Il existe des organisations qui livrent vite, qui tiennent leurs cérémonies, qui affichent des tableaux de bord impeccables, et qu'un seul incident met à genoux. Un fournisseur unique qui s'arrête. Un chiffrement de serveurs un vendredi soir. Une personne clé qui démissionne et emporte avec elle la seule compréhension complète d'un système critique. Rien de tout cela n'est un problème de vitesse. Ce sont des problèmes de marge.

C'est là que le vocabulaire courant nous trahit. Depuis le Manifeste agile de 2001, l'agilité s'est imposée comme la réponse par défaut à l'incertitude, au point que beaucoup de dirigeants emploient les deux mots comme des synonymes. Ils ne le sont pas. L'agilité et la résilience répondent à deux questions différentes, mobilisent deux logiques opposées sur un point précis, et l'une peut se développer au détriment de l'autre. Cet article pose la distinction, la documente avec les sources qui font autorité sur le sujet, et propose une grille pour évaluer où votre organisation en est réellement.

Qu'est-ce que la résilience organisationnelle exactement ?

La résilience organisationnelle est la capacité d'une organisation à absorber un choc, à continuer de délivrer ce qui est essentiel pendant la perturbation, puis à se reconstruire dans une forme qui intègre ce qui vient de se passer. Trois temps, donc : absorber, tenir, se transformer. Une organisation qui redevient exactement ce qu'elle était avant le choc n'a pas été résiliente, elle a eu de la chance.

Ce que dit la norme internationale

La norme ISO 22316:2017, Sécurité et résilience, résilience organisationnelle, principes et attributs, publiée en mars 2017, est le texte de référence sur le sujet. Elle décrit une organisation résiliente comme une entité capable d'absorber un environnement changeant et de s'y adapter, tout en continuant d'atteindre les objectifs qui lui permettent de survivre et de prospérer. La norme est volontairement générique : elle ne vise aucun secteur en particulier et ne propose pas de modèle unique.

Ce qui est intéressant dans ce texte, c'est ce qu'il range sous le mot résilience. On y trouve l'alignement des comportements sur la vision et les valeurs, la compréhension du contexte, la qualité de la gouvernance, la diversité des compétences et des expériences, la coordination entre domaines, et la gestion des risques. Autrement dit : presque rien de technique, et beaucoup d'organisationnel et d'humain. Le plan de continuité d'activité n'est qu'une pièce du dispositif, et probablement pas la plus déterminante.

D'où vient le mot, et pourquoi son origine compte

Le concept est né en écologie. En 1973, l'écologue canadien C. S. Holling publie dans l'Annual Review of Ecology and Systematics un article devenu fondateur, « Resilience and Stability of Ecological Systems ». Il y distingue deux propriétés que l'on confondait jusque-là. La stabilité, c'est la vitesse à laquelle un système revient à son équilibre après une secousse. La résilience, c'est tout autre chose : la persistance des relations à l'intérieur du système, sa capacité à absorber des changements et à continuer d'exister.

La conséquence est contre-intuitive et vaut pour les entreprises autant que pour les écosystèmes. Un système très stable, très optimisé autour d'un équilibre, peut être extrêmement peu résilient : il tient parfaitement tant qu'on reste dans son domaine de fonctionnement, et il s'effondre d'un coup dès qu'on en sort. C'est exactement le profil de l'organisation en flux tendu dont personne n'a testé les limites.

Ce qui s'effondre vraiment quand une organisation s'effondre

Le psychosociologue des organisations Karl Weick a apporté la pièce manquante avec son travail sur le sensemaking, la construction collective du sens. Dans son analyse de l'incendie de Mann Gulch, publiée en 1993 dans Administrative Science Quarterly, il montre que ce qui a cédé chez ces pompiers n'était ni l'équipement ni les compétences individuelles, mais la structure de rôles et la capacité partagée à comprendre ce qui était en train de se produire. Quand le sens commun se désagrège, le groupe cesse d'être un groupe.

