Direction, risque & sûreté
Pendant longtemps, la sécurité a été traitée comme une question d’exploitation : combien d’agents faut-il, sur quels horaires et pour quel budget ? Pour une organisation exposée, cette vision devient trop étroite. La sûreté touche désormais le risque global, la conformité, la réputation, la protection des salariés, la continuité d’activité et les arbitrages de la direction.
Publié le 14 septembre 2026 . Temps de lecture : 17 minutes . Angle comité de direction
Une organisation peut avoir des agents présents tous les jours et rester mal gouvernée sur le plan de la sécurité. Elle peut aussi disposer de nombreux équipements sans savoir qui les exploite, qui décide lorsqu’un risque change ou qui doit arbitrer entre protection, budget et continuité d’activité.
La différence est importante. Une entreprise de sécurité privée à Paris et en Île-de-France peut exécuter une mission définie. Mais la décision de protéger un site, de définir un niveau de risque acceptable, de financer un renfort, de choisir un prestataire et de vérifier sa conformité reste une décision de l’organisation cliente.
La question à poser au comité de direction n’est plus seulement : “combien coûte notre sécurité ?” mais : “quel risque acceptons-nous, pourquoi, et qui a décidé de l’accepter ?”
Table des matières
- Le changement de posture : de la surveillance à la gouvernance
- Les 6 questions qu’un dirigeant devrait pouvoir trancher
- 1. Quel risque l’entreprise accepte-t-elle réellement ?
- 2. Le prestataire est-il juridiquement maîtrisé ?
- 3. La protection des salariés est-elle pilotée ?
- 4. Quel serait le coût réputationnel d’un incident mal géré ?
- 5. Que se passe-t-il si le site ne peut plus fonctionner normalement ?
- 6. Le budget est-il arbitré à partir du risque ?
- Quand l’environnement national change, qui décide de l’adaptation ?
- Intégrer la sûreté dans la cartographie des risques
- Quels indicateurs un dirigeant doit-il regarder ?
- Ce qu’un dirigeant doit demander à son prestataire de sécurité
- Les erreurs de gouvernance les plus courantes
- Questions fréquentes
Le changement de posture : de la surveillance à la gouvernance
L’exploitation cherche à faire fonctionner le dispositif aujourd’hui. La gouvernance cherche à savoir si le dispositif est toujours adapté à la stratégie, au niveau de risque accepté et à l’évolution de l’environnement.
Exploitation
“L’agent est-il présent ?”
On vérifie les prises de poste, les horaires, les rondes, les remplacements et l’application des consignes.
Pilotage
“Le dispositif est-il efficace ?”
On examine les incidents, les anomalies, les tendances, les vulnérabilités et la qualité des réponses.
Gouvernance
“Notre niveau de protection reste-t-il acceptable ?”
La direction arbitre le risque résiduel, le budget, la conformité, la continuité et les priorités de l’organisation.
Une prestation de sécurité peut être correctement exécutée et rester insuffisante pour le niveau de risque que l’entreprise accepte.
C’est précisément le point de bascule. Une organisation peut demander exactement la même prestation pendant plusieurs années alors que ses horaires, ses effectifs, ses flux, ses biens critiques, son environnement ou ses menaces ont changé. La gouvernance consiste à éviter que l’historique du contrat devienne la justification du dispositif actuel.
Les 6 questions qu’un dirigeant devrait pouvoir trancher
Un sujet devient réellement un sujet de gouvernance lorsqu’il implique un arbitrage que personne ne peut prendre correctement sans regarder l’ensemble de l’entreprise.
Quel risque acceptons-nous ?
Quel événement serait acceptable, difficilement acceptable ou intolérable pour l’organisation ?
Qui est responsable de quoi ?
Que relève du client, de la société de sécurité, de la maintenance, des RH, du bailleur, de l’IT ou des services publics ?
Sommes-nous conformes ?
Le prestataire est-il autorisé ? Les personnes affectées sont-elles habilitées ? Les contrats et contrôles sont-ils maîtrisés ?
Que coûte réellement une interruption ?
Quelles activités s’arrêtent si le site devient inaccessible, dangereux, indisponible ou difficile à exploiter ?
Quel budget correspond au risque ?
Le niveau de moyens résulte-t-il d’une analyse, ou simplement d’un budget historique reconduit ?
Comment savons-nous que cela fonctionne ?
Quels indicateurs, audits, tests et retours d’expérience permettent de décider objectivement ?
