Comme chaque année, la sécurité privée était à l’honneur lors du congrès de l’International Association of Security and Investigative Regulators (IASIR), organisé en novembre à la Nouvelle Orléans. Occasion pour Cédric Paulin, adjoint du directeur de cabinet au Conseil national des activités privées de sécurité, de dresser une synthèse des thèmes qui animent les régulateurs de la sécurité privée outre-Atlantique : le rôle de la sécurité privée en matière de gestion de crise, et notamment de catastrophes naturelles, les évolutions du métier des détectives privés confrontés au défi de l’« uberisation ». L’auteur en tire des enseignements pour le métier en général mais aussi pour l’univers de la sécurité privée hexagonale. Parmi ces enseignements, le rôle du transfert d’informations dans l’inéluctable coproduction de sécurité. 2015, nous rappelle Cédric Paulin, a vu la France entamer son rattrapage en matière de normalisation dans la sécurité privée. Cette prise en compte de la normalisation constitue une étape importante de la coproduction de sécurité.

Pour la deuxième année, la France était présente au congrès annuel de l’International Association of Security and Investigative Regulators (IASIR), qui se tenait du 11 au 13 novembre, à La Nouvelle Orléans1 . Etaient représentés les responsables des services de régulation de la sécurité privée de plus d’une dizaine d’Etats des Etats-Unis, du Bureau de la sécurité privée du Québec, des représentants de l’industrie de la sécurité privée et des détectives privés, ainsi que le Conseil national des activités privées de sécurité (CNAPS), même si la France n’est pas membre de l’IASIR. Il s’agit alors de dresser, par touches, un compte rendu synthétique des sujets traités lors de ce congrès, au regard ou à la différence de ceux existants en France ou en Europe, afin de tracer les contours d’une «big picture» future en matière de sécurité privée. Cette «big picture», que les attentats qu’a connus la France rendent d’autant plus urgente, passe par la coproduction -public-privé, par l’évolution de la régulation et l’économie de l’information appliquée à la sécurité privée. L’implication de la sécurité privée dans la gestion de crise et les évolutions concernant le métier de détectives privés ont notamment été traitées par le congrès de la Nouvelle Orléans, comme l’indiquaient d’ailleurs parfaitement le titre : « Regulation in the eye of the storm. Private Investigators, Security, Regulators: Partners in Emergency Preparedness and Disaster Response». Rôle de la sécurité privée lors d’une catastrophe naturelle Les retours d’expérience de la gestion de l’ouragan Katrina ayant touché La Nouvelle Orléans en 2005 ont montré – les forces de police et services d’urgence l’ont indiqué elles-mêmes lors des conférences – que la sécurité privée avaient dû être utilisée de manière obligatoire, et cela, pour une raison simple : près de 90 % des forces publiques et services d’urgence étaient indisponibles. La durée de la crise, la gestion des priorités innombrables, les phénomènes de pillage, même sporadiques, et la nécessité de redémarrer la vie sociale et économique ont nécessité la mobilisation de l’ensemble des ressources humaines un tant soit peu concernées parla sécurité, y compris donc, naturellement, la sécurité privée. Si cette leçon a été relativement comprise après cet événement, il a fallu davantage de temps pour conceptualiser puis concrétiser des solutions relatives à une gestion globale de crise, à la sécurisation et la surveillance d’une zone sinistrée. Ici, les conférences de l’IASIR ont apporté des éléments relatifs à la « réentrée » dans une zone de crise que l’on pourrait aussi définir comme un «contrôle d’accès d’urgence en zone de crise». Lors de ces trois jours, penser l’application de ce concept à la France est apparu plus complexe : la France ne connaît pas d’événements climatiques d’ampleur géographique et temporelle comparables à l’ouragan Katrina à La Nouvelle Orléans. Toutefois, les inondations récentes dans le Sud de la France et les attentats du 13 novembre à Paris rendent les notions de « zone de crise », de « zone de crise à contrôle d’accès d’urgence» et de «réentrée» davantage compréhensibles. Il devient indispensable de concevoir, des niveaux locaux au niveau national, pour le privé comme le public, des plans et pratiques de gestion de crise, qu’elle soit d’origine naturelle ou malveillante, qui incluent la sécurité privée. Aux niveaux locaux et privés, les entreprises, par le biais des directeurs de la sécurité, le cas échéant, sont sans doute déjà engagées dans cette voie (a minima elles ont une partie de la structure – le directeur de la sécurité en personne justement – pour le faire). Dans le secteur public, aux niveaux locaux comme au niveau national, rien de tel n’est encore prévu, hormis quelques dispositions en matière de réquisition mais jamais expertisées ni prévues initialement pour la gestion de crise. Ces réflexions et cette mise en place de dispositions spécifiques seront d’ailleurs de nature à faciliter l’articulation de la sécurité privée et des forces publiques, y compris en temps plus serein ou moins critique. A l’inverse, les habitudes de travail conjoint en période calme favoriseront aussi le travail conjoint en période plus intense.

