Un plan de continuité d'activité est le document qui décrit comment votre organisation maintient ses activités critiques en cas de perturbation, qui décide et quelles sont les actions de chacun pendant l'indisponibilité des opérations normales. Il ne s'agit ni d'un registre des risques, ni d'un plan de reprise d'activité. C'est le guide opérationnel qui permet de concrétiser les priorités convenues.
- Fondée sur des décisions déjà prises ailleurs, et non sur un modèle vierge.
- Conçue pour qu'une personne stressée trouve la bonne page en quelques secondes.
- Indiquer clairement qui a l'autorité pour l'activer et la déclarer terminée.
- Assez court pour être lu, les détails étant relégués en annexes et dans les manuels d'exploitation.
- Maintenue en fonction des déclencheurs de changement, et pas seulement à une date annuelle.
Qu’est-ce qu’un plan de continuité des activités ?
Le plan constitue la couche opérationnelle d'un dispositif plus vaste. Au-dessus se trouve l'analyse qui a déterminé les activités prioritaires et leurs délais de reprise. En dessous se trouvent les solutions de contournement spécifiques et les procédures techniques. Le plan lui-même est le document de liaison : il nomme les activités, énonce les objectifs, attribue les rôles et définit la procédure d'escalade.
Cette situation explique la faiblesse la plus courante. Un plan rédigé à partir d'un modèle, avant même que les priorités ne soient définies, finit par décrire une réponse d'urgence générique plutôt que les décisions opérationnelles réelles de l'organisation. Il est facile à lire, certes, mais il ne résiste pas à un incident, car les choix difficiles concernant les sacrifices à consentir n'ont jamais été faits. La mise en place des capacités nécessaires est abordée dans le cadre de la continuité des activités.
Il est également important de préciser ce que ce plan n'est pas. Il ne s'agit pas d'un plan de continuité d'activité , qui traite d'un risque spécifique, ni d'un plan de reprise après sinistre , qui vise à restaurer les technologies. Les différences entre continuité et reprise sont détaillées dans le document « Continuité d'activité versus reprise après sinistre ».
Quelles sont les sections nécessaires à un plan de continuité des activités ?
L'utilité des sections est leur principal critère. Pour chacune d'elles, il faut vérifier si quelqu'un consulterait le plan en cas de perturbation. La troisième colonne ci-dessous est plus importante que les deux premières : presque toutes les sections sont alimentées par des travaux réalisés ailleurs, et un plan qui invente son propre contenu est un plan incompatible avec le reste du système.
| Blog | Ce à quoi elle doit répondre | D'où provient le contenu |
|---|---|---|
| Portée et hypothèses | Quels aspects de l'organisation ce plan couvre-t-il et qu'est-ce qu'il considère comme allant de soi ? | Le périmètre du système de management, ainsi que les hypothèses explicites convenues avec l'entreprise. |
| Activités et objectifs critiques | Qu’est-ce qui doit impérativement continuer à fonctionner, et quel est le délai imparti à chaque tâche ? | L'analyse d'impact sur l'activité. Elle est citée, mais jamais reproduite ici. |
| Rôles et autorité | Qui active, qui dirige, qui délègue et quelles décisions chacun peut-il prendre seul ? | Personnes nommées avec leurs adjoints, approuvés par le responsable exécutif. |
| Niveaux d'activation | Les états d'escalade, leurs seuils et les personnes qui passent de l'un à l'autre. | En accord avec les opérations, calibré sur la base de l'historique réel des incidents. |
| Solutions de contournement par activité | Comment chaque activité critique est assurée lorsque les systèmes normaux sont indisponibles. | Les plans d’urgence, résumés ici et figurant intégralement en annexes. |
| Dépendances et ressources | Les personnes, les systèmes, les fournisseurs, les locaux et les données nécessaires à chaque solution de contournement. | La cartographie des dépendances issue de l'analyse d'impact et du registre des fournisseurs. |
| Communications | Qui reçoit l'information, par qui, dans quel ordre et par quel canal ? | Des relevés de compte préparés et des circuits de contact qui fonctionnent lorsque les systèmes sont défaillants. |
| Rétablissement et réconciliation | Comment le service normal reprend et comment le travail effectué manuellement est réintégré dans les systèmes. | Le plan de reprise pour la partie technique, ainsi que les responsables des processus pour le backlog. |
| Examen du dossier | Lors du dernier exercice de ce type, quels ont été les résultats obtenus et quels changements ont été observés ? | Le journal des exercices et les registres des mesures correctives. |
Remarquez que le plan contient principalement des références plutôt que du contenu original. C'est intentionnel. Chaque figure reproduite dans le plan finira par contredire sa source.