1. Quel risque l’entreprise accepte-t-elle réellement ?
La première décision de gouvernance consiste à distinguer le danger théorique du risque qui mérite une réponse prioritaire. Il faut regarder la probabilité d’un événement, ses conséquences, les vulnérabilités qui peuvent l’amplifier et les capacités de réponse disponibles.
| Question | Pourquoi elle intéresse la direction |
|---|---|
| Que faut-il protéger ? | Personnes, chiffre d’affaires, marchandises, données, équipements, réputation, continuité ou actifs critiques. |
| Que peut-il se passer ? | Intrusion, vol, agression, incendie, dégradation, conflit, occupation, sabotage ou événement affectant le fonctionnement. |
| Quand sommes-nous le plus exposés ? | Ouverture, fermeture, nuit, changement d’équipe, livraison, affluence, travaux, événement, période de faible effectif. |
| Qu’est-ce qui peut aggraver l’événement ? | Accès secondaires, isolement, défaut d’éclairage, équipement indisponible, absence de responsable ou procédure mal connue. |
| Que se passe-t-il si le risque se réalise ? | Victimes, pertes, interruption, atteinte à l’image, obligations réglementaires, coûts de reprise et perte de confiance. |
La sécurité doit donc apparaître dans la cartographie des risques de l’entreprise, au même titre que d’autres risques majeurs. Une société peut être très performante sur son activité principale et rester vulnérable à un événement physique susceptible de provoquer une interruption ou une crise.
2. Le prestataire est-il juridiquement maîtrisé ?
C’est l’un des points les plus concrets pour un dirigeant. Externaliser la sécurité privée ne signifie pas externaliser le devoir de vigilance du donneur d’ordre.
Le CNAPS indique qu’un acheteur de prestation doit notamment contracter avec une entreprise autorisée, vérifier l’agrément des dirigeants mentionnés au KBIS et demander la copie de la carte professionnelle CNAPS des agents mis à disposition. Le CNAPS précise aussi que la coresponsabilité du donneur d’ordre peut être pénalement retenue dans certaines situations.
Autorisation de l’entreprise
Vérifier que l’entreprise avec laquelle le contrat est conclu dispose des autorisations nécessaires à l’activité concernée.
Dirigeants
Vérifier l’agrément des dirigeants concernés et conserver les éléments utiles au dossier fournisseur.
Agents affectés
Demander les cartes professionnelles et vérifier que les personnes mobilisées correspondent au cadre applicable.
Le CNAPS rappelle également que les contrats doivent définir précisément les conditions et moyens d’exécution de la prestation et que les règles de sous-traitance sont encadrées.
La conformité ne doit pas être vérifiée une seule fois au moment de signer. Elle doit être pensée comme un contrôle fournisseur vivant : évolution du contrat, changement d’agents, sous-traitance, périmètre et documents à jour.
3. La protection des salariés est-elle pilotée ?
La sécurité physique touche directement la responsabilité de l’employeur. Le Code du travail impose à l’employeur de prendre les mesures nécessaires pour assurer la sécurité et protéger la santé physique et mentale des travailleurs, avec des actions de prévention, d’information, de formation et une organisation adaptée.
RH
Exposition aux violences
Incivilités, menaces et agressions doivent être considérées comme des situations de travail à prévenir lorsqu’elles existent.
Organisation
Horaires et isolement
Ouverture, fermeture, travail seul, sorties tardives et moments de faible effectif doivent être intégrés à l’analyse.
Moyens
Alerte et soutien
Un salarié doit savoir qui appeler, comment se mettre en sécurité et quel relais est disponible si une situation se dégrade.
Une organisation travaillant dans des bureaux ou un siège social peut par exemple avoir des risques concentrés sur l’accueil, les visiteurs, les livraisons, les sorties tardives ou les parkings, tandis qu’un autre environnement aura une exposition très différente. La gouvernance commence donc par le risque réel du travail, pas par un modèle standard.
4. Quel serait le coût réputationnel d’un incident mal géré ?
La réputation n’est pas un sujet distinct de la sûreté. Un incident visible peut devenir une question de confiance : comment l’entreprise protège-t-elle ses salariés, ses clients, ses visiteurs et ses partenaires ? Comment réagit-elle lorsque quelque chose se passe ?
Réputation externe
Un incident mal maîtrisé peut affecter clients, visiteurs, partenaires ou investisseurs, surtout lorsque la réaction paraît lente, froide, contradictoire ou improvisée.
