ISO 31030 expliquée : pourquoi la norme est plus importante que jamais pour les équipes de gestion des risques voyages

Pendant des années, la gestion des risques liés aux voyages a reposé sur le savoir institutionnel et les bonnes pratiques empruntées ici ou là. Les responsables sûreté construisaient leurs programmes à partir de ce qui avait fonctionné dans leur entreprise précédente, de ce qu'ils avaient appris auprès de leurs pairs, ou de ce qui leur semblait juste face aux menaces du moment. Il n'existait ni norme formelle ni définition partagée de ce qu'un programme complet devait contenir. Deux entreprises pouvaient toutes deux affirmer disposer d'un programme de gestion des risques voyages et parler de choses complètement différentes.

Cela a changé en septembre 2021, quand l'Organisation internationale de normalisation a publié la norme ISO 31030, intitulée officiellement Management des risques liés aux voyages : Recommandations pour les organisations. La norme a pris des décennies d'expérience du secteur et les a codifiées dans un document unique qui définit ce que le devoir de protection exige réellement pour les collaborateurs en déplacement. C'est une spécification, écrite noir sur blanc, à laquelle chacun peut confronter son programme.

L'adoption a été lente. Une étude d'Everbridge a révélé que 76 % des dirigeants interrogés ne disposaient pas d'un programme solide de gestion des risques voyages au sens de la norme ISO 31030. Dans le même temps, le rapport Risk Outlook d'International SOS relève une nette augmentation, d'une année sur l'autre, des destinations classées à risque élevé. L'environnement de risque continue de se dégrader pendant que la plupart des organisations fonctionnent encore sans programme à la hauteur de la norme. Cet écart mérite toute votre attention, et c'est la raison d'être de cet article.

D'où vient la norme, et ce qu'elle est

L'ISO est une fédération de 168 organismes nationaux de normalisation, la même organisation qui porte les normes de management de la qualité comme ISO 9001 et de sécurité de l'information comme ISO 27001. ISO 31030 dérive d'ISO 31000, la norme générale de management du risque, adaptée spécifiquement aux voyages professionnels. Ses rédacteurs venaient du terrain : praticiens de la sûreté, prestataires d'assistance médicale, travel managers et universitaires qui ont passé leur carrière à observer des programmes réussir et échouer.

Une chose à clarifier d'emblée : ISO 31030 est une norme de recommandations, pas une norme certifiable. Pas d'audit, pas de certificat à accrocher au mur, et aucune loi qui vous oblige à vous y conformer. Vous l'utilisez en évaluant votre propre programme au regard des recommandations, puis en comblant les écarts qui comptent pour votre empreinte voyage et votre profil de risque.

Certains dirigeants entendent « recommandations volontaires » et se détendent. C'est une erreur, et l'historique juridique évoqué plus loin dans cet article montre pourquoi. Les tribunaux et les régulateurs s'intéressent à ce qu'une organisation raisonnable aurait fait, et dès lors qu'une norme internationale existe, « raisonnable » a une définition écrite.

Ce que la norme ISO 31030 couvre réellement

La norme décrit le cycle de vie complet de la gestion des risques voyages, de la décision de voyager jusqu'au retour d'expérience post-déplacement. Elle ratisse aussi plus large que ce que la plupart des gens imaginent. Les risques couverts vont des accidents de la route et des incidents de santé courants jusqu'aux épidémies, catastrophes naturelles, conflits, criminalité et menaces de sûreté, et elle inclut explicitement la santé mentale des voyageurs aux côtés de leur sécurité physique. Elle pousse les responsables de programme à regarder au-delà des scénarios spectaculaires et à considérer des facteurs peu reluisants comme l'état des routes, la fiabilité des télécommunications locales et la qualité des soins médicaux à proximité. Dans la plupart des programmes voyages, un accident de la route sur le trajet depuis l'aéroport est un événement bien plus probable qu'un enlèvement.

Les exigences fondamentales se déclinent ainsi.

Une évaluation des risques liée à la destination, au voyageur et à l'activité. Vous évaluez où la personne se rend, qui elle est et ce qu'elle va y faire. Ces trois données déterminent le profil de sûreté du déplacement. Un trentenaire en bonne santé qui assiste à une conférence à Copenhague et un dirigeant cardiaque qui visite un site minier au Sahel exigent des niveaux de préparation très différents, et la norme le dit explicitement. Le profil du voyageur compte : l'expérience, les besoins médicaux et les facteurs de risque personnels modifient tous l'exposition. L'évaluation des risques ne peut être ni générique ni escamotée.

