Sylvain Fort : « Notre rôle, c'est de montrer où le feu peut prendre »

Lancé par le groupe ADIT en partenariat avec le Centre de recherche sur les risques et les crises de Mines Paris, l’Institut du risque veut aider les entreprises françaises à se préparer à des menaces de plus en plus rapides, interconnectées et difficiles à anticiper. Sylvain Fort en détaille la raison d’être, les trois activités, le nouveau master exécutif qui ouvre en 2027, et les risques pour lesquels la France reste, selon lui, insuffisamment préparée.

Pouvez-vous nous présenter l’Institut du risque et nous expliquer le constat qui a présidé à sa création ?

L’ADIT, très présent en France et à l’international, est en première loge face aux grands risques contemporains : géopolitique, politique, criminel, fraude, réglementation… Nous avons constaté que ce trésor de connaissances pouvait être mis, sous forme de retour d’expérience, au service d’acteurs économiques français qui doivent monter en maturité sur ces sujets.

Aujourd’hui, le risque n’est plus seulement technique ou industriel : il est stratégique et systémique. Et ces risques partagent des caractéristiques communes : ils sont de plus en plus fréquents et rapides, de plus en plus interconnectés, et pour beaucoup difficiles à anticiper. Nous avons donc voulu aider les entreprises à mieux comprendre cet environnement et à se préparer à l’improbable, ou en tout cas à ce qui n’est pas toujours perçu comme un risque. Le cœur du réacteur, c’est ce patrimoine de connaissances de l’ADIT, utile à l’ensemble des acteurs économiques.

Pourquoi s’associer à l’École des Mines et au Centre de recherche sur les risques et les crises ?

Ce partenariat concerne l’un des trois piliers de l’Institut : la formation. Pour faire monter en maturité les acteurs économiques, il fallait intégrer une dimension essentielle aujourd’hui : la dimension scientifique et technologique. Climat, cyber, IA, énergie, approvisionnement… beaucoup de sujets sont substantiellement scientifiques ou technologiques. Les Mines sont à la fois une école d’ingénieurs et une école de recherche, tournée vers la science applicable, exactement ce que les entreprises doivent aujourd’hui se réapproprier.

Le Centre de recherche sur les risques et les crises est par ailleurs nativement pluridisciplinaire : ingénieurs, mais aussi historiens et anthropologues. C’est précieux, car quand un risque percute une organisation, cela devient de l’anthropologie des organisations. Prenez une campagne de désinformation : il n’y a pas seulement une fausse information injectée dans le système, il y a la façon dont les personnes la reçoivent, la décodent, la filtrent ou la font circuler sans s’en rendre compte. Le facteur humain est central.

Dans le master exécutif que nous avons créé, nous avons mis ensemble notre expérience de terrain et leur expertise scientifique et technologique, au service d’une seule chose : la prise de décision. Nos approches sont très complémentaires. Et derrière l’école, c’est tout l’écosystème PSL qui devient accessible.

Parlez-nous de l’Executive Master « Intelligence stratégique du risque » : à qui s’adresse-t-il, sous quelle forme ?

C’est un master de deux jours par mois pendant huit mois, qui balaie en profondeur et sous toutes leurs facettes les risques contemporains.

Il s’adresse d’abord à des personnes déjà aux manettes : membres de comités exécutifs, ou « hauts potentiels » qui prendront des responsabilités élargies d’ici un à cinq ans. Ces profils sont souvent d’excellents spécialistes qui n’ont jamais vraiment élargi leur compréhension de ce à quoi l’entreprise est confrontée. Ce n’est pas un master de management, c’est un master de prise de décision : comprendre l’environnement dans lequel on prendra demain des décisions stratégiques.

Nous y tenons aussi à la présence d’agents publics, notamment issus du ministère des Armées et des services de renseignement. D’abord parce que la problématique se pose aussi dans le secteur public ; ensuite parce que le master est un creuset où des personnes d’horizons différents forgent ensemble une grille de lecture et une grammaire communes du risque.