Une organisation ne casse presque jamais par manque d'informations. Elle casse quand plus personne ne partage la même lecture de ce qui est en train d'arriver.

Pour un comité de direction, cette idée est plus opérationnelle qu'elle n'en a l'air. Elle déplace la question de « avons-nous prévu ce scénario ? » vers « saurons-nous encore nous comprendre et nous coordonner quand le scénario ne ressemblera à rien de prévu ? ».

Quelle est la différence entre résilience et agilité ?

L'agilité est une capacité d'adaptation rapide dans un contexte connu, la résilience est une capacité d'absorption de chocs et de reconstruction. L'agilité optimise la vitesse de réponse à des variations attendues : une priorité qui change, un besoin client qui se précise, un périmètre qui bouge. La résilience protège la capacité à exister quand le cadre lui-même se dérobe.

Les deux ne s'opposent pas frontalement, elles se contredisent sur un point précis : la marge. L'agilité, dans son interprétation la plus répandue, chasse le gaspillage et les temps morts. La résilience, elle, a besoin de tampons, de compétences en double, de fournisseurs alternatifs, de trésorerie dormante. Ce sont exactement les postes qu'une lecture productiviste de l'agilité identifie comme du gras à supprimer.

Il faut être honnête sur un point : l'agilité bien comprise n'a jamais dit qu'il fallait éliminer toute réserve. Les approches modernes de l'agilité placent la sécurité comme une condition préalable, pas comme une variable d'ajustement. Mais dans la vie réelle des organisations, ce qui se déploie sous le nom d'agilité est le plus souvent un empilement de méthodes et de rituels sans le changement de posture qui va avec. Et cet empilement-là ne produit aucune résilience.

Pourquoi une organisation agile peut-elle être fragile ?

Parce que l'optimisation du flux consomme précisément les réserves dont la résilience a besoin. Une organisation peut avoir des équipes autonomes, des cycles courts, une vraie culture du feedback, et rester incapable d'encaisser un choc systémique. Ce n'est pas une contradiction, c'est une conséquence.

Quatre mécanismes qui produisent de la fragilité sous couvert d'efficacité

• La suppression des redondances. Un seul fournisseur qualifié, un seul prestataire d'hébergement, une seule personne qui maîtrise la chaîne de facturation. Chaque suppression a été rationnelle prise isolément. L'accumulation ne l'est plus.
• La dépendance aux individus. Plus une équipe est performante, plus elle a tendance à concentrer la connaissance critique sur quelques personnes. Le sujet est ancien : c'est l'un des dysfonctionnements classiques des équipes, où l'évitement de la responsabilité collective se réfugie derrière un individu très compétent.
• L'optimisation locale. Chaque équipe optimise son propre flux. Personne n'est responsable de la capacité du système entier à encaisser un événement qui traverse plusieurs équipes en même temps.
• Le rituel qui remplace la conversation. Une rétrospective qui n'aborde jamais un sujet inconfortable est un dispositif de production de fausse sécurité. Elle donne le sentiment que les problèmes remontent, alors qu'elle organise leur filtrage.

Le quatrième mécanisme est de loin le plus fréquent et le plus coûteux. Depuis 2012 que j'accompagne des collectifs et que je travaille avec des comités de direction, je vois beaucoup plus d'organisations tomber sur un problème que trois personnes avaient identifié six mois plus tôt sans oser le porter, que d'organisations tomber sur un événement réellement imprévisible.

La fragilité ne se voit pas dans les indicateurs de performance, parce qu'elle ne se manifeste que hors du domaine de fonctionnement habituel. C'est le paradoxe posé par Holling en 1973 : plus un système est optimisé autour de son équilibre, plus il paraît performant, et plus la sortie du domaine est brutale.

À quelles perturbations faut-il se préparer en 2026 ?

