Une analyse d'impact sur l'activité (AIA) permet d'identifier les activités les plus critiques, d'évaluer les conséquences de leur interruption et de déterminer le délai de reprise nécessaire. Elle définit les priorités et les échéanciers de reprise, éléments essentiels à l'élaboration de tout plan de continuité et de reprise d'activité. Réalisée correctement, elle constitue l'étape la plus utile de la planification de la continuité, car toutes les actions qui en découlent en bénéficient. À l'inverse, une analyse mal menée compromet insidieusement l'ensemble du programme.
- Les activités sont classées en fonction des dommages causés par leur arrêt, et non en fonction de l'importance que le département leur accorde.
- Un délai de rétablissement pour chacun, calculé à partir du moment où le préjudice devient inacceptable.
- Les dépendances dont chaque activité dépend, y compris celles que personne n'avait notées.
- Le niveau de service minimum requis dans un premier temps, plutôt que de supposer une capacité maximale.
- Obtenez l'approbation des personnes responsables des conséquences, afin que les priorités restent inchangées malgré les pressions.
Qu'est-ce qu'une analyse d'impact sur l'entreprise ?
Une analyse d'impact sur l'activité (AIA) est une évaluation structurée des conséquences d'une interruption. Elle consiste à examiner chaque activité de l'organisation, à déterminer les conséquences de son arrêt et à suivre l'évolution de ces conséquences au fil du temps. Le résultat n'est pas un document figé, mais une liste hiérarchisée des activités, chacune assortie d'un délai de reprise. Cette liste constitue la base de toutes les décisions relatives à la continuité d'activité.
La distinction essentielle réside entre l'évaluation des risques et l'analyse d'impact. L'évaluation des risques s'intéresse aux événements potentiels et à leur probabilité. L'analyse d'impact budgétaire (AIB), quant à elle, ne tient pas compte de la probabilité. Elle part du principe que l'interruption a eu lieu et cherche à en évaluer l'ampleur et la rapidité. C'est pourquoi ces deux analyses sont complémentaires et pourquoi les substituer l'une à l'autre crée une lacune : on finit soit par se protéger contre des causes identifiables tout en ignorant les conséquences, soit par l'inverse.
L'analyse d'impact sur l'activité (AIA) se situe au stade de l'analyse du cycle plus large défini dans le cadre de la continuité des activités , et les priorités qu'elle produit alimentent les plans qui y sont décrits.
Que produit une analyse d'impact sur l'entreprise ?
Quatre indicateurs de résultats sont attendus, et un plan qui n'en inclut pas un seul repose sur des suppositions plutôt que sur une analyse. Les indicateurs de reprise sont souvent source de difficultés, car ils ressemblent à des paramètres techniques alors qu'ils relèvent en réalité de jugements commerciaux.
| Sortie | Ce que cela veut dire | Comment cela est décidé |
|---|---|---|
| MTPD | Durée maximale tolérable de perturbation. Le seuil à partir duquel le préjudice lié à l'interruption d'une activité devient inacceptable pour l'organisation. | Un jugement commercial sur les conséquences, formulé par les personnes qui en sont responsables. |
| RTO | Objectif de délai de reprise. Le délai cible pour la remise en marche de l'activité est fixé dans le MTPD afin de prévoir une marge. | Dérivé du MTPD, jamais défini indépendamment de celui-ci. |
| RPO | Objectif de point de récupération. Quantité de données récentes que vous pouvez vous permettre de perdre, exprimée en période de temps. | Déterminé par la capacité d'absorption des travaux de reprise ou de reconstruction de l'entreprise. |
| MBCO | Objectif minimal de continuité d'activité. Niveau de service réduit suffisant pendant la période de rétablissement. | D'accord avec le responsable de l'activité, qui constate généralement que le montant est inférieur aux estimations. |
La relation entre le MTPD et le RTO est souvent source d'erreurs dans les analyses. Si l'objectif de temps de récupération (RTO) est égal à la période maximale tolérable, le moindre retard le dépasse. Le RTO doit se situer largement à l'intérieur du MTPD ; l'écart entre les deux représente la marge que vous recherchez.
Il y a un enjeu plus important derrière tout cela.
Cette page aborde un aspect de la résilience des entreprises. Real Resilience — le cadre d'IO qui relie la sécurité, la confidentialité et la gouvernance de l'IA — offre une vision d'ensemble.
Comment réaliser une analyse d'impact sur une entreprise ?
La séquence ci-dessous est volontairement axée sur le début. Définir précisément le périmètre et la liste des activités prend plus de temps qu'on ne le pense, ce qui simplifie la suite.
- Accord sur le périmètreQuelles parties de l'organisation, quels lieux et quelle période ? Une analyse qui s'étend progressivement ne s'achève jamais.
