Interview Newsletter CIRERO
Timothé Graziani – Directeur Associé de Cap Resiliencia – animateur du réseau LATAM.
https://www.linkedin.com/in/timothegraziani/
Portrait
Originaire de la région parisienne, j’ai débuté ma carrière dans l’Internet en 1995. C’était encore nouveau et j’ai eu la chance de rentrer au sein de l’Université de Marne-la-Vallée qui était particulièrement avancée sur le sujet à l’époque et même équipée de la fibre ! Ce moment clé dans ma carrière m’a donné un cap : Internet et les services informatiques aux entreprises, etc. J’ai évolué au sein de plusieurs entreprises en France dont Orange qui m’a, entre autres, envoyé en République Dominicaine pour une de ses filiales, dans le cadre d’un programme de continuité d’activité. Ce projet de 2 ans m’a lancé localement et dans la région au niveau professionnel et au niveau entrepreneurial puisque j’ai créé ma première entreprise de conseil sur cette période. J’ai continué à travailler sur le thème de la continuité d’activité, gestion de crise et gestion de risques sur la région Amérique Latine mais aussi avec quelques clients en France.
Comment ces enjeux vous ont-ils amené à vous interroger sur la résilience ?
Pour moi, l’Amérique Latine était la région où je me projetais le moins au début de ma carrière mais après avoir bien évolué en France, l’opportunité de développement à l’étranger s’est offerte en République Dominicaine. Ce qui m’a particulièrement marqué en m’installant dans ce pays, c’était ce peuple qui, face à des épreuves, des situations difficiles (économie, politique, ouragans, tremblements de terre, etc.), a toujours le sourire. Même celui qui n’a presque rien a le sourire et cela a été une révélation pour moi. En revanche, ce facteur, cette capacité de détachement peut aussi complexifier la relation managériale avec des cultures étatsuniennes. Par exemple IBM avec qui j’ai beaucoup travaillé a créé GBM pour permettre que des managers latino-américains gèrent les ressources humaines locales plus efficacement. J’ai également travaillé dans une grande banque de République Dominicaine et c’est en travaillant sur les prochaines activités de la continuité d’activité que j’ai vu le terme résilience apparaître de plus en plus au fil de mes lectures. J’ai donc créé une autre société en 2017 – Cap Resiliencia – pour me dédier au consulting, à la création d’événement, etc. sur la continuité, la résilience et la gouvernance, dans un contexte de transition digitale et de cyber menace.
Comment définissez-vous les termes de continuité d’activité, de gestion de crise ou encore de résilience ?
Petit garçon, je voulais être pompier et je me vois aujourd’hui comme pompier de business. Il y a une dimension de protection qui est assez forte dans ces disciplines, de sécurité, mais aussi de changement. Ces changements sont souvent brusques et affectent massivement certains actifs de l’entreprise. Les questions sont : comment protéger ? gérer ces changements ? et la suite, le post-événement ? En anglais, le concept de preparedness fait le lien entre toutes ces disciplines. La notion de préparation est la plus importante parce qu’on ne peut pas prédire l’avenir exactement, dans le détail. Il y a des événements majeurs, hors de contrôle, qui sont les crises. Il y a des événements plus modérés qui sont des incidents. Et la continuité d’activité consiste à concevoir comment je vais récupérer tel actif et comment continuer à délivrer mes produits et mes services à mes clients.
Je n’utilise pas trop le terme prévision. Cela n’est pas très courant non plus en Amérique Latine mais j’ai eu cette réflexion il y a quelques années. David Lindstedt et Marc Armor ont créé un mouvement professionnel sur la continuité d’activité qui s’appelle l’Adaptive Business Continuity. Ils utilisent particulièrement le terme de capacity. Ils s’éloignent de la notion de plan – tu sais, tous les plans s’annulent au contact de l’ennemi. On passe beaucoup de temps à écrire des plans qui ne fonctionneront pas car (1) on n’a pas prévu exactement la situation qu’on affronte, et (2) tout est tellement interconnecté que ce qui t’affecte est de plus en plus large. Quand on planifie, on fait l’effort de consolider les points forts, de s’améliorer, de préparer les équipes… ce qui donne à l’entreprise une capacité, des compétences. Peut-être que certains domaines, notamment technologiques, techniques et informatiques, qui, grâce aux mathématiques, donnent un sens à la prévision. Mais même dans le domaine de l’informatique, il y a 4 ans, nous avons vécu un cygne noir de l’informatique alors ce n’est pas antithétique.
Selon vous, la résilience est-elle conditionnée à des circonstances ?
Lorsque les êtres humains sont confrontés à des circonstances beaucoup plus fortes qu’eux, on remarque que beaucoup semblent surmonter la situation malgré tout. On n’est pas tous fait d’un seul esprit, d’une seule pensée, d’un seul cœur, etc. Cela est très relatif selon l’être humain, les infrastructures, le type de business, etc. On ne peut pas compter sur la seule circonstance pour savoir si l’entreprise est résiliente. Une organisation reste complexe donc il faut un travail au préalable. Travailler sur cette capacité permet d’assurer un peu plus la probabilité d’être résilient en situation.