Rôle des détectives privés à l’heure de l’«uberisation»

Une partie des conférences de l’IASIR a aussi porté sur les détectives privés, notamment leur rôle et ce qui les distingue des agents d’assurance, ainsi que leur rôle dans la gestion de crise et la résilience. En France, ce domaine est peu exploré, ou du moins n’est pas mis à la pointe de l’évolution et de la professionnalisation du secteur de la recherche privée. Surtout, l’IASIR a soulevé la question de l’«uberisation» des détectives privés, à travers la création récente, en février 2015, de Trustify, application pour smartphone. L’application Trustify met en relation des détectives privés et des clients, selon leur géolocalisation le type de services recherchés (adultère, vérification de la sécurisation de ses enfants, localisation d’une personne, vérification des antécédents d’une personne, enquête en matière de fraude, diagnostic de sécurité, clientmystère). Ces clients précisent leur adresse et leurs besoins sur l’application qui leur propose dès lors une liste de détectives préalablement référencés (environ 2000). Or, Trustify ne demande actuellement pas de licence pour exercer dans les Etats qui disposent d’un régime de licence. Son fondateur indique ne fournir qu’un service de courtier et de mise en relation entre une demande et une offre. Certains Etats, parmi les plus impliqués dans la régulation de la profession, indiquent cependant que Trustify fournit au moins une prestation de conseil de sécurité, et donc devrait justifier d’une licence. La question du flux financier entre le client, le détective privé et Trustify, peu identifié, est aussi posée comme un critère de la nécessité ou pas de posséder une licence. Trustify refuse catégoriquement de s’inscrire dans la tendance de «l’uberisation» appliquée aux taxis (en France comme aux Etats-Unis), car les détectives privés référencés sont eux, à la diffé- rence des particuliers utilisant leur voiture comme taxi et hors de tout examen, autorisés légalement. D’autres applications existent, pour la sécurité privée classique ou la protection rapprochée, comme «Bannerman» (du nom d’une start-up de San Francisco), et sont décrites comme participants de l’« uberisation » de la sécurité privée. Trustify est perçu, aux Etats-Unis, comme une difficulté pour les régulateurs, d’autant plus qu’ils sont potentiellement 50 Etats à pouvoir adopter une position différente. Les associations de détectives privés dénoncent, quant à elles, une concurrence déloyale, Trustify niant être une entreprise de sécurité privée et bien que fournissant des services de recherches privées. Face à ces évolutions numériques, la question stricte de la régulation – par exemple, Trustify doit-il demander une licence en matière de sécurité privée ? – n’est pourtant pas essentielle, bien qu’elle se pose de manière aigüe aux Etats-Unis puisque la régulation n’existe que «state by state». Le combat, le cas échéant, pour forcer ces nouveaux acteurs à obtenir une licence, est d’arrière-garde si l’on veut bien se placer du point de vue de l’évolution de la sécurité privée ellemême, de son offre et de sa demande. En effet, quand bien même Trustify demanderait une licence, il sera certes en règle mais constituera toujours un challenge pour le secteur et donc une concurrence forte et déstabilisante. La question n’est donc pas d’empêcher ce type d’initiatives mais de savoir comment les acteurs plus historiques s’y adapteront par adoption, par innovation, plus que par l’empêchement d’exister. En France, la problématique des commissionnaires, des courtiers, des offres de prestations de services de grands opérateurs venant d’autres secteurs et spécialisés dans l’abonnement et la gestion de l’information est similaire. A n’en pas douter, des applications pour smartphones vont émerger dans les prochains mois et l’« uberisation » de la sécurité privée, au sens de mise en relation numérique et géolocalisée d’une offre et d’une demande, va survenir. On notera que cette possibilité d’« uberisation » a été mentionnée, pour la France, directement après les attentats du 13 novembre, à Paris, mais dans le sens d’une plus grande participation des citoyens à la sécurité ou d’une circulation plus rapide et numérique de l’information et des alertes entre eux et les forces publiques de sécurité et d’urgence4 : la sécurité privée et ses liens avec les forces publiques n’étaient pas dans le spectre de cette première enquête sur l’d’«uberisation» appliquée à la sécurité. Enseignements de cette «big picture» Au final, une « big picture » utile et anticipatrice, à valeur ajoutée, doit tirer des leçons de ces pratiques et notions de gestion de crise, de «réentrée » en zone de crise, d’applications pour smartphones : l’information est essentielle tant pour l’évolution de la sécurité privée que celle de la coproduction de sécurité. La «réentrée» en zone de crise est une problématique de gestion de droits d’accès, différenciés, communiqués, partagés, et donc une gestion de l’information. Trustify