RiskAssur-hebdo
- Le magazine professionnel des Risques et des Assurances
page 31 - Numéro 420 du 23 octobre 2015
Abonnement gratuit sur
Point de vue
BSI , les acteurs économiques tendent à distinguer totale-
ment le « business continuity management » et le « risk
management » en intégrant dans leurs organigrammes
des fonctions différentes, pas nécessairement corrélées
et coordonnées au sein d’un département commun.
Il est vrai que la gestion des risques s’appuie sur une hié-
rarchisation des risques qui est fondée sur le rapproche-
ment deux facteurs essentiels pour qualifier le risque, à
savoir probabilité/vraisemblance d’une part et impact/
gravité de l’autre.
En matière de gestion de la continuité d’activité, la proba-
bilité n’a plus de raison d’être prise en compte.
On ne parle pas de risque ou de probabilité, seulement
de l’ampleur de l’impact potentiel d’un événement donné
sur la continuité des activités de l’entreprise.
On ne cherche pas non plus à imaginer des scénarios de
risques, pour les risques émergents par exemple, qui ren-
draient un site inaccessible ou inopérant.
On se concentre plutôt sur les impacts d’une interruption
d’activité pour l’entreprise. Sont-ils tolérables ou non ? Il
faut avant tout veiller à ce que la continuité des activi-
tés critiques soit assurée, quelles que soient les circons-
tances.
Si une entreprise n’a jamais fait de gestion de risques,
de façon systématique, globale et intégrée, en clair si
elle est au niveau « zéro » de maturité en ERM, elle peut
se concentrer directement dans le développement et la
mise en place d’un plan de continuité d’activités.
Toutefois, bien entendu, dans la plupart des situations
réelles, les entreprises qui se penchant sur les probléma-
tiques de gestion de la continuité des activités, disposent
déjà d’une cartographie des risques.
Dans ce cas, il convient d’identifier les risques qui ont un
impact sur la continuité d’activités, tels que, par exemple :
-risque d’interruption des systèmes d’informations
-risque d’impossibilité d’accès à l’environnement de
travail
-risque de défaillance d’un fournisseur ou prestataire
critique
-risque de défaillance du personnel. Il faut notamment
identifier les savoirs faires uniques
Un autre point d’ambiguïté souvent rencontré est la
confusion entre la gestion de la continuité des activités et
la gestion de crise.
Activer un plan de continuité des activités, c’est gérer un
type de crise seulement, d’autres type de crises peuvent
surgir.
Certaines entreprises gèrent des crises au quotidien,
dès lors que toute perturbation est considérée par elles
comme porteur de crise. Encore faut-il garder son sang-
froid et conserver le terme pour des situations extrêmes .
La première étape dans l’élaboration d’un Plan de Conti-
nuité (PCA) est de réaliser l’analyse des impacts des inter-
ruptions des activités et de définir les activités critiques et
leur délai maximum d’interruption.
Dans chaque département la question est : combien de
temps mon activité peut être stoppée sans impact ?
Cette question doit se poser quelque soit le scénario pri-
vant l’entreprise de son environnement de travail habi-
tuel et aussi prendre en compte les exigences dérivées de
différentes réglementations applicables.
Par exemple, pour les assureurs et les réassureurs au sein
de l’Union Européenne, Solvabilité 2 prévoit l’obligation
de mettre en place un PCA. Depuis 2006, le PCA est obli-
gatoire pour les banques (Bale 2 et Bale 3).
Parallèlement, dans le cadre de la gestion des risques des
réseaux d’approvisionnement et logistiques, les grands
donneurs d’ordre sont vigilants sur la continuité chez
leurs principaux sous-traitants et fournisseurs. C’est par
ce biais que l’on voit progresser la mise en place de PCA
au sein du tissu des PME/PMI et des ETI en France.
Enfin il existe une norme spécifique, ISO 22301, qui a été
publiée en français en mai 2012. Cette norme définit le
cadre du management de la continuité d’activité.
D’autres sources d’impulsion pour le développement de
PCA viennent de l’exigence des actionnaires, des fonds
d’investissement ou de gros clients.
Enfin, en France les organismes publics et les « activi-
tés vitales » ont l’obligation de gérer la continuité dans
le cadre de la réflexion/action publique sur la résilience
sociétale.
Pour répondre valablement à la question sur les « arrêts
acceptables », il faut avoir au préalable avoir dressé un
état des lieux des lieux avant d’entamer toute élaboration
d’un plan de continuité des activités.
