Ces événements nécessitent une réflexion de fond sur la gestion de la sécurité des grands services indispensables au bon fonctionnement d’un pays, que l’on pense aux réseaux de distribution (eau, électricité, gaz, pétrole), de transport de personnes et de marchandises (aérien, ferroviaire, routier, maritime), de communication (services postaux, téléphonie, transport de l’information, télévision, Internet), aux maillages complexes des réseaux bancaires et financiers ou encore aux réseaux gouvernementaux de sécurité nationale. Le simple fait que les scénarios du pire que nous nous étions fixés comme étant une limite théorique qui ne serait jamais atteinte soient non seulement réalisés mais dépassés, nous oblige à considérer une limite catastrophique encore supérieure, comme ce fut le cas ces dernières années lors de grandes catastrophes d’origine naturelle tels que des séismes (Northridge, Kobe, Izmit) ou des tempêtes d’ampleur extrême (Mireille, Andrew, Lothar et Martin).

Au-delà de ces épisodes, il s’agit également de reconnaître aujourd’hui que la vulnérabilité des grands réseaux a été démultipliée en l’espace de dix ans. Et le paradoxe est important. D’un point de vue technologique, des avancées importantes ont été réalisées dans le domaine de l’ingénierie pour offrir une plus grande fiabilité technique aux grands ouvrages. En parallèle, le recours à des réseaux de très grande taille et leur interconnexion ont permis des réductions de coûts substantielles grâce aux économies d’échelle et d’envergure réalisées. Néanmoins, on ne peut occulter un versant plus sombre de l’utilisation des grands réseaux. Lorsqu’ils sont mis en défaut de fonctionnement, le sinistre touche alors un très grand nombre de personnes et d’entreprises et en cascade d’autres réseaux. De plus, de nouvelles sources de déstabilisation apparaissent et sont beaucoup plus difficiles à appréhender que les défaillances techniques : confrontations des grands réseaux à des événements climatiques d’une ampleur sans précédent, émergence significative d’actes de malveillance interne aux entreprises [5], actes de malveillance externe et « terrorisme de masse ». Aux impacts directs pouvant affecter un réseau en particulier, il faut donc aussi tenir compte de l’interdépendance croissante des réseaux entre eux et d’une dépendance largement accrue des populations, entreprises et autres organisations, au bon fonctionnement quotidien des grandes infrastructures.

En d’autres termes, les risques ne relèvent plus aujourd’hui de simples mesures de sécurité locales. Il faut considérer des risques globaux dont les sources potentielles ont été multipliées en interne, et plus encore en externe. Cette globalisation des risques appelle une gestion globale des nouvelles vulnérabilités. La catastrophe de Toulouse comme les grands épisodes d’inondation ou les tempêtes de décembre 1999 auraient dû constituer autant d’alertes sérieuses [6]. Or, à ce jour, ces sujets demeurent relativement peu analysés en France [7].

Cet article offre un éclairage sur la question émergente des sinistres à grande échelle touchant les grands services vitaux. Trois exemples y sont discutés :

Nous montrons ensuite pourquoi l’approche traditionnelle de gestion de risques, fondée sur le seul critère des pertes espérées, est inadaptée pour traiter de ces nouvelles vulnérabilités.

Lorsque ces scénarios se réalisent, ils sont porteurs d’un fort pouvoir de déstabilisation dans l’entreprise qui doit y faire face. La gestion de crise est particulièrement difficile, les pertes humaines et/ou financières potentiellement catastrophiques. De telles caractéristiques nécessitent la mise en place d’outils de réflexion stratégique à l’usage des décideurs du secteur privé et du secteur public [8]. Cela passe par la reconnaissance de nouvelles sources de déstabilisation et par un apprentissage collectif sur ces questions complexes. Il y a aujourd’hui une nécessité pressante de développer de véritables éléments de gouvernance : dans les entreprises (EDF le fit avant les tempêtes de 1999) comme à l’échelle d’un pays.

Or, à ce jour, seuls les États-Unis ont considéré cette atteinte des grands services vitaux comme une source nouvelle de futures catastrophes. Les travaux de la Commission présidentielle mise en place par le Président Clinton et rendus publics en 1997 et 1998 s’inscrivent pleinement dans cette voie, une initiative que les Européens pourraient vouloir considérer avec intérêt. Ces éléments font l’objet de dernière section.

