Négocier l’écart entre la gestion des risques et la réponse aux situations de crise : cinq écueils

15 mai 2018

À mesure que les risques augmentent, nous améliorons tous nos plans de gestion des risques d’entreprise et notre préparation aux situations de crise. Nous avons cependant encore besoin d’aide pour éviter les cinq écueils qui se situent entre les risques théoriques, d’une part, et les crises réelles, d’autre part. Examinez de plus près comment distinguer un signal d’alerte d’une simple diversion.

Des risques toujours plus nombreux

Nous sommes confrontés de nos jours à une panoplie de risques toujours plus vaste. Le nombre de cyberattaques déclarées dans les économies occidentales a augmenté de 25 % en 2017 par rapport à 2016, les enquêtes sur les pratiques de corruption des États-Unis à l’étranger ont presque triplé entre 2015 et 2016 et les dénonciations de harcèlement se sont multipliées, à mesure que le mouvement #MeToo a pris de l’ampleur. Ces quelques exemples ne sont qu’une illustration des risques qui préoccupent actuellement le plus les dirigeants juridiques.

Nous nous protégeons contre cette multiplication de risques sur deux fronts. Premièrement, les organisations améliorent leurs pratiques de gestion des risques d’entreprise de manière à mieux « protéger et prévenir ». Deuxièmement, les plans d’intervention en situation de crise ont cessé d’être théoriques pour passer à l’étape de scénarios concrets, où il faut « limiter les dégâts » en cas d’incident. Vous ne serez pas à court de ressources pour vous aider à élaborer un plan de gestion amélioré des risques d’entreprise, ou vous accompagner si une crise se produit.

Écart entre risque et crise

Entre la perception d’un risque qui se profile à l’horizon et la naissance d’une véritable crise provoquée par la matérialisation du risque en question, il y a toute une zone d’incertitude. Un petit signal d’alerte a été lancé dans un secteur névralgique, qui pourrait se solder par un problème très grave, mais qui indique beaucoup plus vraisemblablement un petit incident dans le cours normal des activités. Vous avez peu d’information, vous ne voulez pas faire l’autruche, mais vous ne souhaitez pas non plus dramatiser et créer une crise là où il n’y en a pas.

Ces petits signaux d’alerte ne sont pas rares, même dans les entreprises dotées de solides plans de gestion des risques. Un pépin technologique, une plainte aux ressources humaines, la demande d’explication d’un client à propos d’une erreur, une irrégularité dans l’application d’une politique – chaque crise commence par un signal d’alerte. Mais l’inverse n’est pas vrai : chaque alerte n’annonce pas une crise. En fait, la plupart de signaux d’alerte se rapportent à des erreurs ou à des irrégularités commises de bonne foi qui peuvent être facilement corrigées au niveau opérationnel. Il ne serait pas pratique ni judicieux de brandir votre plan d’intervention au moindre soupçon de crise. Alors comment juger de la gravité de la situation pour en arriver au bon résultat ?

Il n’y a pas de réponse simple à cette question. C’est une zone grise où vous devrez prendre des décisions fondées sur une information incomplète et vous remettre constamment en question. Nous serions ravis de tirer des leçons de votre expérience. Alors n’hésitez pas à participer au débat. Entre-temps, pour lancer la discussion, voici certains écueils les plus courants.

Négocier l’écart – cinq écueils

1. Vous ne reconnaissez pas le signal d’alerte.

Je pense que cet écueil est sûrement plus fréquent qu’on le pense. Il pourrait s’avérer nécessaire d’apprendre à mieux reconnaître les véritables « micro-risques » qui se sont déjà matérialisés, par opposition aux risques théoriques codés en couleur qui apparaissent dans nos tableurs de gestion des risques.

Voilà qui est plus facile à dire qu’à faire, compte tenu du grand nombre de risques, de secteurs fonctionnels, de personnes et de régions dont doivent tenir compte de nombreuses organisations. Ironiquement, le problème est amplifié si vous avez un personnel compétent qui a toute la latitude voulue pour résoudre les problèmes opérationnels en première ligne, sans grande intervention de la direction. L’équipe des RH règle la plainte, l’équipe informatique corrige le dysfonctionnement, l’équipe juridique règle le différend dans l’exécution normale de leurs fonctions. Aucun signal d’alerte n’est lancé parce que c’est la résolution immédiate du problème qui est recherchée. Mais d’autres risques qui ne relèvent pas de la compétence immédiate de la personne (atteinte à la réputation, sécurité, finances ou juridique) pourraient passer sous le radar.