Réputation interne
Les salariés évaluent aussi la crédibilité du dispositif : “si cela m’arrive, l’entreprise sera-t-elle là ?”
Une politique de sécurité ne protège pas seulement ce qui peut être volé. Elle protège aussi ce que l’entreprise risque de perdre en confiance.
Cette dimension est particulièrement visible dans les activités où l’expérience du public participe directement à la valeur de l’entreprise. Dans une boutique de luxe ou un hôtel, par exemple, la posture, le langage, la discrétion et la qualité de réaction du personnel de sécurité font partie de l’expérience globale du lieu.
5. Que se passe-t-il si le site ne peut plus fonctionner normalement ?
La continuité d’activité est souvent abordée sous l’angle informatique. Pourtant, un site peut être rendu indisponible par une cause physique : incendie, intrusion, violence, dégât important, interdiction d’accès, panne critique, évacuation ou désordre majeur.
Avant
Identifier les activités critiques, les dépendances physiques, les accès indispensables et les solutions de fonctionnement dégradé.
Pendant
Protéger les personnes, contrôler les accès, guider les flux, alerter les responsables et préserver les fonctions prioritaires.
Après
Permettre la reprise, sécuriser le retour sur site et vérifier les conditions nécessaires à la remise en fonctionnement.
Un plan de continuité d’activité n’est pas une obligation générale pour toutes les entreprises. Mais lorsqu’une interruption physique peut avoir des conséquences importantes, intégrer la sûreté à la résilience de l’organisation devient une démarche de gestion du risque.
La logique d’une Business Impact Analysis est utile ici : quelles activités sont critiques, combien coûte leur interruption, quelles dépendances physiques existent et quels moyens permettent de réduire la durée de perturbation ?
6. Le budget est-il arbitré à partir du risque ?
Le budget sécurité est souvent challengé par une question simple : “peut-on faire la même chose avec moins ?” Cette question est légitime, mais elle devient dangereuse lorsqu’elle est posée sans regarder le niveau de risque associé.
| Logique de centre de coût | Logique de gouvernance |
|---|---|
| “Le budget sécurité était de X l’an dernier.” | “Quel niveau d’exposition justifie quel niveau de protection ?” |
| “Peut-on supprimer un poste ?” | “Quelle fonction de protection disparaît si ce poste est retiré ?” |
| “Le site n’a pas eu d’incident.” | “Le site était-il exposé, comment les anomalies ont-elles été traitées et que montre la tendance ?” |
| “Le moins cher est équivalent.” | “Le périmètre, les moyens, les compétences et les niveaux de service sont-ils réellement comparables ?” |
| “Le contrat est reconduit.” | “Le risque et les besoins ont-ils été réévalués depuis la dernière décision ?” |
Le coût d’une prestation doit être rapproché des conséquences possibles d’un événement : perte de marchandises, agression d’un salarié, interruption d’activité, mobilisation d’urgence, atteinte à la réputation ou coûts de reprise. Cela ne signifie pas qu’un poste d’agent “évite” automatiquement une perte d’une valeur donnée. Cela signifie que la décision budgétaire doit être reliée au risque qu’elle traite.
Pour comprendre les facteurs qui font varier une prestation, consultez notre page sur les tarifs de la sécurité privée.
Quand l’environnement national change, qui décide de l’adaptation ?
La gouvernance devient particulièrement visible lorsque l’environnement évolue. Le plan VIGIPIRATE 2026 a introduit trois stades : “vigilance”, “vigilance renforcée” et “alerte attentat”. La posture “été-automne 2026” est entrée en vigueur le 22 juin 2026 au niveau “vigilance renforcée”, avec une attention particulière portée notamment aux sites touristiques et zones d’affluence et aux bâtiments publics et institutionnels.
Ce type d’évolution ne signifie pas automatiquement qu’une entreprise privée doit multiplier les agents. Il pose plutôt une question de gouvernance : les mesures actuellement en place restent-elles adaptées au niveau de menace et à la fréquentation de nos sites ?
Surveiller
Consulter les informations officielles et les évolutions susceptibles de modifier l’exposition.
Évaluer
Comparer la nouvelle posture aux flux, accès, événements, zones sensibles et moyens déjà déployés.
Arbitrer
Décider si un renfort, une adaptation du filtrage, une sensibilisation ou une modification des procédures est justifié.
Le stade VIGIPIRATE n’est pas à lui seul un cahier des charges universel pour les entreprises privées. Les mesures applicables dépendent notamment du contexte, des réglementations propres aux sites et des prescriptions éventuelles des autorités compétentes.
