Protéger un collectif

Se protéger soi-même est une chose. Protéger un groupe en est une autre, et cela ne se fait pas en expliquant les risques.

La sensibilisation ne protège pas. Les procédures protègent.

Une personne informée mais placée dans l’urgence et l’émotion se comporte comme une personne non informée. Ce qui tient, c’est un dispositif qui fonctionne même quand on n’y pense pas.

Rendre le bon geste automatique

Compare deux approches.

Sensibilisation seule : « attention aux fraudes au virement, soyez vigilants ». Effet mesurable à trois mois, quasi nul.

Procédure : « tout virement supérieur à X vers un nouveau bénéficiaire exige une confirmation orale d’une seconde personne, sur un numéro connu ». Effet : la fraude échoue même si le salarié y a cru.

La seconde ne demande aucune vigilance. C’est ce qui la rend efficace.

Le mot de passe partagé

Un mot ou une question dont la réponse n’est écrite nulle part.

En famille, contre l’appel du proche en détresse. Au travail, contre la fraude au dirigeant, avec une phrase convenue pour toute demande financière inhabituelle. En association, entre le président et le trésorier.

Coût : cinq minutes. C’est le dispositif au meilleur rapport effort/protection qui existe.

La règle du second canal, écrite

Pas « soyez prudents », mais une phrase précise affichée là où les décisions se prennent.

Toute demande d’argent, de code ou de données confidentielles est confirmée par un canal choisi par le destinataire, sur des coordonnées déjà connues. Sans exception, y compris venant de la direction.

« Y compris venant de la direction » est la partie essentielle. Sans elle, la règle saute exactement dans le cas où elle servirait, parce que personne n’ose vérifier un ordre du patron.

C’est au dirigeant lui-même de la poser et de la répéter. C’est même le meilleur signal qu’il puisse donner à son équipe.

Le droit de ralentir

Une phrase, dite explicitement et régulièrement.

Personne ne sera jamais sanctionné pour avoir pris cinq minutes de vérification, même si ça retarde quelque chose d’urgent.

Sans cette autorisation, la pression hiérarchique ou familiale l’emporte sur la procédure. La manipulation ne joue pas sur l’ignorance, elle joue sur la peur de déranger, de paraître méfiant, de ralentir.

Retirer cette peur est un acte de protection, et il est gratuit.

Le canal d’alerte sans honte

Où signaler, à qui, et avec la garantie qu’il n’y aura ni moquerie ni reproche.

En famille : « si tu reçois un truc bizarre, tu m’appelles, même à trois heures du matin. » Au travail : une personne identifiée, et le principe qu’une alerte inutile vaut mieux qu’un silence coûteux. En classe : un adulte référent, et le rappel que la victime n’est jamais fautive.

Selon le collectif

La famille. Le maillon exposé est presque toujours la personne âgée isolée, ciblée par la voix clonée.

Ce qui fonctionne : le mot de passe familial, expliqué simplement et écrit près du téléphone ; une consigne unique, « si on te demande de l’argent au téléphone, tu raccroches et tu m’appelles », une seule règle et pas une liste ; appeler régulièrement, sans motif, parce que l’isolement est le principal facteur de vulnérabilité ; et ne jamais se moquer d’une alerte, même infondée, parce qu’une moquerie coûte tous les signalements suivants.

Avec les adolescents, l’enjeu est différent : usurpation, contenus fabriqués, harcèlement. Ce qui compte, c’est qu’ils sachent qu’ils peuvent en parler sans confiscation du téléphone. La peur de la sanction est le premier motif de silence.

L’association. Les points faibles typiques : un trésorier seul, des coordonnées bancaires qui circulent par courriel, un renouvellement fréquent des bénévoles.

Double validation pour tout paiement au-delà d’un seuil. Vérification orale systématique de tout changement de coordonnées bancaires d’un fournisseur, qui est la fraude la plus fréquente et la plus coûteuse pour les petites structures. Et la règle transmise à chaque nouveau bénévole, par écrit.

L’entreprise. Procédure écrite pour les virements : seuil, double validation, confirmation orale sur numéro connu. Aucune exception pour la direction, et c’est le point qui décide de tout. Un référent identifié pour les alertes. Et un rappel annuel, court, avec des cas concrets plutôt qu’une présentation générale.

L’école ou le club. Un adulte référent connu de tous. Le principe posé clairement que la victime n’est jamais fautive. La conservation des preuves avant tout signalement. Et le relais vers les dispositifs dédiés, notamment le 3018 pour les mineurs.

Ce qui ne marche pas

Autant le dire, ça évite de perdre du temps.

La réunion de sensibilisation annuelle seule, dont l’effet réel est proche de zéro à trois mois. Les listes de signaux à repérer, qui périment et donnent une fausse assurance. « Il faut être vigilant », une consigne qui ne dit pas quoi faire et ne fait donc rien faire. Culpabiliser les victimes, ce qui garantit le silence donc la répétition. Et interdire les usages, aux adolescents notamment, ce qui déplace le problème hors de ta vue.

La fiche à afficher

À adapter et à mettre là où les décisions se prennent.

┌──────────────────────────────────────────────────────┐
│  AVANT DE PAYER, DE DONNER UN CODE OU DES DONNÉES    │
│                                                      │
│  1. Je ne réponds pas tout de suite.                 │
│     « Je te rappelle dans cinq minutes. »            │
│                                                      │
│  2. Je vérifie par UN AUTRE CANAL, que je choisis.   │
│     Un numéro que j'ai déjà. Pas celui du message.   │
│                                                      │
│  3. Si on m'a demandé le secret : j'en parle.        │
│                                                      │
│  4. En cas de doute : [NOM DU RÉFÉRENT] [CONTACT]    │
│                                                      │
│  Personne n'est sanctionné pour avoir vérifié.       │
└──────────────────────────────────────────────────────┘

Quinze minutes de pratique

Choisis un collectif : ta famille, ton service, ton association.

Identifie le maillon le plus exposé, celui qui peut déclencher un paiement, ou le plus isolé.

Mets en place le mot de passe partagé. Aujourd’hui, pas la semaine prochaine.

Rédige la règle du second canal en une phrase, adaptée à ce collectif, et vérifie qu’elle contient « sans exception, y compris venant de la direction » ou son équivalent.

Puis dis à voix haute la phrase du droit de ralentir, à la personne concernée. C’est l’étape qu’on saute, et c’est celle qui rend le reste applicable.

Vérifie ta compréhension

Question : pourquoi une réunion de sensibilisation annuelle ne protège-t-elle pas une équipe ?

Réponse : parce qu’une personne informée mais placée dans l’urgence et l’émotion se comporte comme une personne non informée. La protection vient d’un dispositif qui fonctionne sans exiger de vigilance : une procédure de vérification obligatoire, sans exception pour la hiérarchie, assortie du droit explicite de ralentir sans être sanctionné.

Place aux ateliers, puis au bilan.