AÉSIO mutuelle renforce sa gestion de crise avec CNPP

Spécialiste dans la protection de la personne, AÉSIO mutuelle couvre les besoins en complémentaire santé et prévoyance de 2,1 millions de Français sur l'ensemble du territoire. Face aux enjeux croissants de continuité d'activité auxquels sont confrontés les acteurs du secteur mutualiste – cybermenaces, crises sanitaires, événements climatiques ou mouvements sociaux – la direction d'AÉSIO mutuelle a inscrit le renforcement de sa gestion des risques et des crises parmi ses priorités stratégiques.

Le département Plan de Continuité d'Activité (PCA) d'AÉSIO mutuelle disposait déjà d'un Système de Management de la Continuité d'Activité (SMCA) structuré. Cependant, la sensibilisation et l'acculturation aux problématiques de gestion de crise constituaient un axe d'amélioration identifié par les équipes. C'est dans ce contexte que le pôle PCA a souhaité approfondir la posture de gestion de crise de l'organisation en organisant un exercice sur table avec l'accompagnement de CNPP.

AÉSIO mutuelle a choisi de confier cette mission à l’équipe Gestion des Risques et des Crises de CNPP, reconnu pour son expertise dans l'accompagnement des organisations dans le test et l'amélioration de leurs dispositifs de crise.

L'exercice de crise organisé pour AÉSIO mutuelle visait des objectifs multiples, définis conjointement avec les équipes du pôle PCA. L'ambition était de mettre à l'épreuve l'ensemble du dispositif de gestion de crise dans des conditions réalistes, afin d'en évaluer la robustesse et d'identifier les axes d'amélioration.

• Évaluer l'efficacité du schéma de remontée d'alertes d'AÉSIO mutuelle et de sa chaîne d'escalade, en mesurant le niveau de coordination des acteurs dans leur capacité à échanger et partager des informations opérationnelles à toutes les phases de l'événement.
• Tester les capacités de prise de décision sous pression, en situation d'urgence, pour identifier les forces et les faiblesses des processus décisionnels.
• Analyser la gestion de la communication de crise, de l'anticipation à la sortie de crise, en intégrant la dimension de la pression médiatique.
• Capitaliser sur l'exercice afin d'en tirer tous les enseignements, par une évaluation à chaud immédiatement après l'exercice, puis à froid dans les jours suivants.
• Valider l'efficacité des moyens mis en œuvre dans le cadre de la prévention.
• Tester les outils de gestion de crise, les modes opératoires ainsi que les dispositifs d'alerte interne et externe.
   

Ces objectifs s'inscrivaient pleinement dans la démarche globale de plan de continuité d'activité d'AÉSIO mutuelle, en cohérence avec les exigences de la norme ISO 22301 relative au management de la continuité d'activité.

Pour répondre aux attentes d'AÉSIO mutuelle, le Pôle Gestion des Risques et des Crises de CNPP a déployé sa méthodologie éprouvée d'exercice sur table, adaptée aux spécificités du client. Cette approche structurée s'est articulée en trois phases distinctes.

La réussite d'un exercice de crise repose en grande partie sur la qualité de sa préparation. Une première réunion de travail a réuni le chef de projet CNPP et le coordinateur de l'exercice chez AÉSIO mutuelle. Cette étape a permis une prise de connaissance approfondie de l'organisation locale de la cellule de crise, des procédures associées et des moyens techniques alloués au poste de commandement (PC) de crise.

Cette réunion préparatoire a également permis d'identifier les populations cibles de l'exercice : d'une part la cellule de crise décisionnelle, constituée des membres de la direction, et d'autre part la cellule de crise opérationnelle, incluant la Direction du Patrimoine, des Moyens et Achats (DPMA), la Direction des Systèmes d'Information (SI), les équipes opérationnelles locales et la Direction de la Communication.

C'est lors de cette phase que la thématique du scénario multirisque a été définie. Les experts CNPP ont été mobilisés pour construire un scénario crédible et adapté au contexte d'AÉSIO mutuelle, intégrant l'événement initiateur, les évolutions possibles et les aggravations potentielles. Le script complet du scénario a été validé conjointement avec le coordinateur du site.

Les thématiques retenues pour les scénarios répondaient aux enjeux spécifiques identifiés par AÉSIO mutuelle :

• Incident majeur sur site provoquant un impact significatif sur le système d'information et les activités
• Incident aboutissant à une réaction en chaîne sur plusieurs sites
• Incident entraînant un risque pour la sécurité des collaborateurs
• Incident générant des manquements dans la livraison de services aux adhérents
• Incident causant une indisponibilité des moyens de communication (messagerie, visioconférence, téléphonie)

Le jour de l'exercice, plusieurs intervenants CNPP étaient présents pour animer la séance. L'un d'entre eux, expert de la thématique au cœur du scénario, garantissait la crédibilité technique des stimuli injectés tout au long de l'exercice. Les animateurs CNPP ont joué les rôles d'acteurs internes et externes – direction générale, médias, autorités publiques, prestataires – tout en assurant une fonction d'observation au sein de chaque cellule.

La durée de l'exercice, d'environ trois heures, avait été définie lors de la réunion préparatoire. Ce temps a permis de dérouler un scénario complet tout en réservant une période pour le bilan à chaud avec les participants.