L’éventualité d’un dysfonctionnement étant prévue, il était convenu dans ce cas de rediriger les signaux à partir d’un autre satellite, Galaxy I. Cette manipulation a nécessité de réorienter manuellement des centaines de milliers d’antennes en direction du nouveau satellite émetteur. Cette modification a demandé le travail de trois mille personnes à plein temps pendant toute une semaine. À cela s’est ajouté le prix même de Galaxy IV, deux cent cinquante millions de dollars.

Quant aux pertes indirectes, il est difficile de les mesurer. Il convient de prendre la mesure de cet incident, qui n’a pas occasionné de pertes humaines. Alors qu’il ne s’agit que d’un seul satellite et d’une panne interne prévisible, la dépendance au réseau apparaît ici clairement. Les conséquences directes auraient pu devenir très lourdes si plusieurs satellites étaient tombés en panne simultanément (déconnexion du réseau) ou si la possibilité de réorienter les signaux d’un satellite défectueux vers un autre n’avait pas été effective. Si les experts des entreprises concernées cherchent à présenter ce cas comme extrêmement rare, le risque de nouveaux « blackouts » de nature similaire pourrait s’accroître sensiblement avec l’envoi de satellites plus nombreux dans les années à venir, notamment avec la constellation de satellites mise en place pour le système de communication GPS [9].

L’accumulation importante de « déchets » dans la stratosphère (par exemple, des satellites ne fonctionnant plus ou ayant quitté leur orbite) augmente la probabilité que, lors de l’envoi d’un nouveau satellite dans l’espace, celui-ci percute les déchets existants. Une nouvelle collision produit de nouveaux déchets et accentue le phénomène. Dans les années à venir, on peut donc craindre un nombre croissant d’incidents de cette nature : la perte — momentanée ou définitive — de l’usage de certains réseaux de télécommunication par satellites.

Aucun scénario de catastrophe n’avait prévu un événement de cette ampleur. Statistiquement, ce risque était considéré nul. Car la tempête de verglas de janvier 1998 au Québec n’a pas été une simple panne de grande ampleur, ce fut l’effondrement d’un réseau tout entier. Pire encore, par un effet de cascade, de grands réseaux nécessaires au bon fonctionnement de toute l’activité de la région ont été affectés sur une bonne partie du territoire (sept cents communes ont été touchées) :

Outre les vulnérabilités propres à chacun des réseaux, et des dégâts avoisinant les trois milliards de dollars, cet épisode a révélé de nouvelles vulnérabilités liées à une interconnexion croissante de réseaux complexes les rendant interdépendants.

De l’avis de tous, la compagnie Hydro-Québec a répondu avec efficacité à cette situation en assumant publiquement sa responsabilité sociale d’entreprise en situation de monopole, en faisant quotidiennement état de son engagement dans la crise et en communiquant — par la voie de son PDG — sur les avancées effectuées par ses équipes. Un mois après ce sinistre à grande échelle, une grande part du réseau était rétablie. L’implication des citoyens, très ancrée dans la culture nord-américaine, a tout autant contribué à une gestion efficace, par l’auto-organisation locale et régionale. Un tel événement devait impérativement faire l’objet d’une analyse approfondie a posteriori afin de tirer des leçons d’une telle catastrophe à l’échelle du pays et, nous le verrons plus loin, pour constituer une base de réflexion pour d’autres entreprises.

Quelques mois seulement après l’événement, le Gouvernement a provoqué la création d’une « Commission scientifique et technique chargée d’analyser les événements relatifs à la tempête de verglas survenue du 5 au 9 janvier 1998 » [10] qui a été dotée de moyens conséquents (budget de fonctionnement de sept millions de dollars).

Le mandat de la Commission s’est articulé autour de trois axes principaux : le phénomène naturel en lui-même, les raisons de l’interruption des approvisionnements en électricité, et les impacts pour les citoyens et les entreprises du dysfonctionnement de certaines des infrastructures (études économiques, assurance, programmes d’indemnisation, responsabilités, etc.). Ce travail a permis de formuler près de cinq cents avis, conclusions, et recommandations. Ils s’articulent essentiellement autour de deux thèmes principaux :

C’est là une des leçons essentielles de cette « crise du verglas » : à travers une consultation approfondie au niveau local, national et international, il s’agit de permettre de cicatriser les impacts physiques et psychologiques dus à la catastrophe en adoptant des mesures concrètes issues des recommandations d’une commission d’évaluation autonome scientifiquement et financièrement [11]. La crise du verglas dépassait tous les scénarios de catastrophes imaginés par Hydro-Québec et les services de sécurité du pays avant l’événement, qui n’étaient pas spécifiquement « préparés » à affronter cette tempête. Mais la responsabilité collective face à un événement extrême fut certainement déterminante dans l’issue de cet épisode qui demeure encore présent, cinq ans après, dans l’esprit de tous les Québécois.

