Subsidiarité en gestion de crise : déléguer l'action pour conserver la maîtrise

Le 8 février 2021, une cyberattaque frappe le Centre Hospitalier de Dax. En moins de douze heures, l'ensemble du système d'information est hors service. Résultat : des patients redirigés, des opérations reportées, un retour à la gestion papier pendant plusieurs semaines. Le coût direct de l'incident a été estimé à plus de 2 millions d'euros. Ce qui a aggravé la situation n'était pas uniquement technique : les équipes sur le terrain savaient dès les premières minutes que quelque chose d'anormal se produisait. Mais personne n'avait l'autorité pour déclencher l'isolation des systèmes sans validation hiérarchique. Ces quelques heures d'attente ont tout changé.

Ce scénario est l'exact opposé de ce que la subsidiarité permet. Et il se rejoue chaque année dans des collectivités, des ETI, des PME, sous des formes diverses. Une crise ne crée pas les dysfonctionnements d'une organisation. Elle les sanctionne.

La subsidiarité : définition opérationnelle

Dérivé du latin subsidium (aide, réserve, appui), la subsidiarité énonce qu'une tâche ou une responsabilité doit être exécutée par l'échelon le plus bas et le plus proche du terrain capable de la traiter efficacement. L'échelon supérieur n'intervient qu'en cas de défaillance avérée de l'échelon inférieur. Il a un devoir de suppléance, non d'absorption.

Dit autrement : ce n'est pas à la direction générale de prendre les décisions que le terrain peut et doit prendre. Ce n'est pas au PDG de valider l'isolation d'un serveur compromis à 3h du matin. Ce principe peut sembler évident. Il ne l'est pas dans la pratique. Dans la grande majorité des organisations, la délégation est déclarée dans les organigrammes mais inexistante dans les faits. Les managers intermédiaires « remontent » par réflexe, par culture, parfois par protection personnelle. Et les dirigeants, souvent sans le savoir, sont devenus le goulot d'étranglement de leur propre organisation.

L'enjeu est ce que le Général Vincent Desportes appelle la colocalisation de la connaissance spécifique et de la prise de décision. Dans un environnement incertain, l'information pertinente est rarement là où se trouve l'autorité formelle. Le dirigeant détient la vision stratégique, mais sa vision du terrain est agrégée et souvent retardée. Le manager de terrain détient la connaissance immédiate, mais n'a pas toujours l'autorité pour agir. La subsidiarité résout cette tension en donnant l'autorité d'action à ceux qui ont l'information, tout en maintenant le cap stratégique entre les mains de ceux qui ont la vision.

Ce que cela coûte de ne pas l'avoir : trois scénarios concrets

Une ETI technologique de 600 collaborateurs est victime d'un ransomware un dimanche soir. Le responsable infrastructure détecte l'intrusion à 22h47. Il connaît le protocole. Mais la procédure interne stipule qu'aucune action d'isolation majeure ne peut être prise sans l'accord du Directeur Technique, lui-même en déplacement. Résultat : 4 heures d'inaction pendant lesquelles le ransomware se propage à l'ensemble des environnements de production. Le coût total de l'incident dépasse 1,4 million d'euros. Une délégation claire, permettant à un responsable certifié d'agir dans un périmètre défini sans validation à 23h, aurait limité ce coût à moins de 200 000 euros.

Une commune de 70 000 habitants est frappée par des inondations soudaines. Le responsable de la voirie identifie dès 6h du matin que trois axes routiers critiques doivent être fermés. La décision remonte de service en service. À 9h30, les axes ne sont toujours pas fermés. Un accident survient. La responsabilité de la collectivité est engagée. Un agent habilité avec une délégation explicite pour fermer des axes en cas de danger immédiat aurait permis d'agir en moins de trente minutes.

Une PME tech de 520 salariés découvre le jeudi matin une fuite de données personnelles. Le développeur le signale à son manager, qui transmet au DSI, qui attend la réunion de direction du lendemain. Le PDG, informé le vendredi à 14h, décide de notifier la CNIL le lundi. Le RGPD impose une notification sous 72 heures. La notification intervient avec 40 heures de retard. L'amende prononcée six mois plus tard : 180 000 euros. Un processus subsidiaire (DSI autorisé à déclencher la procédure sans attendre la direction) aurait évité la sanction réglementaire.

