Les enseignements en matière de risque interne à l’attention des responsables de la sécurité après le vol FZ1073

Les évaluations du risque interne doivent examiner différentes hypothèses et se prémunir contre les biais de confirmation. Un grief, une coercition, des difficultés financières ou une motivation idéologique peuvent constituer des facteurs pertinents dans certains cas, mais aucun de ces éléments ne doit être présumé dans le cas présent. Les préoccupations doivent être évaluées à partir de comportements observables et de leur contexte, selon des seuils clairement définis permettant de prendre des mesures proportionnées. 

Depuis plusieurs décennies, le secteur aérien renforce ses dispositifs de protection contre les attaques extérieures, notamment par la sécurisation des postes de pilotage, les zones réglementées et les contrôles d’accès.

Ces mesures restent essentielles. Toutefois, les contrôles destinés à empêcher les accès non autorisés peuvent également accroître l’autonomie d’une personne qui se trouve déjà à l’intérieur. Les responsables de la sécurité doivent soumettre chaque contrôle critique à une question concrète : que se passe-t-il si une personne autorisée détourne les accès dont elle dispose ?

Le même défi se pose notamment dans les secteurs suivants :

• Installations nucléaires et énergétiques
• Ports et opérations maritimes
• Logistique et fret
• Centres de données
• Établissements financiers
• Santé
• Industrie de défense
• Environnements informatiques critiques et technologies opérationnelles

Il convient de commencer par les fonctions dans lesquelles une seule personne est susceptible de causer les dommages les plus importants, puis d’examiner les accès, les pouvoirs et les dispositifs de protection qui les entourent.

La catastrophe du vol Germanwings 9525 en 2015 a démontré les conséquences potentielles d’un détournement délibéré d’un accès de confiance. Le copilote avait amorcé une descente vers le relief alors qu’il se trouvait seul dans le poste de pilotage et avait maintenu la porte verrouillée.

L’enseignement plus général est que l’évaluation des personnes et la limitation de leur capacité à mener des actions préjudiciables répondent à des objectifs différents. Les vérifications et les évaluations continues peuvent permettre d’identifier des préoccupations émergentes ; les dispositifs de protection opérationnels peuvent limiter ce qu’un individu est en mesure de faire. Les deux sont nécessaires, parallèlement à des mécanismes de soutien et de signalement. 

Pour les responsables de la sécurité, la question opérationnelle consiste à déterminer si les procédures et les contrôles techniques restent efficaces lorsqu’une personne de confiance agit au-delà de ses prérogatives. Le secteur aérien fournit plusieurs exemples de dispositifs à examiner, dont les exigences et la mise en œuvre varient selon les opérateurs et les juridictions. Parmi les mesures procédurales figurent :

• Des règles claires régissant la présence dans le poste de pilotage et des mesures visant à réduire le risque qu’un pilote ne puisse plus y accéder
• Des protocoles d’accès au poste de pilotage conciliant la protection contre les entrées non autorisées et les besoins d’accès en cas d’urgence
• Une formation à la gestion des ressources de l’équipage permettant aux collègues de remettre en question des actions dangereuses
• Des contrôles de sécurité avant le vol et pendant les escales
• Des règles claires définissant les personnes autorisées à rester seules aux commandes et les circonstances dans lesquelles elles peuvent le faire

Des mesures techniques peuvent compléter les dispositifs de surveillance et d’examen. Le suivi des données de vol permet de détecter les écarts à des fins d’analyse de la sécurité, tandis que les enregistreurs de conversations du poste de pilotage et les enregistreurs de données de vol facilitent les enquêtes et la reconstitution des événements. Les journaux d’accès et les contrôles des identifiants remplissent une fonction similaire pour les systèmes et compartiments à accès restreint. Au-delà de ces dispositifs, toute proposition de surveillance comportementale ou physiologique nécessite une évaluation rigoureuse de sa fiabilité, du respect de la vie privée et de sa proportionnalité.

Ces mesures remplissent des fonctions distinctes. Un dispositif permettant de reconstituer un incident ne permet pas nécessairement d’intervenir pendant son déroulement. Les organisations doivent déterminer quels contrôles peuvent prévenir ou interrompre une activité préjudiciable, lesquels permettent de détecter des préoccupations et lesquels contribuent au retour d’expérience après un événement.

