Travailler à distance ne suffit pas quand la crise frappe

Les plans traditionnels de reprise après sinistre ne suffisent plus

La plupart des stratégies de reprise après sinistre ont été conçues pour un monde où les gens travaillaient dans des bureaux centralisés, avec des centres de données à proximité et une direction regroupée sous un même toit. Ce monde est révolu. Aujourd’hui, plus d’un quart des travailleurs américains ayant un emploi à distance travaillent à distance à temps pleinselon un sondage Gallup de novembre 2024. Le modèle a changé, physiquement et opérationnellement. Les dirigeants doivent cesser de considérer la planification en cas de catastrophe comme une stratégie localisée. La continuité des activités doit s’adapter à chaque employé, qui travaille désormais à domicile, dans des espaces partagés et parfois dans des installations mobiles, partout dans le monde.

Le problème est clair. Une perturbation liée aux conditions météorologiques au siège était autrefois le pire des cas. Aujourd’hui, les risques sont omniprésents et beaucoup plus personnels. Rien qu’en 2024, les États-Unis ont été confrontés à 90 catastrophes météorologiques majeures déclarées par le gouvernement fédéral. Cela représente environ une catastrophe tous les quatre jours. Selon les données de l’Institut international pour l’environnement et le développement, plus de 137 millions d’Américains, soit environ 41 % de la population, se trouvaient cette année-là dans des zones touchées par des catastrophes. Ce chiffre ne tient même pas compte des perturbations dues à des pannes informatiques, à des défaillances d’infrastructures ou à des événements géopolitiques.

Votre personnel n’est plus dans le bâtiment. Ils se trouvent dans des zones d’incendie, des zones inondables, des pannes d’électricité et des points chauds de la scène politique. Par conséquent, si votre plan de reprise s’arrête à votre bureau principal, vous avez déjà perdu la moitié de la bataille.

Réévaluez votre périmètre de continuité. Votre système réel inclut désormais les ordinateurs portables de vos employés, leurs fournisseurs d’accès Internet locaux et leur proximité avec le danger. Vous avez besoin de systèmes qui donnent la priorité à la sécurité, à la connectivité et à la flexibilité décentralisées, et pas seulement au temps de disponibilité des serveurs dans le sous-sol de votre siège social. Si vous ne protégez pas les travailleurs intellectuels là où ils se trouvent, la continuité des activités n’est qu’une théorie.

Des scénarios de catastrophe simulés aident les organisations à identifier les lacunes

La plupart des entreprises ne consacrent pas de ressources importantes à quelque chose qui n’a pas de retombées immédiates. C’est la nature humaine, et c’est une faiblesse de la planification stratégique. Les catastrophes ne donnent pas lieu à des alertes de calendrier. Si vous ne les simulez pas suffisamment, vous réagirez trop tard.

Oliver Schlake, expert en préparation aux catastrophes et directeur du BSE Scholars Program à l’université du Maryland, l’a dit directement : les gens veulent des héros, pas des agents d’entretien. Vous célébrez le pompier, mais vous oubliez le gars qui a changé la pile du détecteur de fumée le mois dernier et qui a empêché l’incendie de se propager. Dans les entreprises, cela signifie que les systèmes de sauvegarde et les travaux préparatoires sont constamment sous-financés ou supprimés.

Il n’est pas possible de se renforcer en cas de crise. Il faut s’y entraîner à l’avance. La recommandation de Schlake est simple : simulez des environnements imprévisibles. Fermez votre intranet lors d’un test. Obligez les équipes à travailler sans leur Wi-Fi habituel. Voyez ce qui échoue et corrigez la situation dès maintenant. Une entreprise a suivi ce conseil et s’est rendu compte que son système VoIP présentait un point de défaillance unique. Elle a déployé 100 téléphones préprogrammés comme solution de secours. Lorsqu’un événement réel s’est produit des mois plus tard, ces téléphones ont sauvé les communications des clients.

M. Schlake a également présenté la « règle de trois ». Cette règle décompose la réponse aux catastrophes en tranches temporelles simples : ce qui est important dans les trois prochaines secondes, minutes, heures, jours, et ainsi de suite, jusqu’à trois mois. Il ne s’agit pas de cocher des cases. Il s’agit d’un cadre pour une action décisive sous contrainte.