- Énumérez les activitésDécrivez les activités de l'entreprise en des termes compréhensibles par une personne extérieure au département. Les départements ne sont pas des activités, pas plus que les systèmes.
- Tracer les dépendancesPour chaque activité, il faut identifier les personnes, les systèmes, les données, les fournisseurs, les locaux et les équipements nécessaires. C'est là que les dépendances non documentées apparaissent.
- Évaluer l'impact au fil du tempsDemandez-vous ce qui se passe après une heure, un jour, une semaine. L'impact est rarement linéaire, et c'est la forme de la courbe qui détermine le délai.
- Définir les échéanciers: déterminer le MTPD à partir duquel les dommages deviennent inacceptables, puis définir un RTO à l'intérieur de celui-ci, un RPO à partir de la perte de données tolérable et un MBCO pour une exécution réduite.
- Faites-le approuverLes priorités doivent être formellement définies. Sans cela, l'analyse devient un document que chacun peut contester discrètement par la suite.
Privilégiez l'entretien à la diffusion d'un formulaire. Un formulaire vous donne la réponse que le répondant pense que vous attendez, et chaque action est perçue comme essentielle. Une conversation vous permet de demander au client ce qu'il remarquerait réellement et à quel moment, ce qui permet d'établir un classement pertinent.
Il faut donc hériter des résultats existants plutôt que de les réinventer. Les délais de reprise définis ici correspondent aux engagements d'un plan de continuité d'activité face à un risque spécifique et identifié, et aux objectifs qu'un plan de reprise après sinistre doit atteindre lors de la restauration des systèmes sous-jacents. Un plan qui fixe ses propres délais indépendamment de l'analyse protège un système à un rythme non concerté.
Où les analyses d'impact commercial peuvent-elles se tromper ?
Les échecs sont récurrents et concernent principalement la manière dont les données ont été recueillies plutôt que leur documentation.
- Tout revient critique: sans classement forcé, chaque propriétaire attribue la note la plus élevée à sa propre activité et le résultat ne peut rien prioriser.
- Objectifs de récupération définis par les capacités informatiques: des échéanciers fondés sur les capacités de l'infrastructure actuelle plutôt que sur les dommages, ce qui produit des objectifs toujours atteints mais jamais pertinents.
- Départements traités comme des activitésAnalyser les finances plutôt que de payer les fournisseurs et d'encaisser les paiements masque le fait que ces deux opérations ont des urgences très différentes.
- Dépendances s'arrêtant à la limite du système: mentionner l'application, mais pas le fournisseur qui l'héberge, le flux de données dont elle a besoin ni la personne qui sait comment la redémarrer.
- Impact évalué à un seul moment donné: demander ce qui se passe si cela s'arrête, plutôt que ce qui se passe après une heure, un jour et une semaine.
- Jamais revisitéUne analyse datant d'il y a trois ans décrit une organisation qui a depuis lors modifié ses systèmes, ses fournisseurs et sa structure.
Un test utile pour vérifier la pertinence de l'analyse : demandez ce qui a été classé en dernier. Si personne ne peut répondre, l'exercice n'a pas permis d'établir de priorités, et tous les plans qui en découleront se disputeront les mêmes ressources au même moment.
Démarrez facilement avec une démonstration de produit personnelle
L'un de nos spécialistes de l'intégration vous guidera à travers notre plateforme pour vous aider à démarrer en toute confiance.
Quel est le lien entre cette analyse et la résilience ?
Une analyse d'impact sur l'activité indique ce qu'il faut protéger et dans quel délai. Elle ne précise pas comment le protéger, ni si les contrôles sous-jacents sont efficaces. C'est là le lien avec la résilience : les activités prioritaires de l'analyse dépendent de la gestion des accès, des sauvegardes, de la fiabilité des fournisseurs et de la réponse aux incidents. Ce sont ces contrôles qui rendent un délai de reprise réaliste et non un simple objectif.
Le système Resilience Loop intègre la sécurité de l'information ( ISO 27001) , la protection des données ( ISO 27701) et la gouvernance de l'IA (ISO 42001) au sein d'un système unique et interconnecté. La cartographie des dépendances réalisée pour une analyse d'impact sur l'activité (AIA) est identique à celle exigée par ces normes, ce qui garantit sa validité à plusieurs reprises. La continuité d'activité est spécifiée et certifiable selon la norme ISO 22301 , qui requiert une analyse d'impact sur l'activité et définit les éléments à établir. La structure globale est décrite dans le cadre de résilience de l'entreprise.
Comment maintenir à jour une analyse d'impact sur l'entreprise ?
Une analyse d'impact sur l'activité (AIA) se dégrade plus rapidement que la plupart des outils de continuité d'activité, car elle est liée à l'organisation elle-même, qui évolue constamment. Un nouveau fournisseur, une migration de système, une restructuration ou une acquisition peuvent invalider une cartographie des dépendances sans que personne ne s'en aperçoive, et l'analyse semblera pourtant complète.
