Pourquoi la formation ne réduit pas le risque (et ce qui le réduit réellement)

Suivre une formation ne suffit pas à changer les comportements. Le véritable fossé réside entre le savoir et l'action au moment de faire un choix. C'est cela qui réduit véritablement le risque humain.

· 6 min

Chaque année, les entreprises investissent dans la formation obligatoire. Les employés regardent des vidéos, répondent à des questionnaires et obtiennent leur attestation. Les taux de réussite augmentent. Et le risque reste exactement le même. Ce n’est pas un paradoxe : c’est le défaut structurel de la manière dont la plupart des entreprises gèrent le risque humain.

Le fossé entre la théorie et la pratique

Le problème n’est pas que les gens ne sachent pas ce qui est risqué. La plupart savent très bien qu’ils ne devraient pas cliquer sur un lien suspect, partager un mot de passe ou passer outre une vérification. Le fossé ne se situe pas entre ceux qui savent et ceux qui ne savent pas : il se situe entre le fait de savoir quelque chose en théorie et d’agir différemment dans la réalité, sous pression, dans la précipitation pour terminer une tâche.

Un cours suivi permet de savoir si une personne a consulté un contenu. Il ne permet pas de savoir si son comportement a changé.

Les études menées dans ce secteur le confirment. Le véritable fossé ne réside pas dans la prise de conscience, mais dans le comportement qui persiste malgré cette prise de conscience. Les gens suivent la formation, puis continuent à agir de la même manière.

Le risque se concentre

Il existe un élément qui change la façon d'aborder le problème : une petite partie des personnes est à l'origine de la majeure partie de l'exposition. Non pas parce qu'elles ont de mauvaises intentions, mais parce qu'elles sont plus exposées, plus distraites, plus ciblées. Former tout le monde de la même manière, sur le même contenu, revient à ignorer cette concentration.

  • 68 % dans les violations, un facteur humain est en cause (Verizon DBIR 2024)
  • 8 % / 80 % 8 % des personnes sont à l'origine de 80 % des incidents (Mimecast)

Qu'est-ce qui réduit réellement le risque ?

Il y a trois choses qu’une simple formation ne permet pas de faire : mesurer l’exposition réelle (où se situe réellement le risque, dans quels comportements et chez quelles personnes), entraîner les participants à adopter le bon comportement au moment de faire un choix plutôt que de l’expliquer de manière abstraite, et démontrer à l’aide de données que le risque a diminué. La formation ne fait que remplir l’esprit de notions. Le changement ne se produit que lorsque le comportement est mis en pratique là où cela compte.

C'est la différence entre une organisation qui peut présenter un registre des formations suivies et une autre qui peut démontrer que le risque, une fois mesuré, a diminué. La première s'est acquittée de ses obligations. La seconde s'est protégée.