Guide opérationnel 2020 — Installer une cellule de crise en moins de deux heures

Deux heures pour rendre la crise gouvernable

À 08 h 12, dans ce scénario illustratif situé en 2020, Claire reçoit trois messages : les préparateurs ne peuvent plus imprimer les documents d'expédition, la finance ne voit plus les écritures du matin et un fournisseur annonce une intervention réseau. Julien, responsable exploitation, propose de redémarrer. Nadia, responsable logistique, veut continuer sur papier. Le directeur demande une heure de retour. Aucun de ces interlocuteurs ne ment ; ils décrivent des fragments différents d'une même situation. Installer une cellule de crise signifie d'abord réunir ces fragments et créer une autorité qui peut décider sous incertitude.

L'objectif des 120 premières minutes n'est pas de résoudre n'importe quelle panne en deux heures. Il est d'obtenir un périmètre crédible, un commandement, un service minimal autorisé, des changements contrôlés et une communication régulière. Les délais ci-dessous sont des repères d'exercice, à adapter à la sécurité des personnes, aux contraintes de production et aux mandats existants. Une urgence industrielle peut imposer l'arrêt immédiat d'une opération avant même la réunion de la cellule.

0–15 minutes : déclarer, protéger, rassembler

Claire ouvre un canal unique et désigne Julien comme responsable des interventions, Nadia comme représentante des opérations et Marc comme secrétaire de crise. Le sponsor accepte explicitement que Claire coordonne les arbitrages jusqu'à sa relève. Chacun donne son numéro de rappel et un suppléant. Si la messagerie habituelle dépend du système en panne, le numéro de conférence et la liste des contacts sont disponibles hors de ce système. Le groupe compte les personnes indispensables ; les observateurs reçoivent un compte rendu plutôt qu'une invitation permanente.

Marc écrit le premier fait : impression impossible depuis 08 h 05 sur deux postes du site A, site B encore non vérifié. Il ne transforme pas ce fait en panne générale. Julien demande le gel des changements non indispensables et sauvegarde les journaux utiles. Une suspicion cyber entraîne une consultation sécurité ; redémarrer ou reconnecter un équipement ne devient pas automatiquement la bonne action. Nadia suspend les expéditions dont la traçabilité ne peut plus être garantie et précise le stock déjà chargé, pour éviter que la cellule protège le serveur en oubliant le quai.

15–30 minutes : distinguer faits, hypothèses et décisions

Trois colonnes suffisent au départ. Fait : deux imprimantes échouent avec le même message. Hypothèse : une dépendance réseau commune. Décision : tester depuis un troisième poste sans modifier la configuration. Chaque hypothèse a un test qui peut la réfuter. Julien annonce les tests, leur durée et leur risque ; Claire refuse deux interventions simultanées susceptibles de rendre le résultat ininterprétable. Le fournisseur expose son changement exact, son heure et la personne qui peut revenir en arrière. Une phrase vague comme maintenance habituelle n'est pas une preuve.

Nadia quantifie le temps disponible : le transporteur doit partir à 10 h, certains lots peuvent attendre, un autre doit rester sous conditions de stockage spécifiques. Le délai technique acceptable est donc défini par flux, pas seulement par application. Claire formule la première alternative : attendre la remise en service ou expédier un sous-ensemble avec une procédure papier autorisée. Le décideur métier conserve le pouvoir d'accepter cette dégradation ; l'exploitation ne décide pas seule du niveau de traçabilité.

30–60 minutes : choisir un repli contrôlable

Le papier n'est pas une solution magique. Nadia vérifie la dernière numérotation fiable, les champs obligatoires, la signature nécessaire et la façon de rapprocher ensuite chaque document avec l'ERP. Elle limite le repli à dix expéditions dont le statut est connu. Marc réserve une plage d'identifiants et inscrit qui détient le registre. Tout document corrigé reste lisible avec son historique. Si les équipes ne savent pas établir le statut d'un lot ou d'une commande, l'expédition correspondante reste suspendue, même si le camion attend.

Julien prépare en parallèle un retour de configuration. Il décrit ce qui sera remis à l'état précédent, ce qui ne le sera pas et comment vérifier l'absence de doublons. Claire autorise l'action seulement après confirmation du propriétaire technique et de la disponibilité d'une personne métier pour le test. Le sponsor accepte le coût du retard sur le flux suspendu. La décision n'est pas simplement redémarrer ; elle précise l'option écartée, le risque accepté et le signal qui déclenchera un nouvel arbitrage.

