Un exercice de crise peut se dérouler sans accroc, se terminer à l’heure et laisser tout le monde satisfait… sans avoir rien testé. Ce n’est pas la réussite apparente qui compte, mais ce que l’exercice révèle sur la capacité réelle de l’organisation à comprendre, coordonner et décider.
Cet article s’adresse aux responsables gestion de crise et continuité d’activité, ainsi qu’aux dirigeants de PME qui organisent leurs premiers exercices. Les exemples sont fictifs. Les éléments de méthode attribués à l’ANSSI sont issus de ses publications, listées dans les sources.
Rappel : ce qu’un exercice doit permettre
L’ANSSI et le Club de la continuité d’activité définissent l’exercice comme la simulation d’un scénario : un enchaînement d’événements fictifs qui crée une situation de crise réaliste mais non réelle. Leur guide structure la démarche autour de quelques étapes clés : définir les objectifs, choisir le format, construire le chronogramme, observer, puis tirer les enseignements par un retour d’expérience. Les sept erreurs ci-dessous correspondent à des failles dans l’une de ces étapes.
Erreur 1 : organiser un exercice sans objectifs précis
Exemple fictif
Une PME de logistique décide de « faire un exercice cyber cette année ». Personne ne formule ce qui doit être vérifié. Le jour J, l’équipe d’animation diffuse des messages sans savoir lesquels comptent vraiment.
Conséquences
Sans objectif, impossible de dire si l’exercice est réussi. Le débriefing se transforme en échange d’impressions et aucune décision d’amélioration n’en sort.
Correction
Fixez deux à quatre objectifs observables, par exemple : la cellule est réunie dans un délai défini, un premier point de situation est produit, la direction valide un message externe. Dans la méthode de l’ANSSI, chaque stimulus du chronogramme est relié à un ou plusieurs objectifs. Supprimez ceux qui ne servent aucun objectif.
Question de débriefing
Pour chacun de nos objectifs, qu’avons-nous observé qui permette de dire s’il est atteint ?
Erreur 2 : choisir un scénario sans rapport avec la maturité de l’équipe
Exemple fictif
Une cellule de crise qui ne s’est jamais réunie affronte une attaque multisite avec fuite de données, pression médiatique et interlocuteurs étrangers. Au bout d’une heure, les participants décrochent.
Conséquences
Un scénario trop complexe noie les participants ; un scénario trop simple ne teste rien. Dans les deux cas, les enseignements sont faibles.
Correction
Adaptez le format au niveau de préparation. L’ANSSI propose par exemple des kits d’exercice déclinés en trois niveaux selon la maturité : exercice sur table, simulation, puis simulation avancée. Elle met aussi à disposition un outil d’auto-évaluation pour situer ce niveau.
Question de débriefing
À quel moment l’exercice était-il trop facile, ou trop difficile, pour être utile ?
Erreur 3 : laisser les joueurs connaître le scénario
Exemple fictif
Pour « rassurer » la direction, l’organisateur lui envoie le déroulé complet la veille. Le lendemain, les décisions tombent très vite, avec une précision suspecte.
Conséquences
L’exercice ne teste plus la capacité à analyser une situation incertaine, mais la mémoire. Les délais mesurés sont faussés.
Correction
Annoncez le cadre (date, durée, règles du jeu, objectifs généraux) sans révéler le scénario. Réservez le contenu détaillé à l’équipe d’animation et aux observateurs.
Question de débriefing
Quelles informations aurions-nous voulu avoir plus tôt, et par quel canal auraient-elles dû arriver ?
Erreur 4 : simuler une crise sans pression réaliste
Exemple fictif
Tous les événements arrivent par courriel, à intervalles réguliers de quinze minutes. Aucun appel, aucune sollicitation extérieure : les participants ont le temps de tout lire et de tout discuter.
Conséquences
L’exercice ignore ce qui rend une crise difficile : informations contradictoires, sollicitations simultanées, demandes externes pressantes. La cellule paraît plus efficace qu’elle ne le serait.
