sauvegarde des populations en cas d'événement majeur. Il est obligatoire pour les communes soumises à un PPRN, PPRT, PPI ou comprises dans un PSS, et obligatoire depuis la loi MATRAS du 25 novembre 2021 pour toutes les communes dotées d'un Plan de Prévention des Risques.

Le PCA (Plan de Continuité d'Activité) est un dispositif d'entreprise ou d'organisation visant à maintenir les activités essentielles en mode dégradé pendant une crise. Le PCS protège les habitants, le PCA protège l'activité. Les deux peuvent coexister dans une collectivité (PCS pour la population + PCA pour les services municipaux).

Pour une entreprise, on parle uniquement de PCA, parfois doublé d'un PRA (Plan de Reprise d'Activité) côté informatique.

Il n'y a pas de seuil démographique unique. L'obligation tient à l'exposition aux risques. Depuis la loi MATRAS du 25 novembre 2021 et le décret n° 2022-907 du 20 juin 2022, le PCS est obligatoire pour toute commune dotée d'un plan de prévention des risques naturels ou miniers prescrit ou approuvé, comprise dans le champ d'un plan particulier d'intervention, située dans un territoire à risque important d'inondation, ou exposée aux risques volcanique, cyclonique, sismique ou d'incendie de forêt dans les conditions fixées par l'article L731-3.

À l'échelle intercommunale, un PICS est obligatoire si au moins une commune membre a l'obligation PCS quelle que soit la répartition des compétences au sein de l'établissement.

Toutes les communes peuvent volontairement se doter d'un PCS, et c'est fortement recommandé : un événement météo extrême ou un accident majeur peut frapper n'importe où. Le PCS doit être mis à jour tous les 5 ans et faire l'objet d'un exercice au moins tous les 5 ans selon le décret 2022-1532.

Cela dépend du secteur et de la taille. Sont obligatoirement dotés d'un PCA : les opérateurs d'importance vitale (OIV) au titre du Code de la défense, les opérateurs de services essentiels (OSE) et fournisseurs de services numériques (FSN) au titre de la directive NIS 1, transposée par la loi du 26 février 2018, les exploitants Seveso seuil haut, les établissements de santé, certains opérateurs de transport, énergie, eau.

Pour les autres entreprises, l'obligation est indirecte : l'article L.4121-1 du Code du travail impose à l'employeur d'évaluer les risques et de prendre les mesures de prévention adéquates — sans PCA documenté, l'employeur s'expose en cas d'incident à une qualification de faute caractérisée.

Sans compter les exigences contractuelles : grands donneurs d'ordre, marchés publics, certifications ISO 22301 imposent désormais quasi-systématiquement un PCA opposable.

Le décret n° 2022-1532 du 8 décembre 2022 a clarifié les obligations. Toute commune ayant l'obligation d'établir un PCS doit conduire un exercice de mise en œuvre au minimum tous les 5 ans, et procéder à une évaluation et mise à jour du plan tous les 5 ans également.

Pour les communes intégrées dans un PPI Seveso, des exercices spécifiques annuels ou triennaux peuvent s'ajouter selon les arrêtés préfectoraux. Pour les établissements scolaires, le PPMS impose au moins un exercice annuel attentat-intrusion et un exercice annuel risques majeurs. Les EHPAD et établissements de santé ont leurs propres obligations (Plan Bleu, Plan Blanc).

Au-delà du minimum légal, la jurisprudence post-Xynthia montre qu'un exercice tous les 5 ans est la base — pas l'optimum. Les communes les mieux préparées font un exercice par an, alternant table, terrain, et inject inattendu.

Trois niveaux opérationnels distincts.

• L'incident est un événement maîtrisé par les procédures normales de l'organisation, sans activation d'instance spécifique : panne, accident léger, dysfonctionnement.
• La crise est un événement qui dépasse le mode opératoire normal et nécessite l'activation d'une cellule de crise — trois critères de bascule : atteinte à l'intégrité physique des personnes, rupture d'une activité critique, ou exposition publique imminente.
• La catastrophe est une crise dont les conséquences excèdent les capacités locales d'intervention et requièrent la mobilisation d'acteurs extérieurs (préfecture, État, sécurité civile nationale, voire internationale) : Xynthia, AZF, Lubrizol relèvent de la catégorie catastrophe.

La frontière incident/crise est une décision de l'organisation. La frontière crise/catastrophe est dictée par les faits.

