La gestion de crise en entreprise aide une PME à décider et agir

Quand plusieurs problèmes surviennent à la fois, le dirigeant d’une petite entreprise doit protéger les personnes, comprendre ce qui est touché et décider quoi maintenir. Sans organisation préalable, les informations se dispersent et chacun peut donner des consignes différentes. La gestion de crise consiste à coordonner ces décisions face à une situation qui dépasse les procédures habituelles, sans présumer qu’on peut tout prévoir.

Une préparation utile tient dans des outils accessibles : des responsabilités attribuées, des scénarios prioritaires, des contacts à jour et un suivi des décisions. Pour une PME, l’objectif n’est pas de reproduire une grande organisation, mais de savoir qui mobiliser, comment arbitrer et quels signes indiquent que l’activité reprend.

Quand une difficulté devient-elle une crise pour la PME ?

Une difficulté n’est pas automatiquement une crise. Elle le devient lorsque les circuits habituels ne suffisent plus, que plusieurs activités ou parties prenantes sont touchées, ou que la direction doit arbitrer sous incertitude. Une rupture de stock limitée peut relever du fonctionnement courant ; si elle bloque les livraisons, affecte les clients et menace la trésorerie, une coordination renforcée peut être nécessaire. Ce sont les conséquences et leur évolution qui comptent, pas seulement la nature de l’incident.

Définissez des critères d’escalade compréhensibles par les équipes : danger pour les personnes, arrêt d’une activité essentielle, indisponibilité prolongée d’un outil critique, perte d’un site ou difficulté à honorer des engagements. Ces critères sont des repères internes, pas des seuils réglementaires. Ils aident à décider quand avertir la direction, réunir les responsables concernés et envisager un fonctionnement dégradé.

Pour identifier les signaux humains ou relationnels qui aggravent une situation, les responsables peuvent aussi s’appuyer sur une méthode de gestion des tensions au travail. Une crise peut en effet amplifier un désaccord existant ; le traiter séparément des décisions opérationnelles évite de confondre les deux sujets.

Quels critères fixer avant de réunir la cellule ?

Commencez par recenser les activités qui permettent à l’entreprise de fonctionner : production ou prestation, accès aux locaux et aux données, disponibilité des personnes clés, approvisionnement, facturation et relation client. Pour chacune, notez les dépendances importantes et les solutions de remplacement possibles. Une dépendance peut être un fournisseur unique, un logiciel utilisé pour traiter les commandes ou une personne seule à maîtriser une opération.

Classez les scénarios selon leurs conséquences plausibles plutôt que selon leur caractère spectaculaire. Une PME peut retenir, par exemple, la perte temporaire d’un site, une indisponibilité informatique, l’absence simultanée de personnes essentielles, une panne d’équipement ou une baisse brutale des commandes. Ce sont des exemples à adapter : ils ne prédisent ni la probabilité ni la gravité de chaque risque.

La cellule n’a pas besoin d’être nombreuse. Désignez une personne qui coordonne, une autre qui tient le journal des faits et décisions, ainsi que des interlocuteurs capables de renseigner les volets métier, ressources humaines, informatique, finances et communication. Dans une petite structure, une même personne peut cumuler des fonctions, à condition de savoir qui la remplace. Le répertoire Entreprise et RH peut aider à situer les questions de ressources humaines dans la préparation générale de l’entreprise.

Quelle organisation choisir selon la taille de l’entreprise ?

Une équipe réduite peut s’appuyer sur une cellule unique : direction, référent opérationnel et personnes mobilisées selon l’incident. Une PME avec plusieurs sites ou métiers peut distinguer le pilotage des décisions de la conduite des actions sur le terrain. Dans les deux cas, séparez clairement trois fonctions : recueillir des informations vérifiées, décider des priorités et réaliser les mesures retenues. Une réunion permanente de trop nombreux participants ralentit l’action ; une équipe trop restreinte risque de manquer des faits essentiels.

L’ANSSI propose un outil d’autoévaluation fondé sur 57 questions réparties en cinq thèmes : gouvernance et coordination, processus et outils, communication, détection et réponse aux incidents, continuité et reconstruction. Les réponses s’échelonnent de 0 à 3, du niveau novice à un niveau avancé. Cette grille concerne la préparation aux crises cyber et ne constitue pas une obligation générale pour toutes les PME ; elle peut néanmoins servir de trame pour repérer des lacunes dans ce domaine, comme le décrit l’outil d’autoévaluation de l’ANSSI.

Pour choisir entre une cellule unique et des rôles séparés, examinez la disponibilité réelle des personnes, les besoins de confidentialité et le nombre d’activités à coordonner. Dans une petite entreprise, une organisation légère et connue de tous vaut mieux qu’un organigramme théorique impossible à réunir. Quel que soit le modèle, prévoyez un suppléant pour les fonctions décisives et consignez les moyens de joindre les membres si la messagerie habituelle ne fonctionne plus.

Que faire lors des premières décisions ?

Dès qu’un événement important est signalé, le premier objectif est de protéger les personnes et de faire appel aux secours compétents si la situation l’exige. Ensuite, un responsable consigne les éléments disponibles : heure du signalement, lieu, activité touchée, conséquences constatées, mesures déjà prises et informations encore incertaines. Distinguez explicitement les faits confirmés des hypothèses. Cette discipline réduit le risque qu’une supposition soit répétée comme une certitude.

