Ce troisième et dernier volet de la série consacrée à la gestion de crise en cybersécurité s’attarde sur une question centrale : quand une crise est-elle réellement terminée ? Les invités s’accordent à dire qu’il faut distinguer deux moments bien différents : la gestion de crise proprement dite, et ce qu’ils appellent le « postcrise » ou le « relic » (les séquelles à traiter après coup).

Selon les intervenants, la crise se termine dès que l’organisation retrouve sa capacité à remplir sa mission, même en mode dégradé, et non lorsque tout est parfaitement résolu. Autrement dit, l’équipe de gestion de crise peut être allégée dès que le service essentiel peut être rendu à la clientèle — le reste (améliorations, projets de modernisation, correctifs secondaires) relève d’une phase ultérieure, distincte, et ne doit pas maintenir artificiellement l’organisation en « mode crise ».

L’exemple de la pandémie de COVID-19 illustre bien ce piège : la véritable urgence (déployer le télétravail, fournir les équipements) n’a duré que trois semaines, mais certaines entreprises sont restées en « gestion de crise » pendant un an, confondant ajustements mineurs (port du masque, plexiglas) et véritable état de crise.

Pour structurer les priorités pendant l’incident, un cadre à quatre niveaux est proposé : ce qui doit être réglé en 5-6 heures, ce qui doit l’être en 24 heures, ce qui relève du meilleur effort, et enfin ce qui devient un projet à part entière — souvent les nombreuses lacunes découvertes en cours de route, qui n’empêchent pas la reprise du service et peuvent donc attendre.

Une grande partie de la discussion porte sur les conséquences humaines, qui persistent bien après le retour du service. Deux effets majeurs touchent particulièrement les équipes TI :

Un constat frappant revient : dans les semaines ou mois suivant une cyberattaque, certaines équipes TI perdent jusqu’à la moitié de leurs effectifs, soit par épuisement professionnel, soit à cause d’une gestion jugée catastrophique par les employés (par exemple, laisser les ressources humaines gérer seules les questions de rémunération pendant l’incident, sans communication claire de la direction).

Les intervenants notent aussi un phénomène de cohésion : les équipes soudées dans l’urgence, en mode quasi militaire, ne sont pas toutes faites pour ce rythme, et un accompagnement post-crise — prendre le temps de vérifier comment chacun va, plutôt que de tourner la page trop vite — est jugé essentiel pour éviter les cicatrices durables.

Le retour à la normale ne concerne, au fond, que le service rendu — pas les personnes qui l’ont vécu. Certains systèmes ou services jugés peu utiles ne sont d’ailleurs jamais relancés après une attaque, ce qui produit un effet de « ménage » parfois positif (vieux serveurs obsolètes abandonnés, par exemple). Mais du côté humain, il n’existe pas vraiment de retour en arrière : l’expérience laisse une trace durable chez les personnes impliquées.

Ce vécu, bien que douloureux, comporte un avantage : une organisation qui a traversé une première cyberattaque sait mieux à quoi s’attendre. Les statistiques évoquées (à prendre avec prudence, précisent les invités) suggèrent qu’une entreprise déjà attaquée a de bonnes chances de l’être à nouveau dans les 12 à 24 mois suivants. D’où l’importance cruciale du retour d’expérience post-incident, souvent négligé par fatigue ou lassitude, alors qu’il permet de transformer une expérience coûteuse en amélioration réelle des procédures.

Deux facteurs reviennent comme déterminants pour la survie de l’entreprise après une cyberattaque :

La communication. Une mauvaise communication de crise peut faire plus de dégâts que l’attaque elle-même. L’exemple cité d’une entreprise manufacturière ayant menti à ses clients et fournisseurs, et ayant fini par faire faillite un an plus tard malgré une reprise technique réussie, illustre ce point : la confiance perdue peut coûter plus cher que les données perdues.

Le leadership. Un bon leader de crise doit projeter le contrôle même sous stress, savoir demander de l’aide extérieure sans hésiter, et surtout — point jugé le plus important — reconnaître ses propres limites et passer le relais si nécessaire. Un leader excellent en simulation peut s’effondrer en situation réelle pour des raisons personnelles imprévisibles ; l’humilité de céder sa place au bon moment est présentée comme la véritable marque du leadership. Ce leadership se construit d’ailleurs dès la phase de préparation, bien avant que la crise ne survienne, et continue de s’exercer après la résolution technique, notamment pour accompagner les équipes humaines vers la suite.

