Comment créer un plan de continuité d’activité ?

Il existe de nombreuses structures permettant de créer un plan de continuité d’activité efficace. La plupart comprennent trois phases qui se recoupent :

• Analyse : dans cette phase, vous identifiez et évaluez les diverses fonctions de votre activité et ses opérations. Ensuite, vous déterminez l’impact d’un incident grave sur ces différentes fonctions. Cette phase implique généralement de hiérarchiser différents domaines ou départements selon leur degré d’importance pour vos opérations ; de cette façon, votre plan garantit en premier lieu la continuité de vos fonctions les plus essentielles. 

Les professionnels de la continuité d’activité effectuent souvent une analyse de l’impact sur l’activité (AIA) au début du développement d’un nouveau plan. Une AIA permet d’estimer les conséquences de différents scénarios d’incidents graves en termes de perte de chiffre d’affaires et d’autres mesures commerciales.

• Planification : une fois l’analyse terminée, il convient de passer à la phase suivante, qui concerne tous les aspects du développement d’un véritable plan pour continuer les opérations en cas d’incident grave ou pour reprendre l’activité normalement après une interruption des opérations habituelles. Lors de la phase de planification, les entreprises :
  •  développent des protocoles au cas où il serait nécessaire de procéder rapidement à une délocalisation ou de passer au télétravail ;
  •  mettent en place des stratégies de réorganisation ou de recrutement de personnel ;
  •  mettent en œuvre des outils de reprise d’activité pour garantir la continuité des systèmes essentiels. 

Dans cette phase, il est crucial de nommer une équipe de gestion de crise ou de la continuité, composée de dirigeants et de parties prenantes qui prendront en charge la mise en œuvre du plan si nécessaire. 

• Formation et tests : même le PCA le plus solide doit être soumis à des tests réguliers pour garantir son efficacité dût-il être utilisé. Cela implique notamment de former les collaborateurs en mettant l’accent sur leurs rôles et responsabilités si de tels scénarios devaient se produire, ainsi que de tester différents éléments du plan. Par exemple, passer au télétravail pendant une courte période pour mettre le doigt sur différents problèmes et identifier les opportunités d’optimisation.  

Principales composantes d’un plan de continuité d’activité

Certaines composantes dépendent du secteur d’activité ou de l’activité, mais certaines se retrouvent dans presque n’importe quel plan :

Le personnel : un PCA définit clairement les rôles et responsabilités de chacun, pas seulement ceux de l’équipe de direction et de gestion, mais également ceux de l’unité chargée de la mise en œuvre des différentes parties du plan en cas d’incident grave. Certains PCA prévoiront également du « personnel essentiel » ; par exemple, des individus, dont les tâches, les obligent à venir travailler même si le risque est élevé. 

Technologie : presque tous les plans de continuité d’activité modernes spécifient le rôle joué par les technologies de l’information pour que les données, applications et services essentiels demeurent disponibles ou soient de nouveau accessibles rapidement après une interruption. Ces techniques sont les suivantes :

•  outils de sauvegarde et récupération de données ;
•  services et infrastructure de Cloud Computing ;
•  plates-formes de travail à distance.

Fourniture de services : un PCA doit également souligner les services essentiels et indiquer par quels moyens ils pourront continuer à être fournis aux clients, collaborateurs, partenaires, au public et aux autres parties prenantes. 

Santé et sécurité : enfin, un bon programme de continuité d’activité comprend des critères et consignes à respecter pour garantir la santé et la sécurité de toutes les personnes impliquées (collaborateurs, clients, partenaires) lors de la mise en œuvre et de la gestion du plan. 

Liste de contrôle du plan de continuité d’activité

Les entreprises sont nombreuses à établir une liste de contrôle dans le cadre de leur planification de la continuité d’activité. Cette liste répertorie toutes les étapes clés du PCA. Elle est exploitable de deux manières :

1. Conception : d’une part, elle peut être utile dans le cadre de la création initiale du plan. Dans ce contexte, la liste de contrôle du PCA décrit de manière détaillée les étapes nécessaires au développement du plan, de l’analyse à la phase de test.




2. Mise en œuvre : d’autre part, la liste de contrôle d’un PCA peut servir dans le cadre du test et/ou de la mise en œuvre concrète du plan. Dans ce contexte, le PCA ou l’équipe de gestion de crise consultent la liste pour s’assurer que tous les outils et processus du plan sont abordés et qu’ils sont ainsi diffusés efficacement dans l’ensemble de l’entreprise.

Planification de la continuité et de la reprise d’activité

La planification de la continuité d’activité et la planification de la reprise d’activité sont souvent évoquées dans des contextes similaires, mais ce ne sont pas des termes interchangeables. Un plan de continuité d’activité est une stratégie déterminante d’exploitation en cas d’incidents graves ou de récupération après une interruption significative. 

Une reprise d’activité (DR, disaster recovery) renvoie plus particulièrement aux processus et outils informatiques sur lesquels s’appuyer pour conserver ou restaurer l’accès aux données, applications et services stratégiques dans ce genre de scénarios. Par exemple, un plan de reprise d’activité indique la méthode employée pour restaurer l’accès à une application Web génératrice de revenus en cas d’inondation du Data Center qui alimente ce service. 

À quelle fréquence un plan de continuité d’activité doit-il être révisé ?

La plupart des experts conseillent de réviser un plan de continuité d’activité régulièrement et de le mettre à jour selon les besoins. Ainsi, le plan répond toujours aux besoins de l’entreprise malgré le caractère évolutif des risques et menaces. 

La fréquence de révision d’un plan de continuité d’activité dépend de nombreux facteurs, notamment de la nature de l’entreprise, de son secteur d’activité et des risques particuliers inhérents. En règle générale, il est conseillé de réviser ces plans une fois par an ou tous les deux ans maximum. Toutefois, il est préférable de raccourcir l’intervalle de révision dans certains scénarios, notamment les suivants :

• Changements importants au niveau de l’activité ou des opérations de l’entreprise
• Localisation dans une région où le risque de catastrophes naturelles ou de survenue d’événements potentiellement perturbateurs est plus élevé
• Toute entreprise ou tout organisme fournissant des services essentiels au public