Intégrer la sûreté dans la cartographie des risques
Une gouvernance mature ne traite pas la sûreté dans un fichier isolé. Elle cherche à la relier aux autres risques de l’organisation et à faire remonter les sujets qui ont un impact transversal.
Cartographier les actifs critiques
Personnes, locaux, stocks, véhicules, équipements, documents, données, flux et activités dont l’interruption aurait un impact important.
Identifier les menaces et vulnérabilités
Intrusion, vol, violence, incendie, dégradation, occupation, accès non autorisé, défaillance technique ou dépendance à un prestataire.
Évaluer le risque résiduel
Mesurer ce qui reste après les mesures déjà en place : quelle probabilité, quelles conséquences, quelles failles persistent ?
Définir les propriétaires du risque
Direction, exploitation, RH, sécurité, IT, immobilier ou finance : quelqu’un doit être clairement responsable de l’arbitrage.
Définir les seuils de décision
À partir de quel niveau faut-il modifier les moyens, renforcer les contrôles, interrompre une activité ou revoir les procédures ?
Revoir après changement
Déménagement, nouvelle activité, événement, modification des horaires, travaux, incident ou évolution du contexte doivent pouvoir déclencher une réévaluation.
Quels indicateurs un dirigeant doit-il regarder ?
Un comité de direction n’a pas besoin de centaines de lignes de main courante. Il a besoin de quelques indicateurs capables de montrer si le risque augmente, si les mesures fonctionnent et si les décisions précédentes restent pertinentes.
Exposition
Ce qui change
Fréquentation, horaires, visiteurs, flux, événements, zones sensibles, nouveaux actifs ou nouveaux prestataires.
Prévention
Ce qui est fait
Contrôles d’accès, rondes, tests, sensibilisations, vérifications et mesures correctives.
Détection
Ce qui est observé
Anomalies, tentatives d’accès, incidents, presqu’incidents, alertes, défauts techniques et récidives.
Réactivité
À quelle vitesse ?
Délais de prise en compte, d’alerte, de renfort, d’escalade et de retour à une situation maîtrisée.
Correction
Ce qui s’améliore
Délais de fermeture des actions, récurrence des anomalies, vulnérabilités supprimées et mesures restées ouvertes.
Impact
Ce qui compte pour l’entreprise
Gravité des événements, interruption d’activité, pertes, conséquences humaines, réclamations et atteinte à la confiance.
Un bon indicateur de sécurité doit aider à prendre une décision. Un mauvais indicateur ne fait que remplir un tableau.
Ce qu’un dirigeant doit demander à son prestataire de sécurité
Le prestataire ne doit pas seulement fournir une facture et des agents. Il doit être capable d’expliquer ce que la prestation cherche à protéger, comment elle est pilotée et comment sa qualité peut être vérifiée.
| Thème | Question dirigeant |
|---|---|
| Risque | Quels risques prioritaires cette prestation traite-t-elle réellement ? |
| Moyens | Quels moyens sont nécessaires pour atteindre l’objectif et que se passe-t-il si un moyen disparaît ? |
| Compétences | Les agents affectés possèdent-ils les cartes et qualifications nécessaires à leur mission ? |
| Supervision | Qui contrôle la qualité du dispositif et à quelle fréquence ? |
| Incidents | Comment les événements sont-ils traités, escaladés et analysés ? |
| Évolution | Comment le prestataire signale-t-il qu’un dispositif doit être adapté ? |
| Conformité | Comment l’entreprise cliente peut-elle vérifier les éléments CNAPS et les obligations du contrat ? |
| Budget | Quelle serait la conséquence opérationnelle d’un niveau de moyens inférieur ? |
L’objectif n’est pas de transformer la direction en exploitant du poste de sécurité. Il est de lui donner suffisamment de visibilité pour décider en connaissance de cause.
Les erreurs de gouvernance les plus courantes
Confondre présence et protection
Un agent présent ne garantit pas qu’un dispositif est correctement dimensionné, supervisé et coordonné.
Reconduire le dispositif par habitude
Un risque peut changer sans que le contrat ait changé. Les horaires et les flux ne restent pas forcément ceux du jour de la signature.
Réduire le sujet au prix horaire
Comparer deux prix sans comparer les moyens, missions, qualifications, supervision et niveaux de service conduit à des conclusions trompeuses.
Regarder uniquement les incidents
Une absence d’incident peut traduire une bonne prévention, une faible exposition ou une mauvaise remontée. Il faut regarder les indicateurs avancés.