Les dirigeants devraient considérer les simulations non pas comme des exercices de conformité, mais comme des exercices de sauvegarde des fonctions essentielles de l’entreprise. Il ne s’agit pas d’exercices techniques. Il s’agit d’une formation au leadership. Lorsqu’elles sont bien faites, les simulations révèlent les lacunes en matière de communication, d’infrastructure et de préparation humaine. Elles vous permettent de tester en direct votre résilience.

Plus important encore, les simulations vous aident à réaliser à quel point vous n’êtes pas préparé, et vous donnent le temps et les données nécessaires pour y remédier avant que la situation réelle ne se produise. Vous ne visez pas la perfection lors de l’exercice. Votre objectif est de réduire les échecs dans la réalité.

Protéger les appareils des employés à distance contre les menaces de cybersécurité

En cas de catastrophe, les gens s’adaptent rapidement. Les employés éloignés ont besoin de rester connectés et si leur bureau est hors ligne, ils se rendent dans le lieu public le plus proche doté d’une connexion Wi-Fi. Cafés, bibliothèques, chaînes de restauration rapide, voilà ce qui se passe. Mais ce faisant, ils exposent les actifs de l’entreprise à des environnements où la cybersécurité est quasiment inexistante. Il s’agit là d’un angle mort majeur que la plupart des dirigeants ignorent jusqu’à ce que des données soient compromises. Vous ne pouvez pas vous permettre de laisser la protection au hasard.

Jocelyn Rhindress, cadre supérieur à la Fédération canadienne de l’entreprise indépendante, a décrit ce qui s’est passé lors d’une panne majeure des télécommunications au Canada en 2022 : une perturbation au niveau de l’infrastructure a poussé un grand nombre d’employés à quitter leur domicile et à se connecter à des réseaux publics. Cela les a exposés, ainsi que leurs entreprises, à des vulnérabilités dont vous n’entendez pas parler tant qu’il n’y a pas eu de violation.

Il ne s’agit pas de risques théoriques. Les réseaux publics sont souvent dépourvus d’un cryptage de base et laissent les dispositifs d’extrémité largement ouverts. Si un employé à distance se connecte à vos systèmes via l’un de ces réseaux, chaque fichier qu’il touche fait désormais partie de votre profil de risque. Et s’il traite des données de clients, vous ne risquez pas seulement une défaillance interne, vous accumulez les retombées juridiques et les atteintes à la réputation.

Kris Lahiri, directeur de la sécurité et cofondateur d’Egnyte, le dit clairement : les protections telles que les VPN et le chiffrement des points d’accès ne devraient pas être un ajout facultatif accordé à quelques utilisateurs « à accès élevé ». Elles devraient être la norme. Elles devraient être installées bien avant qu’une crise ne survienne, et faire partie de la configuration par défaut de vos appareils. Personne ne devrait avoir à se démener pour sécuriser les points de terminaison lorsque les lumières sont déjà éteintes.

En tant que décideur de haut niveau, veillez à ce que vos protocoles informatiques tiennent compte des scénarios les plus défavorables, et non des hypothèses les plus optimistes d’une configuration domestique statique. Poussez vos équipes à aller au-delà des solutions réactives. La solution aux variables incontrôlées n’est pas le contrôle, c’est la préparation intelligente.

Le soutien des employés devrait s’étendre à la planification personnelle de la reprise après sinistre

La plupart des entreprises pensent qu’elles en font assez lorsqu’elles sauvegardent les données de travail de leurs employés. Ce n’est pas suffisant. Les catastrophes n’endommagent pas seulement les appareils, elles touchent des vies humaines. Photos, documents financiers, dossiers fiscaux, passeports, les employés ne cessent pas d’être des personnes lorsque leur maison est inondée ou incendiée. Si ces objets sont perdus, l’impact psychologique devient un autre obstacle à la reprise du travail, même lorsque le réseau est rétabli. La plupart des entreprises ne le comprennent pas ou l’ignorent.

