Les défis liés à l’adhésion des collaborateurs

L'adhésion des collaborateurs à la culture sécurité se construit par le sens, la participation et la cohérence institutionnelle. Les résistances sont des réponses rationnelles à des programmes mal conçus, pas des signes de mauvaise volonté.

M
Mehdi SARIAK
24 mai 2026 7 min de lecture 17 lectures

Points clés

  • L'adhésion des collaborateurs à la culture sécurité ne se décrète pas — elle se construit par le sens, la participation et la cohérence institutionnelle.
  • Les résistances les plus fréquentes sont la surcharge perçue, le sentiment d'inutilité des mesures et le manque de pertinence pour son propre rôle.
  • La consultation des équipes dans la conception des politiques sécurité réduit les résistances à l'application et améliore la qualité des mesures.
  • Les organisations qui traitent la sécurité uniquement comme une contrainte de conformité obtiennent une adhésion de façade, pas une adhésion réelle.
Cas US Twitter/X (2020) — L'attaque d'ingénierie sociale qui a compromis des comptes stratégiques a exploité des employés qui n'avaient pas perçu la sensibilité de leur propre rôle d'accès aux outils d'administration. Le sentiment que "les mesures de sécurité ne me concernent pas vraiment" avait réduit leur vigilance face à une sollicitation inhabituelle.

Comprendre les sources de résistance

Avant de chercher à surmonter les résistances à la culture sécurité, il faut les comprendre. Les trois sources les plus fréquentes sont distinctes et appellent des réponses différentes. La surcharge perçue ("encore une formation, encore une procédure") résulte d'une accumulation de contraintes sans réduction des contraintes existantes — la solution est de simplifier et de prioriser, pas d'ajouter. Le sentiment d'inutilité ("ça n'arrivera jamais ici") résulte d'un déficit de crédibilité du risque — la solution est l'illustration concrète par des cas réels proches du contexte de l'organisation. Le manque de pertinence ("ça ne me concerne pas") résulte d'une communication trop générique — la solution est la contextualisation par rôle.

Ces résistances ne sont pas des signes de mauvaise volonté. Ce sont des réponses rationnelles à des programmes de sécurité qui n'ont pas été conçus en tenant compte de la perspective des utilisateurs finaux.

La participation comme levier d'adhésion

Les études sur le changement organisationnel convergent sur ce point : les personnes adhèrent bien mieux aux règles qu'elles ont contribué à construire qu'à celles qui leur ont été imposées. Consulter les équipes dans la conception des politiques de sécurité — par des ateliers, des groupes de travail ou des enquêtes structurées — remplit deux fonctions. Elle améliore la qualité des politiques en les confrontant aux réalités opérationnelles que les équipes de sécurité ne connaissent pas toujours. Et elle crée un sentiment d'appropriation qui facilite l'application.

Cette démarche participative ne signifie pas soumettre les décisions de sécurité à un vote. Elle signifie consulter les équipes sur les contraintes pratiques avant de finaliser les règles, expliquer les choix qui ont été faits et ceux qui n'ont pas pu l'être, et créer des canaux de remontée des difficultés d'application.

Le sens comme condition de l'adhésion durable

L'adhésion durable à une culture sécurité ne repose pas sur la peur des sanctions ni sur la contrainte technique seule. Elle repose sur la compréhension du sens : pourquoi ces mesures existent, quelles conséquences réelles leur absence entraînerait, comment elles protègent non seulement l'organisation mais aussi les individus eux-mêmes (leurs données personnelles, leur réputation professionnelle, leur emploi).

La communication institutionnelle sur la sécurité doit donc alterner entre les impératifs de conformité (ce que nous devons faire) et le sens (pourquoi ces impératifs existent et ce qu'ils protègent). Une communication exclusivement orientée conformité produit une adhésion de façade — les cases sont cochées, les comportements réels ne changent pas.

Cas EU EasyJet (2020) — L'analyse post-incident a révélé que les équipes de développement n'avaient pas intégré les raisons pour lesquelles certaines pratiques de stockage de données étaient prohibées. L'adhésion aux règles était superficielle parce que leur fondement — protéger les données de millions de passagers — n'avait pas été rendu tangible dans les programmes de formation existants.

Cohérence institutionnelle et crédibilité

L'adhésion des collaborateurs est profondément conditionnée par la cohérence institutionnelle. Si les règles de sécurité s'appliquent à tous niveaux hiérarchiques sans exception, si les incidents sont traités avec sérieux et transparence, si les ressources allouées à la sécurité sont proportionnées aux exigences affichées, les collaborateurs perçoivent la cohérence et y adhèrent. Si les dirigeants bénéficient d'exemptions tacites, si les incidents sont minimisés, si les formations sont organisées sans moyens adaptés, les équipes perçoivent le décalage et adoptent une posture d'adhésion de façade.

La crédibilité de la démarche sécurité est un actif institutionnel fragile. Il se construit sur des années de cohérence et peut être sévèrement endommagé par un seul incident révélant un écart entre le discours et la pratique.

Cas Asie Toyota (2023) — L'exposition de données de 2,15 millions de clients pendant 10 ans via un bucket cloud mal configuré a mis en lumière une résistance structurelle à l'intégration des pratiques de sécurité cloud dans les équipes de développement. La politique existait, mais l'adhésion était insuffisante car les équipes n'avaient pas été associées à sa conception et n'en percevaient pas la pertinence pour leurs projets spécifiques.
WhatsApp