Points clés
- Un incident déclenché par une erreur humaine engage potentiellement plusieurs niveaux de responsabilité : la responsabilité individuelle de l'auteur de l'erreur, la responsabilité managériale de sa hiérarchie, et la responsabilité organisationnelle de l'entreprise.
- La responsabilité individuelle est engagée en proportion de la faute : négligence légère, faute grave ou faute intentionnelle ont des conséquences juridiques très différentes.
- La responsabilité organisationnelle est engagée lorsque l'organisation n'a pas mis en oeuvre les mesures raisonnables pour prévenir ou limiter l'incident.
- La gestion équitable et cohérente des incidents humains est déterminante pour la culture de signalement — des réponses disproportionnées détruisent la confiance et freinent les signalements futurs.
Lorsqu'un incident de sécurité est déclenché par une erreur humaine, la question des responsabilités est complexe et souvent mal gérée. La tentation est de rechercher un coupable et de sanctionner — une réponse humainement compréhensible mais organisationnellement contre-productive si elle ne distingue pas les différents niveaux de responsabilité et si elle ne s'inscrit pas dans une démarche d'amélioration des processus.
La direction générale doit comprendre que la gestion des incidents humains a des implications qui dépassent le cas individuel : elle envoie un signal sur la culture de responsabilité de l'organisation, qui déterminera comment les futurs incidents seront (ou ne seront pas) signalés.
La responsabilité individuelle : distinguer les niveaux de faute
En droit du travail, la responsabilité individuelle d'un employé qui commet une erreur ayant des conséquences de sécurité est proportionnée à la gravité de la faute. La négligence légère — une erreur commise malgré une formation adéquate et dans des conditions normales de travail — engage une responsabilité limitée. La faute grave — le non-respect délibéré de procédures connues — peut justifier des mesures disciplinaires. La faute intentionnelle — l'acte malveillant délibéré — relève du droit pénal.
Cette distinction est fondamentale pour répondre proportionnellement à chaque type d'incident et éviter les réponses disproportionnées qui punissent des erreurs de bonne foi comme des actes malveillants.
La responsabilité managériale
La hiérarchie de l'auteur de l'erreur a une responsabilité dans la mesure où elle a (ou n'a pas) fourni la formation adéquate, un environnement de travail qui permet le respect des procédures de sécurité, des ressources suffisantes pour effectuer les tâches sans raccourcis dangereux, et des processus de supervision qui auraient pu détecter et corriger les comportements à risque avant l'incident. Lorsqu'un incident révèle un manque de formation, un sous-effectif chronique ou des procédures inadaptées, la responsabilité managériale est engagée autant que la responsabilité individuelle.
La responsabilité organisationnelle vis-à-vis des tiers
L'organisation est responsable vis-à-vis des personnes affectées par l'incident — clients, partenaires, employés — et vis-à-vis des régulateurs lorsque l'incident implique des données personnelles ou des secteurs régulés. Cette responsabilité organisationnelle est engagée lorsque l'organisation n'a pas mis en oeuvre les mesures raisonnables pour prévenir ou limiter l'incident : formation insuffisante, procédures inadaptées, contrôles techniques absents, supervision défaillante. L'argument "c'est la faute d'un employé" ne dispense pas l'organisation de démontrer qu'elle avait pris les précautions raisonnables.
Gérer les incidents humains pour préserver la culture de signalement
La réponse organisationnelle à un incident humain doit équilibrer deux impératifs : la responsabilisation nécessaire pour prévenir la répétition, et la préservation de la confiance qui permet le signalement futur. Une réponse disproportionnée à une erreur de bonne foi détruit la confiance et produit un silence sur les futurs incidents — un coût organisationnel qui dépasse généralement le bénéfice de la sanction. La recherche de "blameless post-mortems" — comprendre ce qui s'est passé pour améliorer les systèmes, pas pour trouver un coupable — est une approche documentée comme plus efficace à long terme.
Études de cas
FACC — Licenciement du PDG et du CFO suite à une fraude au président
Suite à la perte de 50 millions d'euros via une fraude au président, FACC a licencié son PDG et son CFO pour avoir "gravement violé leurs obligations de due diligence". Cette décision, validée par les tribunaux autrichiens en partie, illustre que la responsabilité de la direction générale est engagée lorsqu'une organisation n'a pas mis en place les procédures de vérification minimales raisonnables pour prévenir les fraudes financières connues. La responsabilité n'était pas limitée à l'employé qui avait effectué le virement — elle incluait ceux dont la gouvernance aurait dû prévenir la possibilité de cette erreur.
Blameless post-mortem — Étude Netflix/Google
Netflix et Google ont formalisé des processus de "blameless post-mortem" pour les incidents de sécurité et de disponibilité — des revues post-incident qui cherchent à comprendre les causes systémiques sans attribuer des fautes individuelles. Ces processus, documentés dans leurs publications techniques, produisent deux effets mesurables : une meilleure identification des améliorations systémiques (car les causes réelles sont documentées honnêtement), et un meilleur signalement des incidents futurs (car les employés n'ont pas peur de faire remonter les problèmes). Ces organisations citent ces processus comme des facteurs clés de leur résilience opérationnelle.
RGPD — Responsabilité de l'organisation versus de l'employé
Plusieurs décisions des autorités de protection des données européennes ont clarifié la responsabilité partagée entre l'organisation et ses employés dans les violations de données résultant d'erreurs humaines. Dans la majorité des cas, la responsabilité principale est portée par l'organisation — qui aurait dû mettre en oeuvre des mesures techniques et organisationnelles appropriées pour prévenir ou limiter l'erreur humaine. La responsabilité de l'employé individuel n'est généralement pas poursuivie séparément, sauf en cas de faute intentionnelle manifeste.
États-Unis — Droit du travail et responsabilité des erreurs de sécurité
La jurisprudence américaine a développé des précédents sur la responsabilité des organisations pour les erreurs de sécurité de leurs employés, notamment dans les secteurs financier et santé soumis à des réglementations strictes. Ces précédents montrent que les organisations sont tenues à un standard de "reasonable care" — prendre les précautions raisonnables pour former leurs employés et encadrer leurs comportements — et que l'absence de ce standard de soin engage leur responsabilité, indépendamment de la faute individuelle de l'employé qui a commis l'erreur.
France — CNIL et la responsabilité des organismes pour les violations par erreur humaine
La CNIL a prononcé des sanctions contre des organisations pour des violations de données résultant d'erreurs humaines (envois incorrects, mauvaises configurations), établissant que la responsabilité de l'organisation est engagée dès lors qu'elle n'avait pas mis en oeuvre les mesures techniques et organisationnelles appropriées pour prévenir ou détecter rapidement l'erreur. Ces décisions précisent le standard de diligence attendu des organisations en matière de gestion des données personnelles, indépendamment de la bonne foi des employés impliqués.
Japon — Softbank, fuite de données et responsabilités
Softbank a subi plusieurs incidents de fuite de données par des employés ou ex-employés ayant transmis des données clients à des concurrents. La gestion de ces incidents, incluant les poursuites contre les auteurs, l'engagement de la responsabilité de l'organisation vis-à-vis des clients affectés et les investissements correctifs annoncés publiquement, illustre comment le cadre légal japonais répartit les responsabilités entre l'auteur individuel (poursuivi pénalement) et l'organisation (tenue à des engagements d'amélioration vis-à-vis des régulateurs et des clients).