Kris Lahiri, d’Egnyte, pousse les autres à s’attaquer à ce problème. Selon lui, l’informatique doit sortir de la bulle de l’entreprise. Aidez les employés à planifier non seulement l’accès à un disque partagé, mais aussi le stockage de leurs documents personnels essentiels, la protection de leurs données physiques et la sauvegarde de leurs systèmes personnels. Cela peut sembler hors de portée pour de nombreux responsables techniques. Mais ce n’est pas le cas. Vos systèmes se trouvent désormais au domicile des employés. La résilience à domicile est donc votre problème.

Lorsque les employés n’ont pas de continuité dans leur vie personnelle, même les tâches professionnelles de base deviennent compliquées. Ils ne peuvent pas travailler efficacement lorsqu’ils passent des heures à contacter des banques, à remplacer des formulaires fiscaux et à essayer de récupérer des données perdues depuis des années. Soutenir leur rétablissement à domicile raccourcit concrètement les temps d’arrêt. Il ne s’agit pas d’être généreux, mais d’assurer la continuité des opérations.

Si vous voulez vraiment créer une culture de la résilience, c’est par là que ça commence. Soutenez l’individu et le travail suivra. Vos politiques et stratégies doivent en tenir compte. La plupart des plans d’urgence partent du principe que les systèmes sont tous numériques et sous le contrôle de l’entreprise. Ce n’est pas le cas. Le champ d’application a changé, et si vos systèmes de soutien n’ont pas changé avec lui, vous n’êtes pas suffisamment préparé.

L’atténuation des risques géographiques est inestimable

Au fur et à mesure que votre entreprise se développe, votre exposition aux risques s’étend. Les effectifs à distance ne sont plus regroupés près du siège. Ils opèrent sur plusieurs fuseaux horaires, réseaux d’infrastructure et zones sinistrées. Si vous ne suivez pas activement où se trouvent vos employés et quels sont les risques externes auxquels ces régions sont confrontées, vous gérez vos opérations avec un angle mort majeur.

Oliver Schlake, de l’université du Maryland, souligne la solution évidente mais souvent ignorée : surveiller les lieux et se préparer en conséquence. Si un typhon se forme aux Philippines et que 5 % de votre équipe d’ingénieurs est basée dans cette région, vous devriez déjà mettre en œuvre votre plan d’urgence, sans attendre que les systèmes tombent en panne. La connaissance des régions vous donne un avantage tactique. Mais trop d’organisations s’appuient sur des protocoles généralisés et ratent l’occasion de développer des stratégies précises et localisées.

Kenny Kamal, directeur informatique d’Oxfam International, explique comment procéder à grande échelle. Son équipe suit les zones opérationnelles clés et donne la priorité à la mise en place de centres critiques qui peuvent fonctionner de manière indépendante. Ces centres sont pré-équipés d’une alimentation de secours, d’Internet et de ressources telles que la connectivité par satellite et les chargeurs à énergie solaire. Oxfam utilise ces systèmes quotidiennement, dans des situations de crise réelles.

Ce niveau de planification est crucial pour la réputation de l’entreprise et la capacité de livraison. M. Kamal insiste sur la nécessité de classer les incidents par niveau d’impact, localisé, régional ou à grande échelle, avec des protocoles de réponse évolutifs. Les équipes disposent ainsi de la structure nécessaire pour agir rapidement et efficacement sans avoir à attendre l’autorisation de la direction à chaque nouvelle perturbation.

Si vous êtes une entreprise internationale, votre stratégie de reprise ne doit pas être monolithique. Elle doit être modulaire, avec des systèmes de réponse adaptés à la géographie, à la stabilité des infrastructures et à la concentration des employés. Les équipes dirigeantes doivent cesser de penser que chaque région peut être gérée avec les mêmes tactiques de reprise. Cette hypothèse ralentit la réponse et augmente les risques. Construisez des systèmes qui s’adaptent au niveau régional pour protéger le temps de fonctionnement à l’échelle mondiale.