Une politique voyages et des autorisations. La norme attend des règles claires sur la façon dont les déplacements sont approuvés. Cela signifie des canaux de réservation obligatoires pour que l'organisation sache réellement où se trouvent ses collaborateurs, des seuils d'approbation liés aux niveaux de risque des destinations, des restrictions de destination lorsque c'est justifié, et un circuit défini pour les exceptions. Si un itinéraire change en cours de mission d'une manière qui sort de la politique, un responsable doit l'apprendre rapidement plutôt qu'après coup.

Une gouvernance et des responsabilités claires. Quelqu'un est propriétaire du programme. Les rôles sont définis entre les fonctions sûreté, voyages, RH, juridique et médicale, et il existe un processus d'escalade et de décision quand un déplacement présente un risque élevé. Beaucoup d'organisations ont fonctionné des années sur une propriété implicite, chacun supposant que quelqu'un d'autre veillait au grain. ISO 31030 la formalise.

La préparation et l'information des voyageurs. Les collaborateurs sont briefés avant leur départ sur les risques qu'ils vont rencontrer et les ressources à leur disposition. Cela comprend des briefings sûreté avant le départ, une formation à la sécurité quand le risque le justifie, des contacts de soutien dans le pays et des consignes claires sur la conduite à tenir quand quelque chose tourne mal. Cela continue pendant le déplacement : alertes en temps réel quand une situation évolue à proximité d'un voyageur, procédures de pointage et moyens fiables de joindre les personnes par plus d'un canal.

Des transports et des hébergements vérifiés. La norme couvre aussi la couche logistique. Les prestataires de transport terrestre, les itinéraires, les hôtels et les autres fournisseurs sont évalués sous l'angle de la sécurité du voyageur, et les décisions d'achat dans les zones à risque élevé prennent en compte la sûreté plutôt que le seul prix.

La réponse aux incidents et les protocoles de devoir de protection. Quand un incident survient, il y a un plan. La norme attend des organisations qu'elles définissent comment elles répondront aux urgences médicales, aux événements de sûreté, aux catastrophes naturelles et aux autres crises touchant les collaborateurs en déplacement, y compris les circuits d'escalade, les dispositifs d'assistance et d'évacuation, et la coordination avec la continuité d'activité.

La surveillance continue et l'amélioration. Les programmes sont passés en revue. Les incidents et les presque-accidents sont analysés. L'organisation mesure sa performance, tire les leçons de ce qui s'est passé et met à jour le programme en conséquence au lieu de le laisser se fossiliser.

Rien de tout cela n'est révolutionnaire si vous pratiquez la gestion des risques voyages depuis dix ans. C'est la première fois que ces exigences sont couchées par écrit dans une norme unique qui s'applique à tous les secteurs et toutes les géographies, et cela change ce qui se passe quand les programmes sont comparés, audités ou contestés.

Pourquoi l'adoption reste faible

L'écart de 76 % existe pour plusieurs raisons. Certaines organisations voient dans ISO 31030 une bureaucratie inutile, une case de conformité de plus qui n'apporte pas de valeur réelle. D'autres manquent de ressources pour construire un programme à partir de zéro ou pour remettre à niveau un programme existant. Beaucoup ignorent tout simplement que la norme existe.

La structure joue aussi un grand rôle. Le risque voyage touche la sûreté, le travel management, les RH, le juridique, le médical et les directions régionales, et ces équipes partagent rarement les mêmes systèmes ou les mêmes données. Les travaux d'Everbridge auprès des grands programmes font remonter sans cesse les mêmes points de défaillance : une propriété fragmentée entre départements, des processus d'approbation incohérents, une visibilité limitée sur la localisation réelle des voyageurs, une prise de conscience tardive des événements critiques, des relances et pointages manuels, et des circuits d'escalade flous quand les choses tournent mal. Une norme peut nommer ces problèmes, mais quelqu'un dans l'organisation doit encore les régler.

Il y a aussi un problème de perception. La gestion des risques voyages est souvent traitée comme une sous-partie des RH ou des achats plutôt que comme une fonction de sûreté. Quand elle vit au mauvais endroit de l'organisation, elle n'obtient ni l'attention ni le budget dont elle a besoin. ISO 31030 aide à clarifier qu'il s'agit d'une discipline de management du risque avec de réelles implications en matière de devoir de protection, mais ce message n'a pas encore atteint tous les comités de direction.

Le contexte juridique

Le devoir de protection est une obligation légale, et les tribunaux ont déjà montré ce qui arrive aux organisations qui y manquent. L'affaire la plus citée dans le métier est Dennis contre Norwegian Refugee Council. Steve Dennis, travailleur humanitaire, a été blessé par balle et enlevé lors d'une attaque à Dadaab, au Kenya, en 2012. Il a poursuivi son employeur, et en 2015 le tribunal de district d'Oslo a jugé l'organisation coupable de négligence grave, estimant que les risques étaient prévisibles et que l'organisation avait échoué à les maîtriser. Il a obtenu des millions de couronnes de dommages et intérêts, et l'affaire a transformé la façon dont tout le secteur humanitaire pense la sécurité de ses équipes.

