Communication de crise
La communication de crise regroupe tout ce qu’une organisation dit, et à qui, quand un événement grave menace sa réputation, son activité ou la confiance de ses publics : accident, rappel de produit, cyberattaque, fuite de données, mise en cause publique, bad buzz. Elle se prépare avant la crise (scénarios, cellule, porte-parole, messages types, annuaire), se pilote pendant (faits vérifiés, message clair, cohérence entre interne et externe, rythme régulier) et se clôt par un retour d’expérience. L’ANSSI a publié un guide dédié à la communication de crise cyber, et certaines crises imposent des obligations légales : une violation de données personnelles présentant un risque doit être notifiée à la CNIL, si possible dans les 72 heures. La règle qui traverse toutes les crises : ne jamais mentir, ne rien affirmer qui ne soit vérifié, et ne pas laisser le silence parler à votre place.
Mis à jour le 23 octobre 2026
Une crise ne prévient pas. Un mardi matin, un client publie une vidéo, un journaliste appelle, les serveurs sont chiffrés par un rançongiciel, ou un produit doit être retiré des rayons. Les heures qui suivent décident souvent de la trace que l’événement laissera dans l’esprit des clients, des salariés et des partenaires.
Cette page explique comment se préparer, quoi dire, et quelles erreurs éviter. La communication de crise fait partie de toute stratégie de communication à Lyon ou ailleurs : elle s’anticipe à froid, pas dans l’urgence.
Par Alexandre Montenon, consultant en communication et marketing depuis 2011
Qu’est-ce qu’une crise, du point de vue de la communication ?
Toute difficulté n’est pas une crise. Un avis négatif isolé, une panne de quelques minutes, une critique sur un réseau social se gèrent par les canaux habituels. On parle de crise quand l’événement dépasse le fonctionnement normal : il touche la sécurité, la santé, les données ou l’argent des clients, il attire l’attention des médias ou des autorités, il se propage vite, et il met en jeu la confiance dans l’organisation.
| Type de crise | Exemples | Enjeu principal |
|---|---|---|
| Opérationnelle | Accident, incendie, panne longue, rupture d’approvisionnement | Sécurité, continuité de service |
| Produit | Défaut, contamination, rappel | Santé et sécurité des clients |
| Cyber | Rançongiciel, intrusion, fuite de données | Données, continuité, obligations légales |
| Réputation | Mise en cause publique, bad buzz, propos d’un dirigeant | Confiance, image |
| Sociale ou interne | Conflit, plan social, comportement d’un salarié | Climat interne, image employeur |
| Financière ou juridique | Procédure, redressement, enquête | Confiance des partenaires et clients |
Avant la crise : préparer à froid
La plus grande partie du travail se fait avant. Le guide de l’ANSSI « Anticiper et gérer sa communication de crise cyber » consacre ses premières fiches à l’anticipation des scénarios, au dialogue interne, à la constitution d’une boîte à outils et à l’entraînement des équipes, avant même la stratégie et les messages. Ce découpage vaut pour toutes les crises, pas seulement les crises cyber.
Lister les scénarios plausibles
Quels événements pourraient frapper votre organisation ? Un restaurant pense intoxication alimentaire et incendie, un éditeur de logiciel pense panne et fuite de données, un cabinet pense erreur de conseil et litige. Pour chaque scénario, notez qui serait touché, qui devrait être prévenu, et ce que vous pourriez dire dans la première heure.
Constituer une cellule de crise
Qui décide, qui parle, qui rédige, qui surveille ? Dans une petite structure, ce sont souvent les mêmes personnes, mais il faut savoir à l’avance qui fait quoi, et qui remplace qui en cas d’absence.
Désigner et préparer un porte-parole
Une seule voix publique, qui connaît les faits et sait rester calme face à une question agressive. Un entraînement à l’interview, même court, change beaucoup de choses le jour venu.
Préparer la boîte à outils
- Annuaire à jour : équipe, prestataires, assureur, avocat, autorités, journalistes locaux.
- Messages types à adapter : première déclaration, message aux salariés, message aux clients.
- Accès de secours aux comptes de réseaux sociaux, au site et à la messagerie (une cyberattaque peut les rendre indisponibles).
- Page de crise prête à être mise en ligne sur le site.
- Outils de veille sur le nom de l’entreprise et de ses dirigeants.
Pendant la crise : les principes
1. Établir les faits
Que s’est-il passé, quand, qui est touché, qu’est-ce qui est certain et qu’est-ce qui ne l’est pas encore ? On ne communique que sur ce qui est vérifié, et on le dit : « à cette heure, nous savons que… ; nous ne savons pas encore si… ».
2. Parler vite, même pour dire peu
Le silence est interprété comme de l’indifférence ou de la dissimulation. Une première déclaration courte, rapide, qui reconnaît la situation, dit ce qui est fait et annonce le prochain point d’information, vaut mieux qu’une déclaration complète trop tardive.
3. Mettre les personnes touchées en premier
Les victimes, les clients concernés, les salariés passent avant l’image de l’entreprise. Le message commence par eux : ce qui leur arrive, ce que l’on fait pour eux, ce qu’ils doivent faire.
4. Ne jamais mentir
Un mensonge découvert transforme une crise en scandale. On peut ne pas tout dire (enquête en cours, données confidentielles), mais tout ce qu’on dit doit être vrai.
5. Garder la cohérence entre interne et externe
Les salariés doivent être informés avant ou en même temps que le public, jamais après, et entendre le même message. Ils sont les premiers relais, et les premières sources de fuite si on les oublie. La communication interne fait partie intégrante du dispositif.