Le terrorisme n’est pas cependant un risque nouveau puisque depuis trente ans, des milliers de personnes ont été tuées ou blessées dans le monde, victimes d’actes de terrorisme [13]. La conférence « Terrorisme et responsabilité pénale internationale », organisée par l’association SOS Attentats, qui s’est tenue en février 2002 à l’Assemblée Nationale (Paris), témoigne de cette évolution. Un des enseignements fondamentaux de cette manifestation est la nécessité d’une coopération internationale sur ces questions, qui devient d’autant plus impérative que le développement de réseaux terroristes s’est considérablement accéléré ces dernières années [14].

Les cibles ne sont plus seulement des bâtiments gouvernementaux, mais peuvent tout aussi bien être des entreprises représentant des intérêts économiques. Les attentats perpétrés au Pakistan (Karachi) le 9 mai 2002 contre des employés français de la direction des constructions navales qui ont tué quatorze personnes dont douze Français, ainsi que la forme de ces actes (opération suicide), témoignent d’une évolution certaine de ces risques dont on sait aujourd’hui qu’ils peuvent tout aussi bien se réaliser à une très grande échelle [15]. Nous devons aujourd’hui considérer les potentialités d’atteinte aux infrastructures vitales d’un pays en changeant radicalement de référentiel. Cela est non seulement vrai parce que l’ampleur des événements du 11 septembre 2001 révèle une capacité à toucher des zones particulièrement peuplées et à forte concentration de biens, mais aussi parce qu’elle témoigne d’une volonté délibérée de frapper à une toute autre échelle.

La forme de ces attaques pourra bien différer à l’avenir. Par exemple, l’introduction de gaz toxique dans les circuits d’air conditionné d’immeubles de grande hauteur constitue un scénario possible. À une échelle bien plus large, tout opérateur de réseau d’alimentation d’eau potable n’est pas à l’abri de devoir gérer une crise aiguë : l’utilisation de son réseau à des fins d’intoxication à grande échelle par l’introduction de bactéries (le cas de l’anthrax illustre bien la paralysie immédiate de tout un réseau) ou, pire encore, de virus. La pollution du réseau de distribution d’eau par un agent pathogène hautement toxique, voire mortel, paraît bien plus simple à réaliser que le détournement simultané de quatre avions de ligne. Et il ne s’agit évidemment pas de poster un gardien à tous les endroits susceptibles d’être attaqués : cela est économiquement impossible.

Les opérateurs doivent néanmoins se préparer à de tels scénarios, par une réflexion stratégique sur ces questions nouvelles et la formation de leurs équipes, du plus haut niveau de la hiérarchie (en cas de crise, les médias — et plus tard les juges — interrogeront immédiatement le PDG de la compagnie touchée pour connaître son degré de préparation à ce type d’événement que « nul ne pouvait plus ignorer après le 11 septembre ») jusqu’aux ouvriers qui travaillent chaque jour sur le réseau.

Il est impératif de développer une culture du risque qui ne relève plus seulement des bonnes vieilles procédures de sécurité — totalement inadéquates pour ce type de risques catastrophiques — mais bien une attention et une préparation, assumée collectivement, pour limiter une utilisation malveillante du réseau pouvant conduire à de véritables catastrophes humaines et financières. Nous l’avons déjà mentionné, il ne s’agit plus de faire face à des risques majeurs locaux, mais bien à de véritables risques à grande échelle. Ce changement radical d’échelle par rapport à une culture de la sécurité « traditionnelle » nécessite, pour y faire face, d’adapter les solutions connues et d’inventer de nouvelles procédures.

Il peut également être externe : l’évolution actuelle vers une hyper connexion des réseaux contribue à augmenter le pouvoir de diffusion du sinistre au travers d’autres réseaux, avec un effet boule de neige. Supposons un instant que la probabilité d’un sinistre soit connue. Une courbe de niveau de risques peut être définie comme l’ensemble des scénarios associés au même niveau (produit d’un montant de pertes et d’une probabilité d’occurrence) de pertes espérées.

