Intervention de Stanislas Martin

Je suis heureux de m'adresser à votre commission sur le sujet ô combien important de la robustesse du système électrique en France.

Le groupe EDF tient compte des risques pesant sur la nation dans ses activités opérationnelles selon trois axes. Le premier est relatif au nombre de crises réelles que le groupe a dû gérer récemment, en conformité avec ses obligations réglementaires et en coopération avec les services de l'État, et au Retex qu'il en a retiré. Le second est relatif au dispositif d'analyse des risques et d'élaboration des plans d'action associés. Le troisième est dédié à son organisation de crise et de continuité d'activité.

Si EDF a historiquement mis en œuvre des organisations pour gérer les crises et accroître la résilience du système électrique, le groupe n'a cessé de s'adapter dans sa structure et de tirer les enseignements des crises. À titre d'exemple, les événements météorologiques extrêmes tels que les tempêtes de 1999, la canicule de 2003 et, plus récemment, les tempêtes Ciaran et Domingos ont suscité et suscitent toujours des analyses d'adaptation au changement climatique.

L'accident de Fukushima survenu en 2011 a donné naissance, au sein d'EDF, à la force d'action rapide du nucléaire (Farn) en 2014. La crise de la corrosion sous contrainte et des marchés de l'énergie de l'hiver 2022-2023, qui a induit des risques de délestage, a provoqué une sensibilisation inédite de nos compatriotes à la sobriété, une réforme des marchés de l'électricité à l'échelon européen et une prise de conscience de l'impératif de souveraineté énergétique. Ces divers événements démontrent qu'il est nécessaire de créer des organisations résilientes à tout type de crise, pour les rendre efficaces, coordonnées et agiles, afin d'élaborer des solutions proportionnées et adaptées au besoin de continuité de nos activités stratégiques.

Si le caractère et la nature des crises ont sensiblement évolué, au cours des dernières années, en fréquence, en complexité et en coût, leur caractère systémique accentue l'imbrication de la gestion des risques et de la gestion de crise. Ce caractère systémique exige une bonne cohérence des actions entre les opérateurs et les pouvoirs publics, comme nous le constatons dans le cadre de la préparation des Jeux olympiques et paralympiques (JOP) de 2024.

EDF est soumis à des obligations réglementaires, en tant que premier producteur électrique du pays et en tant qu'entreprise stratégique. Ses activités sont indispensables au fonctionnement de l'économie et de la société, ainsi qu'à la défense, à la sécurité et à la survie de la nation. Comme telle, elle relève de l'article R. 1332-10 du code de la défense. EDF interagit fortement avec les pouvoirs publics dans les phases d'anticipation, de préparation, d'alerte, de gestion de crise et de Retex, à trois niveaux.

Le premier est celui des services du Premier ministre, dont le Secrétariat de la défense et de la sécurité nationale (SGDSN). Nous collaborons avec eux sur plusieurs plans : l'analyse des risques face à la menace ; la préparation des plans nationaux tels que le plan national de réponse à un accident nucléaire ou radiologique majeur (PNR-ANRM) ; la conduite d'exercices de crise conjoints ; la gestion effective des crises. Nous nous conformons aux exigences formulées par l'Agence nationale de la sécurité des systèmes d'information (Anssi) dans le cadre de la stratégie de la France en matière de défense et de sécurité des systèmes d'information.

Le deuxième niveau est celui de nos ministères de tutelle : le ministère de la transition écologique, par le biais de la direction générale et de l'énergie et du climat (DGEC), et le ministère de l'économie et des finances. Dans ce cadre, nous travaillons notamment à la transposition des directives européennes, que j'évoquerai lorsque je détaillerai les risques analysés dans le plan de préparation aux risques dans le secteur électrique.

Le troisième niveau est le ministère de l'intérieur, avec lequel nous collaborons dans le cadre de la direction générale de la sécurité civile et de la gestion de crise (DGSCGC), des zones de défense et des préfectures de départements.

Le groupe se met continuellement en conformité avec les évolutions réglementaires du code de la défense, en intégrant notamment les modifications induites par les lois de programmation militaire (LPM) et par les projets de loi de transposition en droit français de la directive sur la résilience des entités critiques, dite directive REC, de la directive sur la sécurité des réseaux et de l'information, dite directive NIS, et du règlement sur la résilience opérationnelle, dit règlement DORA, s'agissant des dispositions financières.

