Gouvernance, culture de sécurité, continuité d'activité et projet final

1La politique de sécurité et de gestion des risques

La politique, adoptée par le conseil, fixe le cadre que tous les pays et services appliquent :

• principes (devoir de protection, acceptation, droit de retrait, égalité de traitement, non-paiement aux parties au conflit) ;
• appétit pour le risque et seuils par catégorie ;
• rôles et responsabilités, de la direction aux points focaux ;
• exigences minimales : évaluation des risques, plan de sécurité, formation, signalement des incidents, gestion de crise ;
• position sur les questions sensibles (escortes armées, gardes armés, rançons, communication en cas d'enlèvement) ;
• suivi : rapports, audits, révisions.

Des normes minimales par niveau de risque rendent la politique opérationnelle. Exemple : dans tout pays classé à risque élevé, un conseiller sécurité dédié, un plan révisé tous les 6 mois, une formation avancée pour tout le personnel exposé, un exercice de crise annuel et des communications satellitaires dans chaque base.

2Le rôle du conseil et de la direction

Le conseil d'administration ne gère pas la sécurité au quotidien, mais il en porte la responsabilité ultime :

• il adopte la politique et l'appétit pour le risque ;
• il reçoit un rapport régulier (au moins annuel, trimestriel pour les risques majeurs) ;
• il est informé sans délai des incidents graves et des crises ;
• il vérifie que les ressources sont suffisantes et que les audits sont suivis.

La direction rend des comptes avec un tableau de bord simple : incidents par catégorie et gravité, taux pour 100 employés, pays au-dessus du seuil, conformité aux normes minimales (plans à jour, formations, exercices), recommandations en retard, maturité.

Exemple de lecture. 12 pays ; 10 ont un plan de sécurité à jour (83 %) ; 7 ont fait un exercice de crise dans l'année (58 %) ; 3 pays ont des risques résiduels au-dessus de l'appétit. Le conseil demande pour ces 3 pays une décision explicite : mesures supplémentaires, réduction d'activités, ou acceptation motivée et temporaire du dépassement.

3Auditer la sécurité

Les audits de sécurité (internes, par des pairs ou externes) vérifient que le dispositif existe et fonctionne :

• documents : évaluation des risques, plan, procédures, listes de contacts, journal des incidents ;
• pratiques : contrôles d'appel effectifs, carnets de mouvements, registres de visiteurs, tests radio ;
• connaissances : entretiens avec le personnel (connaissent-ils le plan, le niveau de sécurité, la procédure en cas d'incident ?) ;
• équipements : état des véhicules, communications, trousses, réserves d'hibernation ;
• équité : mesures réelles pour le personnel national et les partenaires.

Exemple d'échantillon. L'auditeur interroge 30 employés : 27 connaissent le niveau de sécurité actuel (90 %), 18 savent quoi faire si un collègue ne répond pas à un contrôle d'appel (60 %), 9 ont participé à un exercice dans l'année (30 %). Les procédures écrites existent, mais leur appropriation est faible : formation et exercices deviennent prioritaires.

4La culture de sécurité

Les procédures les mieux écrites échouent sans une culture de sécurité : un ensemble de comportements partagés où la sécurité est vue comme un moyen de faire le travail, pas comme un obstacle.

Ses signes :

• les incidents et les quasi-incidents sont signalés, et les erreurs discutées sans peur ;
• les responsables appliquent les règles qu'ils imposent ;
• chacun peut dire « non » ou « stop » sans être moqué ni sanctionné ;
• les personnels nationaux participent aux analyses et aux décisions ;
• la sécurité est discutée dans les réunions de programme, pas seulement entre spécialistes ;
• la qualité des programmes et le comportement personnel sont reconnus comme des mesures de sécurité.

La culture se voit à ce qui se passe quand un responsable pressé veut contourner une règle. Si personne n'ose rien dire, la culture de sécurité est faible.

5La continuité d'activité

Le plan de continuité d'activité prépare l'organisation à maintenir ses fonctions essentielles malgré une perturbation majeure : perte d'un bureau, coupure prolongée d'Internet, cyberattaque, pandémie, évacuation, départ brutal de personnes clés.

Étapes :

• Identifier les fonctions critiques : paiement des salaires, des fournisseurs et des transferts aux bénéficiaires, approvisionnement des centres de santé, communications avec les équipes, rapports aux bailleurs à échéance.
• Fixer pour chacune un délai maximal d'interruption : par exemple 24 heures pour les communications d'urgence, 7 jours pour la paie, 30 jours pour les rapports aux bailleurs.
• Prévoir les solutions de repli : bureau alternatif, accès à distance, sauvegardes, délégations de signature, fournisseurs de secours, stocks.
• Désigner des suppléants pour les fonctions clés et documenter les accès essentiels (sans partager de mots de passe en clair).
• Tester le plan au moins une fois par an.

Exemple. Le système de paie est hébergé sur un serveur au bureau de la capitale. Délai maximal toléré : 7 jours. Si le bureau devient inaccessible, la restauration à partir de la sauvegarde hors site prend 3 jours, ce qui respecte le délai, à condition que la sauvegarde soit récente et testée : la dernière date de 5 semaines. Action : sauvegarde quotidienne automatisée, test trimestriel de restauration.

6Projet final : un cadre de gestion des risques pour un pays

Le projet final du Mini MBA Sécurité et gestion des risques consiste à rédiger, pour un pays ou une zone réels (avec des données publiques uniquement, jamais d'informations confidentielles d'une organisation) ou fictifs mais réalistes, un cadre de gestion des risques de 6 à 10 pages :

• 1. Analyse du contexte : acteurs, dynamiques, scénarios, indicateurs.
• 2. Évaluation des risques : menaces, vulnérabilités par profil, matrice, risques inhérents et résiduels, comparaison au seuil.
• 3. Stratégie : dosage acceptation, protection, dissuasion, et stratégie d'accès et de négociation.
• 4. Plan de sécurité résumé : niveaux, procédures clés, communications, plans de contingence (évacuation médicale, hibernation, relocalisation, enlèvement).
• 5. Personnes : devoir de protection équitable, santé, bien-être, sauvegarde interne, assurances.
• 6. Risques de l'organisation : extrait du registre (fiduciaire, conformité, PSEA, numérique, réputation).
• 7. Partenaires, budget et gouvernance : partage du risque, budget de sécurité, tableau de bord, continuité d'activité.

Critères d'évaluation : qualité de l'analyse, cohérence entre risques et mesures, réalisme et proportionnalité, équité entre personnels et partenaires, respect des principes humanitaires, clarté. Le projet fait partie de l'examen du troisième mois.