Comment rédiger une politique de sûreté d’entreprise ?
Résumer cet article avec :
Sommaire
Une politique de sûreté de PME tient en deux pages : ce que l’on protège, qui en répond, qui entre où et quand, ce que chacun doit faire et la conduite en cas d’incident. Elle vise la malveillance, pas les accidents ni l’informatique, qui ont leurs propres documents. Ses règles ne s’imposent aux salariés qu’une fois passées par le règlement intérieur ou une note de service.
Politique de sécurité, PSSI, politique de sûreté : de quel document parle-t-on ?
L’expression « politique de sécurité » recouvre au moins trois documents qui n’ont ni le même objet ni la même base. Les confondre produit un texte qui mélange les extincteurs, les mots de passe et les badges sans traiter correctement aucun des trois.
| Document | Ce qu’il traite | Référence | Exigé d’une PME ? |
|---|---|---|---|
| Politique de santé et sécurité au travail | Accidents, maladies professionnelles, risques liés à l’activité | Code du travail, articles L4121-1, L4121-2 ; document unique (R4121-1) | L’évaluation des risques et le document unique, oui |
| Politique de sécurité des systèmes d’information (PSSI) | Réseau, postes, comptes, données | Guides de l’ANSSI | Pas d’obligation générale, hors secteurs réglementés |
| Politique de sûreté | Vol, intrusion, dégradation, agression, fuite d’information par les locaux | Aucun texte d’ensemble ; éléments dispersés (document unique, règlement intérieur, RGPD, secret des affaires) | Pas sous ce nom ; ses éléments, si |
Le vocabulaire lui-même est expliqué dans notre guide sur la différence entre sûreté et sécurité. Cet article porte sur le troisième document. Il s’écrit après un état des lieux du site, porte par porte et zone par zone, celui que dresse un audit de sûreté des locaux professionnels : sans relevé, la politique décrit des moyens que le bâtiment n’a pas.
Que mettre dans les deux pages ?
Sept rubriques suffisent à une entreprise de dix à cinquante salariés. Chacune tient en quelques lignes et se termine par des règles que n’importe quel salarié peut appliquer sans demander.
| Rubrique | Ce qu’elle fixe | Exemple de règle |
|---|---|---|
| 1. Ce que l’on protège | Les biens, informations et personnes à protéger, rattachés à des zones | « La réserve, la salle serveurs et les archives du personnel sont des zones restreintes. » |
| 2. Qui en répond | Le dirigeant, un référent interne, son suppléant, l’administrateur des badges et des codes | « Le référent tient la liste des badges actifs ; en son absence, son suppléant. » |
| 3. Qui entre où et quand | Profils d’accès, horaires, visiteurs, prestataires | « Un prestataire reçoit un droit daté, limité aux zones de son contrat. » |
| 4. Ce que chacun doit faire | Les règles individuelles | « Un badge ne se prête pas ; une porte équipée ne se cale pas ouverte. » |
| 5. Les moyens en place | Alarme, vidéo, contrôle d’accès, et qui les exploite | « Deux personnes nommées consultent les images, et seulement après un incident. » |
| 6. En cas d’incident | Déclenchement d’alarme, intrusion constatée, vol, agression, menace | « Personne ne se rend seul sur le site après un déclenchement de nuit. » |
| 7. Revue | Quand et par qui le document est relu | « Relecture chaque année avec le document unique, et après tout incident. » |
La rubrique 4 dépend de l’organisation des bureaux. Sur un plateau sans poste attribué, elle s’enrichit de la règle du bureau vide et de l’usage des casiers, détaillés dans notre guide sur la sûreté en flex office. La rubrique 5 doit nommer les personnes qui accèdent aux logiciels : le RGPD impose des mesures de sécurité adaptées au risque (article 32), et des comptes nominatifs, des droits limités à chaque rôle et une journalisation des opérations en sont la traduction la plus courante pour un logiciel de contrôle d’accès ou de vidéo.
Les rubriques 1, 3 et 5 se remplissent avec le relevé du site : zones de valeur, ouvrants, issues, matériel en place. Le compte rendu écrit d’un audit de sûreté gratuit vous reste acquis, quelle que soit la suite, et sert de base à ces trois rubriques.
Politique ou plan de sûreté : faut-il aussi un plan ?
On parle aussi de plan de sûreté, et les deux termes ne désignent pas le même niveau. La politique fixe les principes et les règles pour toute l’entreprise. Le plan les déploie sur un site : scénarios redoutés, mesures retenues, procédures, chaîne d’alerte, exercices. Dans une PME installée sur un seul site, les deux tiennent souvent dans un même document. Dès qu’il y a plusieurs sites, la politique reste commune et chaque site a son plan.
Deux référentiels encadrent ce plan. La norme ISO 22342, publiée en avril 2023, donne des lignes directrices pour élaborer le plan de sûreté d’une organisation, quelle que soit sa taille ; elle ne fixe pas de critères pour décider quand une mesure devient nécessaire. L’AFNOR Spec 2404, « Plan de sûreté – Exigences opérationnelles », parue en juin 2025, formule des exigences opérationnelles pour bâtir ce plan, et l’AFNOR en autorise la consultation libre.