n’est autre que la valorisation des informations relatives à une demande et à une offre de sécurité, optimisant la rencontre de l’une et l’autre. Il est possible de rappeler, à ce stade, le dysfonctionnement de l’entreprise de sécurité privée G4S lors des Jeux olympiques de Londres en 2012 : la question s’était focalisée sur l’incapacité de l’entreprise, pourtant l’un des leaders mondiaux, à fournirles effectifs promis. Face à cela, les forces militaires ont dû pallier au dernier moment le manque de ressources : en quelque sorte, il a été diagnostiqué une incapacité d’un transfert de missions publiques vers un acteur privé. Mais cela n’est que le résultat et la conséquence d’un autre dysfonctionnement ex ante. En effet, il s’agissait d’abord d’un dysfonctionnement de l’information et de sa transmission au sein même de la structure RH du prestataire, ainsi qu’entre la direction du prestataire et les organisateurs de l’événement. Prévoir des transferts de missions ou même des coopérations opérationnelles sans imaginer des transferts d’informations protocolisés, normés, suivis, en tout cas explicités, est voué à l’échec; et cela concerne à la fois la filière privée et le secteur public de la sécurité, non pas dans leurs structures opérationnelles mais dans leurs structures de support, de back office, dans la compréhension mutuelle de leurs organisations structurelles. La «big picture » correspondra ainsi à la capacité de cartographier la présence d’agents de sécurité privée et leur disponibilité sur le territoire ou une zone géographique donnée, par le biais des technologies numériques et individualisées, tant pour un recrutement direct par des employeurs ou pour des contrats avec des donneurs d’ordre que pour un recours et un soutien aux forces publiques, le tout essentiellement dans des situations de crise ou d’urgence. La diffusion de messages et d’alertes deviendrait serait également envisageable. Le défi consistera à relier les différents acteurs, publics et privés, dans le respect de leurs compétences et finalités respectives, c’est-à-dire «à chacun sa place, mais une place connue de chacun ». La « big picture » en construction, à partir d’outils et services numériques et connectés – comme dans tous les autres domaines de l’économie marchande ou non –, montre que la coproduction de sécurité est inéluctable, mais par le biais du transfert d’informations bien davantage que celui du transfert de missions. Elle passe par une analyse de l’économie, voire une e-conomie, de l’information et de la connaissance appliquée à la sécurité privée et se construit donc par le « big data ». Face à ces évolutions tous azimuts, l’Etat et le régulateur public peuvent s’interroger sur le périmètre à autoriser et à contrôler, tout comme les acteurs classiques de la sécurité privée peuvent penser qu’ils ne sont plus protégés par la réglementation. Ce n’est pas faux. Dimension française de la « big picture » Il faut quitter ici la scène nord-américaine, du moins l’IASIR, si l’on souhaite compléter cette « big picture » anticipatrice, afin d’évoquer la normalisation. Un passage par la France permet de montrer le changement de regard sur la normalisation en sécurité privée, pour laquelle l’année 2015 a été une année pivot. Trois signes en particulier illustrent cette nouvelle prise en compte de la normalisation, qui sont à la fois des défis et des réponses à la régulation publique et à ses possibles faiblesses : Des structures institutionnelles s’intéressent désormais à la normalisation et permettent une mise en commun et en réseau des acteurs et informations relatifs à la normalisation : - En septembre 2014, un Responsable ministériel aux normes au ministère de l’Intérieur, Patrick Butor, a été nommé5 . Il permet ainsi au ministère de s’investir sur cette problématique, d’en suivre l’évolution et surtout d’en formaliser les projets et positions des différents acteurs publics et privés français à défendre, en lien avec AFNOR Normalisation dans les comités de normalisation nationaux, européens et internationaux. Il convient de souligner que Patrick Butor a été élu, fin août 2015, animateur du groupe de travail relatif à la sécurité privée au sein du comité ISO TC 292 « Sécurité et résilience » et qu’à ce titre, il est de nature à influer sur le programme de travail des années à venir sur ce sujet. - En janvier 2015, le Collège du Conseil national des activités privées de sécurité (CNAPS) a décidé de la création d’une commission « Normalisation », animée par Valérie Derouet, vice-présidente du Collège. Cette commission réunit régulièrement les acteurs de la sécurité privée, ainsi que les services du Responsable ministériel aux normes, afin de dresser l’état des lieux des normes et certifications en sécurité privée et les orientations futures dans le domaine. - Enfin, le CNAPS est membre de différents comités de normalisation/certification au niveau national (certification NF Service 241 « Service des entreprises privées de prévention et de