Il y a un enjeu plus important derrière tout cela.
Cette page aborde un aspect de la résilience des entreprises. Real Resilience — le cadre d'IO qui relie la sécurité, la confidentialité et la gouvernance de l'IA — offre une vision d'ensemble.
Comment le plan est-il activé et désactivé ?
Un plan sans procédure d'activation définie est l'erreur la plus fréquente. On hésite, on attend qu'une personne prenne la situation suffisamment au sérieux, et cette hésitation coûte plus cher que la perturbation elle-même. La solution consiste à définir des niveaux d'escalade clairement identifiés, assortis de seuils, afin que le passage d'un niveau à l'autre repose sur une prise de conscience plutôt que sur un jugement.
Deux de ces niveaux font régulièrement défaut. La mise en veille permet de gagner du temps : avertir les utilisateurs de l’approche d’un déclencheur est gratuit et permet de mettre en œuvre la solution de contournement en quelques minutes plutôt qu’en quelques heures. La mise en veille est souvent négligée lors du rétablissement du système, ce qui explique pourquoi les organisations se retrouvent à gérer un processus manuel pendant des semaines après la remise en service, et comment le retard accumulé se transforme insidieusement en un second incident.
La personne habilitée à déclencher le plan doit être joignable. Désigner un seul cadre supérieur sans adjoint revient à se fier à une seule disponibilité. Si la situation dépasse les prévisions, l'autorité est transférée au dispositif de gestion de crise , ce qui constitue une décision distincte et non une extension du pouvoir de déclenchement.
Quelle doit être la longueur d'un plan de continuité d'activité ?
Plus court que la plupart. Le critère pertinent n'est pas le nombre de pages, mais le temps d'accès à l'information recherchée : une personne consultant le document sous pression doit pouvoir trouver ce dont elle a besoin en moins d'une minute. Concrètement, cela signifie un document principal d'une quinzaine à une trentaine de pages pour une organisation de taille moyenne, le reste étant regroupé en annexes.
Ce qui doit figurer au cœur du document : périmètre, activités et objectifs, rôles et responsabilités, niveaux d’activation, communications et résumé des solutions de contournement. Ce qui doit figurer en annexes : la solution de contournement détaillée pour chaque activité, les listes de contacts, les manuels techniques, les informations sur les fournisseurs et les modèles. Les annexes évoluent beaucoup plus fréquemment que le document principal, ce qui justifie leur séparation. Un plan de cent pages est généralement le signe que l’analyse a été négligée et que l’exhaustivité a remplacé la priorisation.
Conservez une copie à jour dans un endroit indépendant de toute défaillance éventuelle. Un plan stocké uniquement sur un partage réseau, ou des coordonnées conservées uniquement dans le système de messagerie, sont des plans inutilisables lors du type d'incident pour lequel ils ont été conçus.
Qui rédige le document et qui l'approuve ?
La rédaction des plans est optimale lorsqu'elle est confiée à la personne responsable de la continuité des activités, en collaboration avec les responsables de chaque activité critique. Les plans rédigés exclusivement par un consultant ou un seul spécialiste interne présentent le même défaut : ils décrivent le déroulement imaginé du travail plutôt que son déroulement réel, et le décalage n'apparaît que lorsqu'on tente de les appliquer.
L'approbation doit venir d'un dirigeant capable de s'engager véritablement envers les priorités, car le plan formalise les décisions concernant les sacrifices à consentir. C'est la partie que personne ne souhaite signer, et pourtant c'est ce qui donne corps au plan. Si chaque activité est jugée essentielle et chaque échéance immédiate, aucune priorisation n'a eu lieu et le document ne permettra à personne de prendre des décisions sous pression.
Chaque solution de contournement doit avoir un responsable désigné au sein de l'entreprise, et pas seulement le responsable de la continuité des activités. Une responsabilité partagée entre plusieurs membres de l'équipe a tendance à se perdre une fois le plan mis en place un an plus tard.
