Blog

Élaboration d’un PCA selon la norme ISO 22301

Vous recherchez un exemple de trame d’un plan de continuité d’activité ?

Adenium est une société de conseil spécialisée depuis 2002 dans la mise en œuvre de plans de continuité certifiés selon la norme ISO 22301. Voici la méthode d’élaboration d’un PCA par nos consultants certifiés « Lead Implementer ISO 22301 ».

L’élaboration d’un PCA se déroule en quatre phases majeures :

1. L’initialisation du projet est concentrée sur l’organisation (entreprise ou collectivité) et sur son contexte, ses besoins et ses objectifs. Il est accompagné d’un audit des ressources et des compétences internes disponibles.
2. La stratégie du plan de continuité d’activité est définie d’après la cartographie des risques et l’analyse de leur impact sur l’activité métiers ou de service public (BIA ou Business Impact Analysis)
3. La mise en œuvre concrète du PCA, dont un exemple est détaillé ci-après, permet de définir précisément la gestion des crises, la stratégie de continuité, la stratégie de traitements des risques et les actions à mener pour maintenir l’activité.
4. L’amélioration continue a pour objectif de réaliser des simulations et des exercices de crise PCA ainsi que d’évaluer les mesures du Maintien en Condition Opérationnelle, dans l’objectif de garantir la pérennité du plan de continuité.

Exemple de la partie mise en œuvre du PCA

Gestion de crise et stratégie de continuité

Il s’agit d’identifier les processus critiques et leurs ressources associées pour déterminer une stratégie globale et détaillée que la cellule de pilotage pourra activer.

Stratégies de traitement des risques

Le but est d’identifier les mesures permettant de réduire la probabilité de survenance des risques critiques ainsi que, le cas échéant, leur impact sur l’activité.

Plan de continuité d’activité : la documentation

Ainsi défini et adapté spécifiquement à chaque organisation, le Plan de Continuité d’Activité est constitué d’une trame jalonnée d’exemples de situations concrètes. Cette trame permet de constituer un document unique consolidé (le plan lui-même) ou plusieurs documents orientés selon des besoins spécifiques (métier, organisationnel, opérationnel, informatique ou autres).

Cet exemple de Plan de Continuité d’Activité est un court extrait tiré de notre document PDF complet et disponible au téléchargement.

Une norme pour le management de la continuité d’activité

La norme ISO 22301 est une norme internationale pour le management de la continuité d’activité et permet la mise en place d’un système de management, créée en 2012. Ce système de management intégré est un système de gestion qui intègre tous les composants d’un organisme en un système cohérent de manière à permettre la réalisation de ses objectifs et de sa mission.

Cette norme spécifie les exigences pour planifier, établir, mettre en œuvre, surveiller, revoir, maintenir et améliorer en continu un système de management de la continuité. Il utilise le mot « doit » plutôt que « devrait » pour indiquer que c’est un cahier des charges décrivant les actions spécifiques que l’organisme doit entreprendre afin d’être conforme à la norme. Le cahier des charges est auditable et donc certifiable. L’avantage de la certification c’est qu’elle peut être un instrument utile qui, en démontrant que votre produit ou service répond aux attentes de vos clients, renforce votre crédibilité. Dans certains secteurs, elle peut même être une obligation légale ou contractuelle.

La norme ISO 22301 présente plusieurs avantages pour l’entreprise :

• Légitime et positionne la continuité des activités dans les organisations (auditable et peut aboutir sur l’obtention d’une certification ISO 22301)
• Légitime la fonction du Responsable de la continuité des activités (RPCA)
• Donne un avantage concurrentiel aux organisations (signe de maturité de l’entreprise, rassure le client face à des exigences contractuelles, donne une garantie de la solvabilité, de la continuité d’activité)
• S’intègre parfaitement aux autres systèmes de management déjà présents dans les organisations comme le SMQ ou le SMSI (structure, terminologies, définitions identiques)

Enfin, la norme ISO 22301 applique le cycle « Planifier-Déployer-Contrôler-Agir » ou Roue de Deming pour le système de management de l’entreprise. Ainsi, elle se base sur l’amélioration continue de ce système, qui permet une mise à jour et une adaptation aux potentiels changements des organisations.

La norme se compose des chapitres suivants :

1. Domaine d’application
2. Références normatives
3. Termes et définitions
4. Contexte de l’organisation
5. Leadership
6. Planification
7. Support
8. Fonctionnement
9. Évaluation des performances
10. Amélioration

Si le sujet de la continuité d’activité n’est pas nouveau, il est intéressant de noter qu’une petite révolution s’est opérée depuis quelques années.

Traditionnellement les PCA visent à assurer la continuité opérationnelle des organisations dans une approche de prévention et de planification. Comme l’a bien défini dans les années 1990 le Business Continuity Institute, un programme de continuité est un processus holistique de gestion, identifiant les menaces à l’organisation et déterminant les bases pour établir sa résilience. Celle-ci se met en place en développant la réaction appropriée en vue de protéger les intérêts de tous les intervenants clés, mais aussi la réputation, l’image et les activités créant la valeur de l’organisation.

Monter à l’instant « T » la bonne parade n’est pas toujours évident, mais avec une bonne équipe opérationnelle on y arrive (à l’exception du budget le cas échéant). Le souci pour les professionnels est de maintenir les plans en conditions opérationnelles, parce que les organisations changent et que les équipes manquent souvent de moyens. C’est la raison pour laquelle les tests et les entraînements périodiques sont nécessaires.
En 2012 apparaît le premier standard international dédié à la continuité d’activité. La norme de management ISO 22301 définit les exigences et les attentes en matière de continuité d’activité : l’analyse des risques, les enjeux (bilan d’impact sur les activités – BIA), la stratégie de continuité en cas de crise et de perturbations, la mise en œuvre des plans, les tests de continuité (au travers d’un exercice de simulation de crise par exemple). Le PCA est défini comme un ensemble de procédures documentées servant de guide aux organisations pour répondre, rétablir, reprendre et retrouver un niveau de fonctionnement à la suite d’une perturbation.

Depuis 6 ans, ISO 22301 a permis de standardiser, rationnaliser les démarches de PCA. ISO 22301 est certifiable au même titre que les normes 9001 ou 14001 par un certificateur (AFNOR, Bureau Veritas, LRQA…). La démarche de certification avec son suivi (audits etc) constitue un vrai gage de confiance pour les décideurs sur le bon maintien en conditions opérationnelles des dispositifs de continuité et de reprise d’activité (valable pour les équipes internes mais aussi pour les tiers-dépendants). Des organisations se sont faites certifiées dans le monde entier (près de 4000 à fin 2016). En France, le club 22301, créé en 2014 pour partager entre acteurs les retours d’expérience, a organisé des conférences publiques, dont le succès d’audience témoigne de l’intérêt grandissant pour l’ISO 22301 (Témoignages de certifiés Grands comptes/Public-Privé/PME). Dans un monde où nos organisations sont de plus en plus exposées, de tels outils sont essentiels pour assurer la continuité de nos organisations et construire les écosystèmes résilients de demain.

Xavier Hartout
Directeur Associé