En réponse à cette situation, nous pensons tous à améliorer les outils dont notre personnel de première ligne et nous avons besoin pour reconnaître et évaluer les « micro-risques ». Personnellement, quand je dois évaluer si un problème pose un « micro-risque » qu’il faut fouiller ou si c’est plutôt un incident opérationnel normal qu’il suffit de régler avant de passer à autre chose, je me pose les questions suivantes :

  • Une question de sécurité ou de déontologie est-elle en jeu ?
  • Est-ce qu’un client risque de subir un préjudice ?
  • Est-ce que l’un de ces faits pourrait occasionner une responsabilité juridique, une perte financière ou une atteinte à la réputation ?
  • La personne ou l’équipe a-t-elle eu d’autres problèmes auparavant ?
  • Le problème se situe-t-il hors de mon champ d’expérience, de sorte que j’ai besoin de conseils spécialisés pour en évaluer l’importance?
  • Ce problème pourrait-il avoir des répercussions sur les principales valeurs ou sur la culture du cabinet ?

Si la réponse à l’une de ces questions est « oui », alors je crois qu’il s’agit d’une véritable alerte qui doit être évaluée plus en profondeur.

2. Vous n’avertissez pas sur-le-champ toutes les personnes concernées par le signal d’alerte, ou vous prévenez trop de monde.

Résistez à l’envie d’enquêter sans avoir de plan. Les enquêtes comportent certains écueils (voir ci-après) et il faut les mener avec soin. Vous devez plutôt décider des personnes à prévenir immédiatement, les consulter et décider avec elles des étapes suivantes.

Décider des personnes à prévenir, de l’information à leur transmettre et du moment où les prévenir relève de votre appréciation personnelle. C’est particulièrement difficile au début lorsque, comme c’est souvent le cas, il existe un risque de grave dommage, mais qui semble peu probable. D’un côté, vous ne voulez pas consulter sur-le-champ tous ceux qui feraient partie d’une équipe d’intervention en situation de crise parce que vous ne savez pas s’il s’agit d’une crise, que l’information en votre possession est probablement sensible et que vous ne voulez mettre personne sur la sellette à cause d’une faible possibilité de dommage, reposant sur une information encore non validée. Cependant, de l’autre côté, vous ne devez pas surprotéger les personnes ou les informations en cause au point de vous priver des outils qui vous permettraient d’évaluer le problème, sans quoi d’autres responsables risquent d’avoir une mauvaise surprise si l’information est révélée ultérieurement.

On peut débattre de cette question indéfiniment, mais mon propre sentiment est qu’il vaut mieux au début constituer une très petite équipe de « pré-alerte ». Même si, à mesure que la situation évolue, il pourra s’avérer nécessaire de mettre d’autres personnes au courant (qui vous demanderont peut-être pourquoi vous les prévenez seulement à ce moment-là), il me semble préférable de commencer avec un ou deux collaborateurs d’expérience au jugement sûr, qui pourront contribuer à régler les problèmes épineux dès le départ.

3. Il n'incombe à personne en particulier de régler le problème.

Votre objectif, avec l’aide de votre équipe de préalerte, est de prendre aussi efficacement que possible une décision éclairée quant à savoir si votre signal d’alerte est une véritable urgence qui doit donner lieu à une intervention de crise ou un simple incident qui peut être corrigé et désamorcé. La plupart des signaux d’alerte sont désamorcés sans se transformer en crise. Il faut toutefois suivre plusieurs étapes et faire plusieurs vérifications avant de pouvoir prendre une telle décision. Comme dans toute situation impliquant de nombreux intervenants, il est important de confier la direction des opérations à une personne compétente et responsable. C’est souvent un dirigeant de l’équipe dans laquelle le problème est apparu qui est le mieux en mesure de prendre la situation en main. Parfois c’est à vous qu’il incombe de régler le problème. Il est important de bien répartir les rôles pour que soient suivies les pratiques de gestion des risques qui conviennent et pour éviter de faire du sur-place improductif.

4. Le problème et les risques ne sont pas clairement définis.

Il y a quelque temps, je faisais partie d’un groupe consulté par un avocat senior d’une organisation dotée de pratiques de gestion du risque impeccables. Il insistait sur l’importance d’établir un « document d’information » lorsqu’un risque se présentait. En l’écoutant (parce qu’on peut toujours apprendre), je me suis dit que je n’avais jamais réellement défini sur papier les faits et les risques quand je me penchais sur mes petits signaux d’alerte au fil des ans. Tout restait dans ma tête. De même, les autres membres de l’équipe avaient à l’esprit leurs propres versions des faits et des risques, qui pouvaient être légèrement différentes, ce qui entraînait des discussions contre-productives, du sur-place et un ressassement de ce qui avait déjà été dit aux réunions précédentes.

Il est important d’éviter certains écueils concernant la documentation (décrits ci-après). Cela dit, il est très avantageux de dresser un aperçu des questions à traiter, qui circonscrit alors l’approche commune à toutes les personnes concernées. J’ai plutôt tendance maintenant à dresser un résumé analytique assez bref (suivant le principe que peu c’est mieux), qui couvre les éléments suivants :

  • Quels sont les faits que nous connaissons?
  • Quelle pourrait en être l’issue néfaste?
  • Quelle pourrait en être l’issue bénéfique?
  • Quels autres faits avons-nous besoin de connaître pour établir l’issue des faits la plus probable?

