J'ai passé des années à protéger les gens dans la rue et à l'intérieur des bâtiments, et je constate toujours la même chose: le point le plus faible de la sécurité d'une entreprise est rarement les serrures ou les caméras, mais ce bref instant à la réception. J’explique ici comment créer un contrôle d’accès qui protège sans ralentir les opérations quotidiennes. Vous pouvez mettre en place une grande partie de cela vous-même.
Personne n’a forcé l’accès : les intrus sont simplement entrés
Lorsqu’une entreprise m’appelle pour revoir sa procédure d’entrée, je commence généralement par m’asseoir dans le hall et regarder. Sans dire un mot, téléphone à la main, je ressemble à n’importe quelle personne qui attend quelqu’un. Tôt ou tard, la même chose a tendance à se produire. Quelqu’un tient la porte à la personne qui le suit. La réceptionniste s'éloigne un instant du bureau. Un technicien passe avec une boîte à outils et personne ne lui demande rien, car il porte un gilet de visibilité et fait comme s'il savait où il va.
Au fil des années, j’ai constaté que, dans la plupart des entreprises, les intrus ne forcent pas l’accès : ils entrent simplement. Une attitude assurée et un instant d’inattention leur suffisent. C’est en fait une bonne nouvelle, car vous pouvez vous en défendre principalement grâce à une organisation et à des règles convenues, et non en achetant davantage de technologie. La base est constituée de règles que quelqu’un suit réellement.
Le reste de cet article explique comment mettre en place de telles règles, de l'entrée jusqu'à l'entrepôt, sans ralentir les opérations quotidiennes.
Divisez les locaux en zones, pas seulement à l'extérieur et à l'intérieur
La plupart des entreprises ne pensent qu’à deux niveaux: extérieur et intérieur. Une fois que quelqu’un a franchi l’entrée, il peut se déplacer presque n’importe où. C’est le défaut structurel le plus courant que je trouve lors des examens de sites.
Les locaux doivent être divisés en fonction du niveau de risque. Un espace public accessible à tous: le hall et la réception. Viennent ensuite les bureaux réservés au personnel et aux visiteurs accompagnés, les espaces du personnel, puis les zones critiques, généralement l'entrepôt, la salle des serveurs, les archives ou une salle contenant des espèces et des documents sensibles.
Pour chaque zone, répondez à trois questions :
Si vous ne pouvez pas répondre à l’une d’entre elles, ce n’est pas une zone. C'est un couloir. Et c’est précisément là que les problèmes surviennent.
- Qui est autorisé à y accéder et comment le personnel de sécurité ou le système le reconnaît-il ?
- Une personne étrangère est-elle admise seule ou uniquement accompagnée?
- Qui est responsable de cette zone, nommément?
La réception est un poste de sécurité, pas un bureau d'information
La réception détermine si tout le reste a la chance de fonctionner. Et pourtant, c'est souvent la position la moins soutenue du bâtiment. La personne à l'accueil est censée accueillir les clients, recevoir les colis, transférer les appels, mais aussi être celle qui arrête quelqu'un qui n'a pas sa place sur place. Cela fait beaucoup de rôles à la fois.
Lorsque je travaille avec des équipes d’accueil, j’aborde deux choses en premier. Premièrement : cette personne dispose-t-elle de directives écrites sur la marche à suivre lorsque quelqu'un arrive à l'improviste ? Il ne suffit pas d’une consigne vague comme vérifiez le visiteur : il faut préciser qui appeler, quoi dire et où faire patienter la personne pendant la vérification. Deuxièmement: a-t-elle quelqu’un pour la soutenir ? Une réceptionniste qui sait qu'appuyer sur un bouton amène un collègue ou un agent de sécurité à l'aider se comporte différemment d'une réceptionniste qui sait qu'elle est seule.
Un journal des visiteurs, une vérification de la finalité et un badge visible sont le strict minimum. Mais tant que la réception n'a pas le pouvoir d'empêcher quelqu'un d'aller plus loin, ni la certitude que la direction ne le lui reprochera pas, tout cela n'est que de la paperasse.
Les visiteurs, les entrepreneurs et les coursiers ne constituent pas une seule catégorie
Un visiteur ne doit pas se déplacer seul dans les locaux. Un interlocuteur précis prend le visiteur en charge, l’accompagne, puis le reconduit et enregistre son départ. Cela semble formel, mais en pratique, cela limite les situations dans lesquelles quelqu'un se retrouve à un étage où il n'a rien à faire.
Les entrepreneurs et les techniciens de service constituent une catégorie différente. Ils viennent régulièrement, connaissent l'environnement et pénètrent souvent dans des endroits inaccessibles aux employés réguliers. Pour eux, un point d’entrée dédié, une autorisation limitée dans le temps et une amplitude de mouvement préalablement convenue ont du sens. Si un technicien se présente en dehors du créneau convenu, c’est une raison de vérifier son intervention, pas de le laisser passer plus vite pour éviter de le retarder.
