Stratégie de communication de crise
ce qui se décide avant
Les cinq décisions à prendre à froid, le critère qui départage les trois postures, et les obligations qui courent pendant que vous rédigez.
Une stratégie de communication de crise se décide à froid, pas le jour de l’incident : elle fixe qui parle, qui autorise la prise de parole, sur quels canaux, selon quels principes, et avec quel message d’attente. Le jour venu, la posture — reconnaître, déplacer le débat ou contester — se choisit en fonction de l’état des faits établis, jamais avant de savoir. Et pendant qu’on rédige, certaines obligations courent seules, à commencer par la notification d’une violation de données personnelles à l’autorité de contrôle.
- À froid, pas à chaud : ce qui s’invente le jour de l’incident est une réaction, pas une stratégie.
- Cinq décisions tiennent sur une page : qui parle, qui autorise, quels canaux, quels principes, quel message d’attente.
- La posture suit les faits : tant qu’ils ne sont pas établis, on tient le message d’attente.
- L’interne d’abord : dans la moitié des scénarios, le premier public n’est pas la presse.
- Soixante-douze heures : le délai de notification d’une violation de données court pendant que vous communiquez.
La question arrive presque toujours dans le mauvais ordre. Un client mécontent publie une vidéo, un fichier de commandes se retrouve dans la nature, un ancien salarié raconte des choses sur les réseaux — et quelqu’un demande : qu’est-ce qu’on répond ?
À ce stade, il est déjà trop tard pour élaborer une stratégie. Ce qu’on va faire dans l’heure qui vient relève de la gestion. La stratégie, elle, se décide quand rien ne brûle, et elle tient sur une page : cinq décisions prises une fois pour toutes, qui feront gagner les deux heures les plus précieuses le jour où quelque chose tombera.
Une stratégie de crise se décide quand tout va bien
Trois mots circulent en désordre. La stratégie fixe le cadre : qui parle au nom de l’entreprise, qui décide de parler, sur quels canaux, selon quels principes. Le plan organise les moyens : annuaire de contacts, modèles de messages, chaîne d’alerte. La gestion, enfin, c’est ce qu’on fait le jour où ça tombe.
Ce qui s’invente le jour même n’est pas une stratégie, c’est une réaction. Et une réaction produit deux symptômes reconnaissables : plusieurs voix qui se contredisent en quelques heures, et un silence qui dure trop longtemps parce que personne ne sait qui a le droit de parler.
-
Décider qui parle
Un porte-parole désigné, un suppléant nommé, et la consigne claire faite aux autres de ne pas commenter. Ce n’est pas une culture du secret : sans cette décision, trois versions circulent en quelques heures et c’est la contradiction, pas l’incident, qui devient le sujet.
-
Décider qui autorise la prise de parole
Le porte-parole n’est pas forcément celui qui arbitre. Nommer la personne qui autorise, et son remplaçant en cas d’absence. Sans cette décision, on perd une demi-journée à chercher quelqu’un — et le silence des premières heures passe pour un aveu.
-
Décider des canaux
Ceux qu’on maîtrise, c’est-à-dire ceux sur lesquels on peut publier seul et immédiatement, sans dépendre d’un prestataire ni d’une validation extérieure : son site, sa page professionnelle, sa liste de clients. Ouvrir un compte le jour de la crise, c’est parler dans le vide.
-
Écrire les principes
Deux ou trois lignes de conduite arrêtées d’avance : on ne nie jamais un fait établi, on ne désigne pas de coupable avant d’avoir vérifié, on ne s’engage que sur ce qu’on peut tenir. Elles servent surtout à résister à la pression du moment, quand chacun veut répondre tout de suite.
-
Préparer le message d’attente
Une formulation courte et adaptable, en trois éléments : on a connaissance de la situation, on établit les faits, on revient à telle échéance. Ni aveu, ni démenti, ni explication. Elle ne coûte rien à préparer et c’est elle qui occupe l’espace pendant qu’on vérifie.
