Gestion de crise : le guide complet pour anticiper, piloter et apprendre

Qu'est-ce que la gestion de crise ?

La gestion de crise est l'ensemble des dispositifs, organisations, outils, rituels et compétences qui permettent à une organisation d'anticiper une crise, d'y répondre quand elle survient, de se rétablir, puis d'en tirer des enseignements. Ce n'est ni un document, ni un logiciel, ni une formation : c'est une capacité, qui s'entretient comme une capacité sportive.

Les trois références qui structurent le champ en France :

• ISO 22361:2022 : lignes directrices internationales sur le management de crise. Définit le cadre stratégique, les rôles et la chaîne de commandement.
• Code de la sécurité intérieure (art. L731-3 et suivants) : impose les Plans Communaux et Intercommunaux de Sauvegarde aux collectivités exposées.
• ISO 22301 : système de management de la continuité d'activité (PCA), complémentaire de la gestion de crise.

Twist lit la gestion de crise comme un triptyque : plan (l'architecture écrite), exercice (la mise sous tension), culture du risque (l'ancrage quotidien). Retirez une branche, le tout s'effondre au premier choc.

De la détection à l'activation : 3 moments clés

Les organisations qui gèrent le mieux leurs crises ne sont pas celles qui activent le plus vite : ce sont celles qui activent au bon moment, sur des critères définis à l'avance, et qui savent aussi désactiver quand la qualification change. Entre le signal et la cellule réunie, trois moments structurent le déclenchement.

1. Détection : voir arriver

Première étape. Quelqu'un voit, entend ou remonte un signal : un agent de terrain, un client mécontent, un média, un capteur, une alerte système. La détection suppose une veille structurée (signaux faibles, veille médias, alertes techniques) et une culture qui autorise la remontée sans coût social. Une organisation qui n'écoute pas ses signaux faibles ne détecte rien.

Apprendre à capter les signaux faibles

2. Qualification : nommer l'événement

Le signal est reçu. Une pré-cellule restreinte (direction, communication, métier concerné) se réunit rapidement pour qualifier : est-ce un incident, une urgence ou une crise ? Quel périmètre ? Quels enjeux ? Cette qualification engage : elle conditionne l'activation ou non de la cellule, la nature des premières communications, la temporalité de la réponse.

3. Activation : mobiliser la cellule

Si la qualification conclut à une crise, la cellule complète est convoquée, la salle est montée, la chaîne de décision démarre. L'activation suit des critères formalisés à froid : seuil d'impact humain, matériel ou financier, nombre de personnes concernées, exposition médiatique, obligation réglementaire (notification CNIL, ARS, ANSSI, autorité). Un directeur peut toujours activer au-delà des critères par précaution.

Décider en crise : Cynefin, OODA, biais

La décision en crise n'est pas la décision rationnelle classique. L'information est partielle, les délais courts, les enjeux hauts, et le cerveau bascule en mode réactif. Deux cadres conceptuels aident la cellule à tenir son cap.

Cynefin : qualifier la situation avant d'y répondre

Le modèle Cynefin (Snowden) distingue cinq domaines : clair, compliqué, complexe, chaotique, désordre. Une crise commence souvent en chaotique (agir-sentir-répondre), glisse vers le complexe (sonder-sentir-répondre) puis vers le compliqué (analyser-décider-agir). Savoir dans quel domaine on se trouve conditionne le type de décision à prendre.

OODA / RPDM : la boucle de décision sous stress

La boucle OODA (Boyd) : Observer, Orienter, Décider, Agir. Elle impose un rythme de réévaluation continue. En pratique, les décideurs experts utilisent aussi le RPDM (Recognition-Primed Decision Making, Klein) : reconnaissance d'un schéma connu, simulation mentale rapide, décision. Les deux modèles cohabitent et justifient l'entraînement : c'est l'expérience qui nourrit la reconnaissance.

Approfondir la décision en crise

Les biais qui guettent la cellule

Une cellule non préparée subit des biais documentés :

• Ancrage : la première information reçue fige l'interprétation.
• Biais de confirmation : on privilégie ce qui confirme notre hypothèse, on écarte ce qui la contredit.
• Groupthink : le consensus l'emporte sur la vérité, surtout quand le leader a pris position tôt.
• Escalade d'engagement : on persiste dans une voie qui ne marche pas par refus d'admettre l'erreur.
• Normalisation de la déviance : les écarts répétés deviennent la norme (cf. Challenger).

Les cellules matures intègrent des garde-fous anti-biais : avocat du diable désigné, tours de table anonymes sur une décision, red team ponctuelle.

