Comment transformer un retour d’expérience en une continuité de service mieux démontrée ?

Après une interruption fictive de trois jours, une intercommunalité réunit ses responsables. Chacun souligne la mobilisation des équipes, mais les constats divergent : les outils ont été rétablis, tandis que certaines demandes d’usagers restent introuvables et que les agents ont accumulé du retard. Une réunion de bilan ne suffit pas à déterminer ce qui doit être corrigé. Le retour d’expérience doit relier les faits, leurs causes et les décisions de suivi.

Le cas et ses chiffres sont fictifs. Le bilan doit établir quelles demandes ont été reçues pendant l’interruption, lesquelles restent introuvables, quel retard demeure et à quel moment le service a pu reprendre chaque prestation. Il confronte ensuite les décisions prises pendant la panne aux informations dont disposaient alors leurs responsables.

Reconstituer ce qui était connu au moment de la décision

Le bilan commence par la chronologie. Dans le cas fictif, une panne est signalée à 8 heures, un premier point métier a lieu à 10 heures et l’accueil alternatif ouvre à midi. À la fin de la journée, les responsables savent que le fichier principal n’est pas accessible, mais ignorent encore quelles demandes ont été reçues par un canal secondaire. Le retour doit conserver cette différence entre faits connus et informations découvertes ensuite.

Juger une décision sur la base des connaissances obtenues après l’événement peut produire une explication trompeuse. La question pertinente est de savoir quelles informations étaient accessibles, qui les avait et quels moyens de vérification existaient. Une mesure apparemment excessive après coup peut avoir été raisonnable face à une incertitude documentée. À l’inverse, une information disponible mais non transmise révèle une difficulté d’organisation qu’il faut examiner.

Les pièces sont rapprochées sans leur attribuer une force qu’elles n’ont pas. Le relevé d’une réunion montre une décision annoncée ; un compte rendu de terrain peut montrer son exécution ; un journal technique décrit l’état d’un système. Une seule de ces traces ne prouve pas l’ensemble du processus. Le bilan relie donc l’ordre, l’action et l’effet constaté. Les divergences restent indiquées lorsqu’elles ne peuvent être résolues.

Les témoignages des participants apportent des informations utiles sur les obstacles et les échanges. Ils ne doivent pas être confondus avec une mesure exacte du délai ou du nombre de demandes. Une mémoire commune peut se reconstruire autour d’un épisode marquant et laisser de côté les périodes plus ordinaires. La collecte associe les observations, les pièces et les données disponibles, puis distingue les faits établis des interprétations proposées.

Mesurer la continuité par les prestations réellement délivrées

Le rétablissement technique est une étape, mais il ne prouve pas la reprise complète du service. Les recommandations de l’ANSSI distinguent la réponse à l’incident et le maintien des activités métiers. Cette distinction permet, dans une crise cyber, de suivre séparément la disponibilité des outils et les prestations réalisées. Le cas fictif reprend cette méthode pour examiner l’accueil, le traitement des demandes et la reprise des dossiers. [2]

Supposons que le service reçoive normalement 120 demandes par jour et qu’il en traite 60 pendant trois jours d’interruption. La différence représente 180 demandes potentiellement en attente, sous l’hypothèse fictive d’un flux inchangé et d’aucune perte. Le calcul ne démontre pas encore que tous ces dossiers sont enregistrés. Il faut rapprocher le registre temporaire, les messages et les demandes remises sur place pour connaître ce qui a effectivement été conservé.

Si l’activité normale reprend à 120 traitements par jour pour 120 nouvelles demandes, le retard de 180 ne diminue pas. Une capacité temporaire de 150 permettrait théoriquement de résorber 30 dossiers supplémentaires par jour, soit six jours pour 180 dossiers, si les hypothèses restent constantes. Le retour d’expérience doit expliquer cette relation avant de promettre une disparition immédiate du retard. Il distingue le débit quotidien, le stock restant et les effets sur les usagers.