Un examen annuel permet d'en détecter une partie. Lier cet examen aux changements permet d'en détecter davantage : lors du remplacement d'un système, de l'intégration d'un fournisseur ou du transfert d'une activité entre équipes. La version qui reste à jour est celle qui est liée aux données relatives aux actifs et aux fournisseurs, et non celle qui est stockée dans un tableur séparé. Cette approche est décrite dans la section « Comment démontrer la résilience » , et le score de résilience vous fournit un point de départ.
Pourquoi choisir ISMS.online pour l'analyse d'impact sur votre entreprise ?
L'intérêt d'une analyse d'impact sur l'activité (AIA) réside dans la pertinence des plans qui en découlent pour l'organisation. ISMS.online assure la liaison entre les deux.
- Activités liées à ce dont ils dépendent: relier chaque activité aux actifs, fournisseurs et contrôles qui la sous-tendent, afin qu'une modification apportée à l'une soit visible dans l'autre.
- Les objectifs de reprise sont maintenus conformément aux plans: MTPD, RTO, RPO et MBCO enregistrés pour l'activité et hérités par les plans qui doivent les respecter.
- Un seul ensemble de contrôles, chaque framework: le travail de dépendance est cartographié une seule fois et réutilisé dans les normes ISO 22301, ISO 27001, ISO 27701 et ISO 42001.
- Avis qui se réalise réellement: propriétaires, dates de révision et rappels, afin que l'analyse soit réexaminée lorsque les choses changent plutôt qu'une fois par an au mieux.
- Preuve sur demande: présenter à l'auditeur une analyse à jour avec son historique d'approbation au lieu de la reconstituer.
- S'appuyant sur une expertise approfondie: mise en œuvre guidée par des spécialistes ayant déjà mené ces exercices au sein d'organisations réglementées.
- Conçu pour le marché britannique et les marchés réglementés.: conçu pour les organisations qui doivent faire preuve de résilience pour remporter et conserver des contrats.
Découvrez comment tout cela s'articule sur la plateforme de résilience d'entreprise , ou réservez une démonstration.
FAQ
Quelle est la différence entre une analyse d'impact sur l'entreprise et une évaluation des risques ?
Une évaluation des risques s'intéresse aux problèmes potentiels et à leur probabilité. Une analyse d'impact sur l'activité part du principe qu'un problème est déjà survenu et évalue son impact et la rapidité de la reprise d'activité. Les deux sont nécessaires : une évaluation des risques seule ne renseigne pas sur les priorités de reprise, et une analyse d'impact sur l'activité seule ne permet pas d'identifier les causes à prévenir.
Quelle est la différence entre MTPD et RTO ?
La période maximale tolérable d'interruption (MTPD) correspond au seuil à partir duquel le préjudice devient inacceptable pour l'entreprise. L'objectif de délai de reprise d'activité (RTO) est le délai cible fixé pour la remise en service et doit être inférieur ou égal à la MTPD. Si ces deux valeurs sont identiques, tout dépassement de la limite tolérable entraîne un franchissement de cette limite ; l'écart entre les deux constitue alors la marge de sécurité.
Qui devrait participer à une analyse d'impact sur l'entreprise ?
Les personnes qui pilotent les activités, car elles connaissent les interdépendances, et celles qui sont responsables des conséquences, car elles sont habilitées à juger de ce qui est acceptable. Les équipes techniques contribuent en fonction du réalisable, mais ne doivent pas fixer les délais. Un facilitateur indépendant est nécessaire, car les responsables d'activité ont naturellement tendance à considérer leur propre travail comme essentiel, et un classement forcé requiert une approche neutre.
Combien de temps dure une analyse d'impact sur l'entreprise ?
Pour une organisation de taille moyenne dont le périmètre est clairement défini, quelques semaines suffisent, principalement consacrées aux entretiens avec les responsables d'activité plutôt qu'à la rédaction. La difficulté réside dans la maîtrise du périmètre. Les analyses qui s'étendent à toutes les activités et tous les sites prennent des mois et sont généralement obsolètes avant même d'être approuvées. C'est pourquoi une première analyse ciblée sur les activités véritablement critiques est plus utile qu'une analyse exhaustive.
L’analyse d’impact sur l’activité est-elle requise par la norme ISO 22301 ?
Oui. La norme ISO 22301 exige que l'organisme réalise une analyse d'impact sur son activité et précise les éléments à établir, notamment les activités qui soutiennent les produits et services, les conséquences d'une interruption dans le temps et les délais prioritaires de reprise de ces activités. Se conformer à cette norme implique également que l'analyse doit être revue régulièrement et non réalisée une seule fois.