Le sommaire ci-dessous est une trame que nous proposons pour une PME, pas un modèle normalisé :
- périmètre du site et responsable du plan ;
- ce qui a de la valeur : biens, informations, personnes, continuité de l’activité ;
- scénarios de malveillance et leur cotation ;
- mesures en place et à prévoir, classées selon qu’elles dissuadent, retardent, détectent ou alertent ;
- procédures : ouverture et fermeture, clés et badges, visiteurs et prestataires, alarme, incident ;
- annuaire et chaîne d’alerte, prestataires et forces de l’ordre compris ;
- plan des lieux avec les zones et les accès ;
- calendrier d’exercices, date de révision et registre des incidents.
Un plan qui décrit les points faibles d’un site se diffuse aux seules personnes qui en ont besoin. La politique, elle, peut être lue par tous.
Qui porte la politique dans une PME ?
Le dirigeant la signe et tranche ce qu’elle ne règle pas. Sa signature engage : les arbitrages de sûreté opposent la commodité au risque, par exemple laisser la porte de quai ouverte pendant les livraisons ou non, et seul celui qui répond de l’entreprise peut les rendre.
Au quotidien, un référent interne la fait vivre. Dans une PME, c’est souvent la personne chargée des services généraux, l’office manager ou le responsable administratif. Elle crée et retire les droits, tient la liste des clés et des codes, reçoit les signalements. Il lui faut un suppléant nommé, faute de quoi la politique s’arrête pendant ses congés.
La politique dit aussi ce qui ne relève pas de l’entreprise. Les parties communes appartiennent au bailleur ou au syndicat des copropriétaires. La télésurveillance, si elle existe, est exploitée par un opérateur sous contrat, et c’est ce contrat qui fixe qui il appelle et dans quel ordre. La maintenance des systèmes relève de l’installateur. Écrire ces frontières évite qu’une alarme sonne pendant des heures parce que chacun pensait que l’autre était prévenu.
Comment rendre les règles opposables aux salariés ?
La politique est un document de direction. Les règles qu’elle impose aux salariés, elles, ne lient que si elles suivent le chemin prévu par le code du travail.
Le règlement intérieur est obligatoire dans les entreprises et établissements d’au moins cinquante salariés, douze mois après que ce seuil a été atteint (article L1311-2). Son contenu est limité par l’article L1321-1 : mesures d’application de la réglementation en matière de santé et de sécurité, conditions dans lesquelles les salariés participent au rétablissement de conditions de travail protectrices, règles générales et permanentes relatives à la discipline, avec la nature et l’échelle des sanctions.
« Ne pas prêter son badge » relève de la discipline ; « ne pas se rendre seul sur le site après un déclenchement » relève de la sécurité des personnes. L’article L1321-3 interdit toute restriction aux droits et libertés qui ne serait pas justifiée par la nature de la tâche ni proportionnée au but recherché : une règle pensée pour la salle serveurs ne s’étend pas d’office à tout le bâtiment.
La procédure a été retouchée par la loi n° 2026-403 du 26 mai 2026 de simplification de la vie économique. Dans sa version en vigueur depuis le 28 mai 2026, l’article L1321-4 prévoit que le règlement ne peut être introduit qu’après avis du comité social et économique, qu’il indique sa date d’entrée en vigueur, postérieure d’un mois à l’accomplissement des formalités de publicité, et qu’il est transmis à l’inspecteur du travail avec l’avis du comité. Les mêmes règles valent pour toute modification ou tout retrait de clause.
Une note de service ne permet pas de contourner cette procédure. Lorsque l’entreprise a un règlement intérieur, toute note qui porte des obligations générales et permanentes dans ces matières est considérée comme une adjonction à ce règlement et suit les mêmes formalités (article L1321-5). Seule exception : en cas d’urgence, une obligation de santé et de sécurité peut s’appliquer immédiatement, à condition d’être communiquée au même moment au secrétaire du comité social et économique et à l’inspection du travail.
Sous le seuil de cinquante salariés, sans règlement intérieur, les consignes passent par une note de service ; l’article L1321-5 la soumet en tout état de cause aux dispositions du code consacrées au règlement intérieur, limite de proportionnalité comprise. Dans tous les cas, un dispositif qui collecte des informations sur les salariés, badge nominatif ou caméra, doit leur avoir été présenté avant sa mise en service (article L1222-4), et, à partir de cinquante salariés, le comité est informé et consulté avant toute décision de mettre en œuvre un moyen de contrôle de leur activité (article L2312-38).
Tout n’a pas à passer par le règlement intérieur. Les noms des responsables, la liste des moyens, les numéros à appeler et la procédure de revue restent dans la politique, qui peut évoluer sans formalité. Seules les obligations faites aux salariés en sortent.
Comment la relier au document unique et au secret des affaires ?