À cause de l’interdépendance entre les réseaux, en plus de la probabilité de défaillance interne au réseau lui-même, il faut aussi tenir compte de celle d’être touché par un effet indirect de diffusion provenant d’autres réseaux sinistrés. Ainsi, l’interdépendance des réseaux augmente significativement les niveaux de risque [16]. Or, peu d’analyses tiennent compte de ces pertes provoquées par des défaillances extérieures [17]. Le plus souvent on s’en tient aux défaillances internes ou aux effets de la nature sur le dit réseau.

Il est ainsi possible de tracer des courbes de niveau de risques de type perte/probabilité associée. L’espérance des pertes se calcule alors comme le produit de ces deux nombres qui caractérisent un événement particulier de type « la probabilité qu’un événement E occasionne des pertes d’un montant L 1 sur une période de temps donnée est p 1 » (figure 1 ci-dessous). Cela constitue l’approche « traditionnelle » utilisée par les gestionnaires de risques.

Un premier élément d’incertitude doit être considéré lorsqu’il n’est pas véritablement possible de déterminer la probabilité (p 1 ou p 2 ?), le niveau de pertes (L 1 ou L 2 ?) ou, bien sûr, les deux à la fois : laquelle des deux courbes de niveau de risques est pertinente (C 1 ou C 2 sur la figure 1) ? Les politiques de gestion de risques et le type d’investissements humains et financiers peuvent alors grandement varier. Aussi, les probabilités d’atteinte sérieuse n’ont-elles, dans ce cas, pas vraiment de fondements statistiques. Le plus souvent, cette probabilité est incertaine. Le risque existe bien, mais il est impossible de fournir une distribution de probabilités sérieuse. Nous sommes dans une situation que les économistes qualifient d’incertitude radicale [18] ou d’ignorance.

Pour beaucoup de nouveaux risques discutés dans cet article, nous faisons face à ces situations d’incertitude radicale. Quelle est la probabilité qu’une tempête plus puissante que celles de 1999 se produise cette année en France ? Quelle est la probabilité qu’un groupuscule malveillant déverse un virus dans le circuit d’alimentation en eau d’une grande capitale européenne dans les six mois à venir ? Quelle probabilité aurions-nous pu, avant le 11 septembre 2001, attribuer à un scénario dans lequel on détournerait simultanément quatre avions de lignes privées pour les faire s’écraser de la manière que l’on connaît ? Ainsi, vouloir proposer des études de risques fondées sur des distributions de probabilités paraît un argument peu convainquant pour traiter ces questions.

Quelle démarche adopter ? À défaut de quantifier le risque par une distribution de probabilités, on peut, dans un premier temps, définir plusieurs scénarios. Il est alors plus aisé d’identifier les impacts éventuels de tels scénarios et de tester le degré de préparation face aux risques. Une telle démarche est en particulier utilisée pour des scénarios susceptibles, s’ils se réalisaient, de conduire à la faillite la compagnie (au-delà d’un plafond L ^max ; rectangle d’incertitude F dans la figure 1). Écarter un scénario sous prétexte qu’il paraît aberrant (et donc associé à une probabilité infime), ne saurait ici être pertinent dans la définition de la stratégie à adopter [19].

Or, en période de crise, les décideurs seront jugés, précisément, sur leurs capacités à gérer, quasiment en temps réel, un sinistre en propagation qui touche simultanément tout un ensemble de réseaux. Dans de telles circonstances, la question centrale ne sera plus alors seulement de remettre en état de fonctionnement une portion de son réseau, mais bien de jongler avec tous les systèmes dont peut dépendre ou faire dépendre le bon fonctionnement de celui-ci. Le nombre d’interlocuteurs à considérer sera multiplié en conséquence et la demande de remettre en état l’ensemble du réseau dans un délai très court d’autant plus pesante. Il sera demandé aux dirigeants d’assumer leurs responsabilités, de prendre des décisions cruciales alors même qu’ils ne disposent que de très peu d’éléments — vérifiables — sur lesquels ils peuvent s’appuyer. Ils devront aussi faire face aux différents médias, dont l’action peut être décisive en temps de crise. Ces univers sont des univers de stress profond.