Le message central de cet épisode : la fin technique d’une crise n’est pas la fin de la crise elle-même. Une gestion de crise réussie ne se mesure pas seulement à la vitesse de reprise des systèmes, mais à la façon dont l’organisation prend soin de ses équipes, communique honnêtement avec ses parties prenantes, et capitalise sur l’expérience vécue pour être mieux préparée la prochaine fois.

Blue ou tout ce qui améliore notre posture

Après un premier épisode consacré à la préparation, cette discussion aborde le cœur même de la crise : le moment où l’entreprise se retrouve, selon l’expression employée, « dans l’eau bouillante ». Les intervenants rappellent que tout ce qui se joue à ce stade repose sur le travail effectué en amont. Une organisation préparée applique simplement son plan, ce qui réduit considérablement la charge émotionnelle. À l’inverse, une entreprise non préparée vit un véritable effet de sidération, comparable à des lapins pris dans les phares d’une voiture.

Pour illustrer les conséquences d’un manque de préparation, Alexandre raconte l’histoire d’un dirigeant breton qui, après une cyberattaque, est resté 24 heures sans savoir quoi faire en découvrant ses serveurs hors service. Soixante-douze heures plus tard, son entreprise cessait ses activités, un coup encore aggravé par un redressement fiscal survenu peu après.

Nicholas propose de dresser rapidement la liste des personnes et entités à gérer simultanément lors d’une crise : soi-même en tant que dirigeant, les communications internes, les employés, éventuellement les médias, les fournisseurs, les commandes et livraisons, ainsi que les clients. Cette énumération, improvisée en quelques secondes, donne une idée de l’ampleur des décisions à prendre dans les premières minutes et heures suivant l’incident.

Alexandre revient sur l’outil présenté lors de l’épisode précédent : la carte réflexe. La toute première instruction qui y figure, avant même le nom de son propriétaire, est simple : « prends une grande respiration ». L’idée est d’accepter que le mal est déjà fait et qu’il faut désormais agir avec lucidité plutôt que dans la panique.

La gestion de crise est ensuite pensée comme une série de cercles concentriques. Le dirigeant doit d’abord se stabiliser lui-même, avant de s’occuper de son cercle N-1 (les directeurs et responsables directs), qui pourra ensuite relayer l’information et les consignes vers le reste des équipes. Une fois ce cadrage effectué, l’entreprise peut dresser un état des lieux : qu’est-ce qui fonctionne encore, qu’est-ce qui ne fonctionne plus, et que peut-on faire avec les ressources restantes ?

La gestion des employés est identifiée comme une priorité immédiate. Il s’agit d’abord de communiquer pour les rassurer, car ils peuvent se retrouver face à des écrans noirs, voire des messages explicites annonçant une cyberattaque. Ensuite se pose une question stratégique : faut-il garder tout le monde sur place ou renvoyer une partie du personnel ? Les intervenants soulignent qu’il est souvent préférable d’offrir une journée de congé à la majorité des employés et de ne conserver que ceux dont le rôle est essentiel à la gestion de l’après-crise. Garder tout le monde alors que la direction elle-même ne sait pas quoi faire ne fait qu’ajouter du stress collectif.

Une fois les communications internes traitées, l’entreprise doit s’adresser à ses cercles extérieurs : clients, fournisseurs, partenaires bancaires et assureurs, qui perçoivent déjà qu’un problème existe. Il faut ensuite maintenir une activité minimale en s’appuyant sur ce qui fonctionne encore, pendant que l’on reconstruit ce qui a été perdu. Dominique insiste sur l’importance, pour une PME, de disposer de bonnes métriques permettant de savoir objectivement si l’entreprise est en bonne ou mauvaise posture, un point souvent négligé.

Contrairement à une intuition répandue, la carte réflexe n’appartient pas à une seule personne (le PDG, les RH ou l’informatique) mais à chaque direction du comité de crise. Chacun y définit ses propres actions prioritaires pour la première heure. Par exemple, du côté finance, l’une des premières actions consiste à appeler la banque pour bloquer tous les paiements sortants tout en laissant entrer les fonds. Cet outil permet à chaque responsable d’arriver au comité de crise avec un état des lieux clair de son périmètre, sans dépendre d’un audit préalable coûteux : les directeurs connaissent déjà le fonctionnement de leur entreprise.