À des perturbations qui ne relèvent plus de l'exception mais du régime normal : tensions d'approvisionnement, cyberattaques, bascule des métiers sous l'effet de l'IA, contraintes énergétiques et pression réglementaire croissante sur la continuité. Le tableau ci-dessous rassemble ce que mesurent des sources publiques, sans passer par des études de cabinets.

Un mot sur la dernière ligne, car elle est plus instructive qu'il n'y paraît pour les dirigeants qui ne sont pas dans la finance. Le législateur européen y a inscrit noir sur blanc le triptyque de la résilience : résister, réagir, se rétablir. Ce n'est plus une bonne pratique de management, c'est devenu une obligation démontrable pour un secteur entier. Les autres secteurs feraient bien de regarder ce mouvement comme une préfiguration.

Le piège du catalogue de scénarios

La tentation naturelle, face à cette liste, est de construire un plan par risque. C'est utile, et c'est insuffisant. Aucune cartographie ne contiendra le choc qui vous atteindra vraiment, parce que celui-là naîtra le plus souvent d'une combinaison que personne n'avait modélisée : un incident technique un jour de faible effectif, pendant une migration, chez un fournisseur dont vous ignoriez qu'il était en position de monopole sur un composant.

L'objectif n'est donc pas de deviner le prochain choc, mais de construire des capacités qui fonctionnent sans savoir lequel arrivera. La bascule vers l'IA en est une bonne illustration : elle n'est pas un incident, c'est une transformation de fond des métiers, et elle réclame la même chose qu'un choc, à savoir la capacité de garder la main sur ses décisions pendant que le contexte se transforme.

Comment évaluer la résilience de son organisation ?

En testant quatre capacités plutôt qu'en auditant des plans. Erik Hollnagel, chercheur danois en sécurité des systèmes complexes et l'un des fondateurs de l'ingénierie de la résilience avec David Woods au milieu des années 2000, caractérise un système résilient par quatre potentiels : répondre, surveiller, anticiper et apprendre. C'est une grille de diagnostic bien plus exigeante qu'une revue documentaire, parce qu'elle porte sur ce que l'organisation sait faire, pas sur ce qu'elle a écrit.

1. Répondre. Savoir quoi faire quand un événement survient, y compris quand il ne figure dans aucun scénario. Question de diagnostic : la dernière fois qu'une décision non prévue a dû être prise en urgence, combien de niveaux hiérarchiques a-t-il fallu remonter, et combien de temps cela a-t-il pris ?
2. Surveiller. Savoir ce qu'il faut regarder, y compris ce qui n'est dans aucun tableau de bord. Question de diagnostic : quels signaux faibles remontent aujourd'hui du terrain jusqu'au comité de direction sans être filtrés en route ?
3. Anticiper. Se représenter des menaces et des opportunités absentes de son historique. Question de diagnostic : quand avez-vous examiné pour la dernière fois une hypothèse de rupture qui remettrait en cause votre modèle, et non un risque déjà inscrit dans votre cartographie ?
4. Apprendre. Tirer des enseignements de ce qui se passe, en incluant ce qui a bien fonctionné. Question de diagnostic : à quel moment de votre calendrier de direction est-il prévu d'examiner ce qui a tenu, et pourquoi ?

Pourquoi la quatrième capacité est celle que tout le monde rate

Hollnagel a proposé de distinguer deux regards sur la sécurité, qu'il a appelés Safety-I et Safety-II. Le premier consiste à étudier ce qui échoue pour l'empêcher de se reproduire. Le second consiste à étudier pourquoi, l'immense majorité du temps, les choses se passent bien malgré des conditions dégradées, des ressources incomplètes et des consignes qui ne collent pas au terrain. Le deuxième regard est beaucoup plus rare, et beaucoup plus riche.

Concrètement, cela signifie que le post-mortem d'incident, aussi bien mené soit-il, ne vous apprend qu'une moitié de ce qu'il y a à savoir. L'autre moitié est dans les ajustements quotidiens que vos équipes font pour que le travail réel fonctionne malgré le travail prescrit. C'est un exercice de réflexivité collective, où l'on examine sa propre manière de faire pour en apprendre quelque chose, et il produit énormément d'information exploitable.

