Un lundi matin, plus aucun poste ne démarre : une attaque par rançongiciel a chiffré les serveurs. Ou bien un incendie a rendu l’entrepôt inaccessible, ou le principal fournisseur vient d’être placé en redressement judiciaire. Dans ces moments, les entreprises qui s’en sortent le mieux ne sont pas celles qui improvisent le mieux, mais celles qui ont préparé, à froid, ce qu’elles feraient. C’est l’objet du plan de continuité d’activité.
Qu’est-ce qu’un plan de continuité d’activité ?
Un plan de continuité d’activité (PCA) définit l’organisation, les moyens et les procédures qui permettent à une entreprise de maintenir ses activités essentielles, éventuellement en mode dégradé, lorsqu’un incident majeur survient, puis de revenir à la normale.
Il se distingue de deux notions voisines :
- le plan de reprise d’activité (PRA) organise le redémarrage après une interruption, en particulier des systèmes informatiques ;
- la gestion de crise organise la prise de décision et la communication pendant l’événement.
Les trois sont complémentaires : la gestion de crise pilote, le PCA maintient, le PRA redémarre. La norme ISO 22301 fournit un cadre de référence pour les systèmes de management de la continuité d’activité.
Un PCA est-il obligatoire ?
Il n’existe pas d’obligation générale pour toutes les entreprises. Mais certains secteurs sont soumis à des exigences précises : les établissements financiers, notamment au titre du règlement européen DORA sur la résilience opérationnelle numérique, les opérateurs d’importance vitale, ou les établissements de santé. Par ailleurs, de nombreux clients et assureurs demandent désormais à leurs partenaires de démontrer leur capacité à assurer la continuité.
Les 6 étapes pour construire un PCA
1. Identifier les activités critiques
Quelles sont les activités sans lesquelles l’entreprise ne peut pas fonctionner, ou dont l’arrêt aurait les conséquences les plus graves : facturation, production, expédition, service client, paie ? Toutes les activités ne sont pas critiques, et un PCA qui veut tout protéger ne protège rien.
2. Mener l’analyse d’impact
Pour chaque activité critique, l’analyse d’impact sur l’activité (BIA, pour Business Impact Analysis) évalue les conséquences d’une interruption dans le temps : financières, réglementaires, contractuelles, d’image. Elle permet de fixer :
- la durée maximale d’interruption admissible, au-delà de laquelle les conséquences deviennent inacceptables ;
- la perte de données maximale admissible, c’est-à-dire jusqu’à quel point dans le passé on peut accepter de perdre des données.
Ces deux paramètres dimensionnent toutes les solutions de continuité.
3. Identifier les scénarios de risque
Indisponibilité des locaux, des systèmes d’information, du personnel, d’un fournisseur clé, de l’énergie : on raisonne par scénario d’indisponibilité plutôt que par cause, car une même indisponibilité peut avoir de nombreuses origines.
4. Définir les stratégies de continuité
Pour chaque activité critique et chaque scénario, déterminez comment maintenir l’activité : télétravail, site de repli, fournisseur de secours, stock de sécurité, procédures manuelles de secours, sauvegardes déconnectées. Le coût des solutions doit rester proportionné aux impacts identifiés.
5. Organiser la gestion de crise
Qui déclenche le PCA ? Qui compose la cellule de crise ? Où se réunit-elle si les locaux sont inaccessibles ? Comment joindre les collaborateurs si la messagerie est hors service ? Ces questions doivent avoir une réponse écrite avant l’incident. Voir Cellule de crise : organiser, animer et décider sous pression.
6. Tester et maintenir le plan
Un PCA jamais testé révèle ses failles le jour de la crise. Des exercices réguliers, du simple test d’annuaire de crise à la simulation complète, permettent de corriger le plan et d’entraîner les équipes. Le PCA doit aussi être mis à jour à chaque changement important : nouveau site, nouvel outil, nouveau fournisseur.
Notre formation Plan de continuité d’activité (PCA) : méthode complète et mise en œuvre couvre ces six étapes.
Le cas particulier du risque cyber
Le rançongiciel est devenu le scénario le plus probable pour beaucoup d’entreprises. Il a une particularité : il peut rendre inutilisables à la fois les systèmes et les sauvegardes connectées. Un PCA crédible prévoit des sauvegardes isolées, des procédures de fonctionnement sans informatique et un plan de reprise testé. Voir Continuité et reprise informatique : tenir quand le système tombe.
Communiquer pendant la crise
Clients, salariés, fournisseurs, autorités, médias : chacun attend une information, et le silence est souvent interprété comme le signe que l’entreprise ne maîtrise pas la situation. Les messages types et les circuits de validation doivent être préparés à l’avance. Voir Communication de crise : gérer l’information et protéger sa réputation.
Questions fréquentes
Quelle différence entre PCA et PRA ?
Le PCA vise à maintenir les activités essentielles pendant la crise ; le PRA organise le redémarrage, notamment informatique, après une interruption.
Combien de temps faut-il pour construire un PCA ?
Pour une PME, un premier PCA opérationnel peut être construit en quelques semaines, en se concentrant sur les activités critiques. Il s’enrichit ensuite au fil des exercices.
Qui doit piloter le PCA ?
La direction doit le porter, car il implique des arbitrages de coûts et de priorités. La coordination peut être confiée à un responsable désigné, en lien avec l’informatique, les opérations et les ressources humaines.
Existe-t-il des PCA spécifiques par secteur ?
Les principes sont communs, mais les contraintes varient fortement. Nous proposons des formations dédiées aux secteurs bancaire, de l’assurance, de l’industrie et de la santé.
Retrouvez toutes nos formations PCA et gestion de crise.