La discussion aborde ensuite la question de la décision finale. Juridiquement, c’est toujours le dirigeant qui porte la responsabilité ultime, même lorsqu’un N-1 prend temporairement les rênes du comité de crise. Mais certains dirigeants, très compétents en temps normal, peuvent se retrouver dépassés émotionnellement en situation de crise. Les intervenants insistent sur l’importance d’anticiper ce scénario en désignant à l’avance un remplaçant en cas de blocage, plutôt que de laisser l’incertitude paralyser toute prise de décision au pire moment.

Un thème récurrent est celui de l’émotion. Cyndie souligne qu’il faut avoir le courage, collectivement, de retirer une personne du comité de crise si son état émotionnel nuit plus qu’il n’aide, y compris lorsqu’il s’agit du PDG lui-même. Les intervenants rappellent aussi que la gestion de crise ne signifie pas travailler sans relâche : prendre des pauses, reconnaître ses limites et savoir déléguer sont essentiels. Les décisions prises sous le coup du stress ne sont pas toujours les meilleures, et la précipitation reste mauvaise conseillère.

L’échange se termine sur une note d’espoir : lorsque le dirigeant accepte de prendre du recul et de confier temporairement les rênes à une autre personne, l’entreprise a souvent de meilleures chances de s’en sortir. Cette transition annonce le troisième et dernier épisode de la série, consacré à la phase de reconstruction (« recover »).

Guillaume explique que l’intérêt pour n8n n’est pas né d’un coup de chance isolé, mais de la convergence de plusieurs facteurs. Chez GitGuardian, des collègues de la sécurité interne ont commencé à déployer n8n en interne, un outil rapidement adopté par des équipes non techniques (marketing, finance) qui automatisent leurs tâches sans forcément avoir de culture sécurité. Parallèlement, il a observé une explosion du nombre de CVE touchant n8n fin 2025, avec certaines vulnérabilités entrant dans le catalogue KEV de la CISA, preuve d’une exploitation active. En creusant les CVE, il a remarqué des motifs récurrents, notamment autour de composants liés à SSH, suggérant que la sécurité de l’outil est traitée au coup par coup plutôt que de façon structurelle. Comme n8n interconnecte de nombreux services (Google Workspace, Notion, HubSpot, etc.), c’est aussi un concentrateur de secrets particulièrement intéressant à étudier. Guillaume insiste sur le fait que cette recherche s’appuie surtout sur du travail de fond et sur des années d’échanges avec la communauté, plus que sur l’intuition pure ; la vraie part de chance résidant plutôt dans le bon timing de publication.

Il souligne aussi la chance d’évoluer dans une entreprise à taille encore humaine, ce qui permet un dialogue hebdomadaire direct entre l’équipe recherche et l’équipe sécurité interne, dont les retours terrain (par exemple sur le stockage des secrets ou la nécessité d’un coffre-fort/Vault) ont directement nourri les travaux présentés à leHACK.

Phase 1 – Détection et validation des secrets n8n. En s’appuyant sur les données publiques issues de leurs outils d’analyse de GitHub et de Docker Hub, l’équipe a cherché à identifier la structure d’un jeton d’authentification n8n (un token JWT) afin de détecter des marqueurs spécifiques et de valider sa validité réelle. Cette démarche a permis de repérer environ 300 cibles valides sur la période d’avril 2025 à mars 2026, suivies d’un processus de divulgation responsable auprès des hébergeurs et sociétés concernées. Un bug bounty de 1200 € a même été obtenu, un cas jugé exceptionnel tant les retours sont habituellement inexistants ou négatifs. Cette recherche est en cours d’intégration au produit GitGuardian, avec un système de détection et de validation des clés n8n attendu vers septembre-octobre.

Phase 2 – Perspective attaquant sur une instance à jour. L’équipe s’est demandé ce qu’un attaquant pouvait faire avec un token n8n compromis. Résultat : il est possible d’énumérer des utilisateurs, d’exfiltrer des « data tables » (une forme de base de données interne proche de SQL), et même de faire fuiter des secrets typés (Notion, OpenAI…) censés être protégés, via une forme de confusion interne au système. Certains signalements faits à l’équipe n8n sont restés sans réponse ou ont été jugés mineurs.