La cellule peut suivre une séquence simple, à adapter à la situation :

1. Confirmer qui pilote et qui tient le suivi des décisions.
2. Évaluer les conséquences immédiates pour les personnes et les activités essentielles.
3. Choisir les actions prioritaires, leur responsable et le moyen de vérifier leur effet.
4. Décider ce qui peut continuer, doit être suspendu ou peut passer en mode dégradé.
5. Fixer un prochain point de situation et les conditions d’escalade.

Le mode dégradé désigne une façon temporaire de poursuivre une partie de l’activité avec des moyens réduits ou différents. Par exemple, une entreprise peut traiter les demandes urgentes par téléphone si son outil de commande est indisponible, à condition de vérifier les conséquences sur la sécurité, la qualité et les engagements clients. Cet exemple n’est pas une recommandation universelle : la solution doit être évaluée pour chaque activité.

Le guide du SGDSN sur le plan de continuité d’activité décrit notamment la qualification de l’événement, la mobilisation de la cellule, l’activation de mesures de continuité et le suivi de la reprise. Il rappelle que les décisions doivent tenir compte de l’incertitude et des scénarios plausibles ; ces éléments figurent dans sa fiche sur le processus de gestion de crise et le PCA. Le plan de continuité d’activité, ou PCA, organise les moyens de maintenir les activités prioritaires ou de les rétablir lorsque leur fonctionnement est perturbé.

Comment communiquer et garder une trace des arbitrages ?

Choisissez un canal de coordination principal et un canal de secours. Les salariés doivent savoir où trouver les consignes et à qui faire remonter une information. Les clients et fournisseurs, eux, ont besoin de messages cohérents sur les conséquences pratiques : service disponible ou non, solution provisoire, prochaine mise à jour prévue. Ne communiquez pas une cause ou une date de retour comme certaine tant qu’elle n’est pas vérifiée. Une personne habilitée centralise les messages externes pour éviter les contradictions.

Le suivi des décisions peut tenir dans un tableau partagé ou un document accessible hors du système éventuellement touché. Pour chaque point, inscrivez l’heure, le fait observé, la décision, son responsable, l’échéance de réévaluation et le résultat constaté. Ce journal facilite le passage de relais entre responsables et aide à répondre aux questions ultérieures. Pour un incident cyber, ne confondez pas la coordination de crise avec les investigations techniques : les personnes chargées de l’incident doivent pouvoir examiner la situation et recommander des mesures adaptées.

La Direction générale des entreprises recense des interlocuteurs et dispositifs selon plusieurs difficultés rencontrées par les dirigeants, notamment en matière de prévention, de finances, d’économie et de ressources humaines. Cette orientation ne remplace pas un diagnostic adapté au cas de l’entreprise, mais peut aider à repérer le type d’appui pertinent ; le guide a été mis à jour en juin 2026 dans la page « Chefs d’entreprises, vous rencontrez des difficultés ? ». Si l’événement met en cause la trésorerie, les contrats ou la sécurité, identifiez le bon interlocuteur au lieu de prendre une décision irréversible sur la seule base d’une information incomplète.

Comment vérifier que la situation s’améliore ?

La cellule ne devrait pas conclure à la reprise parce qu’un symptôme a disparu. Définissez des critères observables : l’activité prioritaire fonctionne, les personnes concernées disposent des moyens nécessaires, les commandes ou dossiers sont suivis et les incidents ne se reproduisent pas au rythme qui empêchait le service. Les critères dépendent du scénario ; il n’existe pas de durée fixe valable pour toutes les entreprises. Gardez un suivi renforcé après le retour à une organisation normale afin de détecter une rechute ou des effets différés.

À la fin, réalisez un retour d’expérience avec les personnes concernées. Relevez ce qui a fonctionné, les informations manquantes, les décisions retardées et les actions à corriger. Attribuez chaque action à un responsable et fixez une date de vérification interne. Mettez à jour les contacts, les procédures et les solutions de remplacement, puis testez à nouveau les points fragiles. Une crise bien documentée devient ainsi une occasion de renforcer la préparation, sans transformer chaque incident en procédure complexe.

Questions fréquentes

Qui doit diriger la cellule de crise dans une PME ?

Le dirigeant ou une personne disposant d’une délégation claire peut la piloter. Le choix dépend de la taille de l’entreprise, des risques et de la disponibilité des responsables. Prévoyez un remplaçant et précisez quelles décisions peuvent être prises sans attendre le dirigeant. La cellule coordonne les informations et les arbitrages ; les spécialistes métiers ou techniques restent responsables de leurs actions dans leur périmètre.

Faut-il créer une cellule de crise distincte pour chaque incident ?

Pas nécessairement. Une même équipe peut traiter différents scénarios si elle sait mobiliser les compétences adaptées et si ses rôles sont définis. Un incident informatique, un accident sur site et une difficulté de trésorerie ne demandent pas les mêmes expertises. Préparez un socle commun de coordination, puis identifiez les personnes à associer selon les conséquences de l’événement.

À quelle fréquence faut-il tester le dispositif ?

Il n’existe pas de fréquence universelle adaptée à toutes les PME. Un test après un changement important d’organisation, d’outil ou de fournisseur permet de repérer les informations obsolètes. Vous pouvez aussi programmer des exercices simples selon vos risques : simulation autour d’une table, appel de test ou scénario de perte d’accès à un site. Notez les écarts constatés et attribuez chaque correction.