Télécharger gratuitement
La voie éprouvée vers le succès de la norme ISO 27001
Téléchargez votre guide gratuit sur tout ce que vous devez savoir pour obtenir la norme ISO 27001 du premier coup
Comment maintenir le plan à jour ?
Les plans se dégradent insidieusement. Rien ne signale qu'un plan est devenu obsolète, et une date de révision annuelle ne suffit pas à elle seule, car la plupart des éléments qui invalident un plan surviennent entre deux révisions. Lier la maintenance aux événements de changement permet de détecter ces problèmes plus tôt.
| Gâchette | Que faut-il revérifier ? | Qui réapprouve |
|---|---|---|
| Système critique nouveau ou remplacé | Dépendances, faisabilité des solutions de contournement et objectifs de reprise des activités affectées. | Responsable de l'activité et responsable du rétablissement. |
| Changement ou départ du fournisseur | Les entrées de dépendance, les obligations de continuité contractuelle et toute solution de contournement qui supposait ce fournisseur. | Propriétaire du fournisseur et responsable de la continuité des activités. |
| Réorganisation ou départ clé | Chaque rôle, adjoint et voie de contact mentionnés dans le plan et ses annexes. | Parrain exécutif. |
| Nouveau site ou hébergement | Hypothèses de localisation, locaux alternatifs et lieu de conservation des copies des plans. | Responsable de la continuité des activités et des installations ou des TI. |
| Exercice ou incident réel | Quels que soient les points abordés par les conclusions, ainsi que les hypothèses que l'événement a réfutées. | Responsable de la continuité, avec les résultats consignés. |
| Nouvelle obligation réglementaire ou contractuelle | Portée, délais de notification et preuves que vous êtes censé détenir. | Sponsor exécutif et responsable de la conformité. |
Le compte rendu de l'évaluation doit figurer dans le plan lui-même. Un plan non daté ne renseigne en rien le lecteur sur sa pertinence actuelle pour l'organisation dans laquelle il travaille.
Comment ce plan s'inscrit-il dans la résilience de l'entreprise ?
Un plan de continuité gère les perturbations des activités que vous avez identifiées. La résilience, quant à elle, désigne la capacité plus globale d'absorber les changements de toute nature, y compris les perturbations imprévues et les obligations qui n'existaient pas lors de l'élaboration du plan. Ce dernier constitue une composante de cette capacité, et ce qui les relie, ce sont les mécanismes de contrôle sous-jacents.
Le cadre de résilience (Resilience Loop) intègre la sécurité de l'information ( ISO 27001) , la protection des données ( ISO 27701) et la gouvernance de l'IA (ISO 42001) au sein d'un système unique et interconnecté, la continuité des contrôles étant un paramètre supplémentaire. Le plan cesse alors d'être un document isolé : la gestion des accès, la sauvegarde, l'évaluation des fournisseurs et la réponse aux incidents, essentielles à vos solutions de contournement, sont centralisées et applicables à tous les cadres de référence. La structure globale est définie dans le cadre de résilience de l'entreprise , et le système de management certifiable qui garantit la maîtrise et la mise en œuvre du plan est spécifié dans la norme ISO 22301.
Cela permet également de déceler une conséquence souvent négligée par les plans de continuité d'activité. Une manipulation manuelle consistant à transférer des données client dans un tableur, ou une restauration rétablissant des enregistrements dont l'effacement a été demandé, constitue une atteinte à la confidentialité engendrée par votre plan de continuité d'activité. Appliquer les mêmes contrôles à la continuité d'activité et à la protection de la vie privée permet de détecter ce type d'incident avant qu'il ne survienne.
Comment prouver que le plan fonctionne ?
Le simple fait de posséder un plan ne suffit pas à le vérifier. Les clients, les auditeurs et les organismes de réglementation demandent s'il est efficace et à jour, et ces deux points doivent être démontrés plutôt qu'affirmés.
Ce qu'il faut : le plan approuvé avec sa version et sa date, l'analyse d'impact dont découlent ses objectifs, un compte rendu de l'exercice avec les participants et les conclusions, les actions correctives mises en œuvre et leur clôture, ainsi que la preuve que les déclencheurs de revue mentionnés ci-dessus ont bien été appliqués. Ces éléments, produits naturellement au cours du travail, sont toujours disponibles. Rassemblés une fois par an pour un audit, ils sont souvent difficiles à obtenir et ne convainquent personne. La démarche est décrite dans le document « Comment démontrer la résilience » , et le score de résilience fournit un point de départ.