Trois instances distinctes par leur temporalité et leur mission.

• La cellule d'urgence agit dans les minutes qui suivent un événement immédiatement dangereux : pompiers, SAMU, police, agents municipaux d'astreinte. Mission : protéger les vies, sécuriser le périmètre, premier secours. Durée : quelques heures.
• La cellule de crise est l'instance stratégique qui pilote la réponse globale au-delà de l'urgence immédiate : décide, communique, coordonne, trace. Composition : 5 à 12 personnes selon l'organisation. Durée : quelques heures à plusieurs semaines.
• La cellule de coordination intervient sur des crises longues, multi-acteurs, ou en phase de sortie : elle articule plusieurs cellules sectorielles, fait remonter à la décision politique, gère le retour à la normale.

Concrètement, dans une grosse crise, les trois coexistent et se passent le relais.

Un scénario de crise est une narration structurée d'un événement fictif suffisamment réaliste pour permettre à une cellule de s'entraîner comme en situation réelle. La méthode Twist repose sur 4 ingrédients :

• Un événement déclencheur plausible et localisé (incendie atelier, fuite données, coupure SI, plainte famille).
• Une chronologie d'injects (ce qui arrive aux participants minute par minute : appels, mails, SMS, posts réseaux sociaux, alertes presse).
• Une dynamique d'intensification (le scénario doit monter en gravité, ne jamais redescendre passivement).
• Une donnée signature (un fait surprenant, parfois absurde, qui force les participants à sortir du script).

Le scénario tient sur 4 à 8 pages, jamais plus, et reste invisible aux participants. Compter 1 à 3 jours de rédaction selon la complexité, plus une demi-journée d'animation.

Composition cible de la cellule restreinte (5 à 7 personnes en H+0) :

• Un leader qui décide (dirigeant exécutif, maire ou suppléant désigné)
• Un secrétaire main courante qui trace minute par minute
• Un référent opérationnel qui sait sur le terrain
• Un référent communication qui parle
• Un référent juridique ou sécurité qui anticipe les suites

Pour les sujets cyber, ajouter un référent SI (DSI ou RSSI). Pour les sujets sanitaires, un référent médical ou médecine du travail. Pour les collectivités, un DGS ou directeur de cabinet. La cellule peut s'élargir à 10-12 personnes en H+90 avec ajout RH, finance, métiers spécialisés. Au-delà, la cellule s'enlise dans les présentations.

Règle Twist : la qualité d'une cellule tient autant à la composition qu'à la suppléance — chaque rôle doit avoir son backup nommé et formé.

Cinq personnes au strict minimum dans la première heure : un leader, un secrétaire main courante, un référent opérationnel, un référent communication, un référent juridique ou sécurité. En dessous de cinq, deux fonctions critiques sont obligatoirement cumulées par la même personne, ce qui dégrade la traçabilité ou la qualité de la décision.

Maximum recommandé en cellule restreinte H+0 : sept personnes. Au-delà, le tour de table dépasse les 10 minutes, les présentations s'éternisent, la cellule décide moins.

Pour les très petites organisations (TPE, association, petite commune) : au moins trois personnes — leader, trace, opérationnel — avec un appui externe pré-identifié à activer en H+30. Le seuil critique n'est pas le nombre, c'est la couverture des cinq fonctions essentielles : décider, tracer, savoir, parler, anticiper le juridique.

Au minimum 10 ans, et idéalement 15 ans. Trois logiques se cumulent.

D'abord, la prescription pénale : depuis la loi du 27 février 2017, la prescription de l'action publique des délits est de 6 ans à compter de la commission des faits, ou de leur découverte pour les infractions occultes. Pour les crimes (rares en gestion de crise mais possibles), 20 ans.

Ensuite, le délai d'exécution des peines une fois la condamnation prononcée. Enfin, les enjeux civils et assurantiels qui peuvent ressurgir longtemps après (dommages corporels évolutifs, action devant le tribunal administratif, litiges contractuels).

En pratique, archiver tous les éléments de la cellule (main courante, SITREP, mails, PV de décisions stratégiques, communiqués) pendant 10 ans minimum sous format numérique signé et horodaté est la base. Pour les crises ayant entraîné des dommages corporels graves : 30 ans, par prudence.

Les fourchettes observées sur le marché français varient selon le format et l'ambition.