Tout le travail que je fais sur la résilience organisationnelle, c’est le fait de connecter les domaines comme la sécurité, la cybersécurité, la communication, etc. pour travailler de manière unie. La synergie est clé pour faire face aux événements majeurs et acquérir cette capacité, même si ce n’est pas garanti à 100%. Différentes disciplines alimentent ce travail, mais il faut aussi une méthodologie pour éviter les silos. L’application méthodique et l’association de toutes ces disciplines permet d’ouvrir une voie vers cette capacité de résilience-là.
Qu’est-ce que la résilience organisationnelle pour vous ?
La résilience organisationnelle regroupe 2 termes. Ce qui est sûr, c’est que la résilience, je la vois comme un état qui apparaît bien après l’événement. Une crise majeure, un événement extrême qui fait perdre à une personne ses 2 jambes ne fait pas d’elle une personne immédiatement résiliente. Si après des années et des années d’effort, cette même personne devient championne paralympique, là on pourra considérer qu’elle a fait preuve de résilience vis-à-vis de son accident.
Les gens et les organisations doivent surmonter des événements, des situations extrêmes, pour développer des capacités de résilience. Pour moi, au niveau individuel, cela doit aussi permettre de devenir meilleur sur le plan des valeurs. Pour l’organisation, c’est différent voire peut-être plus facile car c’est un groupe de personnes, un groupe d’actifs qui utilisent les infrastructures et dans ce cadre, l’organisation devient meilleure du fait de la préparation. Au niveau business aussi, il existe aussi des traumas qui blessent les personnes. Donc l’idée est aussi de ne pas seulement considérer les seuls risques physiques mais aussi des changements majeurs négatifs de l’environnement, comme une disruption du marché défavorable à ladite entreprise. Et pour cela, il faut travailler tous ensemble.
Par exemple, le comité de Bâle sur le contrôle bancaire (CBCB) a publié ses consignes sur le risque et la résilience opérationnels en Mars 2021. Parallèlement, le Bureau du surintendant des institutions financières (BSIF) a publié un résumé des mesures à venir dans des domaines liés au risque non financier de façon plus général deux mois plus tard. Dans ces référentiels, il n’est pas fait référence au marché mais à ce qui peut t’affecter de manière opérationnelle. Cette distinction entre l’organisationnel et l’opérationnel, je ne la vois pas vraiment. L’opérationnel porte peut-être davantage sur les éléments physiques et l’opérationnel sur la stratégie et l’image.
En soi, ce n’est pas un souci mais les premiers qui appliqueront ces référentiels seront les anglais. Or, il y a 3 ans, le British Standard Institute avait déjà sorti la norme ISO 22316 : 2017 Security and resilience — Organizational resilience — Principles and attributes qui est déjà sur le sujet. Après, la résilience opérationnelle risque d’être confondue avec de la continuité d’activité bien faite, car le terme résilience se galvaude ! Je sais que tous ces standards arriveront en Amérique Latine d’ici 3 ans et créer de la panique, d’autant que les organismes de certification ne prennent pas en compte des applications de la résilience par écosystèmes géographiques d’affaire. C’est un gros enjeu mondial et on n’a pas très bien commencé. La norme ISO 22316 me semble d’ailleurs mieux positionnée que la résilience opérationnelle de Bâle.
Avez-vous des articles ou des lectures que vous souhaitez partager avec la communauté CIRERO?
Je recommande vivement l’ouvrage de David Lindstedt qui est philosophe de formation.
Je recommande aussi le livre de Judith Rodin qui a été directrice d’une ONG sur les 100 villes résilientes. Paris est cité mais aussi Santiago de los Caballeros en République Dominicaine. Sa vision rafraichissante permettait de reparler des principes de la résilience.
https://www.amazon.com/Resilience-Dividend-Being-Strong-Things/dp/1610394704
Sur le domaine de la continuité d’activité, David Lindstedt et Marc Armor offrent des réflexions intéressantes sur cette notion de capacité dans leur programme ABC. L’être humain est le dernier actif qui peut sauver l’entreprise. Cette dimension est à associer à la résilience, parce que c’est avant tout un processus humain.
Et bien sûr, le travail de Nassim Nicholas Taleb, particulièrement sur le cygne noir.
https://www.goodreads.com/book/show/242472.The_Black_Swan
Observations finales
Enfin, les zones géographiques n’ont pas toutes les mêmes niveaux de maturité sur les sujets de continuité d’activité et de résilience, le même rapport au plan, etc. Le pourquoi est très important pour que les entreprises soient enclines à t’écouter. Une réflexion par région pourrait être très intéressante pour mesurer le degré de résilience, parce que c’est ce petit chiffre que voudra voir un comité exécutif à la fin, pour prendre en compte les risques par zone, les niveaux de maturité, etc. Les règlements internationaux traduits sans adaptation dans des territoires aux problématiques distinctes ne donnent pas forcément de bons résultats.