Google pour l’accueil sécurité ? Votre DSI va adorer !

Google Forms/Sheets, la mauvaise bonne idée qui finit par coûter très cher

Sur le papier, Google Forms + Google Sheets semble idéal : c’est simple et gratuit.

La direction adore… jusqu’au jour où..

En réalité, pour un accueil sécurité, un process d’entrée / sortie, un protocole transporteur, c’est la mauvaise bonne idée : ça démarre vite… et ça vous rattrape encore plus vite. Parce qu’un accueil sécurité n’est pas qu’un formulaire : c’est un process critique qui doit produire des preuves, tenir en multisites, et limiter le risque (données, sûreté, conformité).

Le bricolage Google : ça marche… jusqu’au premier vrai besoin (ou au premier incident)

Vous croyez acheter de la simplicité alors qu’en fait vous achetez de la dette.

Google Forms sert à collecter des réponses, pas à tenir un process industriel. Dès que vous voulez analyser correctement, vous finissez par basculer dans Sheets/Excel → vous multipliez les outils, les versions, les manipulations, les erreurs.

La traçabilité devient fragile : vous devez souvent télécharger et réintégrer dans une base, et si le formulaire est supprimé, vous perdez votre historique, les données. Et en cas d’audit…

👉 Le bricolage n’est pas “gratuit”. C’est du temps + du risque + de l’approximation.

Mais où partent vos données ?

Votre DSI, votre DPO, votre service juridique passent leur temps à auditer et inspecter les prestataires IT : Ils vérifient que les solutions sont sécurisées, que les accès sont maîtrisés, que l’hébergement est en Europe, que la conservation est cadrée, que tout est défendable en audit.

Et pendant ce temps-là, vous, tranquillement, vous lancez un Google Form pour gérer un process d’accueil sécurité.
Sans validation IT. Sans validation DPO. Sans revue juridique.
Dans leur dos.

Le résultat n’est pas “un petit bricolage pratique”. C’est :

• une collecte de données sensibles (identités, entreprises, contacts, passages),
• une gouvernance impossible à garantir,
• un risque qui retombe sur… la DSI, le DPO et le juridique le jour où ça fuit.

Autrement dit : eux construisent un cadre, et vous le court-circuitez avec un lien “gratuit”.

“Je l’ai découvert par hasard : un mail transféré, un lien, et derrière… un Google Form gratuit pour l’accueil sécurité. Je me suis immédiatement figé ! » DPO - Chimie

Comme le raconte ce DPO de ce grand groupe de la chimie français :

« Je me suis figé quand j’ai découvert que nous utilisions google form gratuit : nous collections sans aucun cadre des noms, des sociétés, des emails, des numéros, des dates de passage.

Ma première question a été - et c’est la seule qui compte : Où partent les données ?

Où c’est stocké, sous quelle juridiction, qui peut y accéder, quelle durée de conservation, quelle traçabilité en cas d’audit ?

J’ai bien compris le pragmatisme du terrain : le directeur de site voulait faire des économies et on a trouvait cette solution. Mais côté conformité, c’est une bombe à retardement.

Je me suis énervé, oui, parce que c’est mon job : quand ça sort, c’est nous qui prenons. Pas Google.

J’ai demandé l’arrêt immédiat, l’audit des accès et des partages, et une bascule vers un outil métier : gouvernance, droits, preuves, contrôle, et politique de conservation claire.”

Le point le plus dangereux : la sûreté

Le bricolage, cela finit toujours par couter très cher comme le montre cet exemple concret chez cet industriel, fournisseur de l’aéronautique :

La grosse fuite de données

L’un de ses sites décide de digitaliser ses accueils sécurité en format léger : Google Form + Google Sheet, un QR code à l’entrée. “Ça nous évite un outil de plus, c’est gratuit, et c’est immédiat » plaide l’équipe HSE. La direction aime l’idée : vite, simple et pas cher.

Pendant un mois, c’est parfait. Les visiteurs scannent, répondent, signent. Le tableau se remplit. On a des stats. On se dit qu’on a trouvé la formule.

Puis un matin, le téléphone sonne. Pas un appel de routine. La sûreté interne soupçonne une fuite : il y a du social engineering au portail, et des appels qui imitent les prestas avec des identités plausibles, des entreprises réelles.

La crise explose.

Quelques temps plus tard, on ne rigole plus avec une tentative d’intrusion orchestrée. Il y a belle et bien une fuite. Dans l’urgence, on doit avertir les clients, dont certains dans le secteur Défense. Vous voyez un peu le tableau ?

Réunion de crise : HSE, DSI, sûreté, juridique, direction. La question tombe, brutale : “Pourquoi notre contrôle d’accès terrain reposait sur un outil grand public et une gouvernance impossible à tenir ?”