• Exercice sur table, demi-journée, 6 à 12 participants, scénario standardisé : 3 000 à 6 000 € HT selon la séniorité de l'animateur.
• Exercice sur table sur-mesure incluant rédaction d'un scénario calibré sur l'organisation, animation, et RETEX écrit : 5 000 à 10 000 € HT.
• Exercice de terrain ou format jeu sérieux mobilisant plusieurs sites, des injects multimédias et un dispositif d'animation renforcé : 10 000 à 25 000 € HT.

À comparer au coût moyen d'une crise réelle non préparée — généralement supérieur de plusieurs ordres de grandeur. Twist propose des fourchettes publiées sur ses pages dédiées, et un cadrage gratuit en 30 minutes pour calibrer le format adapté.

Pas d'obligation légale spécifique aux associations loi 1901, sauf cas particuliers : associations gestionnaires d'établissements médico-sociaux (EHPAD, foyers, IME) qui ont leurs Plan Bleu et obligations sectorielles ; associations exploitant des sites recevant du public au-delà de certains seuils (ERP) ; associations OIV ou OSE par exception.

Pour les autres, deux logiques justifient quand même un plan minimal :

• Juridique : le président d'association est personnellement responsable (article L.4121-1 du Code du travail s'il y a des salariés, responsabilité civile et parfois pénale s'il y a des bénévoles ou des publics).
• Opérationnelle : une crise d'image, un accident lors d'un événement, un détournement de fonds, un signalement #MeToo peuvent emporter une association en quelques jours.

Un plan léger (10 pages, identification des risques majeurs, composition cellule, modèle de communication, rôles et suppléants) constitue déjà une protection significative.

Ce qu'il faut dire : un message court (3 à 5 phrases), factuel, daté, signé. Trois éléments obligatoires — ce qui s'est passé en une phrase neutre, ce que vous faites en deux phrases concrètes, à qui s'adresser pour la suite. Si des personnes sont concernées, exprimer une attention humaine sincère, jamais convenue. Annoncer le prochain point d'information avec heure précise.

Ce qu'il faut éviter absolument :

• La formule « tout est sous contrôle », qui détruit la crédibilité interne et externe en moins de 24 heures.
• Toute estimation chiffrée non vérifiée (nombre de victimes, coûts, durée).
• Toute désignation d'un responsable avant enquête.
• Toute promesse irréversible (pleine transparence, dédommagement total, démission).
• Tout sarcasme ou défense corporatiste.

Règle d'or Twist : la première parole engage la doctrine pour toute la crise. Mieux vaut un silence assumé jusqu'à H+90 qu'un message imprécis émis à H+45.

Quatre principes opérationnels.

• Annoncer avant H+60 et avant que les équipes l'apprennent par les réseaux sociaux ou la presse — le silence interne crée plus d'angoisse que la nouvelle elle-même.
• Choisir un canal officiel et descendant (mail signé du dirigeant, message de la DRH ou du DG, point Teams ou tournée managériale selon la culture maison), jamais un mass mail anonyme.
• Structurer le message en quatre blocs : ce que nous savons, ce que nous ne savons pas encore, ce que nous faisons dans les prochaines heures, ce que nous attendons de vous.
• Donner une heure de prochain point — la promesse de réinformation est ce qui apaise le plus, davantage que les détails du message initial.

Erreur classique à éviter : minimiser ou enjoliver. Les équipes qui se sentent infantilisées passent en méfiance, et le retour à la confiance prend des semaines.

Trois raisons que je vois systématiquement en RETEX.

• Cognitive : un plan que personne n'a manipulé en exercice n'existe pas en mémoire opérationnelle. Sous stress, les humains ne consultent pas un classeur — ils appliquent ce qu'ils savent faire. Sans entraînement préalable, le plan reste lettre morte au moment où il devrait servir.
• Organisationnelle : un plan figé devient obsolète en 18 à 36 mois — réorganisations, départs, nouveaux outils, changements réglementaires. Sans cycle de mise à jour annuel ou bisannuel, vous activez en crise un plan qui ne décrit plus votre organisation réelle.
• Juridique : depuis Xynthia, AZF et France Télécom, l'écart entre le plan affiché et la pratique constatée est l'un des marqueurs principaux de la faute caractérisée.

Pour Twist, l'équation qui résiste est la seule qui fonctionne en cellule comme au tribunal : plan + exercice + culture, toujours articulés.