L’efficacité des procédures dépend également de leur application systématique et de la capacité des collègues à remettre en question tout écart, indépendamment du niveau hiérarchique de la personne concernée. 

Certaines activités internes malveillantes peuvent se développer sur plusieurs semaines ou plusieurs mois. Dans les fonctions critiques pour la sécurité, notamment dans les transports, la production d’énergie et les procédés dangereux, quelques secondes peuvent suffire entre une action et ses conséquences graves.

Ce délai d’intervention doit guider la conception des contrôles.

Lorsque les conséquences peuvent être immédiates, les organisations ont besoin de dispositifs limitant les actions individuelles, même lorsque les signaux d’alerte n’ont pas été détectés. Les exercices doivent permettre de vérifier si l’escalade et l’intervention peuvent effectivement avoir lieu dans le délai disponible. 

Les vérifications effectuées avant l’embauche ne fournissent qu’une évaluation à un instant donné. Les circonstances peuvent évoluer après le recrutement : des griefs peuvent apparaître, les difficultés financières peuvent s’aggraver et certaines personnes peuvent devenir vulnérables à la coercition.

La boîte à outils de l’Organisation de l’aviation civile internationale (OACI) consacrée aux menaces internes recommande de renouveler les vérifications des antécédents et encourage la mise en place d’un contrôle continu. Elle reconnaît que l’intention de détourner un accès peut apparaître après le début de la relation de travail.

Les organisations doivent donc disposer de moyens permettant d’identifier les évolutions du risque tout au long de la relation de travail, avec une évaluation proportionnée à la fonction occupée et aux accès associés.

Un grief professionnel ou un changement de comportement ne constitue pas en soi la preuve d’une intention malveillante. Un processus multidisciplinaire doit permettre de rapprocher les informations pertinentes, dans le respect de garanties appropriées en matière de vie privée et de confidentialité, de définir des seuils d’évaluation et de déterminer si un soutien, des contrôles supplémentaires ou une enquête plus approfondie sont nécessaires.

L’objectif est de traiter les préoccupations émergentes avant qu’un préjudice ne survienne, tout en préservant la confiance des employés.

Des informations pertinentes peuvent déjà exister dans différents services de l’organisation :

• Les ressources humaines peuvent constater une dégradation des performances.
• La sécurité peut relever une violation des règles d’accès.
• Un responsable peut observer un comportement conflictuel.
• La médecine du travail peut identifier un besoin d’accompagnement, sous réserve des obligations de confidentialité.
• Les équipes informatiques peuvent détecter une activité inhabituelle sur les systèmes.
• Des collègues peuvent remarquer un changement de comportement significatif.

Aucune de ces observations ne permet, à elle seule, d’établir l’existence d’une menace. Examinées conjointement par des spécialistes dûment habilités, elles peuvent toutefois justifier une évaluation plus approfondie. 

Flydubai a indiqué que des membres d’équipage en service voyageant à bord du vol FZ1073 avaient sécurisé l’appareil et l’avaient fait atterrir sans encombre à Tabuk. L’enquête permettra d’établir le déroulement complet des événements. Pour les organisations, l’enseignement plus général en matière de préparation consiste à veiller à ce que les employés sachent quand signaler une préoccupation et comment intervenir en toute sécurité dans le cadre de leurs fonctions.

Les responsables de la sécurité doivent déterminer si leurs équipes sont en mesure d’identifier les signaux d’alerte, de remettre en question les comportements dangereux et d’agir lorsqu’un contrôle échoue. Des exercices fondés sur des scénarios peuvent mettre en évidence un manque de clarté concernant les responsabilités, une escalade trop lente ou une dépendance excessive à l’égard d’une seule personne.

Crisis24 aide les organisations à évaluer le risque interne et à renforcer leur préparation grâce à ses services de conseil, au développement de programmes et à des exercices. Examiner la manière dont la sécurité du personnel, les dispositifs de protection opérationnels et les plans d’intervention fonctionnent conjointement constitue un point de départ concret.