Une organisation qui n'analyse que ses échecs apprend à éviter le passé. Une organisation qui analyse aussi ses réussites apprend à tenir dans l'inconnu.

Que se joue-t-il vraiment au niveau du comité de direction ?

La résilience se joue moins dans le plan de continuité que dans la capacité d'une équipe dirigeante à parler de ce qui ne va pas avant que ce soit grave. C'est l'observation la plus constante de mon travail avec des comités de direction, et c'est aussi celle qui dérange le plus, parce qu'elle ne se règle pas par un investissement ni par une procédure.

Le délai entre le moment où l'on sait et le moment où l'on dit

Dans la plupart des organisations que j'accompagne, l'information critique existe. Elle est connue de plusieurs personnes, souvent depuis longtemps. Ce qui manque, c'est le chemin qui va de cette connaissance jusqu'à une conversation en séance de direction. Entre les deux, il y a des considérations de territoire, la crainte d'être celui qui apporte la mauvaise nouvelle, l'habitude de ne remonter que des sujets déjà instruits et déjà assortis d'une solution.

Ce délai, c'est la vraie mesure de la résilience d'un CODIR. Un comité qui met trois mois à nommer un problème que tout le monde connaît a mécaniquement trois mois de retard sur chaque perturbation. Le raccourcir suppose deux conditions rarement réunies : que la sécurité psychologique existe réellement, et que la confiance ait été construite plutôt que décrétée.

Ce que les organisations à haute fiabilité font différemment

Karl Weick et Kathleen Sutcliffe, dans Managing the Unexpected (2001), ont dégagé cinq principes à partir de l'observation d'organisations qui fonctionnent avec un taux d'incident très faible dans des environnements dangereux, comme les porte-avions, les centrales nucléaires ou le contrôle aérien. Trois de ces principes concernent directement la conversation de direction.

• La préoccupation de l'échec. Les petits dysfonctionnements sont traités comme des informations, pas comme du bruit. Personne ne hausse les épaules devant un signal faible.
• La réticence à simplifier. Les explications rapides et rassurantes sont activement combattues, parce qu'elles font disparaître la partie du problème que l'on n'a pas comprise.
• La déférence à l'expertise. En situation dégradée, la décision revient à celui qui sait, pas à celui qui a le titre. C'est probablement le principe le plus difficile à installer dans une entreprise classique.

Ces principes ne s'installent pas par une note de service. Ils se construisent dans la qualité de la conversation, ce que l'on retrouve dans les organisations dialogiques, où la parole circule comme un véritable levier de performance. Une organisation résiliente est d'abord une organisation où l'on peut dire les choses tôt, à voix haute, sans avoir à en payer le prix politique.

Par où commencer concrètement

Trois mouvements, dans cet ordre, et sans budget particulier.

1. Nommer le non-dit. Ouvrir une séance de CODIR par la question « quel est le sujet dont nous savons tous qu'il faudrait le traiter et que nous n'inscrivons jamais à l'ordre du jour ? ». C'est inconfortable une fois, informatif à chaque fois.
2. Cartographier les dépendances uniques. Pas les risques, les dépendances : quel fournisseur, quel système, quelle personne n'a pas d'alternative identifiée sous soixante-douze heures ? La liste est presque toujours plus courte que redoutée, et plus critique qu'estimée.
3. Instaurer un retour d'expérience sur ce qui a tenu. Une fois par trimestre, examiner une situation qui aurait pu mal tourner et qui s'est bien passée, puis comprendre pourquoi. Cela suppose une culture où le feedback est un outil de progression et non un instrument de jugement.

Aucun de ces trois mouvements ne figure dans un plan de continuité d'activité. C'est précisément pour cela qu'ils sont discriminants.