Les coursiers ne devraient pas du tout pénétrer dans les zones internes. Un point de transfert juste à côté de l'entrée règle ce problème et ferme également l'un des moyens les plus simples d'entrer à l'intérieur sous prétexte.
Ce ne sont pas les cartes et les caméras qui décident, ce sont les gens qui décident
Les systèmes d’accès, les serrures électroniques, les tourniquets et les caméras ont tous leur place. Ils vous donnent un aperçu de qui se trouvait où et, lors d'un incident, ils réduisent le temps nécessaire pour déterminer ce qui s'est réellement passé. Mais à eux seuls, ils n’arrêtent personne.
Sur le plan technique, certaines choses me tiennent le plus à cœur. Que chaque collaborateur ait sa propre identité et ne partage pas de carte avec un collègue. Cet accès n'est accordé que là où cela est réellement nécessaire pour le travail, et non partout, au cas où. Que lorsque l'emploi d'une personne prend fin, ses autorisations sont révoquées le jour même, et non chaque fois que quelqu'un s'en souvient. Et qu’une caméra n’est pas seulement un appareil d’enregistrement – qu’il y a une personne qui sait quoi faire lorsque quelque chose apparaît dessus.
Aucun système n'est utile si la porte qui y mène est maintenue ouverte avec une cale, car c'est l'itinéraire utilisé par les livraisons. Je vois cela régulièrement, et il y a généralement un processus derrière cela que quelqu'un a mis en place sans tenir compte de la manière dont les gens de l'entreprise travaillent réellement.
Tester le dispositif avant qu’il n’échoue
Le contrôle d'accès comprend également des scénarios en cas de problème. Une carte perdue. Une panne du système. Une personne non autorisée à l'intérieur. Un individu agressif à la réception. Pour chacune de ces situations, le personnel doit disposer d’une procédure simple: qui appeler, ce qu’il fait jusqu’à l’arrivée des secours et ce qu’il ne doit pas faire.
Avec un visiteur agressif en particulier, le travail de la réception n'est pas de maîtriser qui que ce soit. Son rôle consiste à garder ses distances, à appeler de l’aide et à ne pas aggraver la situation. Cette conduite peut être entraînée rapidement et je considère que c'est du temps bien dépensé.
Et puis il y a la dernière partie, la plus souvent oubliée. Un dispositif de sécurité se dégrade progressivement. Les gens partent et leurs cartes restent actives. Un nouvel entrepôt est ajouté et personne ne lui attribue de zone. Je recommande de mettre en place un bilan régulier: parcourir la liste des droits d'accès actifs, évaluer les incidents de la période précédente et, de temps à autre, faire visiter les lieux à une personne n'y travaillant pas. C'est précisément ce regard extérieur qui révèle des choses que les gens qui y travaillent ne remarquent plus depuis longtemps.
À retenir
Le contrôle d’accès ne consiste pas à transformer une entreprise en forteresse. Il s’agit de savoir qui se trouve à l’intérieur, pour quelle raison ces personnes sont présentes et où ils sont autorisés à aller. Des zones divisées, une équipe d'accueil qui sait quoi faire et dispose de renforts, des procédures séparées pour les visiteurs, les entrepreneurs et les coursiers, une technologie soutenue par des personnes responsables et l'habitude de tout vérifier régulièrement - d'après mon expérience, c'est ce qui compte. Le reste est un détail qui s'adapte aux locaux spécifiques.
Je tiens à ajouter clairement une chose: aucune mesure n’offre une certitude absolue, et personne ne peut honnêtement vous la promettre. L’objectif d’un contrôle des accès bien conçu est de réduire les risques, de rendre l’accès plus difficile et de raccourcir le délai avant que quelqu’un ne réagisse à un problème.
Vous pouvez mettre en pratique vous-même une grande partie de ce que j’ai décrit, sans investissement majeur dans la technologie. C'est principalement une question de décisions et de cohérence. Là où un regard extérieur apporte le plus de valeur, c’est lors de l’évaluation initiale des locaux et de l’analyse des situations atypiques avec le personnel.
Si vous n'êtes pas sûr de la situation de votre entreprise, je serai ravi de venir jeter un coup d'œil et de examiner votre contrôle des accès avec vous, sans engagement. Parfois, quelques ajustements que vous pouvez réaliser vous-même suffisent. Parfois, il s’avère qu’il en faut davantage. Les deux sont des résultats légitimes, et je vais vous dire clairement lequel s’applique.
« Dans la plupart des entreprises, les intrus ne forcent pas l’accès : une attitude assurée et un instant d’inattention leur suffisent. »— Robert Václavík
