Rupture du contrat psychologique et pouvoir de la culture de la sécurité

Martin Kraemer, expert en sensibilisation à la sécurité chez KnowBe4, publie une tribune dans laquelle il explore une cause souvent ignorée des comportements non sécurisés en entreprise : la rupture du contrat psychologique. Une piste qui bouscule les approches traditionnelles de la culture de sécurité entreprise. Voici ce que l’on en retient.

69 % des collaborateurs contournent intentionnellement les directives de cybersécurité. 93 % adoptent délibérément un comportement non sécurisé lorsqu’ils y sont contraints. Ces chiffres, issus d’une étude Gartner, sont frappants. Ils remettent pourtant en question une idée reçue tenace : celle que la non-conformité serait avant tout un problème de sensibilisation.

En réalité, la motivation joue un rôle bien plus central. Et c’est précisément ce que des chercheurs de l’Université de Warwick ont voulu explorer.

La conformité aux politiques de sécurité repose souvent sur un accord tacite entre l’organisation et ses collaborateurs. En contrepartie de leur engagement, ces derniers bénéficient d’avantages : flexibilité, reconnaissance, équilibre vie pro/vie perso. Tant que cet accord est respecté, un respect mutuel s’installe naturellement.

Mais au fil du temps, des attentes implicites émergent. Un collaborateur qui ne peut pas télétravailler pour déposer ses enfants à l’école peut ainsi développer un sentiment d’injustice. C’est là que la situation se complique car ces accords tacites sont par nature difficiles à honorer.

Les chercheurs appellent ce phénomène la rupture du contrat psychologique (RCP). Et ses effets sur la cybersécurité sont directs : plus la RCP est élevée, plus l’intention de se conformer aux politiques de sécurité diminue.

Les résultats de l’étude sont révélateurs. La RCP affecte négativement l’attitude des collaborateurs et leur perception d’équité deux composantes de la motivation intrinsèque. Elle n’a en revanche aucun impact sur la sévérité perçue des sanctions. Autrement dit, menacer ne suffit pas. Les collaborateurs fortement touchés par une RCP sont par ailleurs plus difficiles à former, car ils manquent de la motivation nécessaire pour s’engager.

La RCP ouvre également la porte à l’ingénierie sociale. Un collaborateur frustré est ainsi plus vulnérable aux manipulations externes ce qui en fait un risque direct pour l’organisation.

Les organisations dotées d’un bon leadership et d’une culture de sécurité solide réduisent les effets de la RCP. Concrètement, cela passe par plusieurs leviers.

D’abord, la communication ouverte. Clarifier les obligations liées au poste, au développement de carrière et aux politiques organisationnelles renforce la confiance. Ensuite, le soutien organisationnel. Encourager les interactions sociales et le sentiment d’appartenance réduit le ressentiment. Enfin, un management persuasif plutôt qu’autoritaire favorise l’adhésion aux politiques de sécurité.

Au fond, une culture de sécurité saine repose sur un principe simple : les collaborateurs adoptent un comportement sécurisé non pas parce qu’ils y sont contraints, mais parce qu’ils considèrent la sécurité comme leur responsabilité.

La tribune de Martin Kraemer invite les organisations à changer de regard sur la non-conformité. Ce n’est pas un problème technique c’est un problème humain. Une culture de sécurité entreprise solide ne se décrète pas. Elle se construit, progressivement, en honorant les engagements tacites envers les collaborateurs et en leur donnant les moyens de s’engager dans la cybersécurité. Les organisations qui l’ont compris sont ainsi moins exposées aux attaques et plus résilientes face aux menaces.