Un nouveau référentiel Afnor pour orienter la politique sûreté des entreprises

Si les grandes entreprises ont généralement une politique de sûreté bien définie, avec des personnes identifiées chargées de protéger la société contre les menaces de malveillance, c’est plus rarement le cas des entreprises de petite taille, ou de taille intermédiaire. À l’initiative de la Direction des entreprises et partenariats de sécurité et des armes (Depsa) du ministère de l’Intérieur, un référentiel Afnor sur le sujet a été publié afin que les entreprises de taille moyenne puissent initier une politique de sûreté.

Le référentiel Afnor “Plan de sûreté – Exigences opérationnelles” s’adresse à un public n’ayant pas de fonction sûreté. “On a essayé de travailler afin de permettre à des entités, notamment des PME et des entreprises de taille intermédiaire (ETI), d’avoir un document donnant les éléments principaux pour mettre en place une fonction sûreté, et permettant à ces entreprises de monter en compétences sur ces questions”, indique auprès de Face au Risque Florent Janssen, chargé de mission pour le Cercle des directions de la sécurité des entreprises (CDSE), ayant travaillé sur la réalisation de cet guide.

“Toute entreprise est stratégique. Elle l’est pour son patron, pour le détenteur du capital, pour les salariés, pour les collectivités locales, les commerces alentours, etc. Par conséquent, nous avons voulu que ce référentiel s’adresse à toute entreprise”, précise de son côté Nicolas Scuto, adjoint au chef de bureau de la souveraineté des industries et de la normalisation à la Depsa.

Le référentiel Afnor “Plan de sûreté – Exigences opérationnelles” est d’application volontaire. L’objectif est d’aider des entreprises désireuses d’augmenter leur niveau de sûreté, afin d’améliorer leur résilience face à des menaces de malveillance.

L’objectif de la Depsa, à l’initiative du projet, est aussi de faire de l’application de ce référentiel un critère pour obtenir un marquage distinctif en matière de sûreté. Prochainement, les entreprises auront “la possibilité de se déclarer conformes à cette spécification technique, et pourront alors s’inscrire sur un site du ministère de l’Intérieur, qui s’appellera “le pacte sûreté”. Pour y adhérer, l’entreprise devra se déclarer conforme aux exigences de ce référentiel Afnor et aux règlements d’usage de la marque. En retour, après vérification, le ministère de l’Intérieur lui octroie le droit d’utiliser la marque et le logo “pacte sûreté””, indique Nicolas Scuto.

Son objectif, précise-t-il, est de permettre aux entreprises d’afficher ce gage de confiance auprès de leurs salariés, clients, fournisseurs, assureurs ou encore visiteurs. L’adhésion au pacte sûreté étant déclarative, le ministère de l’Intérieur se réservera le droit de faire procéder à des évaluations de la conformité.

Le référentiel Afnor “Plan de sûreté – Exigences opérationnelles” concerne tous les secteurs d’activité. “La question n’est pas tant de savoir si un secteur est concerné ou non, mais plutôt si une entreprise se sent menacée. Par exemple, une entreprise qui produit des peintures, et dont certains modèles sont brevetés, peut avoir besoin de se protéger. Dès lorsqu’il y a des éléments, comme des matériaux ou des connaissances, qu’on a envie de protéger, le contenu du référentiel peut être intéressant”, précise Florent Janssen.

Le référentiel est né d’une initiative de la Direction des entreprises et partenariats de sécurité et des armes (Depsa), du ministère de l’Intérieur. “Mon rôle a été de mobiliser les parties prenantes, et pour cela j’ai ouvert mon carnet d’adresse”, indique Nicolas Scuto, qui a piloté le groupe de travail lors des réunions de préparation du document. “La Depsa a financé le secrétariat Afnor à 100%, c’était donc gratuit pour les autres participants”, précise-t-il.

L’élaboration du référentiel s’est ensuite faite au cours de réunions avec des débats et des discussions, le tout accompagné par l’Afnor, dont un représentant était présent dans chacune des réunions. “La question a été, avec tous les participants, de savoir comment rédiger les choses pour être à la fois précis et clair, pour ne pas tomber dans l’écueil de certaines normes utilisant un vocabulaire parfois très technique, mais ne parlant pas forcément à des personnes sans expertise dans la sûreté”, indique Florent Janssen.

“Comme base de travail, nous nous sommes notamment fondés sur la norme ISO 22342, Sécurité et résilience — Sûreté préventive. Cette norme a été publiée en 2023. Nous nous sommes fondés sur tout le travail mené depuis 2015, d’abord en France puis à l’échelle internationale, pour aboutir à cette norme ISO 22342 : ce délai illustre la complexité de normaliser un tel sujet. Pour le référentiel Afnor “Plan de sûreté – Exigences opérationnelles”, l’idée était de s’inspirer de cette norme ISO pour produire un document synthétique et didactique. En effet, si la norme ISO 22342 s’adresse plutôt à des grandes entreprises structurées et disposants de ressources importantes, le référentiel “Plan de sûreté – Exigences opérationnelles” vise quant-à-lui à apporter un premier niveau de sûreté”, précise Nicolas Scuto.

Le référentiel est axé sur la gouvernance, la gestion des risques et du pilotage de la sûreté. Il rappelle par exemple l’importance d’avoir une personne en charge de la fonction sûreté. “Le document insiste notamment sur le caractère transversal de la fonction : le responsable sûreté doit être au courant des projets de l’entreprise et de leurs enjeux en termes de sûreté”, précise Florent Janssen.

Le document développe également ce qu’est un plan de sûreté, et rappelle que les politiques dans le domaine doivent régulièrement être mises à jour, en faisant le point sur l’état du niveau de menace.

Les rédacteurs ont voulu que le référentiel soit court et concis. “La majorité des exigences tiennent en moins de deux lignes. Et la liste complète des exigences fait moins de trois pages, contre 14 à 20 pages pour les normes système”, indique Jean-Marc Picard, auteur du projet, précédemment chef de projet ISO 22342, enseignant chercheur à l’Université de technologie de Compiègne et conseiller normalisation auprès de la Depsa. La spécification peut en outre être appliquée progressivement. “Chaque chapitre peut être autonome. L’idée est de mettre en place un processus de sécurité qui va se greffer sur ce qui existe déjà au sein des entreprises, sans le remettre en cause”, ajoute-t-il.

Dans son contenu, cette spécification traite notamment de la gouvernance des entreprises, avec des éléments très concrets. Le chapitre 4.5 donne ainsi un certain nombre d’indications sur la manière d’organiser la fonction sûreté de l’entreprise. L’exigence 260 indique, par exemple, que “la direction générale nomme un représentant membre de l’organisme qui, nonobstant d’autres fonctions, a la responsabilité de la fonction de sûreté et de son plan dont il rend compte”.

Comme tout document de ce type, le référentiel “Plan de sûreté – Exigences opérationnelles” est amené à évoluer. “Le chapitre 5 donne des critères sur comment sera évaluée la conformité des entreprises avec le référentiel. Cela sera amené à évoluer, car il faut du recul. Il faudra attendre trois ans pour avoir des résultats”, indique Jean-Marc Picard.