En fonction de l’aperçu, votre équipe de préalerte pourrait conclure que vous avez assez d’information pour décider si la question doit ou non donner lieu à une intervention de crise, si bien que la recherche des faits peut cesser. Souvent, toutefois, il est nécessaire de poursuivre la recherche d’information factuelle, auquel cas le document d’information évoluera. Si l’alerte aboutit en crise, votre sommaire factuel, l’issue néfaste et l’issue bénéfique serviront de fondement à la communication de crise qui suivra nécessairement.

5. Votre recherche interne des faits peut créer plus tard des problèmes juridiques.

Quelques écueils doivent être évités à l’étape de la recherche d’information factuelle. La confidentialité de l’information sensible est plus dure à protéger à mesure qu’un plus grand nombre de personnes prennent part à la recherche d’information factuelle. C’est pourquoi il est important de ne pas mettre trop de monde au courant, d’agir rapidement et de mettre tout le monde en garde à propos de l’importance de la confidentialité. L’avocat en litige vous avertira que vous pourriez être tenu de produire tout document créé à l’occasion de la recherche d’information factuelle à l’interne, sans pouvoir le protéger par le secret professionnel, si les faits donnent lieu à un litige ultérieur. Les dossiers que vous avez montés et les conclusions que vous avez tirées pourraient plus tard être examinés à la loupe. Vous devez décider de l’ampleur de la recherche factuelle à faire à l’interne (le cas échéant) avant de prendre un avocat externe. D’une part, les enquêtes et les travaux de l’avocat externe devraient être protégés par le secret professionnel, ce qui joue en votre faveur. Par contre, prendre un avocat risque de soulever des problèmes pratiques liés à l’élargissement du cercle des informés et à d’autres aspects de votre plan d’intervention auxquels vous devez vous préparer. Ainsi il peut s’avérer délicat de décider jusqu’où pousser la recherche d’information factuelle à l’interne et à quel moment prendre un avocat externe.

Véritable crise ou simple incident ?

En fin de compte, vous devez décider si votre signal d’alerte appelle à un véritable branle-bas de combat. C’est encore une question d’appréciation personnelle, toujours sans une information parfaite. L’éventail de facteurs à prendre en considération dépend des circonstances, ce à quoi l’équipe doit bien réfléchir avant d’agir. Mon propre cheminement est de réévaluer les facteurs en jeu en supposant lancé le signal d’alerte (voir précédemment), puis de les réexaminer à la lumière des nouvelles informations et analyses. En présence de l’un de ces facteurs, il serait sans doute judicieux de porter l’affaire à un échelon de responsabilité supérieure.

Si vous estimez que le problème ne risque pas de dégénérer en véritable crise, mais que la situation doit plutôt se régler dans le cours normal des activités, l’équipe de préalerte devra soigneusement étudier l’ensemble des circonstances et des choix possibles dans sa recherche de la correction nécessaire. Voici certaines questions à considérer :

  • Faut-il offrir de la formation ou modifier les procédures afin de prévenir l’apparition de problèmes similaires à l’avenir ?
  • Est-ce que le problème ou sa correction oblige à publier une déclaration ou à tenir un dossier sur la question ?
  • Qu’avons-nous appris d’autre ?
  • Quelles communications de suivi sont nécessaires?

Ce qui rend ces véritables situations limites si difficiles à gérer mais si intéressantes et instructives, c’est que malgré tout ce que j’ai pu écrire plus haut, il n’y a pas vraiment de solution toute faite. Beaucoup de jugement subjectif entre en jeu, beaucoup de décisions reposent sur votre expérience passée. Il faut avoir une pensée originale, sortir des sentiers battus pour résoudre des problèmes inédits. Le mieux à faire est d’affiner votre perception des signaux d’alerte, de poser des questions, de bien exercer votre jugement et de collaborer avec une équipe de confiance qui vous aidera à éviter les écueils.

Comme chaque situation est unique et souvent très délicate, nous serions ravis de connaître les stratégies concrètes que vous avez employées pour répondre à un signal d’alerte. Toutes les nouvelles idées que vous voudrez bien partager seront publiées dans un billet ultérieur.

Autres publications de Stikeman Elliott

MISE EN GARDE : Cette publication a pour but de donner des renseignements généraux sur des questions et des nouveautés d’ordre juridique à la date indiquée. Les renseignements en cause ne sont pas des avis juridiques et ne doivent pas être traités ni invoqués comme tels. Veuillez lire notre mise en garde dans son intégralité au www.stikeman.com/avis-juridique.

Restez au fait grâce à Notre savoir