Synthèse de la communauté : comment transformer votre campagne ECSM d’octobre en changement de comportement durable

Le mois d’octobre est l’une de ces périodes où les équipes de sécurité bénéficient d’un soutien accru de la direction, d’un budget supplémentaire et de l’attention de toute l’entreprise. Mais mener d’excellentes campagnes pendant un mois n’est qu’une première étape : le véritable défi consiste à s’assurer que ces habitudes perdurent le reste de l’année.

C’est le sujet sur lequel Andrew Rose s’est récemment penché au sein de la communauté SoSafe. En tant qu’ancien directeur de la sécurité et premier ambassadeur de notre communauté, il utilise cet espace réservé aux clients pour expliquer le fonctionnement pratique de la stratégie, répondre aux questions des membres et partager ce qui contribue actuellement à la réussite d’autres équipes.

Dans trois articles récents, il a expliqué comment la planification, l’écoute et les mesures permettent de déterminer si les campagnes de sensibilisation font une différence durable ou si elles sont simplement ignorées. Voici un bref résumé de ses principales conclusions et des prochaines étapes de la discussion.

1. Planification : pourquoi un excellent contenu ne suffit pas à lui seul

Avant d’envoyer des e-mails ou de lancer une nouvelle formation, Andrew conseille de prendre du recul pour évaluer le niveau réel de votre culture de la sécurité et identifier les habitudes qui doivent véritablement être corrigées.

Bien que les ressources de campagne prêtes à l’emploi fassent gagner un temps précieux, le contenu seul ne représente que la moitié du travail. Pour transformer ces supports en véritable changement de comportement, Andrew a partagé un modèle de plan de communication aligné sur le modèle de changement de comportement de BJ Fogg, en se concentrant sur 3 grands axes pratiques :

• Repenser le messager : il n’est pas toujours nécessaire que ce soit le RSSI qui transmette les mises à jour. Selon le message, le fait de confier cette tâche aux chefs de service, aux managers ou à des collègues de confiance permet souvent d’obtenir une bien meilleure adhésion.
• Points d’ancrage des politiques : associez toujours les thèmes de la campagne aux directives réelles de l’entreprise, afin que le personnel comprenne ce qui est attendu dans son travail quotidien et sache où vérifier les détails.
• Leviers comportementaux : tirez parti de la motivation, des capacités et des prompts. Au lieu de vous appuyer sur des rappels de politique, efforcez-vous de rendre les choix sûrs faciles à faire et d’envoyer des rappels automatisés aux personnes au moment précis où elles doivent agir.

Télécharger le modèle de plan de communication complet

2. Écoute : de la simple diffusion de messages au feedback bilatéral

Comme l’indique Andrew, comptabiliser les clics et les formations terminées ne traduit pas le véritable engagement. Si vous voulez savoir ce qui se passe réellement, commencez par poser une question simple aux collaborateurs : « Qu’est-ce qui vous freine lorsque vous essayez de signaler un problème de sécurité ? »

Une autre erreur courante consiste à traiter l’ensemble du personnel comme un public unique. Les différentes équipes communiquent leurs feedbacks de manières totalement différentes, adaptez donc vos méthodes de collecte de données :

• Cadres dirigeants : évitez les enquêtes génériques et organisez une discussion directe en face à face.
• Personnel opérationnel : observez leur façon de travailler sur le terrain pour identifier les points de friction entre les règles de sécurité et la réalité opérationnelle quotidienne.
• Employés de bureau : étudiez les tickets d’assistance et les plaintes concernant les logiciels et les processus peu pratiques, car ce sont ces frictions qui poussent les personnes à prendre des raccourcis risqués.

Lorsque le personnel prend le temps de signaler un e-mail suspect ou un processus défaillant, envoyez une réponse personnelle rapide. Si leurs signalements tombent dans l’oubli, les collaborateurs cesseront rapidement d’essayer.

Explorer les supports de la campagne ECSM de SoSafe

3. Mesure : prouver que les habitudes ont réellement changé

Lorsque le mois d’octobre se termine, de nombreuses équipes se félicitent d’un taux de participation élevé, mais sont toujours incapables de répondre à la question centrale : quelqu’un a-t-il réellement modifié sa façon de travailler ?

Le nombre de pages consultées, les visites de stands et les quiz remplis montrent que les personnes ont été exposées au contenu, mais pas qu’elles ont changé leurs pratiques par la suite. Pour démontrer la réalité de l’impact, concentrez-vous sur des indicateurs liés à des actions pratiques :

• Établissez d’abord une base de référence : extrayez 3 mois de données historiques avant le lancement (dérogations DLP ou taux de classification des documents, par exemple) afin de disposer d’un point de comparaison réaliste.
• Effectuez une vérification à 30 et 90 jours : l’augmentation des signalements en octobre est un bon signe, mais un pic ponctuel ne constitue pas un changement d’habitude à long terme. Vérifiez à nouveau ces mêmes indicateurs un et trois mois plus tard pour voir ce qui s’est réellement maintenu.
• Identifiez des tendances dans les feedbacks : suivez chaque commentaire, plainte ou question soulevée au cours du mois. Les tendances de ces feedbacks mettent en évidence les zones où des risques opérationnels persistent.

Rejoindre la discussion dans la communauté

À travers ces trois articles, l’objectif d’Andrew n’est pas de fournir des réponses toutes faites. Il présente ces défis sous forme de questions ouvertes, en analysant ce qu’il se passe lorsque la stratégie de campagne se heurte aux contraintes réelles :

• Comment votre équipe structure-t-elle son plan de communication pour le mois de l’ECSM chaque année ?
• Qu’est-ce qui a le mieux fonctionné pour obtenir un feedback sincère de vos collaborateurs ?
• Comment vérifiez-vous que les messages de la campagne sont réellement assimilés une fois celle-ci terminée ?

Si vous êtes client SoSafe, rendez-vous dans l’espace Best Practices de notre communauté pour partager votre expérience et découvrir comment d’autres équipes gèrent ces compromis.

Rejoindre la communauté SoSafe

Connexion