“On est tombés de notre chaise le jour où nous avons découvert que l’accueil sécurité avait été bricolé sur Google. » Directeur Sûreté

Ce jour-là, l’entreprise comprend la nature de la “fausse économie”. Ce n’était pas une licence économisée. C’était une porte laissée grande ouverte.

Les semaines suivantes sont un cauchemar organisationnel : audit complet, reconstruction des preuves, communication interne, mesures compensatoires, mise à jour des procédures, formation, sanctions, et un climat de suspicion sur le terrain. Et, surtout, une phrase qui revient partout : “On a sous-estimé.”

Puis arrive la note officielle, envoyée à toute l’entreprise signée au plus haut niveau :

“Interdiction immédiate des accueils sécurité via formulaires génériques. Passage à une solution dédiée. Validation IT/Sûreté obligatoire. Accès surveillés, données chiffrées, traçabilité robuste.”

Le responsable HSE n’a même plus à défendre l’idée d’un outil métier. La réalité l’a fait pour lui.

Vos process QHSE contiennent des informations précieuses

Cet épisode nous rappelle que les Accueils Sécurité HSE contiennent des informations précieuses :

• Noms, entreprise, emails, téléphone …: Les identités des visiteurs, sous-traitants et employés d’entreprises extérieures.
• Fréquence des Visites : Permettant de déterminer les périodes de forte activité.

Ces informations peuvent être utilisées par des concurrents ou des entités malveillantes pour :

• Catégorisation des Visiteurs : Identifier les personnes clés et leurs rôles dans l’entreprise.
• Analyser l’activité de notre site industriel : Identifier les heures de pointe, les phases critiques de projets, et les cycles de travail.
• Déduire les projets en cours : En identifiant les sous-traitants et les entreprises extérieures les plus fréquents, ainsi que les départements impliqués.
• Exploiter des vulnérabilités : Planifier des attaques ciblées lors des périodes de faible activité.

Un cas de piratage de ces données entraînerait donc un risque critique pour vos installations, vos collaborateurs, vos projets et vos partenaires.

Copiez le prompt ci-après dans n’importe quelle IA et voyez par vous-même :

La réponse par Claude IA :

Cikaba, la solution métier pensée pour les QHSE

Si on fait fi de tout ce qui vient d’être dit précédemment et que l’on se penche sur les fonctionnalités de Cikaba, on voit vite que Cikaba « ne fait pas que des formulaires” :

Cikaba industrialise la digitalisation de vos process QHSE. Par exemple, pour vos accueils sécurité, cela veut dire :

• Émargement sécurisé (nom, prénom, photo, signature…) + passage possible en groupe.
• Diffusion des consignes + test d’assimilation : formats terrain + score + questions éliminatoires.
• Validité / expiration / relances : vous contrôlez qu’un accueil est à jour avant entrée.
• Personnalisation aux couleurs de votre entreprise de votre plateforme, des parcours, des attestations de réussite.
• Preuves automatiques : tentatives, temps, score, questions bloquantes, attestations.
• Pilotage multi-sites : consolidation + niveaux d’accès selon sites/équipes/publics.

Conclusion

En définitive, si Google Forms reste un outil simple et utile pour des usages ponctuels, il montre rapidement ses limites lorsque l’enjeu est de piloter, tracer et ancrer réellement vos processus QHSE. Entre la collecte de données, l’engagement des publics, la traçabilité, l’analyse multisites ou encore la personnalisation des parcours, une solution pensée pour les préventeurs et les organisations exigeantes comme Cikaba fait toute la différence.

Mais la vraie question n’est donc pas seulement de savoir comment diffuser un questionnaire QHSE, mais à quel niveau d’exigence vous souhaitez placer votre politique de prévention et de protection des données.

Dans un contexte où les enjeux de sécurité, de conformité et de traçabilité sont de plus en plus scrutés, les outils généralistes montrent rapidement leurs limites. Fuite de données, perte d’historique, manque de contrôle des accès ou impossibilité de démontrer la conformité : autant de risques qui peuvent fragiliser vos démarches QHSE… et votre responsabilité.

Chez Cikaba, ces enjeux ne sont pas traités comme des options:

👉 Nous sommes constamment audités par nos clients, issus de secteurs industriels exigeants.

👉 Si Cikaba est déployée sur leurs sites, c’est parce que la solution répond aux standards de sécurité, de conformité et de fiabilité les plus élevés.

👉 Chaque sensibilisation est tracée, sécurisée et exploitable dans le temps, sans compromis sur la confidentialité des données.

Choisir Cikaba, c’est faire le choix d’une solution pensée pour le terrain, pour les préventeurs et pour les environnements à fortes contraintes, capable de soutenir vos exigences opérationnelles comme réglementaires.

Envie d’aller plus loin ?
Nos experts sont à votre disposition pour vous aider à évaluer vos besoins, vous montrer comment Cikaba peut s’intégrer à vos process et simplifier votre quotidien QHSE.