Pourquoi choisir ISMS.online pour la planification de la continuité des activités ?
Un plan ne vaut que par son élément de référence le plus faible. ISMS.online assure la connexion du plan avec tous ses éléments indispensables.
- Une source pour les objectifsLes délais de reprise sont intégrés à l'analyse d'impact et alimentent le plan, ce qui évite toute dérive des chiffres.
- Plans liés aux risques et aux contrôlesChaque solution de contournement est liée aux dépendances et aux contrôles dont elle dépend, ce qui permet de visualiser les lacunes avant même qu'un exercice ne les détecte.
- Nom du propriétaire et dates de révision: suivi des propriétaires, des adjoints et des déclencheurs, avec des rappels pour éviter que les plans ne tombent discrètement dans l'oubli.
- Enregistrements d'exercices intégrés: planifier les tests, consigner les résultats et suivre les actions correctives parallèlement au plan lui-même.
- Un seul ensemble de contrôles, chaque framework: mapper une seule fois et réutiliser pour les normes ISO 22301, ISO 27001, ISO 27701 et ISO 42001.
- Preuve sur demande: produire un plan à jour avec un historique des versions et un compte rendu de tests, et non un document et une promesse.
- S'appuyant sur une expertise approfondie: mise en œuvre guidée par des spécialistes ayant déjà géré ces systèmes dans des environnements réglementés.
Découvrez comment tout cela s'articule sur la plateforme de résilience d'entreprise , ou réservez une démonstration.
FAQ
Quelle est la différence entre un plan de continuité d'activité et un plan de reprise après sinistre ?
Le plan de continuité d'activité décrit comment l'entreprise maintient ses activités critiques en cas de perturbation, même sans cause technique. Le plan de reprise d'activité vise à restaurer les technologies dont dépendent ces activités, conformément aux objectifs du plan de continuité. La continuité détermine les éléments essentiels et les solutions de contournement. La reprise d'activité reconstruit les systèmes sous-jacents en respectant l'ordre de dépendance.
Faut-il un plan de continuité d'activité pour chaque site ou un seul pour l'organisation ?
Un plan d'organisation unique, assorti d'annexes spécifiques à chaque site, est généralement la solution la plus efficace. Les décisions fondamentales concernant les priorités, les responsabilités et la communication doivent être cohérentes partout, tandis que les modalités pratiques relatives aux locaux, aux fournisseurs locaux et aux modes de travail alternatifs varient selon le site. Des plans distincts pour chaque site ont tendance à diverger avec le temps et à dupliquer les objectifs, ce qui engendre des contradictions.
À quelle fréquence un plan de continuité d'activité doit-il être testé ?
Un exercice complet est recommandé au moins une fois par an, complété par des simulations plus fréquentes, notamment après une modification des rôles ou des systèmes. L'important n'est pas la fréquence, mais le réalisme et la documentation. Un exercice qui confirme que tout le monde peut lire le plan n'est pas très concluant. En revanche, un exercice qui exige que les participants mettent réellement en œuvre la solution de contournement, que les résultats soient consignés et exploités, est bien plus efficace.
Un plan de continuité d'activité est-il une obligation légale ?
Il n'existe aucune loi unique imposant à chaque organisation de disposer d'un dispositif de continuité d'activité. Les obligations découlent plutôt de la réglementation sectorielle, des contrats et des exigences-cadres. Les services financiers, les télécommunications, la santé et leurs prestataires sont généralement soumis à des exigences spécifiques, et les contrats clients exigent de plus en plus de dispositifs de continuité d'activité assortis de preuves de tests. En pratique, pour la plupart des organisations, l'exigence contractuelle prime sur l'exigence réglementaire.
Peut-on rédiger un plan de continuité d'activité à partir d'un modèle ?
Un modèle vous offre une structure et vous fait gagner du temps sur la mise en page, ce qui est indéniablement utile. En revanche, il ne peut pas vous fournir le contenu, car la valeur d'un plan réside dans les décisions prises : quelles activités sont critiques, combien de temps chacune peut être interrompue, quelle est la méthode de travail alternative et qui est responsable. Remplir un modèle sans avoir préalablement effectué d'analyse d'impact produit un document qui paraît complet, mais qui ne hiérarchise aucune priorité.
