Plan de continuité d’activité :
de la structuration à la mise à jour de votre dispositif de résilience

Non, un Plan de Continuité d'Activité peut être mis en place sans certification. La norme ISO 22301 est le référentiel international qui encadre le Système de Management de la Continuité d'Activité (SMCA) : elle structure la démarche (gouvernance, amélioration continue, audits) au-delà du seul document de PCA. De nombreuses organisations construisent un PCA robuste en s'inspirant de ses principes, sans viser la certification.

Le PCA est le document opérationnel qui décrit comment maintenir vos activités essentielles en cas de crise. Le SMCA ISO 22301 est le système de management qui pilote cette démarche dans la durée : analyse de risques, objectifs, revues de direction, exercices et amélioration continue. Le PCA est donc un livrable clé du SMCA, mais peut exister indépendamment.

Parce que ce référentiel formalise les meilleures pratiques reconnues internationalement en matière de résilience organisationnelle : il structure l'analyse d'impact (BIA), la définition des stratégies de continuité et les processus de test. S'en inspirer renforce la crédibilité et la solidité de votre PCA auprès de vos clients, partenaires et assureurs.

Le Plan de Reprise d'Activité (PRA) se concentre sur un périmètre plus restreint que le PCA : il décrit les procédures techniques permettant de restaurer le système d'information après un sinistre informatique, qu'il s'agisse d'une panne serveur, d'une cyberattaque ou d'une perte de données.

Le PCA, lui, couvre l'ensemble des fonctions critiques d'une organisation, qu'elles soient humaines, logistiques ou numériques. Dans la pratique, le PRA constitue souvent un volet du PCA, à l'image du Plan de Secours Informatique Industriel mentionné dans nos livrables.

Une entreprise peut ainsi disposer d'un PRA solide pour son infrastructure IT sans pour autant avoir anticipé la continuité de ses ressources humaines ou de ses relations fournisseurs. C'est précisément cette articulation entre les deux dispositifs que nos consultants vérifient lors du cadrage initial d'un projet.

Le PCA ne s'adresse pas uniquement aux grandes entreprises dotées de services dédiés à la gestion des risques. Une TPE, une collectivité territoriale ou un établissement de santé peuvent tout autant être confrontés à un évènement perturbateur mettant en péril leur fonctionnement.

Certains secteurs sont toutefois soumis à des obligations légales ou réglementaires renforcées. C'est le cas des opérateurs d'importance vitale (OIV) dans des secteurs comme l'énergie, l'eau, les transports ou les communications, des établissements bancaires et financiers, désormais couverts par les exigences de résilience opérationnelle du règlement européen DORA, ou encore des quelque 15 000 entités concernées par la directive européenne NIS2, qui impose des dispositifs de continuité testés régulièrement face au risque cyber. Les établissements de santé et médico-sociaux disposent, pour leur part, de dispositifs complémentaires articulés avec leur plan blanc ou leur plan bleu. Le secteur public n'échappe pas à cette logique : au nom du principe de continuité du service public, chaque collectivité ou établissement public est également appelé à structurer son propre dispositif.

Au sein d'une même organisation, plusieurs parties prenantes sont mobilisées :

• La direction générale, qui porte la stratégie de continuité
• Les équipes métiers, qui identifient leurs processus critiques
• Les fournisseurs et prestataires, dont la défaillance peut interrompre l'activité

Une collectivité territoriale gagnera à associer ses partenaires externes dès la phase de cadrage, afin d'anticiper les ruptures de service public.