Une telle capacité de réaction ne s’improvise pas — bien que l’argument de type « si cela arrive, on saura bien faire face » — soit souvent de mise. Les spécialistes travaillant sur cette problématique des risques émergents, tout comme les personnes et les institutions (au sens large) qui y ont été confrontées, savent que gérer ce type de sinistres est un art difficile, qui nécessite de s’y être préparé.

Les entreprises et les organisations non préparées devront expérimenter en pleine crise : devant apprendre à gérer des sinistres inédits, elles courent de manière certaine au fiasco, pouvant entraîner avec elles celles qui ne s’y étaient préparées que de manière superficielle ou inadaptée [21].

Un exemple : après la tempête de verglas au Canada, une mission a été mise sur pied avec certains dirigeants d’EDF pour rencontrer leurs homologues québécois qui avaient du gérer cette crise. Bien sûr, il ne s’agissait pas de préparer l’entreprise française à faire face à une telle tempête de verglas, mais bien de comprendre les principales difficultés à traiter efficacement de telles catastrophes ; en d’autres termes, se préparer à affronter l’imprévisible.

EDF a pu ainsi ramener les éléments clés qui furent très largement appliqués pour gérer les conséquences des tempêtes de décembre 1999. Nous pouvons en citer ici quelques-uns qui furent, et c’est là l’essentiel, intégrés dès le début de la gestion des tempêtes comme les éléments fondamentaux à respecter :

Ce type de stratégie dans la gestion d’un sinistre de l’ampleur des tempêtes que nous avons connues témoigne d’un apprentissage des équipes dirigeantes, d’une volonté de comprendre — avant qu’ils ne se réalisent — des phénomènes inédits qui sortent des scénarios d’école, mais surtout, d’une politique interne affirmée de mettre en place une stratégie globale à une échelle comparable aux risques encourus.

De l’avis de tous, EDF a donc bien géré la crise. D’autres entreprises de réseaux, sans doute moins préparées, n’ont pas eu la même chance.

Il s’agissait donc bien d’une initiative de réflexion prospective. Le rapport intitulé Critical Foundation: Protecting Americans’ Infrastructures, publié en 1997, s’inscrit dans cette voie [23]. Il ne s’agit pas ici de reprendre ce rapport final d’un travail de quinze mois regroupant, sur l’ensemble du pays, des équipes de spécialistes des secteurs public et privé. Ce qui importe plus est l’existence même d’une telle initiative.

Ces travaux mirent notamment en avant une dépendance aux réseaux croissante, qui constitue la source de nouvelles vulnérabilités sur lesquelles la Commission présidentielle américaine a focalisé son attention : menaces d’origine naturelle d’une part, menaces intentionnelles pour paralyser un secteur d’activité déterminé de l’autre.

Or, comme la plupart de ces grands réseaux sont possédés et gérés par le secteur privé, il convient de définir des responsabilités partagées entre ce secteur et le secteur public, de manière à assurer la continuité de l’activité économique. Comme le soulignait déjà Robert Marsh, président de la Commission, « la seule voie véritablement efficace pour cela est la mise en place de réels partenariats entre les propriétaires de réseaux, leurs opérateurs et les organes gouvernementaux. Seuls des systèmes prenant appui sur les capacités et la connaissance des deux secteurs pourront permettre de mieux mesurer nos vulnérabilités, et de les diminuer significativement » [24].

À ce jour, et à ma connaissance, cette étude — effectuée en collaboration avec les acteurs privés et qui s’inscrivait par anticipation et souci de prospective — demeure unique au monde. Suite aux événements du 11 septembre 2001 et aux attaques à l’anthrax, ces travaux prennent une importance plus capitale encore.

Sur un plan plus académique, ces sujets sont difficiles à appréhender car, d’une part, ils se situent à la croisée de plusieurs disciplines et, de l’autre, parce que les approches théoriques traditionnelles de modélisation mathématique s’appliquent assez mal.

Néanmoins, nous avons montré dans cet article qu’il est possible d’apprendre sur ces sujets. Dans certains pays anglo-saxons, ils sont intégrés, depuis plus de vingt ans parfois, au cÅ“ur de la formation continue et initiale des décideurs et des futurs dirigeants. Or, en France, les formations d’enseignement supérieur dispensées sur ces questions demeurent encore exceptionnelles. Le thème retenu pour le seizième congrès de la Conférence des Grandes Écoles qui s’est tenu en octobre 2002 était, précisément, « Systèmes et risques : Quelles nouvelles approches pédagogiques pour les Grandes Écoles ? ».

Un premier pas, assurément.