La première promotion démarre en 2027, à Paris, le vendredi et le samedi. Nous visons des groupes de 20 à 25 participants (jusqu’à 40 possibles) : ils écrivent ensemble des scénarios de crise et font de la prospective, ce qui suppose de l’interaction. Le recrutement passe par les entreprises membres de l’Institut, par l’École des Mines et par une campagne auprès des talent managers.

Quels sont les autres projets de l’Institut ?

Tout démarre en 2027 et la majorité des activités dès janvier. Outre le master, nous avons trois activités :

Des formations courtes à la demande, en partenariat avec les Mines : deux jours sur un risque donné, pour un comex, un top 30 ou une business unit qui veut se mettre à jour. C’est la déclinaison du master pour ceux qui n’ont pas la disponibilité de le suivre.
La communauté française du risque. Aujourd’hui, les acteurs économiques abordent le risque de façon isolée, chacun dans sa catégorie. Or dans un monde de polycrise, où la crise est devenue le « nouveau normal », il est logique de travailler ensemble. Il n’existe pas en France de plateforme où des scénarios économiques sont écrits collectivement par les entreprises. Nous allons en créer, en intégrant les angles de plusieurs acteurs, secteurs et tailles d’entreprise, avec des partenaires disposant de bases de données industrielles et d’outils d’IA.
Le conseil, autour de la cartographie des risques. Souvent issue d’un processus administratif, elle présente des angles morts, n’est pas toujours optimale dans sa fabrication, et est très peu utilisée par les comités exécutifs et conseils d’administration. Nous accompagnons les entreprises pour la redéployer et l’optimiser.

Quelle est la mission de l’Institut à moyen-long terme ?

Nous ne sommes pas un think tank : nous proposons des solutions et des pistes. Notre développement est donc commercial, et consiste à faire grandir chacun de nos trois piliers. La communauté démarrera autour de 30 sociétés, pour pouvoir produire des scénarios de plus en plus convaincants et l’outiller, par exemple avec des publications ou un média. Le groupe ADIT étant actionnaire des Rencontres économiques d’Aix, nous pourrions aussi y contribuer. Côté formation, chaque promotion du master viendra grossir la communauté, et nous pourrons accueillir d’autres partenaires, académiques ou non : acteurs publics, universités étrangères… Un écosystème se constitue autour du risque dans les écoles de commerce, à Sciences Po, etc… ; nous pouvons devenir un lieu fédérateur, une sorte de communauté académique. Trois moteurs, donc, que nous voulons développer ensemble.

Le 8 septembre 2026, le CEMA, le général Fabien Mandon, a défini le risque consenti comme « le refus de laisser le danger décider à sa place ». Qu’en pensez-vous ?

Nous sommes très en ligne avec cette définition. La question du risque est à double face : soit on baisse les bras, soit on fait de l’identification et de la compréhension du risque un moteur d’action guidée par la prospective. C’est notre vocation, à notre échelle, pour le tissu économique français : faire saisir plus finement la nature des risques, leur récurrence, ce qui se passe quand ils se produisent, et comment on réagit, pour construire une résilience collective.

Car tout est relié. Imaginez, sur quinze jours, des attaques quotidiennes sur l’écosystème français : cyberattaques, déstabilisations, sabotages physiques. Une panne d’électricité, une panne des réseaux télécoms, des supermarchés qui ne s’approvisionnent plus, des trains à l’arrêt… Et il n’est pas besoin d’être un opérateur d’importance vitale pour faire partie du risque systémique : une petite entreprise de panneaux solaires, un petit producteur d’électricité, un maraîcher font partie du système. Si l’un tombe, ce n’est pas grave ; si tous tombent ensemble, comme des dominos…

La Revue nationale stratégique de l’an dernier décrit des choses qui se produisent déjà aujourd’hui. L’État, les ministères des Armées, de l’Agriculture, des Transports ont cette conscience systémique ; elle n’a pas encore gagné le monde économique. L’idée est d’y importer la préoccupation que le CEMA exprime.

Reste-t-il une valeur ajoutée de l’analyse humaine face à l’IA ?

L’IA est hyper importante dans l’analyse des risques : une vraie analyse mobilise des centaines de milliers de données industrielles, juridiques… et, vu l’urgence, il est utile d’avoir un outil qui permet de multiplier les facteurs, les angles et les données très rapidement.