Cartographier ce qui peut réellement arriver chez vous
Les typologies de manuels parlent de crises technologiques, organisationnelles ou de malveillance. Utile pour un examen, peu opérant pour une entreprise de quinze personnes. L’exercice qui sert vraiment consiste à lister les cinq ou six scénarios plausibles compte tenu de votre activité, et pour chacun à noter deux choses : quel public est touché en premier, et à quoi vous verrez que ça commence.
| Scénario | Premier public touché | Premier signe d’alerte |
|---|---|---|
| Incident sur un produit ou une prestation | Les clients concernés | Une hausse anormale des réclamations sur un même motif |
| Violation de données | Les personnes dont les données ont fuité | Un signalement par un tiers, plus souvent qu’une détection interne |
| Conflit interne devenu public | Les salariés, qui savent déjà | Des départs rapprochés, des messages internes qui circulent |
| Mise en cause d’un dirigeant | L’ensemble des partenaires et financeurs | Des demandes d’explication isolées avant toute publication |
| Salve d’avis en ligne hostiles | La clientèle qui découvre l’entreprise | La soudaineté du volume, plus que le contenu des avis |
Cet inventaire fait apparaître un fait que la plupart des dispositifs de crise ignorent : dans la moitié des scénarios, le premier public n’est pas la presse, mais les salariés ou les clients directement concernés.
Trois postures, et ce qui les départage
Face à une mise en cause, les réponses possibles se rangent en trois familles, connues depuis longtemps de la littérature spécialisée. Ce que les contenus disponibles expliquent rarement, c’est comment on choisit — car le critère n’est ni le courage ni la préférence morale, mais l’état des faits établis au moment où l’on parle.
Reconnaître
Admettre les faits, en assumer la responsabilité, annoncer une réparation. Défendable quand les faits sont établis et l’imputation certaine. Prononcée avant vérification, elle engage l’entreprise sur ce qu’elle ne connaît pas encore.
Déplacer le débat
Ne pas contester les faits, mais en discuter la portée, le contexte ou l’imputation. Souvent perçue comme la voie de la lâcheté, c’est parfois la seule honnête : quand les faits sont exacts et l’interprétation fausse.
Contester
Nier les faits, ou nier qu’ils vous soient imputables. Ne se tient que sur une certitude vérifiée. Une contestation démentie la semaine suivante détruit davantage que la faute initiale, parce qu’elle rend inaudible tout ce qui suivra.
D’où une règle simple, qui évite d’avoir à trancher trop tôt. Tant que les faits ne sont pas établis, on ne choisit pas : on tient le message d’attente. Le choix de posture n’intervient qu’une fois qu’on sait, et il vaut mieux savoir vite que parler tôt.
Les premières heures
l’ordre compte plus que le contenu
La séquence des premières heures est plus déterminante que la qualité rédactionnelle du communiqué. Elle tient en cinq gestes, à faire dans cet ordre : établir les faits auprès des personnes qui savent, prévenir l’interne, publier le message d’attente sur le canal principal, désigner un point de contact unique et le faire savoir, puis seulement produire la position détaillée.
Deux de ces gestes méritent un mot. Prévenir l’interne avant que les salariés n’apprennent la nouvelle par un client ou par la presse est l’étape la plus souvent sautée, et celle qui laisse les traces les plus durables : elle abîme la confiance à l’intérieur au moment précis où l’entreprise a besoin d’une seule voix.
Quant au silence total, souvent choisi par prudence, il revient à laisser d’autres raconter l’histoire pendant qu’on se tait. Publier le message d’attente n’engage sur rien, et c’est presque toujours suffisant pour les premières heures.
Ce qui court pendant que vous rédigez
Voilà le point que les contenus sur la communication de crise omettent presque tous : certaines obligations ont leur propre horloge, et elle tourne pendant qu’on peaufine un communiqué.
En cas de violation de données à caractère personnel, le responsable de traitement doit notifier l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après en avoir pris connaissance — à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Lorsque le risque est élevé, les personnes concernées doivent en outre être informées dans les meilleurs délais. Ces obligations ne dépendent ni de la taille de l’entreprise, ni du fait que la crise soit devenue publique.
Le responsable de traitement, c’est l’entreprise elle-même, pas son prestataire informatique : l’obligation ne se sous-traite pas. Et le délai part de la prise de connaissance, pas de la découverte de l’ampleur. Notez donc l’heure et la source du premier signalement dès qu’il arrive, avant même de savoir ce qui s’est passé : c’est cette heure-là qu’il faudra pouvoir justifier.
L’après
la seule partie qui améliore la fois suivante
Une crise se termine rarement par une annonce : elle s’éteint, et l’entreprise reprend son rythme ordinaire en espérant que le sujet ne revienne pas. C’est à ce moment précis que se joue la valeur de tout le dispositif.