Approfondir les biais cognitifs en crise

Culture du risque : la branche oubliée

La culture du risque est l'ensemble des croyances partagées, routines, réflexes qui permettent à une organisation de voir venir les signaux, d'en parler sans tabou, d'agir tôt et de tirer les leçons. C'est une branche souvent oubliée, parce qu'elle ne se livre pas sous forme de document, et pourtant la plus déterminante le jour J.

Elle s'ancre par trois vecteurs :

• Acculturation initiale : formations, ateliers signaux faibles, onboarding orienté risque.
• Rituels réguliers : exercices, rex d'incidents mineurs, point crise trimestriel en comex.
• Dispositifs ludopédagogiques : serious game, jeux de cartes, e-learning, vecteurs d'ancrage mémoriel sans ajouter de charge formelle.

Découvrir la culture du risque Twist

Articulation des plans réglementaires

Une organisation peut être concernée simultanément par plusieurs plans. Les connaître, les articuler et ne pas les dupliquer est un chantier en soi.

PCS / PICS : communes et EPCI

Le Plan Communal de Sauvegarde est obligatoire pour les communes exposées à un risque majeur (PPR, PPI, plan prévention) ou de plus de 5 000 habitants. Le Plan Intercommunal de Sauvegarde existe depuis la loi Matras (2021) et devient obligatoire pour les EPCI comprenant au moins une commune soumise à PCS. Cadre : article L731-3 du Code de la sécurité intérieure.

PCA : entreprises et organisations

Le Plan de Continuité d'Activité organise la reprise et le maintien des activités essentielles en mode dégradé. Il s'appuie sur une BIA (analyse d'impact métier) et définit RTO/RPO. Référentiel : ISO 22301. Obligatoire pour les OIV et fortement recommandé pour toute ETI.

Plan Blanc : établissements de santé

Le Plan Blanc (art. L3131-7 CSP) organise la mobilisation des moyens hospitaliers en situation sanitaire exceptionnelle (afflux massif, épidémie). Le Plan Bleu en est l'équivalent pour les EHPAD.

Autres plans selon le contexte

• PPI : Plan Particulier d'Intervention, autour des sites Seveso seuil haut et OIV.
• DICRIM : Document d'Information Communal sur les Risques Majeurs, volet communication du PCS.
• Plan de gestion de crise cyber : souvent intégré au PCA SI (ISO 27031).
• Plan de sauvegarde des œuvres : établissements culturels, musées, archives.

Twist intervient sur la rédaction et la mise à jour des plans, avec un souci constant de cohérence entre les plans, pas de juxtaposition.

Voir le service rédaction de plan

Les 7 erreurs à éviter

• Confondre plan et capacité. Un plan rédigé ne produit pas de capacité tant qu'il n'a pas été exercé. La capacité est une pratique, pas un document.
• Attendre la crise pour désigner la cellule. La cellule doit être connue, nommée, entraînée. Au moment où elle s'active, les rôles ne doivent plus être une surprise.
• Communiquer en dernier. La communication n'est pas l'emballage : elle est co-pilotée dès la première heure. Un silence de 4 heures est souvent irrécupérable.
• Négliger le facteur humain. Les cellules sont fatiguées, stressées, exposées à des biais. Prévoir la relève, le soutien psychologique, les garde-fous anti-biais.
• Déclarer la sortie implicitement. Une sortie non déclarée est une sortie ratée : pas de RETEX, pas de clôture, pas d'apprentissage.
• Réserver la culture du risque à la cellule. La culture vit dans toute l'organisation (agents, managers, élus, partenaires), ou elle ne vit nulle part.
• Traiter l'exercice comme un rituel de conformité. Un exercice non exigeant, sans inject fort, sans RETEX abouti, produit une illusion de préparation pire que rien.

Coopération entre acteurs

Aucune crise sérieuse ne se gère seul. Les acteurs qui se parlent bien en temps normal se coordonnent mieux en crise : préfecture, SDIS, forces de l'ordre, ARS, DREAL, collectivités voisines, partenaires privés, médias locaux. La coopération s'entretient à froid, par des conventions, des exercices inter-acteurs, des habitudes de contact.

La cartographie des parties prenantes est un outil décisif. Twist s'appuie sur deux matrices complémentaires : la matrice de Mendelow (Pouvoir × Intérêt, quatre postures relationnelles : piloter, satisfaire, informer, surveiller) et la matrice Influence × Attitude (qui croise capacité d'influence et posture favorable ou défavorable). Ces deux lectures identifient les acteurs clés, leurs leviers et les stratégies relationnelles à tenir. À ne pas confondre avec la matrice Probabilité × Gravité (P×G), qui relève de la cartographie des risques. La cartographie des parties prenantes se construit à froid et se réactualise au RETEX de chaque crise.

Voir le service cartographie