L’employeur transcrit dans le document unique les résultats de l’évaluation des risques auxquels ses salariés sont exposés (article R4121-1). Pour un commerce qui ferme tard, un accueil qui reçoit du public ou un salarié qui ouvre seul le matin, le risque d’agression y figure normalement. La politique de sûreté porte alors les mesures qui y répondent : fermeture à deux, conduite en cas d’alarme, bouton d’alerte. Le document unique y renvoie au lieu de les recopier. Il est mis à jour après tout aménagement important ou toute information nouvelle sur un risque, et au moins chaque année dans les entreprises d’au moins onze salariés (article R4121-2) : relire la politique au même moment ne coûte rien de plus.
Le second lien est moins connu. Le code de commerce ne protège une information au titre du secret des affaires que si son détenteur a pris des mesures de protection raisonnables, compte tenu des circonstances (article L151-1). Une règle écrite qui réserve l’accès du bureau d’études à une liste nommée et la journalisation des entrées peuvent en faire partie. Le volet physique de cette protection est développé dans notre guide sur l’espionnage industriel.
L’avis de l’équipe Secureo
Une politique de sûreté se juge un soir de déclenchement d’alarme : qui reçoit l’appel, qui se déplace, avec qui, et qui décide de rappeler l’opérateur. Si le document ne répond pas à ces questions en une ligne chacune, il est trop long ailleurs. Nous conseillons d’écrire la rubrique incident en premier, contrat de télésurveillance sous les yeux, puis de remonter vers les règles d’accès.
Quand la relire, et comment savoir si elle est appliquée ?
La relecture annuelle est un minimum. Certains événements l’imposent sans attendre : un incident, un déménagement ou un réaménagement, un nouveau prestataire de ménage ou de maintenance, la pose d’un nouveau système, le départ du référent.
Quelques mesures simples disent si la politique vit encore, sans aucun outil :
- le nombre de badges actifs comparé à l’effectif réel, prestataires compris ;
- la date du dernier changement de chaque code, comparée à celle du dernier départ ;
- le journal de la centrale d’alarme, qui montre si le site est armé chaque soir et à quelle heure ;
- le registre des visiteurs, qui dit si l’accueil enregistre vraiment tout le monde ;
- la date du dernier exercice de la procédure d’incident.
Un écart sur l’une de ces lignes vaut plus qu’une relecture complète du document. Les scénarios de malveillance qui justifient chaque règle, vol interne, intrusion, dégradation ou agression, se construisent avec la méthode décrite dans notre guide sur la prévention des actes de malveillance.
Questions fréquentes sur la politique de sûreté
Comment définir une politique de sécurité ?
En commençant par dire de quel risque on parle. Contre les accidents et les risques professionnels, la politique découle de l’évaluation des risques et du document unique. Contre la malveillance, c’est une politique de sûreté : ce qu’on protège, qui en répond, qui entre où, ce que chacun doit faire et la conduite en cas d’incident.
Une PME est-elle obligée d’avoir une politique de sûreté ?
Aucun texte n’impose à une PME ordinaire un document portant ce nom. Ses éléments sont en revanche attendus ailleurs : risques d’agression dans le document unique, règles de comportement dans le règlement intérieur ou une note de service, journaux d’accès dans le registre des traitements.
Comment mettre en place une politique de prévention ?
Pour la santé et la sécurité au travail, en suivant les principes généraux de prévention de l’article L4121-2 du code du travail : éviter les risques, évaluer ceux qui ne peuvent pas l’être, les combattre à la source, donner la priorité à la protection collective et donner les instructions appropriées.
Comment sensibiliser les salariés aux règles de sûreté ?
Par une présentation à l’arrivée, avec le badge et la conduite en cas d’alarme, par un rappel après chaque incident ou changement de règle, et par un exercice simple, comme une fermeture du site jouée une fois par an. Une règle que personne n’a jamais pratiquée ne tient pas le jour où elle sert.
Existe-t-il un modèle de plan de sûreté gratuit ?
L’AFNOR Spec 2404, « Plan de sûreté – Exigences opérationnelles » (juin 2025), se consulte librement sur le site de l’AFNOR. Elle formule des exigences, pas un document à remplir. La trame en huit rubriques proposée plus haut peut servir de point de départ, à adapter au site et à ses scénarios.
Vous voulez écrire votre politique de sûreté sur une base concrète ? Nous relevons les zones de valeur, les portes, les issues et le matériel en place, puis nous vous remettons un compte rendu écrit, classé du point le plus exposé au moins exposé, qui alimente les rubriques accès et moyens. Audit de sûreté gratuit et sans engagement, à Paris et en Île-de-France. Par téléphone au 01 48 45 17 71.
Information générale, à jour au 22 octobre 2026. Elle ne remplace pas l’avis d’un avocat en droit social sur la rédaction d’un règlement intérieur. Sources, dans leur version en vigueur à cette date : code du travail, articles L1222-4, L1311-2, L1321-1, L1321-3, L1321-4 (version issue de la loi n° 2026-403 du 26 mai 2026), L1321-5, L2312-38, L4121-1, L4121-2, R4121-1 et R4121-2 ; code de commerce, article L151-1 ; ANSSI, « Structurer ses mesures de sécurité » ; règlement (UE) 2016/679 (RGPD), article 32 ; AFNOR Spec 2404, « Plan de sûreté – Exigences opérationnelles », juin 2025 ; ISO 22342 :2023.