Les trois effets opérationnels de la subsidiarité

La vitesse de manœuvre. En gestion de crise, chaque décision a une fenêtre d'efficacité maximale. Passée cette fenêtre, la même décision coûte dix fois plus cher ou devient inutile. L'organisation qui centralise toutes ses décisions subit le rythme de la crise. Celle qui a délégué l'action au bon niveau impose son tempo. Un indicateur utile à mettre en place : mesurer régulièrement le délai entre la détection d'un signal d'alerte et la première décision d'action.

La responsabilisation. La subsidiarité transforme la posture managériale. Un manager qui sait qu'il a l'autorité pour agir dans son périmètre ne développe pas la même relation à la crise qu'un manager habitué à « remonter ». Il observe, anticipe et réagit différemment. Cet effet collatéral positif joue également sur l'attractivité et la rétention des talents : les profils techniques de haut niveau fuient les organisations où leur expertise est neutralisée par des circuits de validation interminables.

La libération du sommet. En situation de crise, le dirigeant a des missions que personne d'autre ne peut remplir : communication auprès des élus ou du conseil d'administration, relation avec les parties prenantes critiques, arbitrages qui engagent l'organisation dans sa globalité. Un dirigeant qui passe ses premières heures à valider des décisions techniques que ses équipes sont capables de prendre ne fait pas son travail, il fait celui de ses managers, en moins bien, et laisse vacant le sien.

Comment l'installer concrètement

Pour les DGS et DGA : commencer par cartographier les vingt décisions les plus urgentes des six premières heures de crise. Pour chacune, identifier qui détient l'information et qui détient l'autorité formelle. L'écart entre les deux est votre première vulnérabilité. Ensuite, définir pour chaque manager un périmètre d'action clair, des objectifs à atteindre, et une autonomie réelle dans la mise en œuvre. Tester enfin la subsidiarité en exercice, pas seulement la cellule de crise centrale, mais la capacité des cadres intermédiaires à décider seuls pendant les deux premières heures, avant même que la cellule soit constituée.

Pour les PDG de PME et ETI : auditer vos délégations réelles versus déclarées. Demandez à dix managers ce qu'ils sont autorisés à décider sans vous contacter. L'écart entre ce que vous croyez avoir délégué et ce que vos équipes osent effectivement décider est la mesure de votre vulnérabilité. Introduire ensuite le concept de seuil d'action autonome : pour chaque domaine critique, définir un niveau en deçà duquel vos managers agissent et informent, au-dessus duquel ils escaladent. Chiffrer enfin le coût de vos incidents passés liés à des décisions trop tardives. Ce calcul inconfortable est le meilleur argument pour investir dans la subsidiarité.

Les trois conditions non négociables

Une vision stratégique partagée et comprise pas seulement diffusée. Le subordonné qui décide de façon autonome doit comprendre pourquoi il fait ce qu'il fait, quelle priorité stratégique il sert. Sans cette compréhension, la délégation crée de l'incohérence.

Des acteurs formés et entraînés, pas seulement informés. Déléguer l'autorité sans investir dans la compétence situationnelle est irresponsable. La formation à la gestion de crise des managers intermédiaires est une prime d'assurance, pas un coût.

Une culture de la confiance et du droit à l'erreur calibré. La subsidiarité exige que le manager qui a décidé de bonne foi, dans son périmètre, avec l'information disponible, ne soit pas sanctionné s'il s'est trompé. Cette culture n'exclut pas la responsabilité, elle la distribue à chaque niveau.

La vraie question

La subsidiarité n'est pas un concept philosophique. C'est une architecture organisationnelle dont le retour sur investissement se mesure en euros d'incidents évités, en heures d'arrêt réduites, en sanctions réglementaires contournées.

La vraie question n'est pas « avons-nous un plan de gestion de crise ? ». La plupart des organisations en ont un. La vraie question est : « Nos équipes savent-elles décider sans nous et ont-elles l'autorité pour le faire ? » Si la réponse est incertaine, le travail commence maintenant.

Crisea Conseil accompagne les DGS, DGA et dirigeants de PME dans l'audit de leurs dispositifs de crise, la conception de cadres de délégation subsidiaire et la formation des équipes au jugement décisionnel en situation dégradée.