Le retour d’expérience se fait à froid, quelques semaines plus tard, et il porte sur trois questions. Qu’est-ce qui nous a alertés, et aurions-nous pu le voir plus tôt ? La chaîne de décision a-t-elle fonctionné, ou a-t-on cherché quelqu’un pendant une demi-journée ? Et qu’avons-nous promis, publiquement, que nous devons maintenant tenir ?
Cette dernière question est celle qu’on oublie. Une crise se juge autant sur la réparation annoncée que sur l’explication donnée : un engagement pris sous pression et jamais tenu rend inaudible la prochaine annonce, et fabrique ainsi la crise suivante. Mettre à jour la cartographie et les cinq décisions prises à froid coûte une heure. C’est la seule partie du travail qui rende l’entreprise plus solide qu’avant.
Quelle différence entre stratégie et gestion de communication de crise ?
La stratégie se décide à froid : elle fixe qui parle au nom de l’entreprise, qui autorise une prise de parole, sur quels canaux, selon quels principes, et prépare un message d’attente. Le plan organise les moyens correspondants — annuaire, modèles, chaîne d’alerte. La gestion, c’est l’exécution le jour de l’incident. Ce qui s’invente ce jour-là n’est pas une stratégie mais une réaction, reconnaissable à deux symptômes : plusieurs voix qui se contredisent, ou un silence qui dure parce que personne ne sait qui a le droit de parler.
Qui doit parler au nom de l’entreprise pendant une crise ?
Une seule personne, désignée à l’avance, avec un suppléant nommé. Ce n’est pas nécessairement le dirigeant, et ce n’est pas non plus forcément la personne qui décide de communiquer : les deux rôles gagnent à être distingués. La règle vaut surtout pour les autres : demander aux salariés de ne pas commenter n’est pas une culture du secret, c’est ce qui évite que trois versions circulent en quelques heures.
Faut-il tout dire, tout de suite ?
Non, et c’est le contresens le plus répandu sur la transparence. Tant que les faits ne sont pas établis, une reconnaissance engage sur ce qu’on ne connaît pas encore, et une contestation expose à un démenti la semaine suivante. Ce qui se fait tout de suite, c’est le message d’attente : dire qu’on a connaissance de la situation, qu’on établit les faits, et quand on reviendra. La position détaillée n’arrive qu’une fois les faits confirmés.
Que mettre dans un message d’attente ?
Trois éléments, pas davantage : la reconnaissance qu’on a connaissance de la situation, l’indication qu’une vérification est en cours, et une échéance de retour. Ni aveu, ni démenti, ni explication : le but est d’occuper l’espace en attendant de savoir. Ce message se prépare à froid, en une formulation courte adaptable, ce qui fait gagner les deux heures les plus précieuses.
Quel délai pour signaler une fuite de données personnelles ?
Le responsable de traitement doit notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard soixante-douze heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes. Lorsque le risque est élevé, les personnes concernées doivent en outre être informées dans les meilleurs délais. Cette horloge tourne indépendamment de la communication publique, et ne dépend pas de la taille de l’entreprise.
Qui faut-il prévenir en premier ?
L’interne, presque toujours. Les salariés apprennent la crise par un client ou par la presse dans une majorité de cas, et c’est l’erreur qui laisse les traces les plus durables : elle abîme la confiance à l’intérieur au moment précis où l’entreprise a besoin d’une seule voix. La cartographie des scénarios le confirme : le premier public concerné est rarement la presse, mais les salariés ou les clients directement touchés.
Comment savoir quand la crise est terminée ?
Une crise s’éteint plus qu’elle ne se clôt, et l’absence d’annonce de fin fait partie du problème : l’entreprise reprend son rythme sans rien tirer de l’épisode. Le repère utile n’est pas la baisse des sollicitations mais le retour d’expérience à froid, quelques semaines plus tard, sur trois points : ce qui a alerté et aurait pu alerter plus tôt, le fonctionnement réel de la chaîne de décision, et les engagements pris publiquement qu’il faut désormais tenir.
Une stratégie de crise ne se juge pas à la qualité du communiqué qu’elle produit, mais au nombre de décisions qu’elle dispense de prendre dans les deux heures qui suivent l’alerte.