60–120 minutes : vérifier le service et organiser la suite

À 09 h 25, l'impression revient sur le poste de test. Claire refuse l'annonce incident résolu tant qu'une commande complète n'a pas franchi les étapes de préparation, impression, départ et rapprochement. Nadia exécute ce parcours avec Julien. Le contrôle porte aussi sur les opérations saisies pendant la panne : lesquelles ont été validées, rejetées ou laissées dans une file ? Une application accessible peut cacher une dette de transactions qui produira une deuxième crise quelques heures plus tard.

À la fin des deux heures, le groupe dispose d'une situation stabilisée ou d'un plan de poursuite explicite. La relève reçoit les faits certains, les hypothèses ouvertes, les actions interdites, les autorisations temporaires et la prochaine échéance de communication. La cellule ne disparaît pas parce que le directeur a quitté la conférence. Une personne nommée suit les rapprochements ; une autre prépare l'analyse technique. L'équipe sait qui peut déclarer le retour au fonctionnement normal et qui peut réactiver la cellule si l'écart réapparaît.

Dans la vraie vie : une main courante déjà remplie

Le message que les équipes peuvent réellement utiliser

Un message opérationnel dit : depuis 08 h 05, le site A ne peut pas imprimer certains documents d'expédition. Les opérations déjà chargées sont contrôlées par la logistique ; ne recréez pas une commande pour contourner l'erreur. Les expéditions autorisées passent par le registre temporaire tenu par Nadia. Le prochain point sera publié à 09 h 10, même si la cause reste inconnue. Cette formulation informe, interdit le contournement dangereux et indique un prochain rendez-vous. Elle ne promet ni cause ni heure de résolution inventée.

Le support reçoit une consigne différente : collecter identifiant du poste, heure, opération et message ; rattacher les tickets au même incident sans perdre les particularités locales. La direction reçoit impact, options et risque accepté. Un fournisseur reçoit les tests et les autorisations qui le concernent. Copier le même long message à tout le monde produit du bruit et peut exposer inutilement des détails techniques. Marc garde les versions envoyées pour que la cellule ne découvre pas après coup deux promesses incompatibles.

Secteurs : trois façons différentes de décider le repli

Dans une usine ou un environnement pharma, la continuité informatique reste subordonnée à la sécurité, à la traçabilité du lot et aux procédures autorisées. Une bascule manuelle ne remplace pas une validation requise. Le responsable qualité intervient sur les flux concernés, pas sur chaque test réseau. La cellule distingue ce qui peut produire, ce qui peut être enregistré et ce qui peut être libéré.

Dans une banque ou une assurance, reprendre un paiement ou un dossier exige d'établir s'il a déjà été exécuté. Un simple retry peut créer un doublon. La cellule réserve une équipe au rapprochement des statuts et des références externes. Dans les services ou le secteur public, le repli peut prendre la forme d'un accueil téléphonique limité : il faut annoncer les démarches réellement possibles, protéger les données collectées et prévoir la ressaisie avec un contrôle d'exhaustivité.

Préparer le prochain exercice sans réécrire un manuel

L'exercice suivant utilise un scénario où le canal de crise habituel est indisponible, le décideur principal absent et le fournisseur lent à répondre. On mesure le délai de nomination du commandement, la première définition du périmètre, la validité du registre de repli et la qualité de la relève. Chaque défaut a un propriétaire et une correction vérifiable. On ne juge pas les personnes sur leur capacité à deviner la panne cachée ; on juge le dispositif sur sa capacité à produire une décision sûre avec les informations réellement disponibles.

Sources et méthode

Sources primaires vérifiées le 4 octobre 2026. Le millésime désigne le contexte étudié ; ce dossier a été rédigé en 2026. Les documents postérieurs sont des repères de comparaison actuels, pas des acquis attribués à cette année. Les scénarios, personnes et chiffres du dossier sont pédagogiques et illustratifs, sans attribution à une mission CYTIZEN.

• NIST SP 800-34 Rev.1 — continuité des systèmes, 2010
• NIST SP 800-46 Rev.2 — sécurité des accès distants, 2016