Chronique no 049 — 2025
Résilience & COMEX : convaincre, mesurer, piloter stratégiquement
Comment transformer la résilience en levier stratégique au COMEX ? Indicateurs, ROI, posture et storytelling pour faire passer le bon message au sommet.
Transformer ton tableau de bord, ta posture et ta stratégie en histoire convaincante face au top management.
Introduction : Résilience et COMEX, un dialogue encore trop souvent désaccordé
Parler de résilience au COMEX, c’est comme parler météo à un pilote de chasse en plein combat : il comprend l’importance du vent, mais attend qu’on lui parle trajectoire, vitesse et munitions.
La résilience, souvent perçue comme un sujet diffus, « coûteux mais nécessaire », souffre d’un manque de clarté stratégique lorsqu’elle est portée devant les instances dirigeantes. Et pourtant, les attentes ont changé : face à la multiplication des crises, les COMEX ne veulent plus seulement être rassurés — ils veulent être convaincus.
Convaincus que la résilience est un levier de performance.
Convaincus que c’est un avantage compétitif.
Convaincus que leur entreprise, grâce à elle, survivra là où d’autres tomberont.
Il ne s’agit donc pas seulement de parler indicateurs, conformité ou processus. Il s’agit de faire un récit stratégique. D’associer vision, posture, preuves et ROI. De transformer une pratique en narration. D’injecter du sens, de l’impact, et — soyons francs — un peu de politique.
1. De la technique au storytelling : bâtir une narrative de la résilience
Parler COMEX, ce n’est pas vulgariser, c’est traduire
Les COMEX ne sont pas des ingénieurs. Leur horizon, ce sont la stratégie, le chiffre d’affaires, la réputation, les investisseurs, la presse, les régulateurs. Parler à un COMEX, ce n’est pas simplifier — c’est transposer le langage opérationnel en valeur stratégique.
Exemple :
« RTO de 4 heures sur nos systèmes critiques » devient :
« En cas de panne, notre organisation est capable de redémarrer ses fonctions vitales avant que les clients n’aient le temps de s’en apercevoir. »
Construire un récit à impact
Une bonne narration repose sur 3 piliers :
Une tension initiale : la menace, le risque, l’incertitude.
Un pivot stratégique : la manière dont l’entreprise choisit d’y répondre.
Une promesse finale : la valeur générée, la confiance installée.
🧩 Cas d’école — Norsk Hydro :
Victime d’une attaque massive en 2019, l’entreprise a choisi la transparence, mobilisé sa résilience opérationnelle et redémarré ses usines manuellement. Ce récit, bien présenté, a renforcé la confiance de ses clients… et de ses actionnaires. Une entreprise jugée résiliente est une entreprise plus crédible.
Le rôle du Chief Storyteller… c’est toi
Tu es porteur de la résilience, mais tu es surtout metteur en scène de son impact. Tu dois concevoir un récit cohérent, crédible et aligné avec les priorités du COMEX. La résilience ne se vend pas comme un antivirus ; elle se vend comme un levier de continuité stratégique.
2. Des indicateurs au service de la décision, pas de la conformité
Des tableaux de bord qui parlent business
Le COMEX ne lit pas les 25 indicateurs techniques que tu présentes. Il veut une grille de lecture stratégique.
🔹 Ce qui fonctionne :
4 à 6 indicateurs clés (KRI/KPI) synthétiques, liés aux enjeux du COMEX : exposition financière, délai de reprise, impact client, conformité réglementaire.
Une métaphore visuelle claire : thermomètre, radar, feux tricolores…
Un niveau de synthèse narratif : que disent les chiffres ? Où sommes-nous à risque ? Que devons-nous décider ?
🔹 Ce qui ne fonctionne pas :
Les vues techniques illisibles (tableaux Excel sans analyse)
Les acronymes non traduits (RTO, BIA, PRA…)
Les métriques non reliées à un objectif stratégique
🎯 Objectif : Que ton tableau de bord devienne un outil de gouvernance, pas un relevé de conformité.
L’indicateur « phare »
Un bon tableau de bord résilience contient un indicateur central, qui concentre les regards. C’est lui que le COMEX retiendra. Il peut s’agir de :
Taux de couverture des plans de continuité critiques
Indice de maturité résilience consolidé
Temps moyen de réponse à un incident majeur
Score de résilience perçue par les parties prenantes
📌 Conseil : il vaut mieux 1 indicateur bien défendu que 20 mal compris.
3. Parler ROI (Retour sur Investissement) sans trembler
La question qui fâche : combien ça rapporte ?
Le COMEX posera la question. Et il a raison. On ne pilote pas une entreprise par la peur mais par la rentabilité stratégique. Il faut donc anticiper cette question, même si les réponses sont imparfaites.
