Incident, urgence, crise : savoir où l'on est

Le critère n'est pas la taille

Une panne de courant de six heures sur un site de production est grave. Ce n'est pas nécessairement une crise : on sait ce qui se passe, on sait qui appeler, on sait combien de temps cela prendra. C'est un incident sévère, traité par une procédure connue.

Une anomalie inexpliquée dans les écritures comptables, détectée un vendredi soir, sans certitude sur son origine, sur son étendue ni sur le fait qu'elle soit accidentelle ou non : c'est une crise, même si aucune machine n'est arrêtée.

ISO 22361 est explicite sur ce point : la crise se caractérise par l'incertitude, l'instabilité et la menace sur les objectifs stratégiques — pas par l'ampleur des dégâts.

Les trois niveaux et ce qu'ils engagent

Incident

Un écart connu, une procédure existante, un responsable identifié. L'organisation traite sans changer de mode de fonctionnement. Le volume d'incidents est un indicateur de santé, pas un signal d'alarme : une organisation qui ne déclare aucun incident mineur a un problème de culture, pas un problème de fiabilité.

Urgence

La sécurité des personnes ou l'intégrité d'un bien est menacée. Les priorités changent : on protège d'abord, on analyse ensuite. Les procédures d'urgence — évacuation, confinement, premiers secours — priment sur toute considération d'activité.

Crise

Trois conditions se réunissent :

1. La situation dépasse le cadre des procédures existantes ;
2. L'information est incomplète, contradictoire ou évolutive ;
3. Les enjeux engagent la réputation, la conformité ou la viabilité.

À ce stade, on ne cherche plus à appliquer un plan mais à décider sous incertitude. C'est un métier différent, et c'est pourquoi la cellule de crise n'est pas l'équipe d'astreinte élargie.

Écrire les seuils avant d'en avoir besoin

Le jugement humain à 3 heures du matin, sous fatigue et sous pression hiérarchique, sous-estime systématiquement la gravité. C'est pourquoi les seuils d'escalade doivent être écrits, chiffrés et opposables :

• Nombre de clients affectés au-delà de X ;
• Durée prévisible d'indisponibilité supérieure à Y ;
• Toute suspicion de compromission de données personnelles ;
• Toute sollicitation d'un média ou d'une autorité ;
• Tout événement susceptible de déclencher une obligation de notification réglementaire.

Un seul de ces critères doit suffire à déclencher, sans débat. Le débat a lieu après l'activation, jamais avant : désactiver une cellule réunie pour rien coûte une heure ; activer trop tard coûte la crise.