D’une cyberattaque qui met à l’arrêt une chaîne de production aux difficultés d’approvisionnement - encore réelles - liées à la pandémie Covid en passant par un accident environnemental, toute entreprise fait face à des risques internes et externes aussi nombreux que variés. "Tout dirigeant doit se préoccuper de la prévention de son outil de travail et se faire accompagner en ce sens pour cartographier ses risques ! La pandémie a par exemple montré l’importance de ne pas avoir qu’un fournisseur en cas de rupture d’approvisionnement", rappelle Odile Lasternas-Brecy, directrice Marché entreprises pour MMA (cf encadré), pour qui la prévention est le maître-mot. Car s’il n’existe pas de croissance ni de création de valeur sans prise de risque, l’anticipation est primordiale afin de protéger et assurer son activité. Et la crise a rappelé l’importance stratégique de la culture du risque et de sa diffusion pérenne au sein de l’entreprise.
De l’obligation réglementaire à la culture du risque
Tout dirigeant doit mener l’évaluation des risques professionnels (EVRP) qui contribuera à mettre à jour son document unique (DU) obligatoire. De cette première évaluation dépendront des mesures à prendre sur les sites, qu’il s’agisse de pollution acoustique, de qualité de l’eau, de sécurité des opérateurs ou de sécurité numérique. Des experts peuvent accompagner les entreprises sur ce plan réglementaire, à l’instar du groupe Apave, spécialiste de la maîtrise des risques techniques, humains, environnementaux et numériques, qui aide à se mettre en conformité sur différents volets (environnement, sécurité, qualification…) comme à réfléchir à ses pratiques.

"Nous agissons en tiers de confiance en nous appuyant sur l’expertise dans nos cinq métiers : l’inspection, la formation, les essais et mesures, la certification et labellisation, le conseil et l’accompagnement technique", explique David Lalande, chef d’agence Le Mans/Laval, qui souligne avoir été fortement sollicité sur les métiers de l’environnement et de la sécurité sanitaire (formation des référents Covid, prélèvements sur site...). Apave a ainsi développé le label Safe & Clean et est également référent sur les référentiels du code du travail et de l’environnement. Si Apave évalue et réalise des contrôles en partenariat avec la Dreal comme l’Inspection du travail, elle inscrit son action en amont : "notre leitmotiv est surtout d’accompagner chaque entreprise, de la veille réglementaire jusqu’à la mise en place d’actions sur site, pour qu’elle soit dans une démarche d’amélioration continue".
Apave coconstruit avec chaque dirigeant des solutions pérennes, avec des résultats à la clé : "au-delà du besoin vital de sécurité - de ses collaborateurs, produits et services - et de la sûreté de ses installations, en manageant ses risques et en perfectionnant ses pratiques, on obtient une réduction continue des coûts et on optimise la performance de son outil et de toute son entreprise !" encourage David Lalande, pour qui les investissements sont rapidement visibles. "Toutes les études démontrent qu’une entreprise soigneuse de sa sécurité et de la qualité auprès de ses salariés comme de son environnement enregistre moins d’accidents du travail et d’arrêts de production. À l’image de sous-traitants sarthois dont le zéro accident a été requis par leurs clients, leur productivité s’en est trouvée nettement améliorée !"
Cultiver la gestion du risque en impliquant tous les salariés
"À aucun moment le code du travail ou de la construction ne suffit à protéger ses actifs ni son activité", ajoute le courtier Laurent Devoisine, pour qui la crise Covid a révélé un manque de culture de la gestion des risques. "Un volet pédagogique et éducatif est nécessaire auprès des entreprises, où chaque interlocuteur n’a pas le même pouvoir de décision, entre un animateur QSE, un responsable HSE ou un dirigeant. Or cette implication au quotidien est indispensable", confirme David Lalande qui propose, outre des actions ciblées et campagnes de sensibilisation, l’application Avert Sécurité d’Apave, pour permettre à tout salarié de remonter les situations dangereuses du quotidien directement sur smartphone.
