Préventeur sûreté : protéger l’entreprise contre la malveillance

Intrusions, vols de matériel, dégradations, incivilités et agressions envers le personnel d’accueil, détournement d’informations sensibles, sabotage, menaces sur un site isolé : la malveillance n’épargne plus aucun secteur. Pour les dirigeants, les DRH et les responsables QHSE, ces événements ont un coût immédiat — pertes matérielles, arrêt d’activité — mais aussi un coût humain durable, car un salarié agressé sur son lieu de travail ne revient pas indemne.

C’est le rôle du préventeur sûreté : identifier ce qui, dans l’organisation, peut être visé par un acte intentionnel, et construire un dispositif proportionné pour l’en protéger.

Sûreté et sécurité : une confusion qui coûte cher

Les deux mots sont souvent employés indifféremment. La distinction est pourtant structurante :

• La sécurité traite des risques non intentionnels : accidents, incendies, défaillances techniques, erreurs humaines.
• La sûreté traite des risques intentionnels : vol, intrusion, agression, sabotage, espionnage, atteinte volontaire aux personnes ou aux biens.

Cette différence n’est pas sémantique, elle change la méthode. Un risque accidentel est statistique : il ne s’adapte pas aux mesures prises contre lui. Une menace malveillante, elle, observe, apprend et contourne. Un extincteur mal placé reste un extincteur mal placé ; une caméra visible déplace simplement l’intrusion vers l’angle mort. Une démarche sûreté doit donc raisonner en scénarios d’attaque, du point de vue de celui qui cherche à réussir — et non en simple check-list d’équipements.

Un cadre juridique qui encadre autant les menaces que les parades

La particularité de la sûreté est double : l’employeur a l’obligation de protéger, mais les moyens qu’il déploie sont eux-mêmes strictement encadrés.

Côté obligation de protéger :

• L’article L.4121-1 du Code du travail impose de protéger la santé physique et mentale des salariés. La jurisprudence retient régulièrement la responsabilité de l’employeur pour des agressions subies par des salariés exposés au public ou travaillant isolément.
• Les risques d’agression et d’incivilité doivent figurer dans le DUERP au même titre que les risques physiques, et faire l’objet de mesures de prévention.
• Certaines organisations relèvent de régimes spécifiques : opérateurs d’importance vitale et secteurs d’activité d’importance vitale au titre du Code de la défense, établissements soumis à des obligations sectorielles, sites concernés par la protection du potentiel scientifique et technique.
• Le plan Vigipirate fixe des postures de vigilance que les établissements recevant du public sont invités à décliner.

Côté encadrement des moyens :

• La vidéoprotection relève du Code de la sécurité intérieure : autorisation préfectorale pour les lieux ouverts au public, finalités précises, information visible des personnes filmées, durée de conservation limitée, accès aux images restreint et tracé.
• Le RGPD s’applique à tout dispositif traitant des données personnelles : contrôle d’accès par badge, vidéo, journalisation. La biométrie sur le lieu de travail est particulièrement encadrée et ne se justifie que dans des cas restreints.
• Le CSE doit être informé et consulté préalablement à la mise en place de tout dispositif permettant de contrôler l’activité des salariés. Un système installé sans cette consultation est contestable, et ses enregistrements peuvent devenir inopposables.
• Le recours à des prestataires de sécurité privée est régi par le livre VI du Code de la sécurité intérieure et contrôlé par le CNAPS : agents titulaires d’une carte professionnelle, société autorisée.

Le préventeur sûreté est précisément celui qui sait tenir les deux bouts : protéger efficacement sans installer un dispositif juridiquement fragile ou socialement inacceptable.

Les missions du préventeur sûreté

1. Analyser la menace et les vulnérabilités

La démarche part de trois questions, dans cet ordre :

1. Qu’y a-t-il à protéger ? Personnes, stocks à forte valeur, matériels, données sensibles, savoir-faire, image, continuité de production.
2. Qui pourrait s’y intéresser, et pourquoi ? Délinquance d’opportunité, vol organisé, malveillance interne, concurrence, militantisme, personne en rupture avec l’entreprise.
3. Par où passerait-elle ? Clôtures, accès livraison, accueil, horaires creux, sous-traitants, procédures contournables.

L’audit de vulnérabilité combine visite de site — de préférence hors heures ouvrées, quand les failles apparaissent —, entretiens avec le personnel de terrain, analyse des incidents passés et de la main courante, et revue de l’environnement immédiat du site.