Phase 3 – Exploitation d’une instance non à jour. Sur une version vulnérable, l’équipe a démontré la possibilité de faire fuiter à la fois la base de données SQLite et la clé de chiffrement utilisée pour protéger les secrets stockés.

Guillaume précise la distinction entre deux types de secrets : la « n8n key » (jeton JWT d’authentification à l’API) et l’« encryption key » (clé servant à chiffrer les identifiants de services tiers stockés dans n8n). Pour retrouver les propriétaires des instances identifiées, l’équipe a utilisé des techniques classiques basées sur le nom de domaine, ainsi qu’un endpoint d’API permettant d’énumérer certaines informations non personnelles (comme des domaines d’adresses e-mail), suffisantes pour identifier les entreprises concernées.

Une partie importante de la discussion porte sur le risque structurel de n8n : conçu pour permettre à des utilisateurs non techniques (marketing notamment) de construire des automatisations, via des webhooks par exemple pour des inscriptions à une newsletter, l’outil ne propose aucune brique native de validation ou de nettoyage des données d’entrée. Rien n’empêche qu’un champ censé recevoir une adresse e-mail serve de vecteur d’injection SQL. Les deux intervenants s’accordent sur le fait que n8n devrait être cloisonné, jamais exposé directement sur internet, et idéalement protégé par une authentification forte, un peu à l’image du problème plus général du « vibe coding » qui met des outils puissants entre les mains de personnes sans formation aux enjeux de sécurité logicielle.

Enfin, Guillaume revient sur sa propre découverte des LLM comme outil de recherche en sécurité, n’étant pas lui-même expert de Node.js. Il décrit un usage très concret : demander à Claude d’analyser des CVE existantes pour repérer des variantes potentielles, générer des preuves de concept sur des versions vulnérables connues, ou encore rédiger rapidement des supports de présentation à partir d’idées survenues en dehors du contexte de travail (par exemple pendant une course à pied). Il insiste toutefois sur l’importance de toujours vérifier manuellement les résultats produits par le modèle avant de les diffuser. Il conclut en recommandant n8n comme un excellent terrain d’entraînement pour quiconque souhaite explorer la recherche de vulnérabilités assistée par IA.

L’épisode retrace le parcours de Peter Thiel, né en Allemagne en 1967, immigré aux États-Unis dès l’âge d’un an et ayant grandi en partie en Afrique du Sud — un point commun frappant avec plusieurs autres figures de son entourage, dont Elon Musk. Aujourd’hui évalué à environ 27,5 milliards de dollars, Thiel n’est pas informaticien de formation : il a étudié le droit à Stanford avant de bifurquer vers la finance.

C’est à Stanford qu’il cofonde le Stanford Review, un journal étudiant conservateur et libertarien né en réaction aux mouvements progressistes du campus et aux tentatives de diversifier le programme scolaire. Cette revue, toujours active aujourd’hui grâce aux dons d’anciens étudiants devenus fortunés, sert encore de pépinière de talents pour ses entreprises. En 1998, Thiel publie avec David Sacks The Diversity Myth, un livre dénonçant déjà les excès du multiculturalisme — un discours que les animatrices comparent directement à la rhétorique « anti-woke » contemporaine.

Après avoir levé un million de dollars auprès de sa famille et de ses relations, Thiel cofonde Confinity en 1998, qui deviendra PayPal. La revente de PayPal à eBay en 2002 pour 1,5 milliard transforme toute son équipe en millionnaires : c’est la naissance de la fameuse « PayPal Mafia », un réseau qui essaimera dans YouTube, LinkedIn, Yelp et d’innombrables autres entreprises. Thiel devient ensuite l’un des tout premiers investisseurs externes de Facebook avec 500 000 $ contre 10 % de l’entreprise, ce qui fera de lui un milliardaire.

Fondée en 2006, Palantir se spécialise dans la collecte, le nettoyage et l’analyse de données. Autrefois perçue comme un outil légitime d’enquête, l’entreprise est aujourd’hui largement critiquée pour sa « souplesse morale » : contrairement à d’autres firmes technologiques, elle accepterait pratiquement tous les contrats, y compris ceux liés au ciblage de populations ou au repérage de personnes à déporter pour l’ICE. Des articles du New York Times évoquent même un projet de centralisation des bases de données de l’État américain piloté par Palantir. Au Royaume-Uni, l’entreprise a été payée pour centraliser les données du NHS via son produit Foundry, créant un effet de verrouillage difficile à défaire. Le total des contrats gouvernementaux américains dépasserait 2,7 milliards depuis 2009, dont 1,3 milliard pour le seul Pentagone. Au Canada, un contrat de défense nationale annoncé à 14 millions se serait finalement chiffré à 44 millions, selon des révélations de Radio-Canada.