Mais la qualification humaine reste fondamentale. Ce n’est pas l’IA qui hiérarchise les risques, qui parle aux équipes pour expliquer les priorités, qui met en place les plans de continuité d’activité. Dans la notion de risque, il y a une notion d’organisation humaine : ce sont des esprits humains préparés à la crise qui rendent les entreprises résilientes. Face à une crise, il y a du déni, de la dissimulation ; plus on est préparé, plus on les surmonte et plus on en tire du courage, du collectif, de la résilience. L’IA est un multiplicateur de prospective et de compréhension, mais l’application des analyses touche profondément la dimension humaine des entreprises. Le master comportera d’ailleurs des cours sur l’usage de l’IA, ses limites et le rapport entre l’homme et l’IA.

L’IA est aussi une menace. Est-ce pris en compte ?

Bien sûr, elle fait partie des nouveaux risques. Certaines dérives sont déjà identifiées, d’autres restent à vérifier : une IA qui développerait ses propres stratégies, des phénomènes émergents… Une crise liée à l’IA est tout à fait possible, et peut être scénarisée. Il y a aussi des effets de fond : sur l’emploi, l’automatisation, l’accélération de phénomènes, avec des questions ouvertes sur la réalité de la croissance et sur les conséquences environnementales. Quand on adopte l’IA, il faut être prêt à en assumer a minima les impacts sur ses salariés, son environnement et sa productivité, des sujets encore loin d’être complètement analysés.

Quels risques émergents la France prépare-t-elle le moins bien pour les cinq prochaines années ?

Malheureusement, il y en a pas mal.

Le cyber. Les épisodes sont très violents, dans la grande distribution comme chez les entreprises qui se font voler leurs données. On peut accuser la fatalité, mais la vérité est que les acteurs économiques français ne se sont pas suffisamment préparés ni équipés : beaucoup ignorent des solutions, à commencer par les plus basiques comme éviter un mot de passe « 1234 ». Même constat sur la façon de scénariser les conséquences de l’IA, par exemple dans la relation client : je ne vois pas pour l’instant de scénario concluant.

Le climat extrême. Les grands feux de l’été dernier ont menacé des infrastructures de transport, des installations d’entreprises, des centres de commandement, sans que le problème soit identifié comme imminent. C’était déjà vrai pour le Covid : très peu d’entreprises avaient un scénario pandémie. C’est une forme d’esprit, une manière de s’organiser qui n’est pas encore là : on ne sent pas un écosystème d’abord lucide sur les risques à venir, puis outillé pour s’y préparer.

Le sabotage physique. Il revient à la mode : câbles coupés, attaques de drones, incidents sur les voies ferrées (fils électriques coupés, voies bloquées par des objets lourds). Savons-nous détecter et neutraliser des drones ? Combien de groupes industriels sont équipés d’un système anti-drones ? A-t-on scénarisé le pire sabotage possible sur les points névralgiques de l’économie ? L’État a commencé, par exemple sur les aéroports, mais rien n’est sûr.

Cela concerne tout particulièrement les PME et les ETI. Les grands groupes du CAC 40 sont plus exposés mais ont davantage de moyens, même si ce n’est pas toujours suffisant. Pour les PME, la protection est un vrai poste de dépense, d’où le réflexe « on verra l’an prochain ». Or l’attaque récente sur des supermarchés est partie de frigos pilotables à distance, connectés sans VPN et avec un logiciel obsolète, plus mis à jour. Pour faire des économies, on a ouvert une brèche qui a coûté des millions.

L’État ne peut pas financer la protection de chaque PME : ce travail doit être fait par les acteurs économiques eux-mêmes, probablement avec les assureurs, qui ne pourront plus faire face à tout. Il faut passer à une culture de la prévention.

Un mot de conclusion ?

L’Institut du risque est un institut de prévention, pas de gestion de crise. Nous ne sommes pas le pompier qui arrive quand il y a le feu : nous sommes ceux qui essaient de montrer où le feu peut prendre.

Par Ulysse Paskoff et Fanny Chauffeton