J'en viens à l'organisation visant à renforcer la résilience du groupe aux risques majeurs, en regroupant les fonctions de gestion de risques, de contrôle interne et de gestion de crise au sein d'une même direction – la direction des risques – et d'une même filière – la filière « Risques, contrôle interne et crises » –, où travaillent environ 400 personnes.

Outre les aspects réglementaires de sa mission, la direction des risques réalise une actualisation annuelle de la cartographie des risques du groupe, validée en comité exécutif (Comex) et présentée aux organes de gouvernance. Chaque risque majeur est affecté à un membre du Comex, qui porte la responsabilité de son instruction et du déploiement du plan d'action associé.

Cette analyse traite des grands risques pesant sur la continuité d'activité du groupe et correspondant, pour certains, à ceux décrits dans le plan de préparation aux risques dans le secteur électrique. Les risques majeurs affectant le groupe EDF et pesant sur la nation sont les risques climatiques, les dépendances aux matières critiques, le risque de black-out, les attaques cyber et sécuritaires, les risques d'accident nucléaire et hydraulique, l'accès aux compétences et la continuité d'activité lors de grands événements tels que les JOP.

S'agissant des risques liés aux événements climatiques extrêmes, dont la fréquence et l'intensité augmentent, et de la nécessaire adaptation de notre parc, de nos ressources et de nos processus, nous évaluons l'impact du changement climatique sur nos installations et déployons depuis plusieurs années un plan d'action global sur nos actifs de production. Cette action est renforcée par une approche plus systémique à l'échelle territoriale.

La continuité d'activité nous amène à prendre en considération les risques de dépendance géopolitique et industrielle pour nos approvisionnements et accès aux matières critiques. En la matière, EDF a instauré des plans de diversification des approvisionnements et des stockages stratégiques. Ces plans sont régulièrement actualisés, notamment en fonction des sanctions internationales.

S'agissant du risque d'équilibre entre l'offre et la demande sur les réseaux, la contribution d'EDF à la maîtrise du risque de black-out figure dans ses obligations réglementaires, conformément à son contrat de service public et à sa responsabilité de gestionnaire d'équilibre. S'agissant du délestage, le travail effectué avec les pouvoirs publics en préparation de l'hiver 2022-2023 a permis d'améliorer les processus de gestion de telles crises.

S'agissant du risque d'attaque cyber, le groupe applique la stratégie de la France en matière de défense et de sécurité des systèmes d'information, édictée par l'Anssi. Il organise des exercices de crise cyber et améliore en continu la résilience des systèmes de surveillance et d'information. Il a notamment créé un centre opérationnel de sécurité cyber et une équipe experte dédiée, dans une approche transversale.

En ce qui concerne le risque d'accident industriel, la maîtrise de la sûreté est une priorité absolue pour tout exploitant. La direction des risques est garante de la coordination des politiques du groupe et joue un rôle prescriptif auprès des métiers, qui ont eux-mêmes développé leur propre référentiel de sûreté et de sécurité. Les équipes d'EDF exercent cette responsabilité dans une logique d'amélioration continue.

La prévention du risque d'accident industriel grave repose principalement sur trois axes : la conformité des installations au référentiel de conception et à ses évolutions dans le temps ; la conformité de l'exploitation aux textes réglementaires ; la maîtrise des situations à risque en exploitation normale ou dégradée. Ce risque est stable et fait l'objet d'un bon niveau de contrôle grâce aux dispositifs de maîtrise et de sécurisation mis en œuvre.

S'agissant de l'activité nucléaire, ses résultats sont corroborés par les contrôles effectués par l'Inspection nucléaire, qui est une entité interne au groupe EDF, et par les entités externes qu'est l'Autorité de sûreté nucléaire (ASN), l'Agence internationale de l'énergie atomique (AIEA) et l'Association mondiale des exploitants nucléaires (WANO). L'existence d'une organisation de crise nucléaire solide au sein du groupe, la Farn, le GIE d'intervention robotique sur accidents (GIE Intra) et l'application des modifications de sûreté conduites dans le cadre des visites décennales post-Fukushima favorisent une limitation de l'impact du risque.