L’épisode aborde l’affaire Gawker : après que ce média ait révélé son homosexualité en 2007, Thiel finance secrètement en coulisse la poursuite d’Hulk Hogan contre le site, entraînant sa faillite en 2016. Les animatrices soulignent aussi son influence politique directe, notamment son rôle de mentor auprès de JD Vance, qu’il a financé, guidé vers Trump et aidé à faire élire, jusqu’à sa nomination comme candidat à la vice-présidence.

Sur le plan philosophique, Thiel se dit catholique intégriste, obsédé par la figure de l’Antéchrist — qu’il imagine comme quelqu’un prêchant la paix, la sécurité et la réglementation environnementale pour freiner le commerce et l’innovation technologique. Il est aussi influencé par le juriste allemand Carl Schmitt, théoricien juridique proche du régime nazi, et défend des positions clairement antidémocratiques, allant jusqu’à remettre en question le droit de vote des femmes.

La deuxième moitié de l’épisode dresse un inventaire vertigineux des entreprises liées à ce réseau : des fonds de capital-risque comme Founders Fund et Craft Ventures, des plateformes comme Ramp, Rippling, Figma, Affirm et SpaceX, jusqu’à une entreprise de vérification d’âge (Persona) partageant un investisseur avec Palantir. Une entreprise canadienne, Zeno (spécialisée en IA pour les institutions financières), est également citée comme exemple de l’influence de ce réseau au pays. Les animatrices notent aussi le va-et-vient constant entre Palantir et des postes gouvernementaux stratégiques — un véritable « chaise musicale » entre secteur privé et fonction publique.

Le fil conducteur qui se dégage : une vision technocratique où l’ingénierie et les mathématiques résoudraient tous les problèmes humains, combinée à une volonté d’absorber la totalité des données produites par l’humanité — particulièrement les données corporatives, jugées plus « propres » que celles d’Internet.

L’épisode se conclut sur une note à la fois lucide et mobilisatrice. Si l’on ne peut individuellement se soustraire à la surveillance corporative, la solidarité syndicale et l’engagement citoyen local (conseils municipaux, commissions scolaires, comités de santé) demeurent des leviers concrets. Les animatrices comparent la mobilisation naissante aux États-Unis à la relative léthargie citoyenne au Québec et au Canada, tout en rappelant l’héritage syndical fort du Québec comme source potentielle de résistance collective.

Dans cet épisode spécial enregistré à Montpellier, Nicolas reçoit Xavier Facélina, entrepreneur en cybersécurité depuis près de 30 ans, fondateur de la société CLAB (créée en 2011, vendue il y a deux ans et demi) et sur le point de lancer une nouvelle entreprise au Québec. La discussion reprend le fil d’une conférence que Xavier a donnée à Nordic sur la place de la science-fiction dans la façon dont l’avenir se construit réellement, et sur les liens étroits entre cet imaginaire et sa propre carrière en cybersécurité.

Xavier explique une initiative française singulière : la red team du ministère des armées, animée pendant plusieurs années par son ami Nicolas Mainvie. Contrairement à une red team de pentesting, cette équipe rassemble des militaires de carrière, des diplomates et des auteurs de science-fiction (scénaristes, romanciers) pour réfléchir collectivement aux futurs possibles de la conflictualité — sociale, écologique, militaire. Les récits produits, en partie publics, visent à anticiper des scénarios plausibles pour préparer la France à défendre ses valeurs démocratiques. Xavier souligne que si d’autres pays comme les États-Unis mènent des exercices de prospective similaires, ils le font surtout via des analyses techniques plutôt que par le récit romancé, alors que l’être humain reste fondamentalement un animal d’histoires.

Un des points centraux de l’échange est l’idée que les autrices et auteurs de science-fiction sont, par leur pratique quotidienne, particulièrement entraînés à imaginer des futurs plausibles. Nicolas et Xavier remontent aux mythes grecs, à Jules Verne (dont les récits de voyage vers la Lune ont inspiré des générations), et même à Tintin, dont les fusées annoncent étonnamment bien les technologies actuelles — démontrant une forme de « contamination » des idées entre œuvres, y compris celles qui ne se revendiquent pas explicitement de la science-fiction.

