Après un sinistre, tout le monde veut redémarrer en premier. Le commercial réclame la prise de commande, l’atelier la production, la comptabilité la facturation. Mais les personnes, les locaux, le matériel informatique et les fournisseurs disponibles ne permettent pas de tout relancer en même temps. Sans priorités décidées à l’avance, l’arbitrage se fait sous pression, souvent au profit de celui qui parle le plus fort.
Cet article propose une méthode en cinq étapes pour fixer ces priorités dans votre plan de continuité d’activité (PCA). Les notions et recommandations attribuées au SGDSN sont tirées de son guide de référence, cité en fin d’article. L’exemple de PME est fictif et ses délais ne valent que pour lui.
Quelques notions à connaître
Le SGDSN définit le PCA comme la stratégie et l’ensemble des dispositions prévues pour garantir à une organisation la reprise et la continuité de ses activités après un sinistre ou un événement qui perturbe gravement son fonctionnement.
Son guide utilise plusieurs notions utiles pour fixer des priorités :
- DMIA, durée maximale d’interruption acceptable : au-delà de cette durée, l’arrêt d’une activité a des conséquences jugées inacceptables pour l’organisation.
- PDMA, perte de données maximale admissible : la quantité de données, exprimée en temps, que l’on accepte de perdre depuis la dernière sauvegarde.
- Délai de reprise technique : le temps nécessaire pour remettre en service les moyens techniques et informatiques, en mode secours ou normal.
- Mode dégradé : un fonctionnement réduit mais acceptable, par exemple avec des procédures manuelles, pendant une durée limitée.
Reprise informatique et reprise d’activité : deux choses différentes
La reprise informatique consiste à remettre en service les serveurs, les applications et les données. La reprise d’activité consiste à recommencer à servir les clients et à tenir ses obligations.
Les deux ne coïncident pas. Une application peut redémarrer alors que l’activité reste bloquée : personnel absent, stock inaccessible, données à ressaisir, fournisseur défaillant. À l’inverse, une activité peut reprendre avant l’informatique grâce à une solution palliative préparée, comme un fonctionnement sur papier.
Le SGDSN déconseille d’ailleurs de confier le pilotage du PCA à un responsable informatique ou des services généraux, faute de vision métier, et de bâtir un plan de continuité informatique qui ne serait pas intégré à un PCA global.
Exemple fictif : une PME d’emballages sur mesure
Scénario fictif, à visée pédagogique. Une PME de 60 salariés fabrique et livre des emballages sur mesure. Un dégât des eaux rend inutilisables le rez-de-chaussée de l’atelier et la petite salle serveur située au même niveau.
Cinq activités réclament une reprise rapide : livraisons aux clients sous contrat, prise de commande, production, facturation et paie. Toutes dépendent du logiciel de gestion, du responsable logistique et du prestataire informatique, qui ne peut intervenir que sur un chantier à la fois.
La direction souhaite reprendre les livraisons contractuelles sous 24 heures. Le prestataire estime la restauration du logiciel de gestion à trois jours. Cet écart, propre à cet exemple, ne peut se régler qu’en préparant une solution palliative : liste papier des commandes en cours issue de la dernière sauvegarde et préparation manuelle depuis le stock épargné.
La méthode en cinq étapes
1. Classer les activités selon les conséquences de leur arrêt
Listez les activités et évaluez ce qu’entraîne leur interruption dans le temps : conséquences humaines, financières, contractuelles, juridiques et d’image, entre autres. Le SGDSN recommande une échelle de mesure identique pour toutes les activités et acceptée par les responsables métiers.
Repérez aussi les périodes critiques : une activité peut n’être essentielle qu’à certains moments, comme la paie en fin de mois ou les livraisons en haute saison.
2. Cartographier les dépendances
Pour chaque activité prioritaire, identifiez les ressources sans lesquelles elle ne peut pas fonctionner. Le SGDSN distingue cinq catégories de ressources critiques : ressources humaines, infrastructures, systèmes d’information, ressources intellectuelles et fournisseurs externes.
En pratique, posez quatre questions : qui sait le faire, et qui peut le remplacer ? Où le faire si les locaux sont indisponibles ? Avec quelles applications et quelles données ? De quels fournisseurs et prestataires dépend-on ?
3. Confronter les délais souhaités aux capacités réelles
Pour chaque activité, notez la DMIA souhaitée par le métier. En face, notez ce qui est réellement possible : le délai de reprise technique annoncé par l’informatique, la PDMA permise par les sauvegardes, les délais d’intervention prévus dans les contrats fournisseurs.
Chaque écart appelle une décision : investir pour réduire le délai de reprise, préparer un mode dégradé ou accepter le risque. Le SGDSN rappelle que le coût des moyens de continuité augmente quand les délais visés raccourcissent, et que cet arbitrage doit être validé par la direction.
4. Arbitrer à froid les ressources partagées
Quand plusieurs activités dépendent de la même personne, du même prestataire ou du même espace de repli, fixez l’ordre de priorité avant la crise. Écrivez la règle, faites-la valider par la direction et nommez qui peut y déroger.
Une règle simple vaut mieux qu’une grille complexe. Par exemple, dans notre cas fictif : livraisons contractuelles d’abord, puis prise de commande, la facturation et la paie étant traitées en mode dégradé.
5. Tester les priorités en exercice
Le SGDSN recommande de vérifier par des exercices que les dispositifs et procédures de continuité sont connus, compris et applicables dans les délais prévus. Pour tester vos priorités, construisez un scénario où plusieurs activités réclament simultanément la même ressource, puis observez si la cellule de crise applique la règle prévue ou improvise.
Checklist
- Les activités sont classées selon les conséquences de leur arrêt, avec une échelle commune.
- Les périodes critiques de l’année ou du mois sont identifiées.
- Les dépendances de chaque activité prioritaire sont listées : personnel, locaux, informatique, fournisseurs.
- Chaque ressource critique unique a un suppléant ou une solution de repli.
- Les DMIA souhaitées sont confrontées aux délais de reprise réellement possibles.
- La PDMA est cohérente avec la fréquence des sauvegardes.
- Chaque écart a donné lieu à une décision : investissement, mode dégradé ou risque accepté.
- Les modes dégradés précisent leur délai de mise en place, leur durée maximale et leur fonctionnement.
- La règle de priorité sur les ressources partagées est écrite et validée par la direction.
- Ces priorités ont été mises à l’épreuve lors d’un exercice.
Par où commencer
Action utile : réunissez la direction et deux responsables métiers pendant une heure. Listez vos cinq activités les plus importantes et, pour chacune, la ressource dont l’absence la bloquerait. Les ressources qui reviennent plusieurs fois sont vos premiers points d’arbitrage.
Si vous dirigez une PME et souhaitez être accompagné, le diagnostic de résilience Exerce-Ease analyse vos risques et vos dépendances critiques, puis aboutit à un plan d’action priorisé.
Découvrir l’offre PME : https://www.exerce-ease.com/pme.php