S'agissant du risque sécuritaire, la protection des installations nucléaires et hydrauliques contre la malveillance relève de l'exigence interne de protection du patrimoine d'EDF d'une part et, d'autre part, des exigences réglementaires liées à la responsabilité de l'exploitant fixées par les arrêtés relatifs à la protection et au contrôle des matières nucléaires, de leurs installations et de leur transport, dits arrêtés PCMNIT, et aux secteurs d'activité d'importance vitale (SAIV), ainsi que des dispositions introduites par la loi du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale, dite LPM 2014 – 2019. Tous les sites sont conformes aux obligations émises par le Service du haut fonctionnaire de défense et de sécurité (SHFDS).

Face au risque de tensions sur les compétences des filières de la transition énergétique correspondant à la mise en œuvre des orientations présentées par le Président de la République à Belfort le 10 février 2022, telles que la prolongation du parc existant, le programme EPR 2, le développement des énergies renouvelables (EnR), notamment en mer, et l'adaptation des systèmes énergétiques à l'augmentation du volume de raccordement, le projet Compétences porté aux niveaux Comex et stratégique vise à sécuriser les compétences du groupe.

De façon plus immédiate, l'entreprise est exposée, en tant que sponsor et fournisseur des JOP, à un risque de rupture de continuité d'activité. Un projet interne piloté par la direction des risques s'assure de la prise en compte des contraintes liées à la proximité de nos sites avec certains sites olympiques. Ce travail est mené en étroite collaboration avec la Préfecture de police de Paris, le Comité d'organisation des Jeux olympiques et paralympiques (Cojop), la préfecture de Paris et d'Île-de-France, la préfecture de Seine-Saint-Denis et le ministère de la transition écologique.

S'agissant de la robustesse de notre dispositif de gestion de crise et des plans d'action destinés à garantir la résilience de nos organisations, elle est un devoir à l'égard de nos partenaires. Depuis 2005, l'entreprise s'est dotée d'une politique de gestion de crise, mise à jour en 2017, pour intégrer les exigences de continuité d'activité et de Retex applicables à tout type de crise pouvant survenir au sein d'EDF, à la suite d'événements d'origine interne ou externe susceptibles de menacer nos intérêts. L'efficacité de sa mise en œuvre au niveau du siège est conditionnée par une organisation de crise préparée, réactive, adaptable et entraînée, ce qui suppose l'élaboration de doctrines de crise, des actions de formation et d'entraînement ainsi que le maintien opérationnel des dispositifs d'alerte et de mobilisation.

Les exercices de préparation, réglementaires ou en réponse à un risque avéré de la cartographie des risques du groupe, mobilisent les permanents à tous ses niveaux, des opérationnels au Comex, sur des scénarios travaillés avec chaque métier, afin d'identifier les points d'amélioration à tester. Les exercices SECNUC, Blackout, Golfech et Bugey, ont été respectivement réalisés en 2021, 2022, 2023 et 2024, en coopération avec les services de l'État et en impliquant le plus haut niveau de l'entreprise qu'est le Comex.

Au titre de l'alerte, un dispositif de permanence 24/7 mobilisant environ soixante-dix permanents représentant tous les métiers du groupe garantit une remontée d'information immédiate à un correspondant unique, en lien avec la présidence et la cellule ministérielle de veille opérationnelle et d'alerte (CMVOA) du ministère de la transition écologique. Sur décision du directeur de permanence et après analyse de la situation, comme ce fut le cas lors du démarrage de la crise en Ukraine, ou selon les critères prédéfinis en cas d'incident nucléaire, une équipe de crise est mobilisée immédiatement dans le centre de crise du groupe. Le directeur de crise engage alors les actions immédiates et peut décider d'activer les plans de continuité d'activité à tout moment. Il veille à appliquer les procédures et à les ajuster si les circonstances l'exigent.

Pendant la phase de gestion de crise, le directeur de crise intègre, depuis 2005, une cellule d'aide à la réflexion stratégique et à l'anticipation, appelée force de réflexion rapide, dont la capacité de questionnement, d'analyse critique et d'inventivité, en appui au directeur de crise, a fait ses preuves lors des dernières grandes crises qu'a connues le groupe. Dès la première réunion de l'équipe d'examen de la sûreté d'exploitation (OSART) d'EDF, l'AIEA a mis en avant, au titre des meilleures pratiques, l'organisation de crise du groupe, complétant et confortant ainsi l'organisation de la direction du parc nucléaire.

Outre les moyens mobilisés en sortie de crise, un Retex est systématiquement réalisé à chaud et à froid. Il est intégré au guide méthodologique d'élaboration des plans de continuité d'activité et au plan de mitigation de la cartographie des risques du groupe.