2. Concevoir un dispositif en profondeur

Un dispositif de sûreté efficace articule quatre fonctions successives : dissuader, détecter, retarder, intervenir. Une caméra qui filme une intrusion sans que personne n’intervienne ne protège rien ; elle documente.

La conception combine trois familles de mesures :

• Organisationnelles : zonage du site selon la sensibilité, gestion rigoureuse des badges et des clés, procédure d’accueil des visiteurs et des livreurs, gestion des départs de salariés — retrait des accès le jour même —, encadrement des sous-traitants.
• Techniques : contrôle d’accès, détection d’intrusion, vidéoprotection, éclairage, protection mécanique des ouvrants, dispositifs d’alerte pour travailleurs isolés.
• Humaines : présence de personnel, rondes, procédures de levée de doute, articulation avec les forces de l’ordre.

La règle directrice est la proportionnalité : le niveau de protection se calibre sur la valeur de ce qui est protégé et la vraisemblance du scénario, pas sur le catalogue du fournisseur.

3. Développer une culture sûreté

La plupart des intrusions réussies n’exploitent pas une faille technique, mais une habitude : une porte coupe-feu calée en position ouverte pour la ventilation, un badge prêté à un collègue, un visiteur qui suit quelqu’un dans le sas sans badger, un appel prétextant une urgence pour obtenir une information.

Le préventeur sûreté doit donc :

• Former les collaborateurs aux réflexes de base : accompagnement systématique des visiteurs, port du badge, signalement des comportements inhabituels, vigilance sur les demandes d’informations par téléphone ou par mail,
• Former spécifiquement les postes exposés — accueil, caisse, intervention à domicile, travail isolé, travail de nuit — à la gestion des incivilités et à la désescalade,
• Expliquer le pourquoi de chaque règle : une consigne comprise résiste au quotidien, une consigne imposée est contournée dès la première contrainte,
• Instaurer une remontée simple et sans reproche des incidents et presqu’incidents, seule source fiable pour piloter le dispositif.

4. Préparer et gérer les situations de crise

La question n’est pas de savoir si un incident surviendra, mais si l’organisation saura quoi faire dans les dix minutes qui suivent. Le préventeur sûreté prépare :

• Des procédures écrites et connues : alerte, confinement, évacuation, conduite à tenir en cas d’agression ou de menace,
• Des exercices réguliers, seul moyen de vérifier que les procédures fonctionnent avec de vraies personnes sous stress,
• Le traitement de l’après : dépôt de plainte, déclaration en accident du travail lorsque c’est justifié, soutien psychologique de la victime, information mesurée des équipes,
• L’analyse a posteriori de chaque incident, pour corriger la faille organisationnelle plutôt que de chercher un responsable individuel.

L’accompagnement des victimes n’est pas un supplément d’humanité : une agression mal accompagnée génère des arrêts longs, des inaptitudes et une perte de confiance durable dans l’employeur.

5. Maintenir le dispositif dans le temps

Un dispositif de sûreté se dégrade silencieusement : badges non désactivés, caméras déréglées ou obstruées par la végétation, procédures oubliées, prestataire dont on ne vérifie plus les habilitations. Le préventeur sûreté organise les contrôles périodiques, la mise à jour de l’analyse de risque à chaque évolution du site ou de l’activité, la veille sur les modes opératoires observés dans le secteur, et l’articulation croissante entre sûreté physique et cybersécurité — un accès physique non maîtrisé reste l’une des voies d’entrée les plus efficaces vers un système d’information.

Ce que l’entreprise y gagne

• Réduction des pertes directes : vols, dégradations, immobilisation de matériel, interruption d’activité.
• Protection des salariés exposés, et diminution des arrêts de travail consécutifs à des agressions.
• Sécurisation juridique : un dispositif conforme au RGPD et régulièrement consulté auprès du CSE reste opposable et défendable.
• Maîtrise des primes d’assurance, les assureurs conditionnant fréquemment leur couverture à des mesures de protection documentées.
• Confiance des clients et donneurs d’ordre, notamment lorsque l’entreprise détient leurs stocks, leurs données ou leurs équipements.

Conclusion : anticiper plutôt que réagir

En sûreté, les décisions sont presque toujours prises après l’incident — et sous le coup de l’émotion, ce qui conduit à des investissements coûteux, mal ciblés et parfois juridiquement fragiles. Le préventeur sûreté, interne ou externalisé, permet d’inverser cet ordre : analyser à froid, dimensionner juste, embarquer les équipes, et vérifier régulièrement que le dispositif protège encore ce qu’il était censé protéger.

Protéger l’entreprise contre la malveillance, c’est d’abord protéger ceux qui y travaillent.