Correction
Variez les canaux et les émetteurs. L’ANSSI prévoit que les stimuli puissent venir d’acteurs internes, comme le responsable d’un service, ou externes, comme un journaliste. Faites varier le rythme : phases calmes, puis plusieurs sollicitations en même temps.
Question de débriefing
Quand plusieurs demandes sont arrivées en même temps, comment avons-nous choisi la priorité ?
Erreur 5 : ne pas faire jouer les vrais décideurs
Exemple fictif
Le dirigeant, retenu par un rendez-vous client, se fait représenter par son assistante, qui n’a pas délégation pour décider. Les arbitrages restent en suspens jusqu’à la fin.
Conséquences
L’exercice ne teste pas la chaîne de décision réelle. Les blocages observés tiennent à l’organisation de l’exercice, pas à celle de la crise.
Correction
Bloquez la date très tôt avec les décideurs. Si un titulaire est absent, faites jouer son suppléant officiel : c’est aussi un test utile du dispositif.
Question de débriefing
Qui avait réellement l’autorité pour prendre chacune des décisions clés, et était-il présent ?
Erreur 6 : animer sans observer
Exemple fictif
Deux personnes assurent seules l’animation. Absorbées par l’envoi des messages et les appels simulés, elles ne notent presque rien de ce qui se passe dans la cellule.
Conséquences
Le débriefing repose sur les souvenirs des participants. Les délais, les circuits d’information et les points de blocage ne sont pas documentés.
Correction
Séparez les rôles d’animation et d’observation. Le guide de l’ANSSI consacre une fiche pratique à l’observation, et le cahier des charges de son kit JOP 2024 prévoit au moins un observateur par cellule de crise. Donnez aux observateurs une grille liée aux objectifs.
Question de débriefing
Qu’ont noté les observateurs que les participants n’avaient pas perçu ?
Erreur 7 : réduire le retour d’expérience à un tour de table
Exemple fictif
À la fin de l’exercice, chacun dit ce qu’il a ressenti, on se félicite et on se sépare. Trois mois plus tard, personne ne retrouve de compte rendu.
Conséquences
Les enseignements s’évaporent. Le prochain exercice reproduit les mêmes difficultés.
Correction
Distinguez deux temps, comme le recommande l’ANSSI : un RETEX à chaud juste après l’exercice, puis un RETEX à froid dans le mois qui suit, appuyé sur un questionnaire aux participants. Concluez par un plan d’action avec responsables et échéances.
Question de débriefing
Quelles sont les trois actions que nous nous engageons à mettre en œuvre, qui les porte et pour quand ?
Checklist de préparation
- Deux à quatre objectifs observables sont rédigés et validés par la direction.
- Le format est adapté au niveau de maturité de l’équipe.
- Le scénario reste confidentiel, seul le cadre est annoncé aux participants.
- Chaque stimulus du chronogramme est relié à un objectif.
- Les stimuli varient par canal, émetteur et rythme, avec des sollicitations externes.
- Les décideurs titulaires, ou leurs suppléants officiels, ont confirmé leur présence.
- Les rôles d’animation et d’observation sont séparés.
- Chaque cellule dispose d’au moins un observateur, muni d’une grille liée aux objectifs.
- Le briefing de début d’exercice est prêt : objectifs, durée, règles du jeu.
- Le RETEX à chaud et le RETEX à froid sont planifiés, ainsi que le responsable du plan d’action.
Passer de la checklist à l’exercice
Action utile : reprenez votre dernier exercice et confrontez-le à ces sept erreurs. Celles que vous reconnaissez indiquent par où commencer pour le prochain.
La plateforme Exerce-Ease accompagne chacune de ces étapes : conception du scénario et des objectifs, construction du chronogramme, diffusion de stimuli variés (emails, SMS, appels, médias), observation des décisions et préparation du retour d’expérience.
Découvrir la plateforme : https://www.exerce-ease.com/plateforme.php