Xavier raconte comment son ami Nicolas Mainvie lui a fait remarquer que ses deux passions apparemment séparées — la science-fiction et la cybersécurité — sont en réalité intimement liées : ses produits et entreprises répondent souvent, sans qu’il en ait eu pleinement conscience, à des questions posées par des œuvres de son enfance comme Wargames, Ghost in the Shell ou Star Trek. Il insiste sur l’importance de continuer à nourrir son imaginaire d’adulte, au risque sinon de se laisser gagner par des représentations plus sombres ou dépressives de l’avenir. Il cite Ghost in the Shell (2006, saison Standalone Complex) comme un exemple d’œuvre à la fois futuriste et étonnamment optimiste sur la continuité des dynamiques sociales humaines malgré la présence de cyborgs et d’IA.

La conversation explore ensuite comment la science-fiction fonctionne comme un espace de liberté permettant d’explorer l’humain sans les contraintes du réel, un peu comme les nombres imaginaires en mathématiques permettent de résoudre des équations autrement impossibles. Xavier établit un parallèle frappant entre le téléphone Motorola StarTAC (1996) et le communicateur à charnière de Star Trek (1966) : bien que l’ingénieur en lui trouve ce choix de design peu pratique, cette influence culturelle a poussé à des innovations techniques réelles (nappes flexibles), dont on retrouve l’héritage dans les écrans pliables actuels. Il évoque aussi l’iPad et la visioconférence, anticipés dès la première saison de Star Trek en 1966, une œuvre qu’il recommande vivement pour sa modernité sociale et politique surprenante pour l’époque.

Les deux interlocuteurs formulent une « règle des 30 ans » : il faudrait environ trois décennies entre l’apparition d’un concept en science-fiction et sa réalisation technique ou scientifique. Ils appliquent cette règle à la téléportation (Star Trek, années 60) et à l’interface neuronale de Matrix (1999), suggérant qu’on pourrait voir des avancées significatives d’ici 2029-2036. Xavier insiste également sur le rôle de la science-fiction comme outil de vulgarisation : les entrepreneurs qui peuvent ancrer leur pitch dans une référence culturelle connue (Matrice, Star Wars) captent l’attention bien plus vite que ceux qui présentent une idée totalement inédite.

La dernière partie de l’échange porte sur l’évolution des représentations de l’IA à travers la trilogie Tron (Tron, Tron Legacy, Tron Ares). Xavier observe un glissement progressif : dans le premier film, l’IA a une volonté propre hostile ; dans le second, sa dangerosité vient d’un ordre humain mal formulé (« créer un monde parfait ») plutôt que d’une malveillance intrinsèque ; dans le troisième, une IA militarisée choisit finalement la bienveillance et l’empathie comme moteur, plutôt que la vengeance ou la puissance — un cas rare au cinéma. Nicolas fait le lien avec l’approche d’Anthropic, qui privilégie une philosophie d’entraînement fondée sur des principes plutôt que des règles rigides, rappelant les trois lois de la robotique d’Isaac Asimov, elles-mêmes une invention littéraire devenue référence scientifique et philosophique incontournable.

L’épisode se conclut sur l’idée que ces récits, bien qu’imaginaires, façonnent concrètement notre manière de penser, d’innover et d’aborder des sujets aussi sérieux que l’intelligence artificielle — et les deux animateurs promettent de poursuivre cette conversation lors d’une prochaine rencontre au Québec.

Ce premier épisode d’une série en trois volets consacrée à la gestion de crise réunit Alexandre Fournier, invité spécial, aux côtés de Cyndie Feltz, Nicholas Milot et Dominique Derrier. L’objectif de cette discussion est de poser les bases : qu’est-ce qu’une crise pour une PME, et comment s’y préparer concrètement, sachant que ces organisations sont souvent les moins bien outillées pour y faire face et l’apprennent généralement trop tard.