"Une prise de conscience est indispensable, avant même les obligations réglementaires, pour manager efficacement ses risques, en commençant par les identifier et les hiérarchiser, selon son secteur, son niveau de sensibilité et d’exposition…" confirme Pierre Craponne, avocat associé du cabinet Choisez. Des problèmes de manutention aux contrats d’assurance en passant par le risque bancaire et la dépendance vis-à-vis d’un client ou d’un fournisseur, la cartographie des risques permet de réaliser un diagnostic à 360 degrés. Mener cette évaluation permet de s’interroger sur la nature des dangers, le nombre de salariés potentiellement exposés ainsi que le lieu et la durée d’exposition. Là encore, cet audit doit impliquer l’ensemble des salariés. Ce qui comprend une nécessaire réflexion sur sa gestion prévisionnelle des emplois et des compétences (GPEC) afin de se diversifier et former plusieurs salariés pour éviter le risque de perte de compétence en cas d’absence.
Une cartographie des risques, gage de pérennité
"C’est seulement une fois ce travail réalisé en amont que l’entreprise pourra vérifier sa conformité, qui inclut notamment un volet juridique (RGPD, pratiques commerciales, sans oublier la réglementation sur la lutte anti-fraude), certains secteurs étant plus exposés à ces risques de non-conformité réglementaire comme l’immobilier, la banque, l’assurance…" explique l’avocat Pierre Craponne. Cet outil est recommandé par tous les acteurs de l’assurance.
"Nous travaillons selon un triptyque : le client, l’intermédiaire (agent d’assurance ou courtier) et l’assureur. Cet intermédiaire a un rôle fondamental, puisqu’il débute la discussion pour analyser les besoins. C’est là qu’une prestation de cartographie prend tout son sens !" souligne Odile Lasternas-Brecy. Une étape cruciale, a fortiori alors que la crise a renforcé les risques sur les parties assurance et bancaire. "Face à cette crise exceptionnelle, un contentieux s’est nourri malgré la mobilisation de l’assurance pour indemniser les lourdes pertes d’exploitation.
La mobilisation des garanties perte d’exploitation dépend du contexte, mais aussi de la rédaction des clauses et de l’articulation entre conditions générales et particulières de la police d’assurance. Les décisions ainsi rendues ont pu permettre de faire évoluer certaines clauses. Aussi est-il indispensable de définir ses besoins assurantiels avec un intermédiaire spécialisé, pour manager efficacement de tels risques. L’autre risque, bancaire, est lié au remboursement du PGE : il faut dialoguer avec les établissements bancaires pour négocier les meilleures conditions et éviter toute ouverture de procédure collective", conseille Emma Leoty, du cabinet Choisez.

Pierre Craponne souligne aussi la recrudescence de contentieux en concurrence déloyale. "Il faut penser à protéger ses données, de la concurrence externe comme de l’interne, en cloisonnant son organisation et ses activités. Cette période a ouvert des failles informatiques mais aussi et surtout humaines, la vigilance étant affaiblie", alerte-t-il.
Cybersécurité : le risque zéro n’existe pas
"Le risque cyber est l’enjeu majeur pour le siècle à venir !" confirme Odile Lasternas-Brecy, en accord avec tous les acteurs qui constatent que paradoxalement, alors que les risques liés à l’explosion du télétravail ont ouvert grandes les portes aux hackers, les entreprises s’en préoccupent encore peu. "Le cyber risque n’a pas de limite géographique et une attaque peut avoir des répercussions sur le marché mondial avec des risques jusqu’aux TPE", souligne l’avocate Emma Leoty.
Face à ces menaces, assureurs comme experts du risque s’investissent pour proposer des solutions dédiées, que ce soit en stockage, cryptage des données, et déploient des formations spécialisées pour parer aux nombreuses attaques (fishing, rançongiciels…). Odile Lasternas Bracy incite à "mutualiser les coûts pour limiter ensemble ces risques", comme Pierre Craponne pour qui "ces partenariats sont essentiels pour le management du risque de demain ".