La moyenne peut masquer les demandes les plus urgentes. Certaines nécessitent une réponse à une date déterminée, d’autres un examen plus long. Le service rapproche donc le nombre, l’ancienneté et les conséquences du retard. Les priorités sont expliquées à partir de l’objet des demandes, selon les règles applicables. Un indicateur global de dossiers traités peut progresser alors que les situations les plus importantes restent sans réponse.

Distinguer le défaut d’exécution d’une hypothèse de préparation erronée

Une action prévue peut ne pas avoir été réalisée parce que son responsable était absent, que l’information n’est pas arrivée ou que le moyen annoncé n’était pas disponible. Ces causes appellent des mesures différentes. Ajouter une formation ne répare pas un annuaire inaccessible ; acheter un matériel ne résout pas nécessairement une confusion de compétence. L’analyse doit décrire le mécanisme qui a empêché l’action, plutôt que classer tous les écarts dans une rubrique générale de communication.

Il faut également examiner les hypothèses du plan. Le mode dégradé peut avoir été correctement appliqué sans permettre de traiter le volume attendu. Dans le cas fictif, le guichet alternatif exige dix minutes par demande alors que le scénario retenait cinq minutes. À effectif égal, la capacité prévisible est divisée par deux. Le défaut porte ici sur l’estimation et sur son test, même si les agents ont respecté les consignes.

Une dépendance commune peut expliquer plusieurs défaillances simultanées. L’annuaire, le registre et les modèles de messages peuvent tous être conservés sur le même réseau indisponible. Les présenter comme trois erreurs distinctes conduirait à multiplier les corrections sans traiter l’origine commune. Le retour examine les ressources partagées, les accès et les prestataires pour déterminer si une modification peut réduire plusieurs risques à la fois.

L’analyse conserve aussi les mesures qui ont bien fonctionné. Un accueil de remplacement ouvert rapidement peut constituer une ressource réutilisable, à condition d’expliquer les facteurs de réussite : clés accessibles, responsable joignable, capacité vérifiée ou accord déjà établi. Une réussite attribuée seulement à la bonne volonté des équipes reste difficile à reproduire. La méthode recherche ce qui peut être organisé et maintenu dans la durée.

Associer les acteurs sans transformer le bilan en règlement de comptes

Après un exercice de crise cyber, le guide de l’ANSSI recommande un retour d’expérience immédiat avec les participants, puis un second retour quelques jours à un mois plus tard. Le premier recueille les observations encore présentes ; le second permet de compléter les constats et de définir les actions à mener. Le cas fictif transpose cette méthode à une interruption réelle, sans présenter les délais du guide comme une obligation applicable à toute crise. [3]

Le cadre de collecte doit permettre aux participants de décrire une erreur, une hésitation ou une information manquante. Une réunion où chaque responsable défend exclusivement son périmètre produit un inventaire de justifications. Les questions peuvent être centrées sur le moment de la décision, les données disponibles et les obstacles. Cette approche n’empêche pas l’examen des responsabilités ; elle évite que la recherche des causes soit remplacée immédiatement par l’attribution personnelle d’une faute.

Les usagers ou partenaires peuvent identifier des effets absents des comptes rendus internes. Dans le cas fictif, le service a annoncé un canal alternatif qui n’était pas accessible à certains publics. Le retour doit examiner ce que ces personnes ont effectivement reçu et compris. Une communication émise n’est pas une information délivrée à tous ses destinataires. Les retours sont confrontés aux données et aux moyens disponibles, sans généraliser une expérience individuelle à l’ensemble du public.

Les documents du bilan peuvent comporter des données sensibles, des vulnérabilités ou des informations personnelles. Leur diffusion est adaptée à leur objet. Une synthèse destinée aux élus ou aux partenaires peut exposer les décisions de correction sans communiquer tous les détails techniques. Le traitement du dossier distingue la transparence sur les résultats, l’accès nécessaire à l’analyse et les contraintes propres aux informations recueillies.