Il existe 3 angles pour démontrer le ROI de la résilience :
1. Le coût évité
Incidents évités (ou atténués)
Jours d’indisponibilité non survenus
Pertes de chiffre d’affaires évitées
Amendes ou pénalités contournées
🧮 Exemple : Si une indisponibilité de 24h coûte 500 K€, un plan de résilience qui réduit l’impact à 4h permet un gain potentiel de 400 K€.
2. La valeur perçue
Meilleure réputation
Confiance des clients
Avantage dans les appels d’offres
Valorisation auprès des assureurs
💬 Une entreprise résiliente est plus facile à assurer, plus attractive pour les investisseurs, plus stable aux yeux du marché.
3. L’alignement réglementaire
Avec DORA, NIS2, CRA, ISO, etc., la résilience devient un impératif légal. Être en conformité, c’est éviter les sanctions mais aussi se différencier positivement auprès des régulateurs.
4. Posture, influence, stratégie : incarner la résilience devant le COMEX
Changer de posture
Parler au COMEX demande un changement de posture :
❌ Tu n’es pas un opérationnel qui vient demander des moyens
✅ Tu es un stratège qui expose un risque systémique et propose une stratégie
🧭 Le bon alignement :
Résilience ≠ Système d’information
Résilience = Performance globale + Capacité d’adaptation + Gouvernance des risques
👔 Adopte les codes du COMEX :
1 slide = 1 idée
Moins de texte, plus d’impact
Droit au but : « voilà le risque », « voilà notre capacité », « voilà ce que je recommande »
L’art de la persuasion
Le COMEX ne décide pas rationnellement. Il décide politiquement, intuitivement, contextuellement. Tu dois donc :
Évaluer ton auditoire : qui dans le COMEX est ton allié ? Qui est réticent ? Qui est neutre ?
Travailler le timing : en lien avec une actualité, une crise récente, une pression réglementaire
Maîtriser ton pitch : 3 à 5 minutes, avec une proposition forte et documentée
Soigner la forme : slides, langage corporel, posture, confiance
💼 Cas d’école :
Dans une entreprise française du CAC40, la résilience n’a été entendue au COMEX qu’après un exercice de crise simulé avec pertes simulées. L’effet a été immédiat : budgets débloqués, stratégie validée.
🎯 Morale : le choc pédagogique fonctionne parfois mieux qu’un bon rapport.
Conclusion : Présenter, convaincre, inscrire la résilience dans la stratégie
Présenter la résilience au COMEX, ce n’est pas un exercice de reporting. C’est un acte de gouvernance, de stratégie, de conviction.
Le top management ne demande pas des détails techniques. Il demande une vision. Une capacité à anticiper les crises, à continuer sous contrainte, à transformer l’incertitude en différenciation.
Tu es là pour cela.
Alors prépare ton récit, construis ton argumentaire, affine ton indicateur, et entre dans cette salle comme l’ambassadeur d’une stratégie de confiance.
Parce que la résilience, bien présentée… c’est un avantage que le COMEX n’osera plus ignorer.
Bibliographie
« Cybersécurité : nouveau levier stratégique des COMEX » — Egerie (2025)
https://www.egerie.com/ressources/blog/cybersecurite-nouveau-levier-strategique-des-comex
Analyse récente expliquant pourquoi les cyber‑risques et la résilience deviennent des enjeux stratégiques pour les conseils d’administration et les COMEX — utile pour structurer l’argumentaire “résilience = levier de performance”.
« Comment calculer le ROI de la cybersécurité pour le PDG et le conseil d’administration » — LeMagIT (sept. 2025)
Article pratique montrant comment traduire les investissements cyber en bénéfices tangibles — fondamental pour bâtir un discours chiffré et convaincant devant un COMEX.
« ENISA — Report on Business and IT Continuity » (Business Continuity & Corporate Governance)
https://www.enisa.europa.eu/sites/default/files/publications/enisa_business_it_continuity_v1.51.pdf
Rapport de référence liant gouvernance, gestion des risques et continuité d’activité — une base structurée pour expliquer la résilience comme un pilier de gouvernance, non seulement un sujet technique.
« Cyber‑Risk Oversight Handbook for European Corporate Boards » — ecoDa (2020)
https://ecoda.eu/wp-content/uploads/2019/08/ecoDa-cyber-handbook-Final-15.4.20.pdf
Guide pratique conçu pour les conseils d’administration : il détaille les responsabilités, les indicateurs, et les pratiques à adopter pour superviser les risques cyber et la résilience — directement en phase avec l’objectif de convaincre un COMEX.
« Le retour sur investissement de la cybersécurité : Convaincre le conseil d’administration d’investir » — TuxCare (2024)
https://tuxcare.com/fr/blog/cybersecurity-roi/
Article vulgarisé pour les décideurs non techniques : il met en lumière les bénéfices concrets (continuité, réputation, économies, conformité) d’un programme de cyber‑résilience — utile pour le volet “valeur perçue / réputation / aversion au risque” dans cette chronique.