Sûreté et responsabilité
De récentes affaires, parfois judiciarisées, ont mis en lumière la sûreté, la sortant ainsi de son habituelle discrétion puisqu’on en entend le plus souvent parler que lorsque l’entreprise a réussi un « beau coup » lorsqu’elle a recruté son directeur. Il en est ainsi de l’affaire Lafarge (encore en cours), mais aussi des affaires Renault, Ikéa, Kiabi (qui, contrairement à ce qui est proclamé, prouve que la sûreté ne sécurise pas les trois patrimoines de l’entreprise), LVMH avec le procès Squarcini, sans oublier celles plus connues par leurs jurisprudences : DCN et la jurisprudence Karachi ainsi que Sanofi. Nous pourrions remonter à l’incendie du tunnel du Mont-Blanc (voir ici et là) mais, étonnamment, alors que les exploitants de tunnel ont bien saisi les risques encourus à ne pas prendre la sécurité au sérieux, il semble que cette décision judiciaire n’entre pas dans la mémoire de la profession.
L’observation attentive des comparutions devant les juridictions suscite des interrogations, notamment quant aux lignes de défenses adoptées par les dirigeants : oubli des faits, délégations totales à leurs subordonnés, stupéfaction face à la duplicité des personnes qu’ils ont pourtant recrutées, etc. Ces postures ont ainsi tendance à faire de la sûreté et de son directeur un bien opportun bouc émissaire. Ces arguties, dont les tribunaux sont peu dupes, nous amènent à nous demander de quoi la direction de la sûreté et son directeur sont responsables. Dit autrement, cela revient à se demander qui a volé l’orange ou encore who killed Davey Moore.
La responsabilité
Tout d’abord, qu’est-ce qu’être responsable, et de quoi est-on responsable ? On peut se reporter à ce billet qui essaie de dissiper le flou qui entoure ce terme. Les comparutions devant les tribunaux précédemment citées montrent qu’il n’est pas rare de réattribuer, a posteriori, les responsabilités et combien il est commode et courant de désigner un bouc émissaire, actualisant ainsi le dicton militaire « il faut toujours se ménager un subordonné de grade suffisant pour être responsable« … Revirement de jurisprudence, le bouc émissaire se rebelle parfois et il arrive que le mistigri retourne à l’envoyeur. C’est ainsi le cas de l’affaire Lafarge, pour laquelle, après 7 longues années d’instruction, le directeur sûreté a bénéficié d’un non-lieu. Cela n’avait sûrement pas été anticipé par sa direction…
Il y a quelques années de cela, un directeur sûreté en exercice avait sollicité mon avis quant à une délégation de responsabilité que sa direction voulait qu’il accepte. Il était en effet quelque peu gêné de constater que cette large délégation n’était pas accompagnée par l’attribution de moyens suffisants pour l’exercer. Ma circonspection et l’avis similaire d’une tierce personne l’ont vraisemblablement conforté dans ses choix et son refus.
In fine, de par ses responsabilités, le directeur sûreté a-t-il une obligation de moyens ou de résultats ? Excellente question à laquelle on trouvera quelques éléments de réponse dans cette fiche et qui fournit quelques éléments de réponse aux questions posées suite à l’incendie de Crans-Montana.
Des leçons qui restent à tirer
Depuis une vingtaine d’années, des affaires impliquant la sûreté auraient pu (dû ?) susciter la réflexion de la profession quant à sa responsabilité et ses attributions. Le tunnel du Mont-Blanc, Karachi, Sanofi, Renault, Lafarge, Kiabi, Ikéa, pour ne citer que les plus célèbres, ont montré implicitement comment les juges voyaient le rôle d’une sûreté d’entreprise. Pourtant, les associations de professionnels de la sûreté semblent en faire peu de cas, preuve en est l’absence de publication d’étude détaillée des dits jugements. Il pourrait alors être utile, plutôt que de critiquer les universitaires dont le travail est estimé « trop universitaire » – sic – (critique-t-on les praticiens de faire un travail trop pratique ?) de solliciter des professeurs de droit pour qu’ils expliquent à la profession ce à quoi ils sont exposés au vu des décisions rendues, à charge pour les praticiens de mettre en musique les recommandations émises. Ils pourraient également expliquer pourquoi, dans certaines affaires, le directeur sûreté est traduit devant le tribunal et pas dans d’autres. Il est également loisible de se demander pourquoi les travaux scientifiques relatifs à des éléments dans lesquels la sûreté peut être impliquée (telle cette explication de la Loi du 10/07/2000 après le jugement du tunnel du Mont-Blanc) ne sont pas plus largement débattus dans les instances professionnelles
Nous revenons ainsi à un débat ouvert mais toujours en jachère, qui est celui de l’utilité de communauté épistémique par rapport à la communauté de pratique, laquelle est d’autant plus confortable qu’on en exclut tous ceux qui ont une pensée hétérodoxe. Cela ne fait pas progresser la profession mais, à force, on peut se demander si cet objectif n’est pas secondaire par rapport à celui de ne pas perturber l’entre-soi. Il est alors vain de prôner le dé-silotage des directions si celui qui en est le chantre se garde bien de le faire.
Faudrait-il pour les choses changent, qu’il y ait davantage de mises en examen et de condamnations judiciaires ? Ce serait dommageable pour la profession et les chefs d’entreprise (surtout ceux qui seraient condamnés), mais on peut se demander si ce n’est pas l’ultima ratio pour que les chefs d’entreprise cessent de penser que la sûreté est utile, mais qu’elle coûte cher (cf. vidéo du colloque du CDSE de 2024 déjà citée dans d’autres billets)…
Conclusion
La sûreté est bien souvent présentée par ses praticiens comme protégeant les trois patrimoines de l’entreprise, matériel physique et humain. Nous avons déjà réfuté cet argument, ne serait-ce que parce qu’elle ne s’occupe ni du cyber, ni de l’image, ni de la propriété industrielle, parties éminentes du patrimoine immatériel. Supposons que cette réfutation soit fausse, comme semble le penser la profession qui ne veut pas entendre cet argument. Si la sûreté est alors responsable de la sécurisation des trois patrimoines, donc de l’immatériel, alors son directeur devrait être considéré comme responsable, y compris devant les tribunaux, dès qu’une affaire relative à l’un de ces éléments immatériels apparait. S’ensuit que l’on peut se demander si le directeur sûreté de Cap Gemini est responsable de la polémique relative à l’utilisation par l’ICE de l’un de ses logiciels ? Remarquons en passant, une fois de plus, la méconnaissance de la société par son directeur général : Le directeur général de Capgemini affirmait avoir découvert « par des sources publiques » l’existence de ce contrat de 4,8 millions de dollars conclu par une filiale du groupe spécialisée depuis quinze ans dans les services au gouvernement fédéral américain.
Ce questionnement nous amène, une fois de plus, à questionner la définition de la sûreté et de son périmètre d’action. Si elle est responsable de la protection de tous les patrimoines de l’entreprise, alors la responsabilité voire la mise en examen de son directeur est logique dès lors que l’un d’eux est atteint, même partiellement. Les praticiens accepteront-ils cette (très large) responsabilité ?