Laisser la sécurité dans un silo
Une décision de sûreté peut toucher les RH, le juridique, l’immobilier, la finance, l’IT ou la continuité d’activité. Elle ne devrait pas rester isolée.
Ne revoir le dispositif qu’après une crise
Le bon moment pour réévaluer un dispositif est avant le changement ou l’incident, pas seulement après.
La sécurité comme sujet de comité de direction
Une gouvernance efficace ne signifie pas que le directeur général doit gérer les rondes, les badges ou les prises de poste. Elle signifie qu’il doit s’assurer que les décisions importantes sont prises au bon niveau.
La direction décide du niveau de risque acceptable
Elle arbitre les priorités, le niveau de moyens et les conséquences acceptées lorsqu’une protection ne peut pas être maximale partout.
Les fonctions spécialisées traduisent ces décisions
Exploitation, RH, sûreté, immobilier, IT, juridique et finance transforment l’arbitrage en mesures concrètes.
Le terrain vérifie la réalité
Les agents, responsables de site et équipes opérationnelles voient les écarts entre le dispositif prévu et le fonctionnement réel.
Le comité réévalue
Incidents, changements d’environnement, nouveaux projets, contraintes budgétaires et évolution de la menace doivent pouvoir modifier la décision.
C’est cette boucle qui transforme une prestation de sécurité en politique de sûreté : risque → décision → moyens → exécution → mesure → réévaluation.
La sécurité n’est pas gouvernée lorsqu’on demande seulement si “les agents font leur travail”. Elle l’est lorsqu’on sait pourquoi le dispositif existe, quel risque il traite, quelles limites il possède et qui doit décider lorsqu’elles deviennent insuffisantes.
Questions fréquentes
Pourquoi parler de gouvernance plutôt que simplement de sécurité ?
Parce que la sûreté touche plusieurs dimensions de l’entreprise : risque, conformité, budget, protection des salariés, réputation et continuité d’activité. Ces arbitrages dépassent la simple gestion quotidienne des postes.
Le dirigeant reste-t-il responsable lorsqu’il externalise la sécurité ?
L’externalisation ne supprime pas les obligations du donneur d’ordre. Le CNAPS demande notamment au client de contracter avec une entreprise autorisée, de vérifier l’agrément des dirigeants mentionnés au KBIS et de solliciter la copie des cartes professionnelles des agents mis à disposition.
Un budget de sécurité élevé signifie-t-il que l’entreprise est bien protégée ?
Pas nécessairement. Un budget doit être cohérent avec les risques traités, la couverture recherchée, les moyens déployés et la qualité du pilotage. Dépenser davantage sans traiter les bonnes vulnérabilités n’est pas une preuve de maturité.
La continuité d’activité concerne-t-elle vraiment la sécurité privée ?
Oui lorsque la sécurité physique conditionne l’ouverture, l’accès ou la reprise d’un site. La sécurité humaine peut contribuer à maintenir les flux autorisés, protéger les personnes et organiser la réponse en situation dégradée.
À quelle fréquence faut-il revoir le dispositif ?
Il n’existe pas une fréquence universelle. Une réévaluation doit notamment être envisagée lorsqu’un site change, qu’un incident survient, que les flux évoluent, que l’environnement de menace se modifie ou que les objectifs de l’entreprise changent.
Votre sécurité est-elle encore adaptée à vos enjeux actuels ?
Un dispositif peut rester opérationnel tout en devenant progressivement inadapté à l’évolution d’un site. Décrivez vos horaires, flux, activités sensibles, événements récents ou changements d’organisation : Armure Sécurité peut vous aider à mettre en regard les besoins, les moyens et le niveau de risque.
Pour aller plus loin
Pour comprendre le positionnement d’Armure Sécurité et la manière dont l’entreprise aborde ses missions, découvrez notre présentation.
L’objectif n’est pas de transformer chaque dirigeant en spécialiste de la sécurité privée. Il est de lui permettre de savoir quelles décisions doivent rester au niveau de la gouvernance et quelles décisions peuvent être déléguées à l’exploitation.
Sources utiles
- CNAPS : Vous souhaitez acheter une prestation de sécurité privée
- Légifrance : Code du travail, obligations de l’employeur
- Légifrance : Code de la sécurité intérieure, devoirs des personnes morales et dirigeants
- SGDSN : VIGIPIRATE
- ISO : ISO 31000, management du risque
- ISO : ISO 22301, management de la continuité d’activité