6. Tenir un rythme
Annoncer un prochain point d’information et le tenir, même s’il n’y a rien de neuf. La régularité rassure et limite les rumeurs.
Le cas des crises cyber et des fuites de données
Une cyberattaque ajoute deux difficultés : les outils de communication habituels peuvent être indisponibles, et des obligations légales s’appliquent. La CNIL rappelle qu’une violation de données présentant un risque pour les droits et libertés des personnes doit lui être notifiée dans les meilleurs délais, si possible dans les 72 heures, et que les personnes concernées doivent être informées lorsque le risque est élevé.
Le message aux personnes concernées doit être clair et utile : quelles données sont touchées, quels risques en découlent, ce que l’entreprise fait, et ce que la personne doit faire (changer un mot de passe, surveiller ses comptes, se méfier des messages frauduleux qui exploitent la fuite). Coordonnez la communication avec les équipes techniques, l’assureur et, le cas échéant, l’avocat : certaines informations ne doivent pas être rendues publiques pendant l’enquête.
Imprimez votre annuaire de crise et vos messages types, et gardez une copie hors de l’entreprise. Le jour où la messagerie et le réseau sont bloqués, un classeur papier et un téléphone personnel valent mieux que tous les outils en ligne inaccessibles.
Les canaux à mobiliser
Les personnes touchées : contact direct (courriel, SMS, appel) avant tout le reste quand c’est possible.
Les salariés : réunion, message du dirigeant, consignes claires sur qui répond aux questions extérieures.
Le site : une page dédiée, mise à jour, datée, qui sert de référence.
Les réseaux sociaux : un message court qui renvoie vers la page de référence, puis des réponses factuelles aux questions, sans polémique.
Les médias : un communiqué factuel, un porte-parole disponible, des réponses aux questions plutôt qu’un « pas de commentaire ».
Les partenaires : fournisseurs, banque, assureur, grands clients, prévenus directement.
Les erreurs qui aggravent une crise
Le déni. Minimiser ou nier un fait qui sera établi plus tard.
Le « pas de commentaire ». Il laisse les autres raconter l’histoire.
Rejeter la faute. Accuser un prestataire, un salarié ou le client avant d’avoir les faits.
La communication technique ou juridique. Un jargon froid face à des personnes inquiètes.
Les messages contradictoires. Le dirigeant dit une chose, le service client une autre.
Supprimer les commentaires critiques. Cela se voit, et cela nourrit le soupçon. La page consacrée au bad buzz détaille la gestion des vagues de critiques sur les réseaux.
Reprendre la communication commerciale trop tôt. Une publication promotionnelle programmée qui part au milieu d’une crise fait très mauvais effet : suspendez les publications automatiques dès le début.
Après la crise
Le guide de l’ANSSI termine par les suites : remercier les équipes, faire un retour d’expérience, partager ce qui a été appris. Concrètement : qu’est-ce qui a fonctionné, qu’est-ce qui a manqué, combien de temps a pris la première déclaration, quelles questions sont revenues le plus souvent. Mettez à jour les scénarios, l’annuaire et les messages types.
Pensez aussi à la trace durable : articles, avis, publications, et réponses des assistants d’IA qui résument ce qui se dit en ligne. Une page claire sur votre site, qui explique ce qui s’est passé et ce qui a été corrigé, devient avec le temps la source de référence sur l’événement. Le travail d’e-réputation prend le relais.
Exemple fictif : une boulangerie et un rappel de produit
Pour illustrer, un cas inventé. Une boulangerie artisanale apprend par son fournisseur qu’un lot de farine utilisé pour ses pains spéciaux est rappelé pour présence possible d’un allergène non déclaré. Le gérant retire immédiatement les produits, affiche un message en boutique, publie sur sa page un texte court qui indique les produits et dates concernés, les symptômes à surveiller pour les personnes allergiques et la possibilité de remboursement, puis répond à chaque commentaire. Il informe son équipe avant l’ouverture pour que chacun donne la même réponse aux clients. Une semaine plus tard, il publie un point final. Les éléments de cet exemple sont inventés pour l’illustration.
- La communication de crise se prépare à froid : scénarios, cellule, porte-parole, messages types, annuaire.
- Pendant la crise : faits vérifiés, parole rapide, personnes touchées en premier, aucun mensonge, cohérence interne et externe.
- Une fuite de données présentant un risque se notifie à la CNIL, si possible sous 72 heures.
- Suspendez les publications commerciales programmées.
- Après la crise : retour d’expérience et mise à jour du dispositif.
Questions fréquentes sur la communication de crise
Qu’est-ce que la communication de crise ?
C’est l’ensemble des actions de communication menées quand un événement grave menace la réputation, l’activité ou la confiance des publics d’une organisation, avant, pendant et après la crise.
Quelle est la première chose à faire en cas de crise ?
Établir les faits, réunir la cellule de crise, puis publier rapidement une première déclaration courte qui reconnaît la situation et annonce le prochain point d’information.
Faut-il prévenir la CNIL en cas de cyberattaque ?
Si l’attaque entraîne une violation de données personnelles présentant un risque pour les personnes, oui : la notification doit être faite dans les meilleurs délais, si possible sous 72 heures.
Peut-on répondre « pas de commentaire » aux journalistes ?
C’est déconseillé : cela laisse d’autres raconter l’histoire. Mieux vaut dire ce qui est établi, ce qui est fait, et quand un nouveau point sera donné.
Une petite entreprise a-t-elle besoin d’un plan de crise ?
Oui, à son échelle : quelques scénarios, un annuaire, des messages types et la répartition des rôles suffisent souvent, et peuvent être préparés en une demi-journée.
Vous avez une question, un projet ? Parlons-en ensemble.
On discute ?