Le bien-être et la santé mentale des employés doivent être au centre des préoccupations

Il est facile de se concentrer sur l’infrastructure technique après une catastrophe. La plupart des entreprises donnent la priorité à la bande passante, à l’accès, à l’alimentation électrique et à la récupération des données. Ces éléments sont importants, mais ils ne sont pas suffisants. Votre personnel est la base de vos opérations et si vous ne tenez pas compte de l’impact mental et émotionnel d’une crise sur lui, vous ignorez la plus grande variable du rétablissement : la capacité humaine.

Jocelyn Rhindress, de la FCEI, soulève un point essentiel : la communication ne se limite pas au courrier électronique ou à l’accès VPN. Lors d’une catastrophe, en particulier lorsque les personnes sont déplacées ou isolées, elles ont besoin d’un contact direct. Parfois, cela signifie que les dirigeants doivent donner leur numéro de téléphone portable personnel ou débloquer d’autres canaux de communication pour s’assurer que personne n’est laissé dans l’ignorance. Il ne s’agit pas de faire de la microgestion, mais d’être joignable quand c’est important.

Mario Jabbour, directeur financier et administratif de Project HOPE, plaide en faveur de la codification de ces soins dans la politique. La formation, des attentes souples, des guides clairs en cas de catastrophe et des ressources réelles en matière de santé mentale sont des infrastructures essentielles. Si vos employés n’ont pas la possibilité de se rétablir physiquement et psychologiquement, la productivité chute, le taux de rotation augmente et la culture organisationnelle se fissure sous la pression. Le point de vue de Mme Jabbour est simple : le rétablissement ne peut se limiter au redémarrage des systèmes, il doit inclure la reconstruction des personnes.

Kenny Kamal, d’Oxfam, va plus loin en mettant l’accent sur les rétrospectives après une catastrophe. Ses équipes évaluent systématiquement ce qui a fonctionné et ce qui n’a pas fonctionné après chaque crise majeure. Ce processus d’amélioration continue permet d’affiner les protocoles et de s’assurer que la flexibilité et la réactivité s’améliorent constamment.

La priorité est ici la durabilité. Si les catastrophes se multiplient, et les données le montrent, la résilience doit être intégrée à la culture, et pas seulement à l’infrastructure. Cela signifie qu’il faut soutenir les employés en tant qu « êtres humains, et non en tant qu » éléments finaux. Si votre plan de reprise après sinistre ne prend pas en charge la santé mentale, il est incomplet et vos performances à long terme refléteront cette lacune.

Principaux enseignements pour les dirigeants

• Le travail à distance modifie l’exposition aux risques de catastrophes : Les dirigeants doivent étendre la planification de la continuité des activités pour couvrir les équipes à distance dispersées géographiquement, où les catastrophes naturelles et liées à l’infrastructure sont de plus en plus fréquentes.
• Les simulations révèlent des vulnérabilités négligées : Organisez régulièrement des simulations pratiques de catastrophes auxquelles participent des travailleurs à distance afin d’identifier les faiblesses en matière de communication, d’accès et d’opérations avant qu’une crise réelle ne se produise.
• La cybersécurité doit s’adapter aux risques liés à la connectivité : Équipez tous les employés distants d’outils sécurisés tels que les VPN et le cryptage des terminaux afin de réduire les risques lorsque les employés passent à des réseaux publics ou peu fiables pendant les pannes.
• La récupération personnelle a un impact sur la continuité opérationnelle : Encouragez les équipes informatiques et de ressources humaines à aider les travailleurs à distance à planifier leur reprise après sinistre, notamment en leur donnant des conseils sur la sauvegarde des documents personnels essentiels et la sécurisation des installations à domicile.
• Le suivi des risques géographiques permet de réagir plus rapidement : Surveillez l’emplacement des employés et élaborez des plans d’urgence spécifiques à chaque région qui donnent la priorité aux ressources de secours, à la communication et au personnel de remplacement ayant reçu une formation polyvalente.
• La santé mentale est au cœur de la résilience : Intégrez des ressources en santé mentale, des politiques flexibles et une communication de crise claire dans votre stratégie de réponse aux catastrophes afin de maintenir la stabilité de l’équipe et de réduire l’épuisement professionnel lors d’événements très stressants.