Le fil conducteur de l'exercice s'est articulé autour de deux axes complémentaires. Sur le volet opérationnel, il s'agissait de vérifier que la cellule de crise savait appliquer les procédures face à une situation d'urgence, mettait en place les mesures conservatoires pour limiter la gravité de l'incident, anticipait les évolutions possibles et réagissait efficacement aux aggravations.

Sur le plan de la communication et de l'information, l'exercice a permis de tester la liaison entre les différentes cellules (CODIR et sites), ainsi que la mise en œuvre des procédures de communication interne et externe définies dans le plan de continuité d'activité d'AÉSIO mutuelle.

Pour garantir le réalisme et l'efficacité de l'exercice, les équipes CNPP se sont appuyées sur un ensemble d'outils pédagogiques professionnels : chronogrammes détaillant la séquence temporelle des événements, livrets pédagogiques pour les animateurs et fiches de stimuli permettant d'injecter de nouvelles informations au fil du déroulement.

Le retour d'expérience (RETEX) a constitué une étape fondamentale de la démarche, se décomposant en deux temps complémentaires.

Un premier échange a été organisé immédiatement après l'exercice avec l'ensemble des participants. Cette session de debriefing à chaud a permis de recueillir les impressions et les ressentis de chacun, alors que l'expérience était encore fraîche. Les observations des animateurs CNPP sont venues compléter ces témoignages pour offrir une vision à 360° du déroulement de l'exercice. Ce debriefing a été accompagné d'une évaluation formalisée permettant de mesurer objectivement les points forts et les axes d'amélioration identifiés.

Dans les jours suivant l'exercice, une analyse à froid a été réalisée en exploitant l'ensemble des données recueillies lors du debriefing. Ce travail approfondi a permis d’identifier avec précision les forces et les axes concrets d’amélioration.

Le rapport de RETEX remis à AÉSIO mutuelle constitue désormais un livrable précieux pour l'organisation. Il documente les enseignements tirés de l'exercice et propose une feuille de route pour renforcer le plan de continuité d'activité.

Cet exercice de crise accompagné par CNPP a apporté des bénéfices tangibles à AÉSIO mutuelle, à plusieurs niveaux de l'organisation.

En premier lieu, l'exercice a permis de valider la robustesse globale du dispositif de gestion de crise existant. Les équipes ont démontré leur capacité à activer les procédures d'urgence et à coordonner leur action face à une situation complexe et évolutive.

L'exercice a également mis en lumière des axes d'amélioration précis, notamment sur la fluidité de la circulation de l'information entre les cellules décisionnelle et opérationnelle, et sur certains aspects de la communication externe en situation de pression médiatique.

Au-delà de ces constats techniques, l'exercice a contribué à renforcer la culture de la résilience au sein d'AÉSIO mutuelle. En confrontant les équipes à un scénario réaliste, il a permis de développer des réflexes et des automatismes qui seront précieux lors d'une situation de crise réelle. Cette acculturation aux problématiques de gestion de crise constituait d'ailleurs l'un des objectifs prioritaires identifiés par le pôle PCA.

Enfin, les recommandations formulées par CNPP dans le rapport de RETEX alimentent désormais la feuille de route d'amélioration continue du Système de Management de la Continuité d'Activité (SMCA) d'AÉSIO mutuelle.

Cette mission réalisée pour AÉSIO mutuelle illustre l'expertise du Pôle Gestion des Risques et des Crises de CNPP dans l'accompagnement des organisations pour le test et l'amélioration de leurs dispositifs de continuité d'activité.

Cette expertise s'appuie sur une équipe pluridisciplinaire maîtrisant les différentes dimensions de la gestion de crise : risques techniques, cybersécurité, sûreté, communication de crise et management organisationnel. L'approche CNPP se caractérise par son pragmatisme et son adaptation aux spécificités de chaque organisation.

Qu'il s'agisse d'une mutuelle comme AÉSIO, d'un groupe industriel, d'une collectivité territoriale ou d'un établissement de santé, les méthodologies sont ajustées pour répondre aux enjeux et aux contraintes propres à chaque contexte. Les scénarios sont construits sur mesure pour tester les vulnérabilités spécifiques de chaque organisation face aux risques identifiés.

Au-delà de l'organisation ponctuelle d'exercices, CNPP propose un accompagnement global couvrant l'ensemble du cycle de la gestion des risques et des crises : diagnostic des vulnérabilités, élaboration ou mise à jour du plan de continuité d'activité, formation gestion de crise, organisation d'exercices et suivi de la mise en œuvre des recommandations.

Les nouvelles réglementations européennes, notamment la directive NIS 2 et le règlement DORA pour le secteur financier, renforcent les exigences en matière de résilience opérationnelle. Les organisations doivent désormais démontrer leur capacité à maintenir leurs activités essentielles face à des incidents majeurs, ce qui passe nécessairement par une pratique régulière des exercices de crise.

L'exercice de crise réalisé par CNPP pour AÉSIO mutuelle démontre l'importance d'une démarche structurée et accompagnée pour tester et renforcer les dispositifs de gestion des risques et des crises. En confrontant les équipes à des scénarios réalistes dans un cadre pédagogique maîtrisé, ces exercices permettent d'identifier les points de fragilité et de développer les compétences nécessaires pour faire face aux situations d'urgence.