Ce précédent porte bien au-delà du monde humanitaire. Quand un collaborateur en déplacement subit un préjudice et qu'un contentieux suit, la question devient de savoir si l'organisation a pris des mesures raisonnables pour le protéger. Avant 2021, le « raisonnable » se plaidait au cas par cas, à coups d'experts. Il existe désormais une norme internationale qui décrit à quoi ressemble un programme compétent, et il est difficile d'imaginer que les avocats des plaignants ne s'en servent pas comme étalon.

Pourquoi la norme compte davantage aujourd'hui

Le paysage des risques a changé. Le Risk Outlook d'International SOS montre chaque année davantage de destinations basculer dans les catégories de risque élevé. Instabilité géopolitique, troubles civils, crises sanitaires et perturbations climatiques augmentent tous en même temps. Les collaborateurs se déplacent vers plus de destinations, souvent avec moins de préavis, et les menaces qu'ils rencontrent sont plus variées qu'il y a même cinq ans.

ISO 31030 vous donne un socle. Elle définit à quoi ressemble un programme défendable si quelque chose tourne mal et que vous devez démontrer avoir pris des mesures raisonnables pour protéger vos équipes. Elle ne garantit pas qu'aucun malheur n'arrivera. Elle constitue la preuve que vous avez bâti un programme conçu pour réduire le risque et répondre efficacement quand des incidents surviennent, et dans un prétoire ou un conseil d'administration, cette preuve pèse lourd.

Les bénéfices dépassent la seule défendabilité juridique. Les organisations qui s'alignent sur la norme constatent des gains très concrets côté business : la capacité d'opérer avec confiance sur des marchés à risque élevé, une assurance plus forte donnée aux investisseurs, aux banques et aux partenaires commerciaux que le risque voyage est maîtrisé, une meilleure crédibilité de la chaîne d'approvisionnement auprès des clients, une confiance et une fidélisation accrues des collaborateurs, et dans certains cas des primes d'assurance réduites parce que l'organisation peut démontrer une maîtrise effective du risque lié aux voyages. Un programme bien tenu est un facilitateur d'affaires, et la norme vous donne le vocabulaire pour le défendre en interne.

Pour les organisations qui ont déjà un programme de gestion des risques voyages, la norme fonctionne comme un outil d'audit. Vous cartographiez vos processus actuels au regard du texte et les écarts deviennent vite visibles. Pour celles qui partent de zéro, c'est un plan de construction qui vous évite de réinventer des décennies de leçons durement acquises.

Qu'en faire concrètement

Si vous êtes responsable de la gestion des risques voyages, procurez-vous la norme ISO 31030 et lisez-la. Elle n'est pas longue et elle est rédigée dans un langage clair. Comparez-la à ce que vous avez en place et notez chaque écart que vous trouvez.

L'expérience des cabinets qui mènent ces analyses d'écart fait ressortir toujours les mêmes points faibles : pas de processus de réservation obligatoire, pas d'étape d'autorisation préalable au voyage, pas d'évaluation des risques avant le départ, des politiques voyages qui ne mentionnent jamais le risque, des processus d'achat qui ignorent la sûreté, et aucune formation à la sécurité pour les voyageurs qui partent vers des destinations difficiles. Vérifiez ces points en premier, car il y a de fortes chances qu'au moins l'un d'eux vous concerne.

Priorisez ensuite selon les habitudes de déplacement et l'exposition réelles de votre organisation. Si des dirigeants se rendent régulièrement dans des destinations à risque élevé, concentrez-vous sur la réponse aux incidents et la préparation des voyageurs. Si personne ne sait dire qui possède le programme, commencez par la gouvernance. Un programme qui corrige ses deux plus gros écarts ce trimestre vaut mieux qu'un plan quinquennal qui n'est jamais financé.

Enfin, servez-vous de la norme pour bâtir un soutien interne. Quand vous avez besoin de budget ou de l'adhésion de la direction, ISO 31030 vous donne un point de référence qui n'est pas seulement votre opinion. C'est une norme internationale qui reflète le consensus du secteur sur ce que le devoir de protection exige, adossée à une jurisprudence qui montre ce que coûte l'échec. C'est une position bien plus solide que « faites-moi confiance, nous en avons besoin ».

Les organisations qui traitent ISO 31030 comme un document de travail plutôt que comme un exercice de conformité seront celles dont les programmes tiendront quand ils seront mis à l'épreuve. Vu la trajectoire des chiffres du risque, ils seront de plus en plus nombreux à l'être.