sécurité », comité SGS sur le projet de certification pour les secteurs d’activité d’importance vitale, comités en matière de certifications en systèmes de télésurveillance, etc.). Des projets de normes et certifications sont en émergence, parfois concurremment, aux niveaux : - national avec des réflexions en matière de SAIV (Secteur d’Activité d’Importance Vitale) et en matière de référentiels de certification pour les organismes de formation en sécurité privée ; - européen avec la création du Technical Committee TC 439 « Private Security Services » au sein du Comité européen de normalisation (CEN). Ce comité s’est réuni pour la phase de lancement à Vienne en juillet 2015 ; - international avec la poursuite des travaux relatifs à l’évaluation de la conformité à la norme ISO 18788 « Management system for private security operations — Requirements with guidance for use ». Cette norme, publiée à l’été au niveau de l’ISO et à l’automne en collection française, pourrait désormais faire l’objet d’une deuxième étape, à savoir l’élaboration d’un guide de l’évaluation. Pour cette deuxième étape, la France est plutôt bien placée, avec l’élection du Responsable ministériel aux normes, à la tête du groupe de travail en charge, entre autres, de cette norme et des travaux ultérieurs. Depuis 2014, la législation relative à la sécurité privée recourt à la certification, ce qui est une nouveauté : - La loi du 1er juillet 2014 relative aux activités privées de protection des navires impose aux entreprises de protection des navires d’être certifiées ISO 28000 préalablement à leur demande d’autorisation d’exercer par le CNAPS. Les premières entreprises de protection des navires ont ainsi été autorisées en 2015, majoritairement anglaises, notamment de par leur avance sur la connaissance et la mise en œuvre de la norme ISO 28000. - La loi du 17 août 2015 relative au dialogue social et à l’emploi, dite « loi Rebsamen », prévoit également que les organismes de formation en sécurité privée obtiennent une certification, préalablement à leur demande d’autorisation d’exercer par le CNAPS. Cette certification sera fondée sur des référentiels d’exigences co-élaborés par les acteurs publics et privés concernés et donnant lieu à des arrêtés ministériels. Ces évolutions institutionnelles en matière de normalisation soulèvent alors des questions de fond sur la régulation, la coproduction public-privé et la gestion de l’information par la sécurité privée : - La normalisation apparaît comme une solution de régulation privée qui reprend vigueur, après quelques tentatives à la fin des années 1990. La normalisation se place dans une optique de régulation économique plutôt qu’administrative et remet au centre les donneurs d’ordre, qui sont ici des prescripteurs – c’est à eux de demander, dans leurs appels d’offre, des prestataires certifiés. Rien de nouveau ici, hormis, et c’est important, une profusion de démarches tous azimuts (nationale, européenne et internationale) : letravail à venir sera donc d’articuler ces démarches entre elles et de permettre aux acteurs français de se positionner en fonction de leurs pratiques actuelles et de leurs besoins futurs. - Plus innovant, la normalisation est utilisée par la réglementation administrative ou régulation publique de la sécurité privée, comme le montre la protection armée des navires ou le contrôle des organismes de formation en sécurité privée. Ce que le régulateur ne souhaite pas vérifier, il le laisse au certificateur : la certification est un préalable à l’autorisation administrative. Il s’agira aussi d’articuler ces deux types de régulation du point de vue des informations demandées, afin d’éviter les doublons et pour les rendre utilement complémentaires. Il conviendra aussi de ne pas dévoyer la logique de la normalisation : celle-ci doit rester une régulation privée et économique et être en mesure de distinguer les acteurs privés entre eux, ce qui devient peu possible dès lors qu’elle est rendue, par la réglementation publique, obligatoire pour tous. - Enfin, cette émergence globale de la normalisation et la certification va dans le sens d’une plus grande prise en compte de l’information. En effet, la certification correspond à la documentation et à la formalisation de pratiques déjà existantes ou nécessite la documentation de pratiques à améliorer. Elle pousse les entreprises à professionnaliser leur gestion de données et d’informations, leur recueil, leur traitement, leur traçabilité, leur valorisation marchande ou réputationnelle. Ne pas percevoir ni relier ces différentes évolutions et tendances de la sécurité privée en 2015, aux Etats-Unis comme en France , c’est en rater la « big picture » future et ne pas se donner les moyens d’établir une véritable coproduction de sécurité, fondée autant, sinon plus, sur le transfert et le partage de l’information que sur des transferts de missions du public vers le privé. n Cédric Paulin, adjoint du directeur de cabinet au Conseil national des activités privées de sécurité