Alexandre ouvre la discussion en soulignant que la gestion de crise en PME n’a rien à voir avec celle des grandes organisations : ni les mêmes moyens, ni les mêmes priorités, ni les mêmes obligations réglementaires. Les PME consacrent naturellement leurs ressources au quotidien plutôt qu’à la préparation aux crises, ce qui les rend particulièrement vulnérables. Les cadres normatifs classiques (type ISO), pensés pour de grandes structures, sont jugés largement inadaptés à la réalité opérationnelle des petites organisations. Alexandre affirme même trouver plus stimulant de travailler avec des PME, où les gains d’efficacité sont plus tangibles lorsqu’elles s’engagent réellement dans la démarche.

Le cœur de l’échange porte sur une approche pragmatique : plutôt que de multiplier les analyses théoriques, Alexandre propose de plonger directement les dirigeants (le PDG et son bras droit) dans une simulation de crise concrète — un exercice de type « table top » réalisable en une heure. Ce choc initial révèle immédiatement les failles de préparation de l’organisation. Une fois la surprise passée, l’équipe peut construire un plan de gestion de crise réellement adapté — trois pages suffisent généralement pour une PME, loin des documents de trente pages inutilisables au quotidien.

Une partie importante de la discussion porte sur la définition même du mot « crise », devenu un terme galvaudé dans les PME où le moindre incident mineur peut être qualifié ainsi. Le groupe s’accorde sur un critère simple : une crise se reconnaît à l’arrêt de la productivité, du chiffre d’affaires ou de la capacité à rendre le service ou la mission de l’organisation. Cyndie souligne la difficulté fréquente à identifier où se situe réellement la valeur critique de l’entreprise, un exercice que seule une mise en situation concrète permet de clarifier efficacement — bien plus qu’une analyse d’impact d’affaires classique, jugée coûteuse en temps et souvent déconnectée de la réalité. Selon Alexandre, parler d’argent rend les gens lucides très rapidement : dès qu’une simulation touche au chiffre d’affaires, chaque service identifie naturellement ses priorités essentielles.

La discussion aborde ensuite les obligations réglementaires variables selon les secteurs (alimentaire, pharmaceutique, industriel, etc.), la loi 25 étant citée en exemple. Ces obligations émergent naturellement lors des exercices de simulation, ce qui permet d’identifier les contacts et procédures nécessaires en amont plutôt que dans l’urgence.

Un point très concret est développé : la difficulté de retrouver rapidement les numéros de téléphone des parties prenantes (assureurs, fournisseurs, autorités) en cas de crise, alors que cette information est habituellement dispersée dans différents systèmes et contrats. Si cette recherche peut déjà prendre plusieurs heures en temps normal, elle devient quasi impossible si les systèmes informatiques sont hors service. La solution proposée : constituer des « cartes réflexes », des documents physiques (format une à deux pages) rassemblant l’essentiel pour gérer les deux premières heures d’une crise, en s’inspirant du principe de sauvegarde 3-2-1 appliqué aux copies numériques. Une copie externalisée, chiffrée ou sur clé USB, ainsi qu’une version papier, sont recommandées. Le groupe évoque en riant que certains ont déjà appliqué ce principe avec leur gestionnaire de mots de passe, imprimé et plastifié. La discussion souligne aussi la vulnérabilité totale de l’électronique en cas d’événements extrêmes (blackout, impulsion électromagnétique), où seul le papier resterait exploitable.

La dernière partie aborde la fréquence de mise à jour de ces outils. Si une révision annuelle constitue un minimum, Alexandre recommande plutôt deux exercices complets par an, complétés par de courts exercices mensuels de quinze minutes portant sur un scénario spécifique choisi librement (attaque informatique, grève, etc.). Cette pratique régulière, bien plus légère qu’un exercice de trois heures perçu comme une perte de temps par des dirigeants déjà accaparés par leur quotidien, permet de maintenir un momentum et de développer une forme de réflexe mental face aux imprévus. Selon Alexandre, cette répétition crée des connexions cognitives qui accélèrent considérablement la capacité à réagir efficacement le moment venu — un gain de temps crucial, car une PME peut être longue à construire mais très rapide à perdre.

L’épisode se termine sur une transition vers la communication de crise, brièvement évoquée comme un enjeu tout aussi déterminant : bien décider ne suffit pas, encore faut-il savoir communiquer dès les premières heures pour occuper le terrain, faute de quoi d’autres acteurs risquent de définir le narratif à la place de l’organisation. Ce sujet sera approfondi dans le deuxième épisode de la série, consacré à la gestion en plein cœur de la crise.