Transformer une cause établie en une mesure testable

Le plan d’action doit relier chaque mesure à un défaut identifié. « Améliorer la coordination » n’indique ni le changement ni sa preuve. Dans l’exemple, une mesure peut prévoir un annuaire utilisable hors réseau avec une vérification périodique des contacts. Une autre peut organiser une relève pour la personne seule habilitée à ouvrir le site alternatif. La décision précise le responsable, l’échéance et ce qui permettra d’en constater la réalisation.

La réception d’un document n’est pas toujours une preuve suffisante. Un annuaire imprimé peut être périmé ; un matériel livré peut ne pas être installé ; une convention peut ne pas couvrir le scénario étudié. Le critère de réalisation porte donc sur l’usage attendu. Le test peut vérifier l’accès, la mobilisation et la prestation obtenue. Il est proportionné au risque et aux moyens, sans transformer chaque correction en exercice général coûteux.

Le coût et la disponibilité des équipes doivent être examinés. Si dix mesures sont programmées au même moment avec un seul responsable, le calendrier est peu crédible. Le choix hiérarchise les corrections selon leurs conséquences et leurs dépendances. Une faiblesse empêchant toutes les communications peut être traitée avant une amélioration moins décisive. Le raisonnement est explicité pour que le report d’une mesure corresponde à un choix, et non à son oubli.

L’ANSSI inscrit le suivi du risque et l’amélioration dans la gouvernance habituelle de la sécurité, et distingue les recommandations générales des obligations propres aux opérateurs régulés. Cette approche aide à éviter qu’un plan correctif reste isolé après la fermeture de la cellule de crise. Les décisions utiles sont reprises par les responsables ordinaires, avec leurs moyens et leurs contrôles. La recommandation organisationnelle n’est pas présentée comme une nouvelle obligation juridique applicable indistinctement à tous. [4]

Vérifier le progrès et la reprise dans la durée

Un nouveau test examine la faiblesse qui a motivé la correction. Dans le cas fictif, le scénario peut retirer l’accès réseau et rendre indisponible le responsable habituel. Le critère proposé est la capacité à joindre les remplaçants, ouvrir le site alternatif et enregistrer les demandes par le canal prévu. Les délais retenus pour ce test sont définis par l’organisation à partir de ses besoins ; ils ne sont pas annoncés comme des seuils légaux universels.

Les articles L. 731-3 et L. 731-4 du code de la sécurité intérieure prévoient un exercice de mise en œuvre des plans communal et intercommunal de sauvegarde au moins tous les cinq ans. Lorsqu’une crise a entraîné la mise en œuvre d’un plan pendant cette période, l’article D. 731-13 substitue cet événement à l’exercice et impose un retour d’expérience selon l’article D. 731-12 [1][5]. Pour le plan intercommunal, le président de l’établissement mobilise ses capacités et assure la continuité des compétences communautaires ; chaque maire conserve les attributions que l’article L. 731-4 lui confie [1]. Le bilan distingue donc les corrections relevant de chacun et les actes à réviser.

Le progrès doit être suivi sur les prestations et sur le stock restant. Dans l’exemple des 180 dossiers, le tableau peut montrer chaque jour les nouvelles demandes, les dossiers traités et l’ancienneté du retard. Une reprise nominale ne sera pas décrite comme achevée tant que des demandes issues de la période interrompue restent à rechercher ou à réconcilier. L’examen permet de réduire les moyens exceptionnels progressivement, en connaissant les obligations encore à satisfaire.

Dans l’intercommunalité fictive, la remise en marche du réseau ne clôt pas le bilan : des demandes restent à retrouver et 180 dossiers pourraient être en attente selon les hypothèses retenues. Le responsable désigné suit le stock et son ancienneté, fait tester l’accès au mode dégradé et vérifie que les mesures corrigent les causes constatées. Le bilan indique qui effectue chaque contrôle et quand les dossiers de la période interrompue ont été rapprochés.

Formation associée

Cette fiche peut servir de support documentaire au programme « Anticiper et gérer les crises » de XXI Formations.